Passkeys einfach erklärt: Sicher anmelden ohne Passwort?

Einloggen ohne Passwort – und trotzdem sicherer? Genau das versprechen Passkeys. Statt sich das nächste komplizierte Kennwort zu merken, reicht oft der Fingerabdruck, das Gesicht oder die Geräte-PIN. Das wirkt zunächst wie eine bequemere Form des Passworts. Technisch passiert im Hintergrund aber etwas grundlegend anderes.

Passkeys beseitigen viele der Probleme, die wir uns mit Passwörtern seit Jahrzehnten selbst geschaffen haben: Wiederverwendung, schwache Zeichenfolgen, gestohlene Zugangsdaten und täuschend echte Phishing-Seiten. Sie sind aber kein magischer Generalschlüssel und auch nicht automatisch in jeder Umgebung die richtige Lösung. Wer sie einführt, muss verstehen, wo der geheime Schlüssel liegt, wie er geschützt wird und was bei Geräteverlust oder Kontowiederherstellung passiert.

Was ist ein Passkey – ganz einfach erklärt?

Ein Passkey ist ein digitaler Zugangsschlüssel für eine bestimmte Website oder App. Er basiert nicht auf einem gemeinsamen Geheimnis, das Nutzer und Anbieter beide kennen. Stattdessen entsteht bei der Einrichtung ein Schlüsselpaar:

• Der öffentliche Schlüssel wird beim Dienst gespeichert. Er darf öffentlich sein und ist für einen Angreifer allein nicht brauchbar.
• Der private Schlüssel bleibt im Passkey-Speicher des Nutzers – beispielsweise auf dem Smartphone, im TPM beziehungsweise Secure Element eines Computers, in einem Passwortmanager oder auf einem Hardware-Sicherheitsschlüssel.

Man kann sich das wie ein Schloss und den dazu passenden Schlüssel vorstellen. Der Dienst besitzt das Schloss, aber nicht den Schlüssel. Beim Login stellt die Website eine einmalige kryptografische Aufgabe. Das Gerät löst sie mit dem privaten Schlüssel und sendet nur die signierte Antwort zurück. Der private Schlüssel selbst wird dabei nicht an die Website übertragen.

Freigegeben wird der Vorgang meist so, wie das Gerät ohnehin entsperrt wird: per Fingerabdruck, Gesichtserkennung oder PIN. Wichtig ist die Unterscheidung: Der Fingerabdruck ist nicht der Passkey. Die Biometrie entsperrt lediglich lokal die Nutzung des privaten Schlüssels. Nach den Erläuterungen der FIDO Alliance verlässt die biometrische Information das Gerät nicht. Der Onlinedienst erhält nur die Bestätigung, dass die lokale Prüfung erfolgreich war.

So funktioniert der Login in der Praxis

1. Auf einer unterstützten Website wird einmalig ein Passkey eingerichtet.
2. Das Gerät erzeugt ein eigenes kryptografisches Schlüsselpaar speziell für diesen Dienst.
3. Der öffentliche Teil geht an den Dienst, der private Teil bleibt geschützt beim Nutzer.
4. Beim nächsten Login sendet der Dienst eine neue, nur einmal verwendbare Aufgabe an das Gerät.
5. Nach Fingerabdruck, Gesichtserkennung oder PIN signiert der private Schlüssel diese Aufgabe.
6. Der Dienst prüft die Antwort mit dem hinterlegten öffentlichen Schlüssel und gewährt den Zugang.

Für jeden Dienst wird ein eigenes Schlüsselpaar erzeugt. Ein Datenleck bei einem Anbieter liefert deshalb keinen Schlüssel, der bei anderen Anbietern wiederverwendet werden kann. Beim klassischen Passwort ist genau das eines der größten Probleme: Menschen verwenden Kennwörter mehrfach, Angreifer probieren gestohlene Kombinationen anschließend automatisiert bei weiteren Diensten aus.

Warum eine Phishing-Seite mit dem Passkey wenig anfangen kann

Ein Passkey ist an die echte Website beziehungsweise deren sogenannte Relying Party ID gebunden. Eine täuschend ähnliche Domain kann den für die Originalseite erzeugten Schlüssel nicht einfach benutzen. Der Browser und das Betriebssystem prüfen diese Bindung technisch. Sicherheit hängt damit nicht mehr allein davon ab, ob ein Mensch einen falschen Buchstaben in der Adresse erkennt.

