Zugriffsschlüssel (Passkey): die Alternative zum Passwort

Ein Zugriffsschlüssel - auf Englisch Passkey - ersetzt das Passwort durch einen kryptografischen Schlüssel, der an Ihr Gerät gebunden ist. Kein Merken, Eintippen oder Zurücksetzen mehr. Hier erfahren Sie, wie das funktioniert, wie Sie einen erstellen und was Sie vor der Umstellung wissen sollten.

Was ist ein Zugriffsschlüssel (Passkey) und wie funktioniert er?

Ein Zugriffsschlüssel ist ein kryptografisches Schlüsselpaar: Ein privater Schlüssel wird auf Ihrem Gerät gespeichert, ein öffentlicher beim Online-Dienst hinterlegt. Bei der Anmeldung weist Ihr Gerät nach, dass es den privaten Schlüssel besitzt - ohne ihn jemals zu übertragen.

Konkret: Bei jeder Anmeldung stellt der Dienst eine zufällig generierte Aufgabe (eine Zahlenfolge). Ihr Gerät beantwortet diese mithilfe des privaten Schlüssels, den es niemals preisgibt, und der Dienst prüft die Antwort anhand des öffentlichen Schlüssels. Da die Aufgabe jedes Mal eine andere ist, nützt eine abgefangene Antwort nichts - sie galt nur für diese eine, bereits vergangene Anfrage. Das ist das genaue Gegenteil eines Passworts: Es bleibt immer gleich, und wer es einmal stiehlt, kann es beliebig oft wiederverwenden.

Die Authentifizierung erfolgt durch eine einfache Geste: Touch ID, Face ID, Fingerabdruck oder die Geräte-PIN.

Ist ein Zugriffsschlüssel sicherer als ein Passwort?

Ja, und das deutlich. Der grundlegende Unterschied: Ein Passwort ist ein geteiltes Geheimnis, das an den Server gesendet und damit diebstahlgefährdet ist. Ein Zugriffsschlüssel überträgt sein Geheimnis nie. Passkeys basieren auf Elliptischer-Kurven-Kryptografie (P-256 / ECDSA), was einer effektiven Sicherheitsstärke von etwa 128 Bit entspricht. Um ein gleichwertiges Niveau mit einem Passwort zu erreichen, bräuchte man rund zwanzig vollständig zufällige Zeichen - etwas, das kein Mensch spontan erzeugt oder auswendig kennt.

Über die reine Robustheit hinaus eliminiert der Zugriffsschlüssel eine ganze Klasse von Risiken:

• Keine schwachen oder seitenübergreifend wiederverwendeten Passwörter
• Keine Passwortdatenbank, die gestohlen werden kann (der Server speichert nur den öffentlichen Schlüssel, der ohne den privaten nutzlos ist)
• Kein Credential Stuffing (das massenhafte Testen von Zugangsdaten aus Datenlecks)
• Kein erzwungener Wechsel alle 90 Tage
• Keine absurden Passwortregeln (Großbuchstabe Pflicht, Sonderzeichen erforderlich, maximal 16 Zeichen)

Warum sind Zugriffsschlüssel Phishing-resistent?

Ein Zugriffsschlüssel ist kryptografisch an die exakte Domain gebunden, für die er erstellt wurde. Auf einer gefälschten Website - selbst wenn sie optisch identisch aussieht - wird er schlicht nicht aktiviert. Es gibt nichts abzufangen und nichts wiederzuverwenden.

Das ist ein struktureller Unterschied zum Passwort. Eine gefälschte Website kann ein identisches Anmeldeformular anzeigen und Ihre Zugangsdaten abgreifen. Bei einem Zugriffsschlüssel schlägt die Authentifizierung technisch still fehl - selbst wenn der Nutzer den Betrug nicht bemerkt -, und keine verwertbaren Informationen werden an die Phishing-Site übermittelt.

Dieser Schutz greift auch gegen AiTM-Angriffe (Adversary-in-the-Middle) in Echtzeit, die selbst klassisches 2FA nicht abwehrt.

Kann mein Fingerabdruck wie ein Passwort gestohlen werden?

Nein. Der Fingerabdruck (oder Face ID) verlässt Ihr Gerät niemals. Er wird nicht über das Netzwerk übertragen und nicht auf dem Server des Dienstes gespeichert. Er dient ausschließlich dazu, den kryptografischen Schlüssel lokal zu entsperren, der dann die eigentliche Authentifizierung vornimmt.

