Passkeys erklärt: Chancen, Grenzen und praktische Nutzung im digitalen Alltag

Passkeys ersetzen das eingegebene Passwort durch ein kryptografisches Schlüsselpaar. Die Anmeldung wird auf einem bereits entsperrten Gerät bestätigt: je nach Ausstattung mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Das vereinfacht den Zugang und erschwert Phishing, weil kein wiederverwendbares Geheimnis an eine Website übertragen wird.

Die Technik gilt dennoch nicht als sorgenfreier Generalschlüssel. Entscheidend sind die konkrete Umsetzung, der Schutz des Geräte- und Plattformkontos sowie ein belastbarer Wiederherstellungsweg. Der Übergang bleibt zudem uneinheitlich: Manche Dienste arbeiten vollständig passwortlos, andere behalten das Passwort oder einen schwächeren Rücksetzprozess im Hintergrund.

Was ein Passkey tatsächlich ist

Ein Passkey ist kein besonders langes Passwort und auch kein Einmalcode. Technisch handelt es sich um einen digitalen Berechtigungsnachweis auf Basis asymmetrischer Kryptografie. Bei der Einrichtung erzeugt das Gerät oder der gewählte Passkey-Anbieter zwei mathematisch verbundene Schlüssel.

Der öffentliche Schlüssel wird beim jeweiligen Online-Dienst hinterlegt. Er muss nicht geheim bleiben. Der private Schlüssel ist für die spätere Anmeldung entscheidend und wird nicht an den Dienst übermittelt. Er befindet sich auf einem Gerät, auf einem physischen Sicherheitsschlüssel oder in einem geschützten Passkey-Speicher, der ihn verschlüsselt zwischen berechtigten Geräten synchronisieren kann.

Jeder Passkey gehört zu einem bestimmten Konto und einem bestimmten Dienst. Anders als häufig wiederverwendete Passwörter ist er zufällig erzeugt und an die echte Webadresse gebunden. Ein für einen E-Mail-Dienst angelegter Passkey kann deshalb weder bei einem Onlineshop noch auf einer täuschend ähnlichen Phishing-Seite eingesetzt werden.

Die technischen Grundlagen bilden FIDO2 und der Webstandard WebAuthn. Der Browser vermittelt dabei zwischen Online-Dienst und sogenanntem Authenticator. Dieser Authenticator kann im Smartphone oder Computer integriert sein. Auch ein separater Sicherheitsschlüssel mit USB, NFC oder einer anderen unterstützten Verbindung kommt infrage.

So läuft die Anmeldung ab

Beim Login sendet der Online-Dienst eine einmalige Zufallsaufgabe, die in der Fachsprache Challenge heisst. Das Gerät prüft, ob der Passkey für die aufgerufene Website bestimmt ist. Nach der lokalen Freigabe signiert der private Schlüssel die Aufgabe. Der Server kontrolliert die Antwort mit dem dort gespeicherten öffentlichen Schlüssel.

Der private Schlüssel verlässt diesen geschützten Ablauf nicht in Richtung des Online-Dienstes. Abgefangenes Datenmaterial lässt sich auch nicht einfach für eine spätere Anmeldung wiederverwenden, weil jede Challenge neu erzeugt wird. Der Server erhält lediglich den kryptografischen Nachweis, dass der passende private Schlüssel eingesetzt wurde.

Warum Passkeys Phishing wirksam ausbremsen

Bei einem klassischen Phishing-Angriff führt ein Link zu einer nachgebauten Anmeldeseite. Ein dort eingetipptes Passwort kann unmittelbar an Kriminelle gelangen. Selbst Einmalcodes lassen sich bei ausgefeilten Angriffen in Echtzeit abfangen und an den echten Dienst weiterreichen.

Ein Passkey verhält sich anders. Browser und Authenticator beziehen die tatsächliche Herkunft der Website in den Vorgang ein. Stimmt die Domain nicht mit dem registrierten Dienst überein, erzeugt der Passkey keine dort verwertbare Signatur. Die Person muss eine gefälschte Adresse nicht allein anhand kleiner Schreibunterschiede erkennen.

