Passkeys: Warum die Ära der Passwörter sich dem Ende zuneigt

Wie die passwortlose Anmeldung funktioniert – und was es beim Umstieg zu beachten gilt

Passkeys ersetzen bei immer mehr Online-Diensten das klassische Passwort – angeführt von Microsoft, Google, Banken und Payment-Dienstleistern. Wir zeigen, wie die passwortlose Anmeldung technisch funktioniert, warum sie Phishing deutlich erschwert und wie der Umstieg im Alltag gelingt, ohne sich selbst auszusperren.

Warum Passkeys sich so schnell durchsetzen: Zeitdruck durch Leaks & Phishing

Phishing gehört laut Experten mittlerweile zu den häufigsten Angriffsvektoren auch gegen Privatanwender. Der Lagebericht des Bundesamts für Sicherheit in der Informationstechnik verzeichnet Jahr für Jahr steigende Zahlen an Identitätsdiebstählen und Credential-Leaks. Der Bruch mit dem klassischen Passwort war deshalb überfällig.

Die FIDO Alliance – ein Konsortium aus Google, Apple, Microsoft und weiteren Anbietern – hat mit Passkeys eine standardisierte Alternative etabliert, die auf den bestehenden Protokollen FIDO2 und WebAuthn aufsetzt. Microsoft ermöglicht seit 2024 komplett passwortlose Konten, Google aktiviert Passkeys standardmäßig, auch Amazon ist dabei, die Funktion breit auszurollen. Für Anbieter reduziert diese Änderung Support-Aufwand und Haftungsrisiken, für Nutzer entfällt die Passwortmerkarbeit. Regulatorisch treiben zudem die EU-Verordnung eIDAS 2.0 und Vorgaben der NIS2-Umsetzung stärkere Authentifizierungsverfahren voran.

Wie Passkeys funktionieren: Schlüsselpaare statt Geheimwörter

Ein Passkey ist ein kryptografisches Schlüsselpaar. Der private Schlüssel bleibt auf dem Gerät des Nutzers – typischerweise in einem hardwarebasierten Sicherheitsbereich wie Apples Secure Enclave, Androids Trusted Execution Environment oder dem TPM eines Windows-Rechners. Der öffentliche Schlüssel wird beim Anbieter hinterlegt.

Beim Login sendet der Dienst eine Challenge, die das Gerät mit dem privaten Schlüssel signiert. Erst nach lokaler Freigabe per Fingerabdruck, Face-ID oder Geräte-PIN wird die Signatur erzeugt und zurückgeschickt. Ein gemeinsames Geheimnis – wie es ein Passwort darstellt – existiert nicht mehr. Kein Angreifer kann ein Passwort abgreifen, denn es gibt schlichtweg keines mehr auf dem Server.

Sicherheitsgewinn im Alltag: Phishing-Blocker by Design

Passkeys sind an die konkrete Domain gebunden, für die sie erstellt wurden. Eine gefälschte Login-Seite erhält vom Browser schlicht keinen Passkey ausgehändigt – die Signatur würde für die falsche Domain gar nicht erst freigegeben. Damit fällt eine der wirksamsten Angriffsklassen weg.

Weitere Vorteile ergeben sich strukturell:

• Keine Wiederverwendung: Für jeden Dienst existiert ein eigenes Schlüsselpaar.

• Kein Datenbank-Leak-Risiko: Selbst wenn in der Folge eines Angriffs auf einen Anbieter öffentliche Schlüssel erbeutet und geleakt würden: Sie sind für die Angreifer und andere Cyberkriminelle völlig wertlos.

• Integrierte Zwei-Faktor-Authentifizierung: Besitz (Gerät) plus Inhärenz (Biometrie) oder Wissen (PIN) sind bereits Bestandteil des Verfahrens.

• Kein SMS-Code, der abgefangen werden könnte.

Passkeys einrichten: Google, Apple, Microsoft, Amazon

Die Einrichtung folgt bei allen großen Anbietern demselben Muster:

1. In den Kontoeinstellungen den Bereich „Sicherheit“ oder „Anmeldung“ öffnen.

2. Option „Passkey erstellen“ auswählen.

3. Gerät per Biometrie oder PIN bestätigen.

4. Anschließend testweise abmelden und neu anmelden.

Auch der Login am PC funktioniert über das Smartphone, nämlich mit einem QR-Code, gescannt und dann biometrisch bestätigt wird.

Gerätewechsel & Verlust: Wiederherstellung ohne Passwort

Der häufigste Einwand gegen Passkeys lautet: „Was, wenn mein Handy weg ist?“

Die Frage ist natürlich völlig legitim, neue technische Entwicklungen eliminieren ja nicht automatisch alle Risiken. Die Antwort hängt vom gewählten Speichermodell ab. Cloud-synchronisierte Passkeys – etwa im iCloud-Schlüsselbund oder im Google Password Manager – stehen nach dem Login auf einem neuen Gerät automatisch zur Verfügung. Der Zugriff auf den Cloud-Account ist damit der zentrale Wiederherstellungspunkt.

Ergänzend empfiehlt sich mindestens ein zweiter Faktor: ein physischer FIDO2-Sicherheitsschlüssel oder ein zweites Gerät mit eigenem Passkey. Wichtig sind zudem hinterlegte Wiederherstellungs-E-Mail-Adressen und Telefonnummern. Wer beides vernachlässigt, riskiert einen dauerhaften Kontoausschluss – gerade bei Anbietern, die keinen klassischen Kundendienst für Privatkonten anbieten.

