Trotz Passkey, bleibt Anmeldung mit Passwort und SMS-Code möglich

Hey zusammen!
Eure (Vor-) Bestellungen für die neuen iPhone-Modelle sind bei uns angekommen und wir freuen uns mit euch, auf die neuen 🍏
Bitte beachtet, dass wir im Rahmen des Release der neuen Apple-Produkte auch für die Vorgängermodelle mit längeren Lieferzeiten rechnen.
Wir bitten euch um Geduld und halten euch auf dem Laufenden ❤️
1. offizieller Beitrag

    Hallo,

    ich bin über diesen recht langen Thread hierher gekommen:

    https://forum.congstar.de/thread/70519-passkeys-verwalten/

    Auch für mich war es alles andere als transparent, dass man den Passkey nur über 'Passwort vergessen' zurücksetzen kann.

    Weiter treibt mich auch das Thema 'mehr als 1 Passkey erforderlich' um.

    Vor ein paar Monaten wäre ich wohl auch genauso gestrandet wie chri-s . Über die zwischenzeitliche 'Korrektur' freue ich mich also auch nur bedingt.

    Aktuell ist mein Problem mit der Passkey-Implementierung, dass sie eben nicht den Rückgriff auf SMS mit Bestätigungscodes verhindert. Das gilt zwar für das erste Smartphone, wo das soweit zu funktionieren scheint, aber es verhindert überhaupt nicht, sich ein zweites Smartphone mit der congstar-App einzurichten und dort dann mittels Benutzername und Passwort über SMS Bestätigungscodes reinzukommen. Da kommt auch kein Angebot zur Umstellung auf Passkey. Da ich mehrere Nummern bei congstar habe, kann ich auch noch auswählen, an welche der Nummern die SMS rausgehen soll. Das kann eigentlich nicht im Sinne des Erfinders sein.

    Wie stellt man es an, den Weg über SMS mit Bestätigungscodes zu unterbinden?

    Was ist Stand der Dinge in Sachen 'mehr als 1 Passkey' für zumindest ein weiteres Device?

    Gruß,
    Kvasir

    Hallo Kvasir,

    welches Betriebssystem nutzt du denn auf deinen Smartphones?

    Grundsätzlich sollte ja der Weg über die Synchronisation der einzelnen Dienste, so wie von harob geschrieben, eine funktionierende Option sein, um von mehreren Geräten Zugriff auf den gleichen Account zu erhalten. Also ein Key für alle Geräte.

    Wenn du iOS nutzt, kannst du einen Passkey auch per Airdrop auf ein anderes Gerät senden und speichern, sofern du die Cloud-Sync für Passwörter/Passkeys nicht verwenden möchtest. Alternativ auch in Gruppen Bewegen, wenn du da beuspielsweise eine Familie eingerichtet hast, die gleichermaßen Zugriff haben soll. (Bei mir gehts auf jeden Fall)

    Ob und wie fern das bei Android geht, dazu müsste jemand anderes mit mehr Erfahurng in dem Bereich Stellung nehmen.

    Gruß, zedtea

    Hallo harob und zedtea,

    danke für eure beiden Antworten mit Anregungen.

    Nun, es ist ein Android und ein iOS. Das mit dem Transfer des Passkey dürfte daher scheitern, da der Passkey zwar iOS-seitig exportiert aber ziemich sicher auf Android-Seite nicht wieder importiert werden kann. Wie so viele dieser Dinge, die nicht systemübergreifend möglich sind, weil sie sehr integriert im jeweiligen Biotop sind. Außerdem wäre der gleiche Passkey auf zwei Geräten auch nicht meine Vorstellung von Redundanz. Bei z. B. Geräteverlust und Vorgehen über 'Passwort vergessen' bin ich gleich beide Devices los.

    Auf das in meinen Augen größere Problem seid ihr gar nicht eingegangen. Wie verhindert man, dass doch wieder SMS mit Bestätigungscodes versendet werden? Das ist der Punkt. Eigentlich dachte ich, Passkey und damit sind SMS mit Bestätigungscodes passé. Leider ist dem nicht so.