Die Website sieht Ihren Fingerabdruck nie, empfängt ihn nie und kann ihn daher auch nicht verlieren. Das ist grundlegend anders als bei einem Passwort, das bei jeder Anmeldung an den Server übermittelt wird und kompromittiert ist, sobald die Datenbank gehackt wird.

Falls Touch ID oder Face ID nicht verfügbar ist (verletzter Finger, defekter Sensor), springt die Geräte-PIN ein. Biometrie ist ein Komfortmerkmal, keine Abhängigkeit.

Wie erstellt man einen Zugriffsschlüssel?

Einen Zugriffsschlüssel erstellt man in den Sicherheitseinstellungen des jeweiligen Kontos: „Zugriffsschlüssel erstellen" auswählen und anschließend mit der Geräteentsperrung bestätigen (Face ID, Fingerabdruck oder PIN). Der Vorgang dauert wenige Sekunden und wird für jeden kompatiblen Dienst separat wiederholt.

Je nach Umgebung:

• Bei einem Google-Konto: Bereich „Sicherheit" im Konto, dann „Passkeys", dann „Passkey erstellen".
• Bei Apple-Geräten: Beim Anmelden bei einem kompatiblen Dienst schlägt iOS oder macOS automatisch vor, einen Zugriffsschlüssel im iCloud-Schlüsselbund zu speichern.
• Bei den meisten kompatiblen Websites: Eine Option „Ohne Passwort anmelden" oder „Zugriffsschlüssel hinzufügen" erscheint in den Sicherheitseinstellungen des Kontos.

Ein wichtiger Punkt bei der Erstellung: Sie wählen - oft ohne es bewusst wahrzunehmen - wo der Schlüssel gespeichert wird (Systemschlüsselbund, Browser oder Passwort-Manager). Diese Entscheidung bestimmt, auf welchen Geräten Sie ihn später vorfinden. Es ist möglich, für dasselbe Konto mehrere Zugriffsschlüssel zu erstellen, zum Beispiel einen pro Gerät. Einige Dienste, darunter Octopussian, ermöglichen die direkte Anmeldung mit einem Zugriffsschlüssel.

Was passiert, wenn ich mein Handy oder meinen Computer verliere?

Die Antwort hängt davon ab, wo Ihre Zugriffsschlüssel gespeichert sind. Sind sie über den iCloud-Schlüsselbund (Apple) oder den Google Password Manager synchronisiert, stehen sie automatisch auf Ihren anderen Geräten desselben Ökosystems bereit. Ein iPhone- oder PC-Wechsel mit demselben Konto verläuft nahtlos.

Wurde der Zugriffsschlüssel hingegen nur lokal auf einem einzigen Gerät erstellt, bedeutet dessen Verlust den Verlust des Zugangs. Deshalb behalten die meisten Dienste während der Übergangsphase eine alternative Anmeldemethode bei. Ein Passwort-Manager, der Zugriffsschlüssel geräte- und browserübergreifend synchronisiert, reduziert dieses Risiko erheblich.

Wo werden meine Zugriffsschlüssel gespeichert?

Zugriffsschlüssel werden vom „Provider" gespeichert, den Sie bei der Erstellung wählen - oder der sich aufdrängt. Die wichtigsten sind: iCloud Keychain (Apple), Google Password Manager (Chrome), Windows Hello (Windows) sowie Passwort-Manager von Drittanbietern.

Jeder Provider hat seinen eigenen Synchronisierungsbereich:

• iCloud Keychain synchronisiert zwischen allen Apple-Geräten, aber nicht darüber hinaus
• Google Password Manager synchronisiert auf allen Chrome-Browsern, unabhängig vom Betriebssystem, aber nicht in Safari
• Unter Windows verwaltet Windows Hello Zugriffsschlüssel auf Systemebene, mit einer Synchronisierung über das Microsoft-Konto je nach Windows-Version
• Ein Passwort-Manager eines Drittanbieters kann auf allen Geräten und Browsern funktionieren

Die häufige Falle: Beim Erstellen eines Zugriffsschlüssels können sich mehrere Provider gleichzeitig anbieten (die Erweiterung des Passwort-Managers, der Browser und das Betriebssystem). Touch ID erweckt zum Beispiel den Eindruck, „der Mac kümmert sich darum", obwohl im Hintergrund entweder Chrome oder macOS den Schlüssel speichert. Wer bei der Erstauswahl nicht aufpasst, findet den Zugriffsschlüssel auf einem anderen Gerät möglicherweise nicht wieder.