Das NIST beschreibt korrekt konfigurierte synchronisierbare Authentifikatoren deshalb als phishing-resistent. Manuell eingegebene Einmalcodes aus SMS oder Authenticator-App erfüllen diese Eigenschaft nicht: Eine echte Phishing-Seite kann einen solchen Code in Echtzeit abfragen und an die richtige Seite weiterreichen. Ein Passkey erzeugt dagegen eine Antwort, die an den legitimen Dienst und die konkrete Anmeldung gebunden ist.

Das bedeutet nicht, dass Passkeys jede Form von Betrug verhindern. Ein Angreifer kann weiterhin versuchen, Menschen zu einer Überweisung, einer Freigabe oder zur Installation schädlicher Software zu bewegen. Passkeys schützen den Anmeldevorgang. Sie ersetzen weder Aufmerksamkeit noch Gerätesicherheit und Berechtigungskonzepte.

Zwei Arten: synchronisiert oder fest an ein Gerät gebunden

Im Alltag werden unter dem Begriff Passkey zwei Varianten zusammengefasst, deren Risikoprofile unterschiedlich sind.

Synchronisierte Passkeys werden über einen Passkey-Anbieter verschlüsselt zwischen den eigenen Geräten abgeglichen. Das kann der Schlüsselbund eines Betriebssystems oder ein geeigneter Passwortmanager sein. Der große Vorteil ist die Bequemlichkeit: Ein neues Smartphone oder Notebook kann nach der sicheren Anmeldung am Anbieter wieder auf die Passkeys zugreifen. Der Nachteil ist die Abhängigkeit vom Anbieter-Konto und dessen Wiederherstellungsprozess.

Gerätegebundene Passkeys verlassen das jeweilige Gerät nicht. Typische Beispiele sind Schlüssel in einem TPM, Secure Element oder auf einem FIDO2-Hardware-Schlüssel. Das reduziert die Möglichkeit, den privaten Schlüssel zu kopieren. Geht das Gerät ohne Ersatz verloren, ist jedoch eine andere Wiederherstellungsmethode erforderlich.

Das NIST ordnet synchronisierbare Passkeys bei korrekter Umsetzung grundsätzlich bis zum Authenticator Assurance Level 2 ein. Für das höchste Niveau AAL3 verlangt es nicht exportierbare Schlüssel. Die einfache Übersetzung lautet: Synchronisation bringt Alltagstauglichkeit; besonders schutzbedürftige Zugänge können einen fest gebundenen Hardware-Schlüssel rechtfertigen.

Wie bewahrt man die Schlüssel hinter Passkeys sicher auf?

Der private Schlüssel sollte nicht exportiert, ausgedruckt oder als Datei in einem Cloud-Ordner abgelegt werden. Gute Passkey-Systeme sind gerade so gebaut, dass Nutzer den Rohschlüssel nicht sehen und nicht manuell kopieren müssen. Die sichere Aufbewahrung besteht deshalb aus mehreren Schutzschichten.

1. Gerät konsequent sperren: Eine ausreichend starke Geräte-PIN oder ein Gerätepasswort schützt den Zugriff auf den Schlüssel. 1234 oder das Geburtsdatum machen auch einen guten Passkey-Speicher unnötig schwach. Biometrie ist komfortabel, eine sichere PIN bleibt als Rückfalloption wichtig.
2. Aktuelle und vertrauenswürdige Geräte verwenden: Betriebssystem, Browser und Passkey-Anbieter müssen regelmäßig aktualisiert werden. Ein kompromittiertes oder nicht mehr unterstütztes Gerät kann Anmeldungen missbrauchen, auch wenn der Schlüssel technisch nicht auslesbar ist.
3. Passkey-Anbieterkonto stark schützen: Bei synchronisierten Passkeys wird das Konto des Schlüsselbund- oder Passwortmanager-Anbieters zum wichtigen Schutzpunkt. Es braucht eine starke Wiederherstellung, Mehr-Faktor-Authentisierung und eine aktuelle Liste vertrauenswürdiger Geräte.
4. Mindestens zwei unabhängige Zugangswege einrichten: Für wichtige Konten sollte es neben dem primären Passkey einen zweiten Passkey auf einem anderen Gerät oder einen separaten FIDO2-Hardware-Schlüssel geben. Der Ersatz gehört nicht in dieselbe Notebooktasche, sondern an einen getrennten, geschützten Ort.
5. Recovery-Codes geschützt ablegen: Wenn ein Dienst Wiederherstellungscodes anbietet, gehören sie verschlüsselt in einen vertrauenswürdigen Passwortmanager oder ausgedruckt in einen physisch gesicherten Bereich. Sie dürfen nicht ungeschützt als Screenshot auf demselben Smartphone liegen.
6. Verlorene und alte Geräte entfernen: In den Sicherheits- und Kontoeinstellungen sollten Passkeys eindeutig benannt, regelmäßig geprüft und bei Verlust, Verkauf oder Ausmusterung widerrufen werden.