    Ich habe SIM Swapping im Hinterkopf und möchte mich dagegen besser schützen. Zumindest möglichen Schaden weiter begrenzen. Es soll jedenfalls nicht mehr möglich sein, einen Account wg. des Rückgriffs auf die Mobilnummer kapern zu können, wenn jemand wie auch immer es geschafft hat, sich eine SIM mit meiner Mobilnummer zu organisieren. Betrifft so gesehen auch nicht nur 'meincongstar'.

    By the way, bietet congstar eigentlich eine Portierungssperre?

    Gruß,
    Kvasir

    Zitat von Kvasir

    Nun, es ist ein Android und ein iOS. Das mit dem Transfer des Passkey dürfte daher scheitern, da der Passkey zwar iOS-seitig exportiert aber ziemich sicher auf Android-Seite nicht wieder importiert werden kann. Wie so viele dieser Dinge, die nicht systemübergreifend möglich sind, weil sie sehr integriert im jeweiligen Biotop sind.

    Ich machs über Bitwarden - damit kann ichs sowohl am iPhone als auch am Windows-PC nutzen. Mit Android sollte es mit Bitwarden auch klappen.

    • Offizieller Beitrag

    Hallo Kvasir ,

    es gibt leider keine Möglichkeit, den Login auf einem Zweitgerät per SMS-Sicherheitscode an eine deiner Rufnummern komplett auszuschließen. Daher ist es grundsätzlich wichtig, ein sicheres Passwort zu einzurichten, auch wenn du auf deinem Hauptgerät einen Passkey für den Login verwendest. Somit wird erschwert, dass überhaupt erst ein SMS-Code an deine Rufnummern versandt werden kann.

    Was genau meinst du mit einer Portierungssperre?

    Gruß Christian

    Hallo Christian,

    Zitat von Christian

    Was genau meinst du mit einer Portierungssperre?

    Eine Sperre, dass meine Rufnummer nicht durch z. B. widrige Versuche einer Rufnummernmitnahme zu einem anderen Anbieter portiert werden kann.

    Aber ich sehe schon bei weiterer Recherche, dass so etwas in DE nicht vorgesehen ist und hierzulande andere Mechanismen greifen sollen.

    Ich lese zu dem Thema aber u. a. auch folgende Empfehlungen:

    • starkes Passwort & 2FA ... ersteres ja, letzteres, na ja, darum geht es mir hier; sieht für mich so aus, dass Passkey eben nicht wirklich 2FA ohne Fallback auf SMS mit Bestätigungscodes abbildet.
    • keine SMS für sensible Konten ... eben und das gerne explizit mit nur noch Passkey und um im Fall eines Falles nicht ausgeschlossen zu sein, gerne auch ein zweiter Passkey, den man auf einem zweiten Device vorhält. Notfall-Codes als Reserve, wie hier im Forum, wären auch ok.
    • Kunden-PIN ... habe ich natürlich gesetzt

    Gruß,
    Kvasir

    • Offizieller Beitrag
    Zitat von Kvasir

    Eine Sperre, dass meine Rufnummer nicht durch z. B. widrige Versuche einer Rufnummernmitnahme zu einem anderen Anbieter portiert werden kann.

    Eine solche Sperre gibt es bei uns leider nicht. Wer Zugriff auf deine Kundendaten hat, kann deine Rufnummer für eine Mitnahme freigeben lassen und anschließend bei einem anderen Anbieter eine Mitnahme beauftragen. Tut mir leid, dass ich dir nichts anderes sagen kann.

    Gruß Christian

    Zitat von Christian

    Wer Zugriff auf deine Kundendaten hat, kann deine Rufnummer für eine Mitnahme freigeben lassen und anschließend bei einem anderen Anbieter eine Mitnahme beauftragen.

    Meines Erachtens sollte das auch nicht so ohne weiteres möglich sein.
    Es müsste ja entweder auch beim neuen Anbieter ein Vertrag unter gleichem Namen angelegt werden, damit das durchgeht (auch dort muss man sich in irgendeiner Form legitimieren mittels Ausweis) oder aber die Rufnummer auf einen neuen Inhaber überschrieben werden, wobei der ursprüngliche Inhaber dann auch noch in irgendeiner Form das ganze autorisieren muss.