Konkrete Folge: Ein unter Chrome erstellter Zugriffsschlüssel wird Ihnen nicht angeboten, wenn Sie Safari auf demselben Mac öffnen - jeder Anbieter führt seine eigene Liste, die nicht mit anderen geteilt wird. Bei der Erstellung ist nicht klar ersichtlich, wer die Kontrolle übernimmt, und die Oberfläche erleichtert es auch nachträglich nicht, herauszufinden, wer den Schlüssel besitzt.

Wie kann ich einen Zugriffsschlüssel anzeigen, umbenennen oder löschen?

Es gibt noch keinen einzigen zentralen Ort, um alle Zugriffsschlüssel einzusehen: Sie sind je nach gewähltem Provider auf verschiedene Oberflächen verteilt. Die Verwaltung erfolgt daher an zwei Stellen - auf dem Gerät und beim Dienst.

So finden oder löschen Sie einen Zugriffsschlüssel je nach Speicherort:

• In Chrome: Passworteinstellungen des Browsers
• Unter macOS: Systemeinstellungen, Bereich „Passwörter"
• In einem Drittanbieter-Manager: im Tresor, im dedizierten Bereich für Zugriffsschlüssel

Auf Seite der Dienste zeigen seriöse Websites eine Liste der für Ihr Konto hinterlegten Zugriffsschlüssel an, mit der Möglichkeit, diese umzubenennen (um das zugehörige Gerät zu identifizieren) und zu widerrufen. Da es leicht passiert, unbeabsichtigt mehrere Schlüssel für dasselbe Konto bei verschiedenen Providern zu erstellen, empfiehlt es sich, einen einzigen Provider zu wählen und dabei zu bleiben.

Werden Zugriffsschlüssel Passwörter ersetzen?

Nicht sofort. Die großen Anbieter (Google, Apple, Microsoft) treiben eine passwortfreie Zukunft voran, doch solange nicht alle Dienste Zugriffsschlüssel unterstützen, bleibt das Passwort notwendig - und das nicht nur aus Gewohnheit.

Es gibt einen handfesten Grund: Ein Zugriffsschlüssel allein kann Sie aussperren. Wenn eine Website ausschließlich den Zugriffsschlüssel akzeptiert und er nicht synchronisiert ist, kann ein Gerätewechsel den Zugang kosten. Eine Fallback-Methode bleibt daher heute unverzichtbar: ein Passwort, ein per E-Mail versandter Einmal-Link oder Wiederherstellungscodes. Synchronisierte Zugriffsschlüssel (iCloud-Schlüsselbund, Google, Drittanbieter-Manager) reduzieren dieses Risiko erheblich, indem sie dem Nutzer von Gerät zu Gerät folgen - doch dieses Sicherheitsnetz behält seinen Wert für die Dauer der Übergangsphase.

Die Verbreitung schreitet jedoch zügig voran, und langfristig dürfte das Passwort zur Ausnahme statt zur Regel werden. Bis dahin bietet ein Passwort-Manager, der sowohl klassische Passwörter als auch Zugriffsschlüssel verwalten kann, das beste Übergangserlebnis.

Das Wichtigste auf einen Blick

• Ein Zugriffsschlüssel (Passkey) ist ein kryptografischer Schlüssel, der an Ihr Gerät gebunden ist - robuster und einfacher als ein Passwort
• Er ist strukturell Phishing-resistent: Er funktioniert nur auf der exakten Domain, für die er erstellt wurde
• Ihr Fingerabdruck verlässt Ihr Gerät niemals und kann nicht über eine Website gestohlen werden
• Wählen Sie einen einzigen Provider zum Speichern Ihrer Zugriffsschlüssel, um Verwirrung zwischen Geräten zu vermeiden
• Behalten Sie eine Fallback-Methode (Passwort, E-Mail-Link, Wiederherstellungscodes): Ein nicht synchronisierter Zugriffsschlüssel kann Sie aussperren
• Ein Passwort-Manager mit Passkey-Unterstützung vereinfacht die geräteübergreifende Verwaltung

Starke Authentifizierung und vertrauenswürdiges Hosting gehören zusammen. Entdecken Sie unseren Ansatz zu Sicherheit und digitaler Souveränität.