Für Unternehmen kommt die organisatorische Seite hinzu: Geräteeigentümer, Lebenszyklus, Ausgabe, Rückgabe, Ersatz, Widerruf und Notfallzugang müssen geregelt sein. Bei Hardware-Schlüsseln sind zwei registrierte Token pro kritischem Konto sinnvoll. Einer wird genutzt, der andere versiegelt und getrennt aufbewahrt. Bei privilegierten Konten sollte ein Recovery-Prozess nie allein vom Zuruf an den Helpdesk abhängen.

Die aktuelle NIST-Leitlinie verlangt für synchronisierte Schlüssel unter anderem verschlüsselte Speicherung, starke Zugriffskontrollen auf die Synchronisationsumgebung und einen Schutz dieses Zugangs auf einem mit AAL2 vergleichbaren Niveau. Sie weist gleichzeitig ausdrücklich darauf hin, dass Cloud-Synchronisation und Account-Recovery eigene Angriffsflächen sind.

Welche Normen und Standards spielen eine Rolle?

Passkeys sind kein proprietärer Trick eines einzelnen Smartphone-Herstellers. Die technische Grundlage ist FIDO2. Vereinfacht gilt: FIDO2 = WebAuthn + CTAP.

• W3C Web Authentication, kurz WebAuthn: Der Webstandard beschreibt, wie Websites und Browser öffentliche Schlüssel für Registrierung und Anmeldung verwenden. Die WebAuthn-Spezifikation sorgt unter anderem dafür, dass ein Zugang an den richtigen Dienst gebunden ist.
• FIDO Client to Authenticator Protocol, kurz CTAP: Dieser Standard regelt die Kommunikation zwischen Client und Authentifikator – beispielsweise zwischen Notebook und Sicherheitsschlüssel oder Smartphone – über USB, NFC oder Bluetooth. Die FIDO Alliance erläutert das Zusammenspiel der Standards.
• NIST SP 800-63B: Die Digital Identity Guidelines ordnen Authentisierungsverfahren nach Schutzniveaus ein und beschreiben Anforderungen an phishing-resistente sowie synchronisierbare Authentifikatoren.
• ISO/IEC 27001 und ISO/IEC 27002: Die Normen schreiben kein bestimmtes Produkt vor. Für ein Informationssicherheits-Managementsystem sind vor allem die Controls A.5.16 Identitätsmanagement, A.5.17 Authentisierungsinformationen und A.8.5 sichere Authentisierung relevant. Passkeys können diese Controls unterstützen, ersetzen aber nicht die geregelte Vergabe, Änderung, Prüfung und Sperrung von Identitäten und Zugängen.

Aus ISO-Sicht ist deshalb nicht die Aussage „Wir benutzen Passkeys“ der Nachweis. Prüffähig wird es erst mit einem dokumentierten Verfahren: Wer darf einen Passkey registrieren? Wie wird die Identität dabei erneut geprüft? Welche Arten sind für normale, privilegierte und externe Nutzer zugelassen? Wo werden Ersatzschlüssel verwahrt? Wie schnell werden verlorene Geräte gesperrt? Und wie wird nachgewiesen, dass ausgeschiedene Mitarbeiter keinen Zugang mehr besitzen?

Die Chancen: weniger Phishing, weniger Reibung, weniger Passwortchaos

Die größte Chance liegt in der Kombination aus Sicherheit und Nutzbarkeit. Bei vielen Sicherheitsmaßnahmen wird Komfort geopfert, sodass Nutzer Umwege suchen. Passkeys können beides verbessern: kein Kennwort erfinden, nicht wiederverwenden, nicht eintippen und nicht regelmäßig ändern.

Die von der FIDO Alliance beauftragte Studie „The State of Passkeys 2026“ befragte 11.000 Erwachsene in zehn Ländern sowie 1.400 Entscheider in größeren Organisationen. Danach hatten 75 Prozent der befragten Verbraucher mindestens einen Passkey aktiviert; 68 Prozent der Organisationen führten Passkeys für Beschäftigte ein, pilotierten sie oder rollten sie aus. Organisationen mit fortgeschrittener Einführung berichteten unter anderem von verbesserter Sicherheitslage, schnelleren Logins und niedrigeren Helpdesk-Kosten.