Das schützt ebenfalls vor Credential Stuffing. Bei dieser Angriffsmethode werden gestohlene Zugangsdaten automatisiert bei vielen weiteren Diensten ausprobiert. Passkeys sind für jedes Konto und jeden Dienst einzigartig. Ein erfolgreicher Angriff auf einen Anbieter liefert deshalb keinen Schlüssel, der anderswo eingesetzt werden könnte.

Absolute Sicherheit entsteht daraus nicht. Bleibt parallel ein Passwort aktiv, kann dieses weiterhin angegriffen werden. Dasselbe gilt für schwache Verfahren zur Kontowiederherstellung, manipulierbare Support-Prozesse oder ein bereits entsperrtes und kompromittiertes Endgerät. Passkeys schliessen einen grossen Angriffsweg, ersetzen aber keine sorgfältige Absicherung des gesamten Kontos.

Fingerabdruck und Gesicht bleiben auf dem Gerät

Die sichtbare Freigabe führt zu einem verbreiteten Missverständnis: Der Fingerabdruck oder das Gesichtsbild wird nicht an den Onlineshop, die Cloud oder den E-Mail-Anbieter geschickt. Die biometrische Prüfung findet lokal im Gerät statt. Der Online-Dienst erhält nur die Bestätigung, dass der Passkey freigegeben und die Challenge korrekt signiert wurde.

Biometrie ist zudem keine zwingende Voraussetzung. Ein Geräte-PIN kann denselben Freigabezweck erfüllen. Dieser PIN gehört zum Gerät und ist nicht mit einem Passwort für die Website gleichzusetzen. Seine Qualität und der Schutz gegen zu viele Fehlversuche hängen vom Betriebssystem, vom Gerät und von der konkreten Konfiguration ab.

Damit verschiebt sich ein Teil der Verantwortung auf den Endgeräteschutz. Eine kurze oder leicht beobachtbare Geräte-PIN schwächt den praktischen Schutz. Wichtig bleiben eine automatische Bildschirmsperre, aktuelle Software, eine aktivierte Geräteverschlüsselung sowie Funktionen zum Sperren oder Löschen eines verlorenen Geräts.

Synchronisierte und gerätegebundene Passkeys

Passkeys gibt es in zwei grundlegenden Formen. Synchronisierte Passkeys werden durch einen geschützten Anbieter wie den integrierten Zugangsdaten-Speicher eines Betriebssystems oder einen kompatiblen Passwortmanager auf mehreren berechtigten Geräten verfügbar gemacht. Das erleichtert den Wechsel auf ein neues Smartphone und verhindert, dass der Verlust eines einzelnen Geräts automatisch den Zugang beendet.

Gerätegebundene Passkeys bleiben dagegen auf einem bestimmten Gerät oder einem physischen Sicherheitsschlüssel. Sie bieten eine klarere Bindung an die Hardware und können für Unternehmen oder besonders sensible Zugänge sinnvoll sein. Dafür müssen Ersatz, Zweitschlüssel und Wiederherstellung sorgfältiger organisiert werden.

Bei einer Anmeldung auf einem fremden Computer kann häufig das eigene Smartphone verwendet werden. Ein QR-Code verbindet beide Geräte für diesen Vorgang. Die technische Prüfung der räumlichen Nähe kann Bluetooth einbeziehen; die eigentliche Sicherheit beruht zusätzlich auf kryptografisch geschützten Protokollen. Auf dem fremden Computer sollte dabei kein neuer Passkey gespeichert werden.

Die Wahl des Passkey-Anbieters verdient Aufmerksamkeit. Synchronisierung schafft Komfort, bündelt aber viele digitale Zugänge in einem zentralen Konto. Dieses Plattform- oder Passwortmanager-Konto benötigt deshalb einen starken Schutz, eine verlässliche Wiederherstellung und aktuelle Kontaktangaben. Auch der Wechsel zwischen Ökosystemen sollte vor einer umfassenden Umstellung geprüft werden.

