Best Practices für die Migration von Nutzern zu Passkeys mit Credential Manager

In einer Welt, in der digitale Sicherheit immer wichtiger wird, sind Passwörter zu einem notorischen Schwachpunkt geworden. Sie sind umständlich, oft unsicher und eine Quelle der Frustration für Nutzer und Entwickler. Aber es gibt gute Nachrichten: Passkeys werden immer beliebter, da sie der benutzerfreundlichste, Phishing-resistente und sichere Authentifizierungsmechanismus sind, der derzeit verfügbar ist. Android-Entwickler können mit der Credential Manager API Nutzer dazu anregen, Passkeys zu verwenden, und gleichzeitig die Unterstützung für herkömmliche Anmeldemechanismen wie Passwörter beibehalten.

In diesem Blogbeitrag werden einige Best Practices beschrieben, die Sie beachten sollten, wenn Sie Nutzer dazu anregen, auf Passkeys umzusteigen.

Authentifizierung mit Passkeys

Bevor wir uns die Empfehlungen für die Umstellung auf Passkeys ansehen, hier ein Überblick über die Grundlagen der Authentifizierung mit Passkeys:

• Passkeys:Das sind kryptografische Anmeldedaten, die Passwörter ersetzen. Passkeys sind mit Mechanismen zum Entsperren von Geräten verknüpft und die empfohlene Authentifizierungsmethode für Apps und Websites.
• Credential Manager:Eine Jetpack API, die eine einheitliche API-Schnittstelle für die Interaktion mit verschiedenen Arten der Authentifizierung bietet, darunter Passkeys, Passwörter und föderierte Anmeldemechanismen wie „Über Google anmelden“.

Welche Vorteile bieten Passkeys für Ihre Nutzer?

Nutzer profitieren von mehreren konkreten Vorteilen, wenn sie sich in Apps mit Passkeys anmelden können. Die wichtigsten Vorteile der Verwendung von Passkeys für Nutzer sind:

• Verbesserte Anmeldung:Nutzer sehen dieselbe Benutzeroberfläche, unabhängig davon, ob sie Passwörter, Passkeys oder föderierte Anmeldemechanismen wie „Über Google anmelden“ verwenden.
• Kürzere Anmeldezeit:Nutzer müssen keine Passwörter eingeben, sondern verwenden die Entsperrmechanismen ihres Smartphones, z. B. biometrische Verfahren. Das sorgt für eine reibungslose Anmeldung.
• Verbesserte Sicherheit:Bei Passkeys wird Public-Key-Kryptografie verwendet. Dadurch führen Datenpannen bei Dienstanbietern nicht zu einer Kompromittierung von mit Passkeys geschützten Konten. Außerdem basieren sie auf branchenüblichen APIs und Protokollen, um sicherzustellen, dass sie nicht Ziel von Phishing-Angriffen sind. Weitere Informationen zur Synchronisierung und Sicherheit
• Einheitliche Nutzung auf allen Geräten:Da Passkeys geräteübergreifend synchronisiert werden können, profitieren Nutzer von einer vereinfachten Authentifizierung, unabhängig davon, welches Gerät sie verwenden.
• Keine Probleme mehr mit vergessenen Passwörtern

Mehrere bekannte Apps haben uns von ihren Erfahrungen mit Passkeys berichtet. X hat festgestellt, dass sich die Anmelderaten verdoppelt haben, nachdem Passkeys in die Authentifizierungsabläufe aufgenommen wurden. KAYAK, eine Reisesuchmaschine, hat festgestellt, dass die durchschnittliche Zeit, die Nutzer für die Registrierung und Anmeldung benötigen, um 50%gesunken ist, nachdem sie Passkeys in ihre Authentifizierungsabläufe integriert haben. Zoho ist eine umfassende cloudbasierte Software-Suite, die sich auf Sicherheit und nahtlose Nutzung konzentriert. Durch die Einführung von Passkeys in der OneAuth-Android-App konnte die Anmeldezeit um das Sechsfache verkürzt werden.

Welche Vorteile habt ihr davon?

Wenn Sie Ihre App für die Verwendung von Passkeys migrieren, nutzen Sie die Credential Manager API, die der empfohlene Standard für Identität und Authentifizierung auf Android ist.

Neben Passkeys unterstützt die Credential Manager API auch herkömmliche Anmeldemechanismen, was die Entwicklung und Wartung Ihrer Authentifizierungsabläufe vereinfacht.

Für alle diese Anmeldemechanismen bietet Credential Manager eine integrierte Bottom-Sheet-Benutzeroberfläche. So sparen Sie Entwicklungsaufwand und bieten Nutzern eine einheitliche Erfahrung.

Wann sollten Sie Nutzer auffordern, Passkeys zu verwenden?

Nachdem wir die Vorteile von Passkeys erläutert haben, sehen wir uns nun an, wie Sie Ihre Nutzer dazu anregen können, zu Passkeys zu migrieren.

