Passkeys: Die passwortlose Alternative verstehen und einführen
Passkeys ersetzen das Passwort durch einen kryptografischen Schlüssel, der an Ihr Gerät gebunden ist. Kein Auswendiglernen, kein Eintippen, kein Zurücksetzen mehr. Hier erfahren Sie, wie das funktioniert, was sich konkret ändert und was Sie vor der Einführung wissen sollten.
Was ist ein Passkey und wie funktioniert er?
Ein Passkey ist ein kryptografisches Schlüsselpaar – ein privater Schlüssel, der auf Ihrem Gerät gespeichert ist, und ein öffentlicher Schlüssel, der beim Online-Dienst hinterlegt ist. Beim Anmelden beweist Ihr Gerät, dass es den privaten Schlüssel besitzt, ohne ihn jemals zu übertragen.
Konkret läuft das so ab: Bei jeder Anmeldung schickt der Server eine einmalige Aufgabe (eine zufällige Challenge). Ihr Gerät signiert diese mit dem privaten Schlüssel, und der Server prüft die Signatur mit dem öffentlichen Schlüssel. Selbst wenn jemand diese signierte Antwort abfängt, ist sie wertlos – sie gilt nur für genau diese Challenge, die bereits verbraucht ist. Das ist grundlegend anders als ein Passwort, das immer gleich und immer wiederverwendbar ist.
Die Authentifizierung wird durch eine einfache Geste ausgelöst: Touch ID, Face ID, Fingerabdruck oder die Geräte-PIN.
Sind Passkeys wirklich sicherer als ein Passwort?
Ja, und zwar deutlich. Passkeys basieren auf Elliptic-Curve-Kryptografie (P-256 / ECDSA), was einer effektiven Sicherheitsstärke von etwa 128 Bit entspricht. Um ein vergleichbares Niveau mit einem Passwort zu erreichen, bräuchte man rund 20 völlig zufällige Zeichen aus den 95 druckbaren ASCII-Zeichen – etwas, das kein Mensch spontan erzeugt oder sich merkt.
Über die reine Robustheit hinaus eliminieren Passkeys eine ganze Kategorie von Risiken:
- Keine schwachen oder site-übergreifend wiederverwendeten Passwörter
- Keine Passwortdatenbank, die gestohlen werden kann (der Server speichert nur den öffentlichen Schlüssel, der ohne den privaten Schlüssel nutzlos ist)
- Kein Credential Stuffing (das massenhafte Ausprobieren von Benutzername-/Passwort-Kombinationen aus Datenlecks)
- Keine erzwungenen Passwortwechsel alle 90 Tage
- Keine absurden Passwortregeln (Großbuchstabe erforderlich, Sonderzeichen, maximal 16 Zeichen …)
Warum sind Passkeys resistent gegen Phishing?
Ein Passkey ist kryptografisch an die genaue Domain gebunden, für die er erstellt wurde. Auf einer gefälschten Website – selbst wenn sie optisch identisch aussieht – springt der Passkey schlicht nicht an. Es gibt nichts abzufangen und nichts zu wiederholen.
Das ist ein struktureller Unterschied zum Passwort. Eine gefälschte Website kann ein identisches Anmeldeformular anzeigen und Ihre Zugangsdaten abgreifen. Mit einem Passkey schlägt die Authentifizierung technisch still fehl, selbst wenn der Nutzer den Betrug nicht bemerkt. Es werden keinerlei verwertbare Informationen an die Phishing-Site übermittelt.
Dieser Schutz wirkt auch gegen AiTM-Angriffe (Adversary-in-the-Middle) in Echtzeit, die selbst klassisches 2FA nicht blockiert.
Kann mein Fingerabdruck wie ein Passwort gestohlen werden?
Nein. Der Fingerabdruck (oder Face ID) verlässt Ihr Gerät niemals. Er wird nicht über das Netzwerk übertragen und nicht auf dem Server der Website gespeichert. Er dient ausschließlich dazu, den kryptografischen Schlüssel lokal freizuschalten, der dann die eigentliche Authentifizierung durchführt.
Die Website sieht Ihren Fingerabdruck nie, empfängt ihn nie und kann ihn daher auch nicht verlieren. Das ist grundlegend anders als bei einem Passwort, das bei jeder Anmeldung an den Server gesendet wird und kompromittiert werden kann, wenn die Datenbank gehackt wird.
Und falls Touch ID oder Face ID nicht verfügbar ist (verletzter Finger, defekter Sensor), übernimmt die Geräte-PIN. Biometrie ist ein Komfortmerkmal, keine Abhängigkeit.
Was passiert, wenn ich mein Handy oder meinen Computer verliere?
