Singpass-Passkeys erklärt: So soll der neue iPhone-Login Phishing stoppen

Bei einem Passkey werden während der Authentifizierung weder Singpass-Passwort noch SMS-Einmalcode eingegeben oder übertragen. Der Nutzer bestätigt lediglich lokal, dass er das registrierte Gerät kontrolliert – meist per Gesichtserkennung, Fingerabdruck oder Gerätecode. Biometrische Daten und der private Schlüssel werden nicht an die Website übermittelt. Singpass erhält stattdessen eine kryptografische Antwort, die überprüft, aber nicht wie ein Passwort wiederverwendet werden kann.

So funktioniert das Schlüsselpaar

Bei der Registrierung erzeugt das iPhone ein individuelles Paar aus öffentlichem und privatem Schlüssel:

• Der private Schlüssel bleibt auf dem registrierten Gerät und erstellt eine digitale Signatur.
• Der zugehörige öffentliche Schlüssel wird bei Singpass hinterlegt und dient zur Prüfung dieser Signatur.
• Beim Login sendet Singpass eine neue, einmalige Prüfaufgabe – eine sogenannte Challenge.
• Das Smartphone signiert diese Challenge erst, nachdem der Nutzer die Aktion mit Face ID, Touch ID oder dem Singpass-App-Code freigegeben hat.
• Singpass prüft die Antwort mit dem gespeicherten öffentlichen Schlüssel.

Technisch handelt es sich dabei genauer um eine Authentifizierung mit Public-Key-Kryptografie als um einen bloßen „Austausch von Verschlüsselungsschlüsseln“. Der private Schlüssel wird nie an Singpass übertragen. Mit dem öffentlichen Schlüssel allein kann sich niemand als der Nutzer ausgeben.

Passkeys nach dem FIDO-Modell sind außerdem an die Ursprungsadresse – also die echte Domain des Dienstes – gebunden. Eine täuschend echt kopierte Singpass-Seite kann deshalb keine für Singpass gültige Antwort erhalten.

Das macht gestohlene Login-Seiten für Angreifer deutlich weniger wertvoll: Es gibt kein Passwort, keinen Einmalcode und keine QR-Bestätigung, die eine gefälschte Website sammeln und später wiederverwenden könnte.

Wer kann Singpass-Passkeys derzeit nutzen?

Der Start ist bewusst stufenweise angelegt:

• iPhone und iOS: seit dem 1. Juli 2026 in mobilen Browsern verfügbar.
• Android: für eine spätere Phase vorgesehen.
• Laptops und Desktop-PCs: Browser-Logins am Computer sind zum Start ebenfalls noch nicht enthalten.

Ein iPhone allein garantiert daher nicht, dass die Passkey-Option bei jedem Singpass-Dienst sofort erscheint. Der jeweilige Dienst und das verwendete Gerät müssen in die laufende Einführung einbezogen sein.

So wird ein Passkey eingerichtet

Für die erste iPhone-Phase läuft die Registrierung über die Singpass-App:

1. Die Singpass-App auf die neueste Version aktualisieren.
2. Die App öffnen und auf dem Startbildschirm das Passkey-Banner auswählen.
3. Den Anweisungen auf dem Bildschirm folgen.

Bei der späteren Anmeldung bestätigt der Nutzer die Verwendung des Passkeys lokal – je nach Gerät mit Face ID, Touch ID beziehungsweise Fingerabdruck oder dem sechsstelligen Singpass-App-Code. Ein Singpass-Passwort muss dabei nicht in die teilnehmende Website eingegeben werden.

Warum Bluetooth bei der Anmeldung über ein anderes Gerät wichtig ist

Eine Anmeldung über ein zweites Gerät, etwa an einem Portal auf einem Laptop, bringt ein zusätzliches Risiko mit sich: Ein Betrüger könnte versuchen, das Opfer dazu zu bringen, eine Anmeldung auf einem von ihm kontrollierten Computer freizugeben.