Geräteverlust und Kontowiederherstellung

Ein verlorenes Smartphone bedeutet bei synchronisierten Passkeys normalerweise nicht, dass jeder Zugang verloren ist. Ein bereits autorisiertes Zweitgerät oder die geschützte Wiederherstellung des Passkey-Anbieters kann die Schlüssel auf einem neuen Gerät verfügbar machen. Die genauen Abläufe unterscheiden sich jedoch deutlich.

Problematisch wird es, wenn sämtliche Geräte verloren gehen, das Plattformkonto nicht wiederhergestellt werden kann oder ein Passkey ausschliesslich an einen einzelnen Sicherheitsschlüssel gebunden war. Vor dem Entfernen bisheriger Anmeldewege sollte deshalb feststehen, wie der betreffende Dienst einen solchen Fall behandelt.

• Für wichtige Konten mindestens einen unabhängigen Wiederherstellungsweg einrichten.
• Falls der Dienst es erlaubt, einen zweiten Passkey auf einem weiteren Gerät oder Sicherheitsschlüssel hinterlegen.
• Wiederherstellungscodes offline und vor unbefugtem Zugriff geschützt aufbewahren.
• Veraltete oder verlorene Geräte in den Kontoeinstellungen zeitnah entfernen.
• Die Wiederherstellung prüfen, bevor ein Passwort oder ein bisheriger zweiter Faktor deaktiviert wird.

Gerade Cloud-Konten enthalten oft Dokumente, Fotos und Sicherungskopien. Der Beitrag über die sichere Auswahl von Cloud-Speichern ordnet Verschlüsselung, Kontoschutz und unabhängige Backups in einen grösseren Zusammenhang ein.

Passkeys schrittweise im Alltag einführen

Ein vollständiger Wechsel an einem einzigen Tag ist weder nötig noch überall möglich. Sinnvoll ist eine Reihenfolge nach Bedeutung und Wiederherstellbarkeit. Den Anfang können das primäre E-Mail-Konto, das Plattformkonto des Smartphones, der Passwortmanager und zentrale Cloud-Dienste machen. Diese Konten dienen häufig selbst als Schlüssel zu weiteren Zugängen.

1. Geräte aktualisieren und mit einer starken PIN sowie automatischer Sperre schützen.
2. In den Sicherheits- oder Anmeldeeinstellungen des Dienstes nach „Passkey“, „Zugangsschlüssel“ oder „Anmelden ohne Passwort“ suchen.
3. Den Speicherort bewusst wählen: Betriebssystem, kompatibler Passwortmanager oder physischer Sicherheitsschlüssel.
4. Den Passkey erstellen und eine Anmeldung auf einem zweiten, vertrauten Gerät testen.
5. Kontoeinstellungen auf alte Geräte, unbekannte Sitzungen und unsichere Rücksetzwege kontrollieren.
6. Erst danach entscheiden, ob das bisherige Passwort entfernt werden kann oder als abgesicherte Reserve bestehen bleiben muss.

Wo Passkeys noch fehlen, bleiben einzigartige Passwörter aus einem Passwortmanager und eine starke Zwei-Faktor-Authentisierung wichtig. Authenticator-App oder Sicherheitsschlüssel sind in der Regel robuster als ein ausschliesslich per SMS übermittelter Code. Eine vorhandene Passkey-Option sollte nur über die regulären Kontoeinstellungen oder die offizielle App eingerichtet werden, nie über einen unerwartet zugestellten Link.

Wo die Grenzen der Technik liegen

Die Bezeichnung Passkey sagt noch nicht alles über das Sicherheitsniveau aus. Der private Schlüssel kann in besonders geschützter Hardware liegen, rein softwarebasiert verwaltet oder verschlüsselt synchronisiert werden. Auch die Anforderungen an die lokale Freigabe und die Wiederherstellung unterscheiden sich. Das BACS bewertet FIDO2 grundsätzlich positiv, weist aber darauf hin, dass die Sicherheit von den Details der Umsetzung abhängt.