Kompatibilität klären: Geräte, Browser, FIDO2, QR-Login

Passkeys funktionieren ab iOS 16, macOS Ventura, Android 9 sowie Windows 10/11. Unterstützte Browser sind Chrome, Edge, Safari und Firefox in aktuellen Versionen. Für die geräteübergreifende Anmeldung nutzen die Systeme Bluetooth – nicht zur Datenübertragung, sondern zur Näheprüfung, um Remote-Angriffe zu unterbinden.

Zu unterscheiden sind gerätegebundene Passkeys (bleiben auf einem einzelnen Hardware-Token) und synchronisierte Passkeys (verteilt über die Cloud). Passwortmanager unterstützen Passkeys inzwischen plattformübergreifend – hilfreich, wenn man nicht ausschließlich in einem Herstellerökosystem arbeiten möchte.

Alltagstipps: Aufräumen, Backups, Familien- und Notfallzugriff

Nach der Umstellung lohnt sich das Aufräumen der Konten. Alte, wiederverwendete Passwörter sollten aus Passwortmanagern entfernt oder deaktiviert werden, um versehentliche Fallback-Logins zu vermeiden. Konkret empfehlen sich diese Schritte:

• Zwei bis drei unabhängige Authentifizierungsfaktoren hinterlegen (z. B. Passkey, Sicherheitsschlüssel, Recovery-E-Mail).

• Familienfreigaben in iCloud oder Google gezielt konfigurieren, damit nur bewusste Passkeys geteilt werden.

• Notfallzugriff einrichten – etwa Apples „Kontaktperson zur Kontowiederherstellung“ oder ein Notfallzugriff im Passwortmanager.

• Beim Reisen den Geräte-PIN nutzen statt Biometrie, falls in bestimmten Ländern rechtliche Grauzonen bestehen.

Wenn digitale Erinnerungen am Passkey hängen

Passkeys ändern nicht nur den Login, sondern verlagern das Risiko: Wo früher ein vergessenes Passwort das Problem war, ist es heute ein defektes oder verlorenes Gerät, auf dem private Schlüssel liegen. Wer seinen iCloud-Schlüsselbund nicht synchronisiert oder einen lokalen Passwortmanager ohne Backup nutzt, verliert mit dem Zugang im Zweifel auch Fotos, Dokumente und Cloud-Ressourcen, die an genau dieses Konto gekoppelt sind.

Ein durchschnittliches Google- oder Microsoft-Konto verwaltet heute mehrere hundert Gigabyte an E-Mails, Fotos, Kalendern und Dokumenten. Fällt der lokale Speicher aus, auf dem ein nicht synchronisierter Passkey liegt, ist der Weg zurück ins Konto oft nur noch über Recovery-Prozesse möglich – falls diese vorher sauber eingerichtet wurden. Sind die lokalen Schlüsselbund-Kopien die einzige Option, den Zugang zum Konto wiederherzustellen, können Spezialisten für SSD-Datenrettung bzw. Experten für die Datenrettung von HDDs eine Option darstellen. Die Konsequenz für den Alltag: Passkeys erfordern zwingend eine bewusste Backup-Strategie – ansonsten verlagert sich das Risiko lediglich von der Passwort- auf die Hardware-Ebene.

Blick nach vorn: eIDAS-Wallets, Behörden-Logins, Banking

Mit der EU-Digital-Identity-Wallet auf Basis von eIDAS 2.0 rückt eine staatlich verankerte digitale Identität näher – Mitgliedsstaaten müssen sie laut Verordnung bis Ende 2026 bereitstellen. Erste Banken bieten Passkey-Logins im Online-Banking an, gesetzliche Vorgaben der PSD2 werden gerade an die neuen Verfahren angepasst. Auch Behörden-Portale wie die BundID öffnen sich schrittweise für FIDO2-basierte Verfahren.

Häufige Fragen

Was passiert mit meinen Passkeys, wenn ich den Passwortmanager wechsle?

Führende Anbieter arbeiten am Passkey-Export nach dem FIDO-CXP-Standard. Aktuell ist ein direkter Export meist noch nicht möglich – Nutzer müssen Passkeys beim neuen Anbieter neu erstellen und die alten in den Konten entfernen.

Sind Passkeys auch bei Kontodiebstahl im Cloud-Account sicher?

Die Passkeys sind in einer solchen Situation nicht automatisch verloren, aber ein kompromittierter Cloud-Account erhöht das Risiko deutlich. Ein starker Schutz des Cloud-Kontos ist daher entscheidend.

Kann ich Passkeys und Passwörter parallel nutzen?

Ja, die meisten Anbieter erlauben eine hybride Nutzung. Sicherheitsexperten empfehlen jedoch, das Passwort nach erfolgreicher Passkey-Einrichtung zu deaktivieren, damit es nicht als schwächster Punkt bestehen bleibt.

Fazit

Passkeys sind kein Marketing-Etikett, sondern eine strukturelle Verbesserung: Sie eliminieren wiederverwendete Passwörter, blockieren Phishing durch Domainbindung und verankern Zwei-Faktor-Sicherheit direkt im Anmeldevorgang. Der Umstieg lohnt sich inzwischen für die meisten Nutzer – vorausgesetzt, Wiederherstellung und Backups sind sauber eingerichtet. Wer beim Cloud-Anbieter zwei Faktoren hinterlegt, einen physischen Sicherheitsschlüssel als Reserve einsetzt und alte Passwörter konsequent entfernt, gewinnt spürbar Sicherheit ohne Komfortverlust. Die nächsten Monate werden zeigen, wie schnell Behörden, Banken und kleinere Anbieter nachziehen.