Für solche geräteübergreifenden Anmeldungen kann Singpass eine Bluetooth-Prüfung über kurze Distanz auslösen. Sie soll bestätigen, dass sich das Smartphone mit dem registrierten Passkey physisch in der Nähe des Geräts befindet, auf dem der Login gestartet wurde.

Diese Abstandskontrolle ersetzt nicht die Prüfung des kryptografischen Schlüsselpaars. Sie liefert vielmehr einen zusätzlichen Hinweis darauf, dass das Telefon tatsächlich in der Nähe ist. Für einen Betrüger wird es dadurch schwieriger, das Opfer aus der Ferne mit einem QR-Code oder einer Freigabe durch einen fremden Login zu lotsen.

Warum Passwort, QR-Code und andere Methoden bleiben

Passkeys sind in der Beta eine zusätzliche Option und noch kein vollständiger Ersatz für alle bisherigen Anmeldewege. Bestehende Verfahren bleiben notwendig für Menschen ohne geeignetes iPhone, für Nutzer ohne Registrierung sowie für Dienste und Geräte, die noch nicht in die gestaffelte Einführung aufgenommen wurden.

Diese älteren Methoden schaffen weiterhin Reichweite und Zugangsmöglichkeiten. Ihre Sicherheit hängt allerdings stärker vom Verhalten der Nutzer ab: Wer sich unter Druck setzen lässt, kann ein Passwort oder einen SMS-Code weitergeben, einen betrügerischen QR-Code scannen oder eine unerwartete Anmeldung bestätigen. Die Polizei in Singapur warnt deshalb weiterhin davor, Singpass-Passwörter oder 2FA-Daten an unbekannte Personen zu übermitteln.

Passkeys reduzieren vor allem die Menge an Zugangsdaten, die sich per Phishing abgreifen lässt. Sie verhindern nicht jede Betrugsmasche. Kriminelle können sich weiterhin als Behörden oder Unternehmen ausgeben, persönliche Informationen erfragen oder versuchen, Wiederherstellungs- und Kontenübernahmeprozesse auszunutzen.

Ein offener Standard hinter der Funktion

Die technische Architektur folgt dem Public-Key- und „Origin-Binding“-Modell von FIDO und WebAuthn. FIDO2 – kurz für „Fast IDentity Online 2“ – ist ein offener Authentifizierungsstandard. Er soll phishingresistente kryptografische Zugangsdaten ermöglichen, statt auf proprietäre und wiederverwendbare Geheimnisse zu setzen.

Der Standard ist auf Interoperabilität im weiteren Authentifizierungs-Ökosystem ausgelegt. Die FIDO Alliance beschreibt Passkeys als Zugangsdaten, die an ein Konto bei einer Website oder App gebunden sind und je nach Umsetzung auf Smartphone, Computer oder Hardware-Sicherheitsschlüssel genutzt werden können.

Für Singpass liegt der praktische Sicherheitsgewinn vor allem in der Domainbindung: Der Authenticator soll nur für den legitimen Dienst antworten – nicht für eine ähnlich aussehende Phishing-Domain.

Der Hintergrund: Phishing bleibt ein bedeutendes Problem

Singapur meldete für 2025 insgesamt 37.308 Betrugsfälle und Verluste von rund 913,1 Millionen Singapur-Dollar. Diese Zahlen beziehen sich auf Betrug insgesamt und nicht ausschließlich auf Phishing.

Die offiziellen Jahresangaben führen außerdem 6.264 Phishing-Fälle und 39,9 Millionen Singapur-Dollar an Phishing-Verlusten auf. Phishing war damit ein relevanter Teil des größeren Betrugsproblems. Aus den Zahlen lässt sich jedoch nicht ableiten, dass sämtliche Schäden durch gestohlene Singpass-Zugangsdaten entstanden sind.

Die Maßnahme ist daher gezielt: Passkeys sollen den entscheidenden Schritt beim Phishing – das Abgreifen und spätere Verwenden von Zugangsdaten – deutlich weniger erfolgversprechend machen. Nutzer müssen trotzdem weiterhin die Website-Adresse prüfen, unerwartete Login-Anfragen ablehnen und ihre Singpass-Daten niemals weitergeben.