Hinzu kommen uneinheitliche Oberflächen. Ein Dienst spricht von Passkey, ein anderer von Sicherheitsschlüssel oder kennwortloser Anmeldung. Manche Konten verlangen weiterhin einen Benutzernamen, obwohl kein Passwort mehr nötig ist. Andere bieten den Passkey lediglich als zweiten Faktor an. Das erschwert den Vergleich und kann zu falschen Erwartungen führen.

Auch die Plattformbindung ist noch spürbar. Innerhalb eines Ökosystems funktioniert die Synchronisierung meist unauffällig. Beim Wechsel zwischen Betriebssystemen oder Passkey-Anbietern können zusätzliche Schritte, ein altes Gerät oder ein neuer Passkey erforderlich sein. Offene Verfahren für den geschützten Austausch verbessern die Lage, sind aber nicht in jeder Kombination gleich weit umgesetzt.

Schliesslich bleibt Social Engineering möglich. Kriminelle können versuchen, eine Person zur Freigabe einer unerwarteten Anmeldung zu bewegen, ein Gerät zu entsperren oder den Support zu täuschen. Eine Passkey-Abfrage sollte deshalb nur bestätigt werden, wenn der Anmeldevorgang selbst gestartet wurde.

Was Unternehmen zusätzlich beachten müssen

In Unternehmen betrifft die Einführung mehr als die sichtbare Login-Maske. Zu klären sind verwaltete Geräte, private Endgeräte, Rollen mit erhöhten Rechten, Ersatzgeräte, das Ausscheiden von Mitarbeitern und der Ablauf bei einem gesperrten Plattformkonto. Besonders kritisch ist der Helpdesk: Ein sicherer Passkey verliert an Wert, wenn eine telefonische Rücksetzung mit leicht beschaffbaren Angaben möglich bleibt.

Für privilegierte Konten können gerätegebundene Passkeys auf verwalteter Hardware oder physische Sicherheitsschlüssel angemessen sein. Bei gewöhnlichen Arbeitskonten bieten synchronisierte Passkeys oft den besseren Kompromiss aus Sicherheit und Bedienbarkeit. Die Entscheidung sollte aus einer Risikoanalyse hervorgehen und darf den geregelten Notfallzugang nicht vergessen.

Eine gestaffelte Einführung mit Pilotgruppe macht technische und organisatorische Lücken sichtbar. Dazu gehören Browser-Kompatibilität, mobile Anwendungen, gemeinsame Arbeitsplätze, externe Mitarbeiter und ältere Systeme. Passkeys sind dabei ein Baustein innerhalb eines umfassenden Schutzkonzepts. Der redaktionelle Überblick zur Cybersecurity in KMU behandelt ergänzend Backups, Zugriffsrechte, Aktualisierungen und Notfallplanung.

Passkeys werden zum neuen Standard

Passkeys lösen ein grundlegendes Problem der digitalen Anmeldung: Ein Geheimnis, das nicht eingetippt und nicht an den Server übertragen wird, kann weder auf einer gefälschten Website preisgegeben noch nach einem Datenleck bei anderen Diensten ausprobiert werden. Die Bindung an die echte Domain und die lokale Freigabe verbinden hohe Sicherheit mit einem kurzen Anmeldevorgang.

Der Nutzen ist am grössten, wenn die Umgebung ebenso sorgfältig geschützt ist. Dazu gehören sichere Endgeräte, ein belastbares Plattformkonto, mindestens ein getesteter Wiederherstellungsweg und die Kontrolle verbleibender Passwort- oder Support-Zugänge. Unter diesen Bedingungen sind Passkeys keine blosse Komfortfunktion, sondern ein überzeugender Schritt weg vom fehleranfälligen Passwort.

Bildquellen: Titelbild: iStock/tanit boonruen; Bild 2: iStock/MUNTHITA LAMLUE; Bild 3: iStock/Techa Tungateja