Diese Zahlen stammen aus einer Branchenstudie der FIDO Alliance und sollten entsprechend eingeordnet werden. Trotzdem zeigen sie: Passkeys sind längst mehr als ein Laborexperiment. Gleichzeitig bleibt die Umstellung unvollständig. Selbst unter Organisationen mit Passkey-Einsatz nutzten laut Bericht noch 57 Prozent im täglichen Hauptzugang Verfahren, die grundsätzlich phishbar sind. Ein zusätzlich angebotener Passkey beseitigt das Passwort-Risiko nicht, solange das schwächere Verfahren als Hintertür aktiv bleibt.

Die Gefahren und Grenzen

Die Wiederherstellung kann zum schwächsten Glied werden. Wenn ein Angreifer über E-Mail, Mobilfunknummer oder einen überforderten Support ein Konto zurücksetzen kann, hilft der starke Passkey am Vordereingang wenig. Recovery muss mindestens so ernst genommen werden wie die normale Anmeldung.

Synchronisation verschiebt Vertrauen. Ein synchronisierter Passkey ist bequem, hängt aber an der Sicherheit des Apple-, Google-, Microsoft- oder Passwortmanager-Kontos. Ende-zu-Ende-Verschlüsselung und starke Kontosicherung reduzieren das Risiko, beseitigen Abhängigkeiten jedoch nicht vollständig.

Ein entsperrtes oder kompromittiertes Gerät bleibt gefährlich. Wer Kontrolle über ein freigeschaltetes Smartphone oder einen angemeldeten Rechner hat, kann je nach Schutz und Sitzung Aktionen ausführen. Passkeys sind phishing-resistent, aber nicht malware-resistent und kein Schutz gegen jede Form von lokalem Zugriff oder Erpressung.

Uneinheitliche Oberflächen führen zu Fehlern. Eine USENIX-Untersuchung von 111 Websites aus dem Jahr 2025 stellte große Unterschiede beim Finden, Einrichten, Verwenden und Löschen von Passkeys fest. Besonders kritisch: 70 Prozent der untersuchten Websites ließen das Hinzufügen eines Passkeys ohne erneute Identitätsprüfung zu. Auf einem unbeaufsichtigten, bereits angemeldeten Gerät könnte ein Angreifer dadurch seinen eigenen Passkey hinterlegen.

Menschen müssen kompromittierte Passkeys erkennen und entfernen können. Eine USENIX-Studie von 2026 mit 31 Teilnehmenden zeigte, dass Nutzer bei Google, PayPal und LinkedIn Schwierigkeiten hatten, verdächtige Passkeys vollständig zu finden und nach einem Vorfall alle nötigen Schritte zur Absicherung umzusetzen. Technik allein genügt nicht; verständliche Benachrichtigungen und Sicherheitsoberflächen gehören zum Schutz.

Biometrie hat besondere Grenzen. Sie bleibt bei FIDO zwar lokal auf dem Gerät, doch Finger und Gesicht lassen sich nicht wie ein Passwort austauschen. Unternehmen müssen Gerätequalität, Lebenderkennung, alternative PIN-Verfahren und rechtliche Rahmenbedingungen berücksichtigen. Niemand sollte gezwungen sein zu glauben, der Fingerabdruck werde an jede Website übertragen – genau das passiert bei einem korrekt implementierten Passkey nicht.

Welche Alternativen gibt es?

• Passwortmanager plus einzigartiges Passwort: Eine weiterhin brauchbare Basis für Dienste ohne Passkey. Der Manager erzeugt pro Konto ein langes, einzigartiges Passwort und reduziert Wiederverwendung. Phishing bleibt möglich, wird durch die Bindung des Autofill an die richtige Domain aber erschwert.
• Passwort plus Authenticator-App: Zeitbasierte Einmalcodes sind deutlich besser als ein Passwort allein. Weil der Code manuell eingegeben wird, kann modernes Echtzeit-Phishing ihn jedoch weiterleiten.
• Push-Freigabe: Bequem, aber anfällig für unbedachte Bestätigungen und MFA-Fatigue. Nummernabgleich und klare Transaktionsinformationen verbessern die Sicherheit.
• SMS-Code: Besser als kein zweiter Faktor, aber Risiken durch Phishing, Rufnummernübernahme und Abhängigkeit vom Mobilfunknetz bleiben bestehen.
• FIDO2-Hardware-Sicherheitsschlüssel: Technisch ebenfalls ein Passkey beziehungsweise FIDO-Zugang, aber fest an Hardware gebunden. Für Administratoren, Geschäftsleitung und besonders schützenswerte Systeme oft die stärkste praktische Variante – idealerweise mit einem getrennt gelagerten Ersatzschlüssel.
• Smartcards, Zertifikate und staatliche eID: Für geregelte Unternehmens- und Behördenumgebungen können diese Verfahren ein hohes Sicherheitsniveau bieten. Verwaltung und Nutzerführung sind häufig aufwendiger.

