Ausgangslage
Ich habe kürzlich einen Passkey für mein PayPal-Konto eingerichtet. Dabei habe ich mich näher mit den verschiedenen Login-Methoden meines Kontos beschäftigt und aus Neugier auch den klassischen Passwort-Login auf einem Gerät getestet, das ich für PayPal noch nie zuvor genutzt hatte.
Beobachtung
Dabei ist mir etwas aufgefallen, das mit dem Passkey selbst eigentlich nichts zu tun hat, sondern ein unabhängiges Verhalten meines Kontos betrifft: Beim Passwort-Login wurde ich nicht nach der zweistufigen Verifizierung gefragt, obwohl diese aktiviert ist. Getestet mit einem Browser ohne jede Historie bei PayPal – kein bekanntes Gerät, kein Cookie. Trotzdem kein MFA-Prompt.
Wichtig für die Einordnung: Ich habe keinen Beleg dafür, dass dieses Verhalten tatsächlich mit dem Passkey-Setup zusammenhängt. Es ist wahrscheinlicher, dass es sich um zwei unabhängige Dinge handelt, die nur zeitlich zusammenfielen – ich habe mich eben erst durch die Passkey-Einrichtung näher mit den Login-Mechanismen befasst und dabei zum ersten Mal bewusst darauf geachtet.
Untersuchung
Unter Sicherheit → Zweistufige Verifizierung → Geräte und Browser, denen Sie vertrauen liess sich die Trust-Liste einsehen. Das getestete Gerät stand dort nicht, nur zwei andere, bereits bekannte Geräte. Die Erklärung über ein „bekanntes Gerät“ schied damit für mich aus.
Ein Blick auf mein eigenes Heimnetz lieferte einen weiteren Anhaltspunkt: Das neue Gerät und eines meiner bekannten Geräte hingen beide im selben Netzwerk und teilten sich dieselbe öffentliche WAN-IP. Das legte nahe, dass nicht nur das Gerät, sondern auch das Netzwerk eine Rolle spielt.
Um das zu klären, habe ich den PayPal-Chat-Assistenten dazu befragt. Zur Einordnung: Dabei handelt es sich um einen KI-basierten Assistenten, keine Aussage eines menschlichen Support-Mitarbeiters – die Antwort kann also grundsätzlich fehlerhaft sein und ist nicht als offizielle, rechtsverbindliche Stellungnahme von PayPal zu verstehen. Inhaltlich deckte sich die Antwort aber mit meiner Vermutung: PayPal bewertet bei jedem Login eine Reihe von Faktoren im Rahmen einer dynamischen, kontinuierlich laufenden Risikoanalyse, darunter Gerät, Browser, IP-Adresse, Netzwerk, Standort und bisheriges Nutzungsverhalten. Stuft das System einen Login als risikoarm ein, kann die zweistufige Verifizierung übersprungen werden, auch wenn sie im Konto grundsätzlich aktiviert ist. Eine Einstellung, um das ausnahmslos zu erzwingen, gebe es laut dieser Auskunft aktuell nicht.
Dieser Mechanismus scheint unabhängig vom Passkey zu funktionieren und dürfte schon vor der Passkey-Einrichtung genauso bestanden haben – ich hatte ihn nur vorher nie bewusst getestet.
Warum die IP-Adresse als Vertrauens-Signal fragwürdig sein könnte
Ein Punkt, der mir bei alledem noch aufgefallen ist: Eine öffentliche IP-Adresse als „vertrautes Netzwerk“ einzustufen, ist als Sicherheitsmerkmal grundsätzlich schwächer, als es auf den ersten Blick wirkt. Viele Internetanbieter – gerade bei Mobilfunk-Anschlüssen, aber teilweise auch bei Festnetz – vergeben wegen der IPv4-Knappheit keine exklusive öffentliche IP mehr pro Haushalt, sondern mehrere Kunden teilen sich dieselbe Adresse über Carrier-Grade NAT (CGNAT). Ausserdem wechseln dynamische IPs bei vielen Providern periodisch, etwa durch eine erzwungene Trennung alle 24 Stunden.
Beides würde bedeuten: Eine IP-Adresse gehört weder zwingend exklusiv einer Person, noch bleibt sie ihr dauerhaft zugeordnet. Falls ein Risiko-System „gleiche IP“ tatsächlich als starkes Vertrauens-Signal wertet, könnte das im Ergebnis auch fremde, unbeteiligte Personen begünstigen, die zufällig dieselbe (CGNAT-)Adresse zugewiesen bekommen, oder ein zuvor als sicher eingestuftes Login-Muster einer inzwischen ganz anderen Person zugutekommen. Ob und wie stark das bei PayPal konkret eine Rolle spielt, kann ich nicht beurteilen, aber es scheint mir ein Aspekt zu sein, der bei der Bewertung von netzwerkbasiertem Risk-Scoring generell mitgedacht werden sollte.
Fazit
Netzwerk- und kontextbasiertes Risk-Scoring als eines von mehreren Signalen ist grundsätzlich nachvollziehbar – solche Mechanismen reduzieren unnötige Reibung, ohne komplett auf Kontext zu verzichten. Laut Auskunft des PayPal-Assistenten ist genau das der Grund gewesen, warum ein mir unbekanntes Gerät ohne zweiten Faktor durchkam – unabhängig davon, ob und welchen Passkey man eingerichtet hat.
Angesichts der Fragwürdigkeit der IP-Adresse als exklusives, dauerhaftes Merkmal wäre mein Wunsch für die Zukunft eine optionale, strengere Einstellung, mit der man MFA unabhängig von Netzwerk oder Standort für jeden Passwort-Login erzwingen kann, für alle, die Wert auf maximale Konsistenz legen.
Bis es eine solche Option gibt, halte ich es für sinnvoll, die eigene Trust-Liste gelegentlich zu prüfen und den Login-Flow auf neuen Geräten bewusst zu testen, statt sich blind auf die Toggle-Anzeige in den Sicherheitseinstellungen zu verlassen.
Quellen:
- PayPal: Passkey-Login (offizielle Hilfe)
- PayPal: Was ist die zweistufige Verifizierung? (offizielle Hilfe)
- Auskunft des PayPal-Chat-Assistenten (KI-basiert, nicht als offizielle Stellungnahme zu verstehen)