Im Folgenden finden Sie eine Liste von UX-Abläufen, in denen Sie Passkeys bewerben können:

• Registrierung von Nutzerkonten:Zeigen Sie Aufforderungen zum Erstellen von Passkeys an wichtigen Stellen an, z. B. wenn Ihre Nutzer ihre Konten erstellen:

Kontextbezogene Prompts bei der Kontoerstellung

• Anmelden:Wir empfehlen, Nutzer aufzufordern, Passkeys zu verwenden, nachdem sie sich mit einem Einmalpasswort, einem Passwort oder anderen Anmeldemechanismen angemeldet haben.

Passkey-Erstellung bei der Anmeldung anfordern

• Kontowiederherstellung:Die Critical User Journey (CUJ) für die Kontowiederherstellung ist eine, die Nutzern in der Vergangenheit Schwierigkeiten bereitet hat. Nutzer während der Kontowiederherstellung aufzufordern, Passkeys zu verwenden, ist ein empfohlener Ansatz. Nutzer, die Passkeys verwenden, haben bei der Kontowiederherstellung die gleichen Möglichkeiten wie bei der Anmeldung.

Vorgang zur Kontowiederherstellung

• Passwort zurücksetzen:Dies ist der perfekte Zeitpunkt, um Nutzer aufzufordern, einen Passkey zu erstellen. Nach dem Frust des Zurücksetzens eines Passworts sind Nutzer in der Regel empfänglicher für die Bequemlichkeit und Sicherheit von Passkeys.

Passkey für eine schnellere Anmeldung beim nächsten Mal erstellen

Wie sollten Sie die Umstellung auf Passkeys fördern?

Wenn Sie Nutzer dazu anregen möchten, von Passwörtern zu Passkeys zu wechseln, ist eine klare Strategie erforderlich. Hier einige empfohlene Best Practices:

• Klares Wertversprechen:Verwenden Sie einfache, nutzerorientierte Prompts, um die Vorteile von Passkeys zu erläutern. Verwenden Sie Formulierungen, die die Vorteile für die Nutzer hervorheben. Betonen Sie die folgenden Vorteile:
  • Verbesserte Sicherheitsvorteile, z. B. Schutz vor Phishing.
  • Sie müssen kein Passwort eingeben.
  • Sie können denselben Passkey auf verschiedenen Geräten und Plattformen verwenden.
  • Eine einheitliche Authentifizierung.

Passkey-Aufforderung mit klarem Wertversprechen

• Für eine nahtlose Nutzererfahrung sorgen
  :
  • Verwenden Sie die einheitliche Benutzeroberfläche von Credential Manager, um alle verfügbaren Anmeldeoptionen anzuzeigen. So kann der Nutzer die gewünschte Methode auswählen, ohne sich daran erinnern zu müssen, welche er zuletzt verwendet hat.
  • Verwenden Sie das offizielle Passkey-Symbol, um Nutzern die Verwendung von Passkeys zu erleichtern und eine einheitliche Nutzererfahrung zu schaffen.
  • Achten Sie darauf, dass Nutzer auf ihre herkömmlichen Anmeldemethoden oder eine Wiederherstellungsmethode wie Nutzername und Passwort zurückgreifen können, wenn kein Passkey verfügbar ist oder sie ein anderes Gerät verwenden.
• Nutzer über Anmeldedaten in den Einstellungen Ihrer App informieren:Sorgen Sie dafür, dass Ihre Nutzer ihre Authentifizierungsoptionen verstehen, indem Sie in den Einstellungen Ihrer App hilfreiche Informationen zu jedem Passkey anzeigen. Weitere Informationen zum Hinzufügen von Anmeldedaten-Metadaten finden Sie in der Credential Manager-Dokumentation.

Passkey-Metadaten auf dem Einstellungsbildschirm der App

• Nutzer informieren:Ergänzen Sie die Benachrichtigungen zur Einführung von Passkeys mit In-App-Ressourcen oder Links, in denen Passkeys ausführlich erklärt werden.
• Stufenweiser Rollout:Sie können Passkeys schrittweise für einen Teil Ihrer Nutzer einführen, um Feedback zu sammeln und die Nutzerfreundlichkeit vor einer breiteren Einführung zu optimieren.

Fallstudien für Entwickler

Die Erfahrungen von Entwicklern in der Praxis zeigen oft, wie kleine Designentscheidungen, z. B. wann und wo eine Passkey-Aufforderung angezeigt wird, die Akzeptanz und das Vertrauen der Nutzer erheblich beeinflussen können. Sehen wir uns an, wie Top-Apps Passkey-Aufforderungen strategisch an wichtigen Stellen in ihren Apps einblenden, um die Akzeptanz zu steigern :

Uber

Um die Einführung von Passkeys zu beschleunigen, bewirbt Uber Passkeys proaktiv in verschiedenen Nutzerprozessen und setzt Marketingstrategien ein.

Uber hat Folgendes mitgeteilt: Über 90% der Passkey-Registrierungen erfolgen durch die Förderung der Passkey-Erstellung in wichtigen Momenten in der App im Vergleich zu Onboarding- und Authentifizierungs-CUJs. Dies unterstreicht die Effektivität der proaktiven Strategie des Unternehmens.