Das hängt davon ab, wo Ihre Passkeys gespeichert sind. Wenn sie über iCloud Keychain (Apple) oder den Google Password Manager synchronisiert werden, sind sie automatisch auf Ihren anderen Geräten im selben Ökosystem verfügbar. Ein iPhone- oder PC-Wechsel mit demselben Google-Konto verläuft nahtlos.
Wurde der Passkey hingegen nur lokal auf einem einzigen Gerät erstellt, bedeutet dessen Verlust auch den Verlust des Zugangs. Deshalb behalten die meisten Dienste das Passwort während der Übergangsphase als alternative Anmeldemethode. Ein Passwort-Manager, der Passkeys geräte- und browserübergreifend synchronisiert, reduziert dieses Risiko erheblich.
Wo werden meine Passkeys gespeichert und wer hat Zugriff?
Passkeys werden vom „Provider" gespeichert, den Sie bei der Erstellung wählen (oder der sich aufdrängt). Die wichtigsten sind iCloud Keychain (Apple), Google Password Manager (Chrome) und Drittanbieter-Passwort-Manager.
Jeder Provider hat seinen eigenen Synchronisierungsbereich:
- iCloud Keychain synchronisiert zwischen allen Apple-Geräten, aber nicht darüber hinaus
- Google Password Manager synchronisiert auf allen Chrome-Browsern, unabhängig vom Betriebssystem, aber nicht in Safari
- Ein Drittanbieter-Passwort-Manager kann auf allen Geräten und Browsern funktionieren
Die häufige Falle: Beim Erstellen eines Passkeys können sich mehrere Provider gleichzeitig anbieten – die Erweiterung des Passwort-Managers, der Browser und das Betriebssystem. Touch ID erweckt beispielsweise den Eindruck, „der Mac kümmert sich darum", während dahinter entweder Chrome oder macOS den Passkey speichert. Wer bei der anfänglichen Auswahl nicht aufpasst, findet seinen Passkey auf einem anderen Gerät möglicherweise nicht wieder.
Wie verwaltet man Passkeys im Alltag?
Der heikelste Punkt ist heute die Verwaltung. Es gibt keinen zentralen Ort, an dem alle Passkeys angezeigt werden. Sie sind je nach gewähltem Provider auf verschiedene Oberflächen verteilt.
So finden oder löschen Sie einen Passkey, je nachdem wo er gespeichert ist:
- In Chrome: über die Passworteinstellungen des Browsers
- Unter macOS: Systemeinstellungen, Bereich „Passwörter"
- In einem Drittanbieter-Manager: im Tresor, im Bereich für Passkeys
Es ist möglich, versehentlich mehrere Passkeys für dasselbe Konto bei verschiedenen Providern zu erstellen. Um Verwechslungen zu vermeiden, empfiehlt es sich, einen einzigen Provider zu wählen und dabei zu bleiben. Seriöse Dienste zeigen die für Ihr Konto registrierten Passkeys mit einer Widerrufsoption an.
Werden Passkeys Passwörter ersetzen?
Nicht sofort, aber der Trend ist eindeutig. Noch nicht alle Websites unterstützen Passkeys, und Nutzer müssen während der Übergangsphase mit beiden Systemen umgehen. Das Passwort bleibt ein notwendiges Sicherheitsnetz für Dienste, die noch keine Passkeys anbieten, oder als Fallback-Methode.
Die Verbreitung schreitet schnell voran: Die großen Anbieter (Google, Apple, Microsoft) integrieren Passkeys nativ in ihre Systeme. Langfristig dürfte das Passwort zur Ausnahme statt zur Regel werden. In der Zwischenzeit bietet ein Passwort-Manager, der sowohl klassische Passwörter als auch Passkeys verwalten kann, das beste Übergangserlebnis.
Das Wichtigste auf einen Blick
- Ein Passkey ist ein kryptografischer Schlüssel, der an Ihr Gerät gebunden ist – robuster und einfacher als ein Passwort
- Passkeys sind strukturell phishing-resistent: Sie funktionieren nur auf der genauen Domain, für die sie erstellt wurden
- Ihr Fingerabdruck verlässt Ihr Gerät niemals und kann nicht über eine Website gestohlen werden
- Wählen Sie einen einzigen Provider für die Speicherung Ihrer Passkeys, um Verwirrung zwischen Geräten zu vermeiden
- Das Passwort bleibt während der Übergangsphase weiterhin notwendig
- Ein Passwort-Manager mit Passkey-Unterstützung vereinfacht die geräteübergreifende Verwaltung
Robuste Authentifizierung und vertrauenswürdiges Hosting gehören zusammen. Entdecken Sie unseren Ansatz zu Sicherheit und Datensouveränität.