    Mir ist auch irgendwie noch nie aufgefallen, dass die Überführung der Rufnummer im Portierungsprozess gleichzeitig von statten gehen kann. Ich habe meine Rufnummer in den letzten 15-20 Jahren häufiger portiert und eigentlich wird immer darauf gesetzt, dass die Daten des neuen Vertragsinhabers keinerlei Abweichung haben, sonst schlägt die Portierung fehl.

    Vielleicht übersehe ich auch etwas und liege falsch aber grundsätzlich sollte dieses Szenario doch eher schwierig umzusetzen zu sein.

    Gruß, zedtea

    • Offizieller Beitrag

    Ich denke, dass Christian bei "Kundendaten" die Legitimations-PIN mit eingeschlossen hat, sprich, wer sich bei uns legitimieren kann, der kann auch die Rufnummer portieren lassen. Deswegen ist es wichtig die Legitimations-PIN geheim zu halten, genauso wie natürlich das Passwort für die App.

    Gruß Linda

    Zitat von harob

    Als "Sicherheitsmerkmal" kann der Support aber nur auf das Kundenkonto zugreifen, wenn entweder eine Ausweiskopie vorgelegt wird oder die Legi-PIN genannt wird.

    Zitat von zedtea

    Es müsste ja entweder auch beim neuen Anbieter ein Vertrag unter gleichem Namen angelegt werden, damit das durchgeht (auch dort muss man sich in irgendeiner Form legitimieren mittels Ausweis) oder aber die Rufnummer auf einen neuen Inhaber überschrieben werden, wobei der ursprüngliche Inhaber dann auch noch in irgendeiner Form das ganze autorisieren muss.

    Zitat von Linda

    Deswegen ist es wichtig die Legitimations-PIN geheim zu halten, genauso wie natürlich das Passwort für die App.

    Alles richtig, was Ihr schreibt. Die Zeiten ändern sich aber. Vor 10 Jahren gab es einige der Rahmenbedingungen noch nicht. Die Legi-PIN gibt's z. B. wohl ab ca. 2016 und Pflicht wurde Sie erst 2022. Die Methoden der Kriminellen werden gleichzeitig immer ausgefuchster und Datenleaks kommen alle Tage immer zahlreicher hinzu. Insofern ist es auch nicht mehr völlig abwegig, dass die andere Seite an eine Ausweiskopie kommt. Überlegt mal, bei welchen Gelegenheiten ihr oder jemand schon euren Perso kopiert oder gefilmt hat. Etwa aber nicht nur für Legitimierung bei einer Kontoeröffnung. Oder bei Behörden. Oder ganz frisch Reisebuchungsportale. Alle diese Bereiche sind dieses Jahr schon von Datenleaks betroffen gewesen. Der ursprüngliche Inhaber wird das im Fall eines Identitätsdiebstahls vielleicht gar nicht mehr gewahr werden, wenn so etwas im Gange ist. Selbstverständlich hüte ich die Legi-PIN und das Passwort sorgfältigst. Einfach so kommt da keiner dran. Diese Informationen kommen jedoch nicht ausschließlich auf Nutzerseite abhanden, sondern auch auf Anbieterseite. Als Konsequenz erleben wir den immer heftigeren Zwang zur obligatorischen Umstellung auf 2FA. Es geht doch letztlich um die nicht-einfach-so Wege. Die dicht zu bekommen. Und an der Stelle bin ich dann wieder bei Passkey und der Frage, warum trotz Entscheidung für Passkey immer noch Passwort + SMS Bestätigungscode möglich bleibt? Passkey ist bei congstar relativ neu und darf sicher auch als eine Reaktion von congstar auf die wachsenden Cyberrisiken gesehen werden. Warum nicht konsequent?

    Also, danke für eure Beiträge.

    Ich möchte mit einem Vote für eine Option 'Passkey only' und 'mehr als ein Passkey' hier abschließen.