Wichtige Erkenntnisse und Strategien aus der Implementierung:

• Passkeys anbieten, ohne die Nutzerfreundlichkeit zu beeinträchtigen:Uber hat in den Kontoeinstellungen eine neue Funktion zur Kontoüberprüfung eingeführt, um die Vorteile von Passkeys hervorzuheben. Das hat zu einer hohen Akzeptanz von Passkeys geführt.

Ablauf der Nutzerkonto-Überprüfung

• Passkeys proaktiv für Nutzer einführen:Das Team hat gelernt, nicht darauf zu warten, dass Nutzer Passkeys organisch entdecken. Eine organische Einführung wäre trotz der beobachteten Vorteile wie schnellere Anmeldungen und höhere Anmelde-Erfolgsraten für Passkey-Nutzer langsamer gewesen.
• Zusätzliche Medien zur Bewerbung von Passkeys verwenden:Uber testet auch, Passkeys über E-Mail-Kampagnen oder Banner auf dem Konto eines Nutzers zu bewerben, um die neue Anmeldemethode hervorzuheben und die nächste Anmeldung einfacher und sicherer zu gestalten.
• Wahlfreiheit der Nutzer respektieren:Da nicht alle Nutzer bereit für Passkeys sind, hat Uber in kritischen Abläufen wie Anmelde- und Registrierungsbildschirmen Backoff-Logik implementiert und bietet in einigen Kontexten Passkeys neben anderen bekannten Authentifizierungsmethoden an.

Das sagt Uber dazu:

„Bei Uber haben wir festgestellt, dass Nutzer, die Passkeys verwenden, von einer schnelleren, reibungsloseren und sichereren Anmeldung profitieren. Damit mehr Nutzer von Passkeys profitieren können, haben wir an wichtigen Stellen der Nutzererfahrung Hinweise zum Erstellen eines Passkeys hinzugefügt: in den Kontoeinstellungen, bei der Registrierung und bei der Anmeldung. Diese proaktiven Maßnahmen haben die Einführung von Passkeys deutlich beschleunigt.“

Ryan O’Laughlin, Senior Software Engineer, Uber

Economic Times

Economic Times, Teil des Times Internet-Ökosystems, nutzte eine nahtlose Nutzererfahrung als primären Anreiz für Nutzer, auf Passkeys umzusteigen.

Nach der Einführung von gezielten Erinnerungen verzeichnete Economic Times im ersten Einführungszeitraum eine Steigerung der Abschlussrate für die Erstellung von Passkeys um etwa 10%.

Wichtige Erkenntnisse und Strategien aus der Implementierung:

• Strategische Aufforderungen zur Passkey-Generierung:Anfangs forderte Economic Times die Passkey-Erstellung in mehreren Nutzerabläufen aggressiv an. Es stellte sich jedoch heraus, dass dieser Ansatz geschäftskritische Abläufe unterbrach, z. B. den Kauf von Abos oder das Freischalten von Premium-Funktionen, und zu abgebrochenen Warenkörben führte.
• Optimierter Ansatz:Economic Times hat bewusst entschieden, Aufforderungen zur Passkey-Generierung aus sensiblen Abläufen wie dem Abo-Bezahlvorgang zu entfernen, um die sofortige Ausführung von Aktionen zu priorisieren.
• Gezielte Aufforderungen:Die Passkey-Generierung wurde strategisch in Bereichen beibehalten, in denen die Nutzerabsicht, sich anzumelden oder die Authentifizierung zu verwalten, hoch ist, z. B. bei der ersten Registrierung, auf expliziten Anmeldeseiten oder in den Abschnitten zur Kontoverwaltung.
• Positives Ergebnis:Die optimierte Bereitstellung führte zu einer höheren Anzahl von Passkey-Generierungen, was auf eine starke Akzeptanz durch die Nutzer hindeutet, ohne die Nutzerfreundlichkeit in wichtigen Geschäftsabläufen zu beeinträchtigen.

Bildschirm zur Verwaltung von Passkeys

Fazit

Die Integration von Passkeys in den Credential Manager von Android ist nicht nur die Einführung einer neuen Technologie, sondern auch die Entwicklung einer grundlegend sichereren, praktischeren und angenehmeren Nutzererfahrung. Wenn Sie sich auf die intelligente Einführung von Passkeys konzentrieren, sichern Sie nicht nur Konten, sondern schaffen auch Vertrauen und machen die Authentifizierungsstrategie Ihrer Anwendung zukunftssicher.

Damit Ihre Nutzer die bestmögliche, optimierte und nahtlose Erfahrung haben, sollten Sie die UX-Richtlinien befolgen, wenn Sie die Passkey-Authentifizierung mit Credential Manager implementieren. Sehen Sie sich die Dokumentation noch heute an.

• Beispiel mit UX-Best Practices
• Nutzer mit der Credential Manager API anmelden
• API-Referenz – androidx.credentials
• Nutzerauthentifizierung mit Passkeys
• Google Sicherheitscenter – Passkeys
• Google Security Blog: Security of Passkeys in the Google Password Manager