Das BSI ordnet hardwaregestützte kryptografische Verfahren besonders stark ein. Authenticator-App oder SMS sollten deshalb nicht mit einem korrekt implementierten FIDO2-Verfahren gleichgesetzt werden, auch wenn im Alltag alles unter „Zwei-Faktor-Anmeldung“ läuft.

Eine pragmatische Empfehlung für Privatpersonen

1. Passkeys zuerst bei E-Mail-Konto, Passwortmanager und wichtigen Cloud-Konten aktivieren.
2. Geräte-PIN und Anbieter-Konto stark absichern und alle Geräte aktuell halten.
3. Bei wichtigen Konten einen zweiten unabhängigen Passkey oder Hardware-Schlüssel registrieren.
4. Wiederherstellungscodes geschützt und getrennt vom Hauptgerät aufbewahren.
5. In den Kontoeinstellungen regelmäßig prüfen, welche Geräte und Passkeys noch berechtigt sind.
6. Ein altes Passwort erst entfernen, wenn Passkey und Recovery tatsächlich getestet wurden.

Was Unternehmen vor dem Rollout klären sollten

Unternehmen sollten nicht mit dem Einkauf von Sicherheitsschlüsseln beginnen, sondern mit Schutzbedarf und Betriebsmodell. Normale Büroarbeitsplätze, private Mobilgeräte, gemeinsam genutzte Terminals, externe Dienstleister und privilegierte Administratoren benötigen nicht zwingend dieselbe Lösung.

Zu einem belastbaren Konzept gehören ein Inventar der Identitäten und Authentifikatoren, zulässige Passkey-Typen, technische Richtlinien für Geräteschutz, eine erneute Identitätsprüfung vor Registrierung und Löschung, mindestens ein sicherer Ersatzweg, protokollierte Widerrufsprozesse und regelmäßige Tests. Legacy-Anwendungen und verbleibende Passwort-Logins müssen sichtbar bleiben. Sonst entsteht eine moderne Oberfläche über einem alten Risiko.

Hier wird es spannend: Der Passkey selbst ist meist nicht das Problem. Die entscheidenden Fragen liegen davor und danach: Wer durfte ihn registrieren? Auf welchem Gerät liegt er? Wohin wird er synchronisiert? Wer kann den Zugang wiederherstellen? Und wie schnell lässt er sich bei einem Vorfall zuverlässig entfernen?

Mein Fazit: Passkeys sind ein großer Schritt – wenn der Lebenszyklus stimmt

Für die meisten Menschen sind Passkeys sicherer und zugleich einfacher als selbst gewählte Passwörter. Sie schützen sehr wirksam gegen das Abgreifen und Wiederverwenden von Zugangsdaten und nehmen Nutzern eine Aufgabe ab, an der das Passwortmodell seit Jahren scheitert.

Die Risiken verschwinden aber nicht, sie verschieben sich. Statt Passwortqualität rücken Geräte, Passkey-Anbieter, Synchronisation, Registrierung, Wiederherstellung und Widerruf in den Mittelpunkt. Wer nur den bequemen Login betrachtet, hat deshalb erst die halbe Lösung.

Privat gilt: Passkeys nutzen, Geräte gut schützen und einen unabhängigen Ersatzweg vorbereiten. Im Unternehmen gilt zusätzlich: Passkeys als vollständigen Identitäts- und Berechtigungsprozess behandeln – mit Eigentümer, Regeln, Nachweisen und Notfallverfahren. Genau dann wird aus einer guten Technik ein belastbares Sicherheitsverfahren.

Stand: 16. August 2026. Der Beitrag bietet eine allgemeine Einordnung. Konkrete Anforderungen hängen vom Schutzbedarf, der technischen Umsetzung und den geltenden gesetzlichen, vertraglichen und normativen Vorgaben ab.

---

← Alle Beiträge