    Gruß,
    Kvasir

    Kvasir bei mir kommt die 2FA Abfrage wenn ich mich mit Passkey in der congstar App anmelde nicht. Ich verwende einen Passkey und bin direkt angemeldet. Nur wenn ich Passwort verwende kommt die 2FA Abfrage per SMS Code. Ich verwende ein iPhone und habe den Passkey in Apple Passwörter App gespeichert.

    • Offizieller Beitrag

    Hallo Kvasir,

    Passwort + SMS Bestätigungscode ist ja schon ziemlich sicher 🙂

    Wenn du dein Passkey aus Versehen gelöscht hast, oder das Gerät, auf dem der Passkey war, kaputtgegangen ist kannst du dich so noch einloggen.

    Aber ich nehme deinen Wunsch auf 👍

    Ich hab den Titel etwas vereinfacht.

    Gruß Ben

  • Ben 16. Oktober 2026 um 15:48

    Hat den Titel des Themas von „Umstellung auf Passkey, aber wie verhindert man den Fallback auf trotzdem weiter Bestätigungscodes per SMS?“ zu „Trotz Passkey, bleibt Anmeldung mit Passwort und SMS-Code möglich“ geändert.

    Hey Flosse08 ,

    Es ging darum, dass mit einem Zweitgerät (unabhängig ob iOS/Android) kein zusätzlicher Passkey eingerichtet werden kann. Versucht man sich mittels Zweitgerät anzumelden, wird die Option auf Passkey umzustellen nicht mehr angeboten - es läft dann immer per Passwort und 2FA-SMS.

    Du kannst natürlich den einen Passkey synchronisieren (iCloud) oder auf ein anderes Gerät senden, aber das wäre dann ein Passkey auf mehreren Geräten und nicht jeweils ein individueller. Das ist hier aber nicht gewollt.

    Gruß, zedtea

    Für mich ist vor allem der SMS Fallback das Problem. Wenn ich Passkeys einrichte, möchte ich mich darauf verlassen können, dass die Anmeldung nicht einfach über Passwort und SMS auf einem zweiten Gerät weiter möglich ist. Mehrere Passkeys für unterschiedliche Geräte wären für mich ebenfalls wichtig, damit ich bei einem Handywechsel nicht wieder vor demselben Problem stehe. Ich hoffe, congstar zieht da bald nach und macht die Möglichkeiten transparenter.

    Mehrere Passkeys sollten möglich sein. Dazu aus der FAQ:

    Zitat

    Ja, du kannst auf jedem Gerät einen separaten Passkey einrichten, falls du deinen Passkey nicht Geräte-übergreifend teilen möchtest oder aufgrund unterschiedlicher Passwort-Manager nicht teilen kannst.

    Wichtig unter Android ist Chrome als Standardbrowser zu verwenden und eine Gerätesoerre eingerichtet zu haben. Zitat aus der FAQ:

    Zitat

    Das Login mit einem Passkeys ist für alle Bestandskund*innen möglich. Du kannst sie aber nur auf Geräten erstellen, auf denen du eine Bildschirmsperre eingerichtet hast – in Chrome (Android oder Apple) oder Safari (nur Apple).

    Hallo Flosse08,

    Zitat von Flosse08

    Mehrere Passkeys sollten möglich sein. Dazu aus der FAQ:

    Ja, steht so in der Doku.

    Aus dem eingangs von mir zitierten Thread Passkeys verwalten geht aber hervor, dass die FAQ an der Stelle veraltet ist und eigentlich hätte aktualisiert werden sollen.

    Vor ca. März diesen Jahres, wenn ich mich da richtig an den langen Thread erinnere, ging es. Da kamen mehrere unterschiedliche Passkeys zustande. Dann wurde das dort adressierte Problem gefixt und seit dem gibt es nur noch einen Passkey.

    Zitat von Flosse08

    Wichtig unter Android ist Chrome als Standardbrowser zu verwenden und eine Gerätesoerre eingerichtet zu haben.

    Das habe ich gelesen und auch so umgesetzt, aber trotzdem bekomme ich auf meinem Androiden keine Offerte mehr zum Wechsel auf Passkey. Bleibt da halt bei Passwort + SMS Bestätigungscode.

    Gruß,
    Kvasir