Danke @Be0
In den meisten aktuellen Implementierungen werden Passkeys noch nicht auf diese Weise eingesetzt. Sie werden als unabhängig von der 2FA behandelt, siehe diesen Bericht über Googles Ansatz. Ich denke jedoch, dass sich die Branche hier langsam anpassen wird.
Damit dies wie erwartet funktioniert, sind zwei Änderungen erforderlich:
Schritt 1: Zulassen der Verwendung von Passkeys als 2FA (derzeit müssen, wie Sie bemerkt haben, Sicherheitsschlüssel unabhängig registriert werden)
Schritt 2: Erzwingen der 2FA bei der Passwortanmeldung, wenn der Benutzer einen Passkey hinzugefügt hat
Schritt 1 ist für mich sinnvoll und nicht störend. Schritt 2 ist ebenfalls sinnvoll, aber etwas störend, wenn der Benutzer den Passkey aus seinem Browser löscht (oder ihn auf einem bestimmten Gerät nicht hat), wird der Zugriff blockiert.
Ich denke jedoch, es ist sinnvoll, dies zu prüfen.