Hi Clara, ich stimme den anderen Nutzern zu: die Login-Erfahrung bei der App mit Passkey ist mindestens unglücklich gelöst und verwirrend im Vergleich zu Google, Microsoft und allen anderen Plattformbetreibern, bei denen ich bisher einen Passkey einrichten konnte. Ich würde zumindest empfehlen, auf das „vom Standard“ abweichende zu erwartende Login-Verhalten bei Paypal schon bei der Passkey-Einrichtung klar und deutlich hinzuweisen, sprich: Passkey kann Nutzername+Passwort ersetzen // MFA bleibt mit Passkey bestehen, sofern aktiviert. Ich sehe in der Kombination Passkey+MFA aber sogar ein potenzielles Sicherheitsrisiko: Nutzer, welche einen Passkey eingerichtet haben, könnten sich verleiten lassen, den 2. Faktor der MFA zu entfernen, weil es (bei anderen Diensten) unüblich ist, nach Passkey-Login noch die MFA-Abfrage zu bestätigen. (Komfort und Gewohnheit sind als Risikofaktoren nicht zu unterschätzen.) Das Nutzerverhalten sollte zumindest dahingehend beobachtet und analysiert werden. Ich habe für mich und alle Mitleser folgende Überlegungen zu Passkey + MFA KI-gestützt zusammengestellt: +++++ Die Nutzung einer MFA (Multi-Faktor-Authentifizierung) Abfrage nach einer Passkey-Authentifizierung ist in vielen Fällen sinnvoll und kann die Sicherheit erheblich erhöhen. Hier sind einige Gründe, warum dies der Fall sein könnte: 1. **Erhöhte Sicherheit**: Selbst wenn Passkeys als sicher gelten, kann ein zusätzliches MFA-Level das Risiko von unbefugtem Zugriff weiter reduzieren. Dies ist besonders wichtig bei hochsensiblen Daten oder Systemen. 2. **Schutz vor verschiedenen Bedrohungen**: Passkeys bieten Schutz gegen Phishing und andere gängige Angriffe, aber eine zusätzliche MFA-Ebene kann Schutz gegen andere Arten von Angriffen bieten, wie z.B. Angriffe auf die Passkey-Implementierung selbst oder die zugrunde liegenden Systeme. 3. **Compliance-Anforderungen**: In einigen Branchen oder Regionen können regulatorische Anforderungen eine MFA für den Zugang zu bestimmten Systemen oder Daten vorschreiben, unabhängig davon, wie sicher die primäre Authentifizierungsmethode ist. 4. **Benutzerfehler und Social Engineering**: Benutzer können aus verschiedenen Gründen unsichere Praktiken befolgen. Eine zusätzliche MFA-Ebene kann einen zusätzlichen Schutz bieten, falls der Passkey kompromittiert wird. Es ist jedoch auch wichtig zu beachten, dass die Implementierung einer zusätzlichen MFA-Ebene die Benutzererfahrung beeinträchtigen kann. Deshalb sollte eine Risikoabwägung vorgenommen werden, um zu entscheiden, ob der zusätzliche Sicherheitsgewinn die möglichen negativen Auswirkungen auf die Benutzererfahrung rechtfertigt. +++++ Demnach kann die zusätzliche MFA-Hürde bei richtiger Implementierung — zumindest theoretisch — einen zusätzlichen Schutz bieten. Ich persönlich würde bei Passkey jedoch gern auf MFA verzichten, zumindest auf bekannten/autorisierten Geräten. Und/oder FaceID ersetzt MFA, wie bei anderen Banking-Apps. Danke und LG, TC PS: Aktuell ist es bei mir so, dass wenn ich mich einmalig per Passkey in der App angemeldet habe, FaceID in den Einstellungen automatisch aktiviert ist. Das erscheint mir nicht schlüssig. Folgende Anmeldungen verwenden dann automatisch FaceID (+MFA).
