Zugriffsschlüssel (Passkey): die Alternative zum Passwort

Ein Zugriffsschlüssel - auf Englisch „Passkey" - ersetzt das Passwort durch einen kryptografischen Schlüssel, der an Ihr Gerät gebunden ist. Kein Merken, Eintippen oder Zurücksetzen mehr. Hier erfahren Sie, wie das funktioniert, wie Sie einen erstellen und was Sie vor der Umstellung wissen sollten.

Was ist ein Zugriffsschlüssel (Passkey) und wie funktioniert er?

Ein Zugriffsschlüssel besteht aus einem kryptografischen Schlüsselpaar: einem privaten Schlüssel, der auf Ihrem Gerät gespeichert ist, und einem öffentlichen Schlüssel, der beim Online-Dienst hinterlegt ist. Beim Anmelden beweist Ihr Gerät, dass es den privaten Schlüssel besitzt - ohne ihn jemals zu übertragen.

Konkret: Bei jeder Anmeldung stellt die Website eine zufällig generierte Frage (eine Zahlenfolge). Ihr Gerät beantwortet diese mit dem privaten Schlüssel, den es niemals preisgibt, und die Website prüft die Antwort anhand des öffentlichen Schlüssels. Da die Frage jedes Mal anders lautet, nützt eine abgefangene Antwort nichts - sie galt nur für genau diese eine, bereits vergangene Frage. Das ist das genaue Gegenteil eines Passworts, das immer gleich bleibt und nur einmal gestohlen werden muss, um dauerhaft missbraucht zu werden.

Die Authentifizierung wird durch eine einfache Geste ausgelöst: Touch ID, Face ID, Fingerabdruck oder Geräte-PIN.

Ist ein Zugriffsschlüssel sicherer als ein Passwort?

Ja, und zwar deutlich. Der grundlegende Unterschied: Ein Passwort ist ein gemeinsames Geheimnis, das an den Server übermittelt wird und damit gestohlen werden kann - ein Zugriffsschlüssel überträgt sein Geheimnis dagegen niemals. Passkeys basieren auf Elliptische-Kurven-Kryptografie (P-256 / ECDSA) und bieten rund 128 Bit effektive Sicherheit. Um ein gleichwertiges Niveau mit einem Passwort zu erreichen, bräuchte man etwa zwanzig vollständig zufällige Zeichen - etwas, das kein Mensch spontan erzeugt oder sich merkt.

Über die reine Robustheit hinaus eliminiert der Zugriffsschlüssel eine ganze Kategorie von Risiken:

• Kein schwaches oder wiederverwendetes Passwort über mehrere Dienste hinweg
• Keine Passwort-Datenbank, die gestohlen werden kann (der Server speichert nur den öffentlichen Schlüssel, der ohne den privaten wertlos ist)
• Kein Credential Stuffing (das massenhafte Testen von Zugangsdaten aus Datenlecks)
• Kein erzwungener Passwortwechsel alle 90 Tage
• Keine absurden Passwortregeln (Großbuchstabe Pflicht, Sonderzeichen, maximal 16 Zeichen)

Warum sind Zugriffsschlüssel Phishing-resistent?

Ein Zugriffsschlüssel ist kryptografisch an die exakte Domain gebunden, für die er erstellt wurde. Auf einer gefälschten Website - selbst einer, die optisch identisch aussieht - wird er schlicht nicht aktiviert. Es gibt nichts abzufangen und nichts wiederzuverwenden.

Das ist ein struktureller Unterschied zum Passwort. Eine gefälschte Website kann ein täuschend echtes Anmeldeformular anzeigen und Ihre Zugangsdaten abgreifen. Mit einem Zugriffsschlüssel schlägt die Authentifizierung technisch und ohne Rückmeldung fehl - selbst wenn der Nutzer den Betrug nicht bemerkt -, und es werden keinerlei verwertbare Informationen an die Angreifer übermittelt.

Dieser Schutz greift sogar gegen AiTM-Angriffe (Adversary-in-the-Middle) in Echtzeit, die selbst klassisches 2FA nicht aufhält.

Kann mein Fingerabdruck wie ein Passwort gestohlen werden?

Nein. Der Fingerabdruck (oder Face ID) verlässt Ihr Gerät niemals. Er wird nicht über das Netzwerk übertragen und nicht auf dem Server des Dienstes gespeichert. Er dient ausschließlich dazu, lokal den kryptografischen Schlüssel freizugeben, der dann die eigentliche Authentifizierung vornimmt.

Die Website sieht Ihren Fingerabdruck niemals, empfängt ihn nicht und kann ihn daher auch nicht verlieren. Das ist grundlegend anders als bei einem Passwort, das bei jeder Anmeldung an den Server gesendet wird und bei einem Datenbankeinbruch kompromittiert werden kann.

Und wenn Touch ID oder Face ID nicht verfügbar ist (verletzter Finger, defekter Sensor), übernimmt der Geräte-PIN. Biometrie ist ein Komfortmerkmal, keine Abhängigkeit.

Wie erstellt man einen Zugriffsschlüssel?

Ein Zugriffsschlüssel wird in den Sicherheitseinstellungen des jeweiligen Kontos erstellt: Option „Zugriffsschlüssel erstellen" auswählen und mit der Geräteentsperrung bestätigen (Face ID, Fingerabdruck oder PIN). Der Vorgang dauert wenige Sekunden und wird für jeden kompatiblen Dienst wiederholt.

Je nach Umgebung:

• Bei einem Google-Konto: Bereich „Sicherheit" im Konto, dann „Passkeys" und „Passkey erstellen".
• Auf einem Apple-Gerät: Bei der Anmeldung bei einem kompatiblen Dienst bietet iOS oder macOS an, einen Zugriffsschlüssel im iCloud-Schlüsselbund zu speichern.
• Auf den meisten kompatiblen Websites: Eine Option „Ohne Passwort anmelden" oder „Zugriffsschlüssel hinzufügen" erscheint in den Sicherheitseinstellungen des Kontos.

Ein wichtiger Punkt bei der Erstellung: Sie wählen - oft ohne es bewusst wahrzunehmen -, wo der Schlüssel gespeichert wird (Systemschlüsselbund, Browser oder Passwort-Manager). Diese Wahl bestimmt, auf welchen Geräten Sie ihn später vorfinden. Es ist möglich, mehrere Zugriffsschlüssel für dasselbe Konto zu erstellen, beispielsweise einen pro Gerät. Einige Dienste, darunter Octopussian, ermöglichen die direkte Anmeldung mit einem Zugriffsschlüssel.

Was passiert, wenn ich mein Telefon oder meinen Computer verliere?

Die Antwort hängt davon ab, wo Ihre Zugriffsschlüssel gespeichert sind. Wenn sie über iCloud Keychain (Apple) oder Google Password Manager synchronisiert werden, sind sie automatisch auf Ihren anderen Geräten desselben Ökosystems verfügbar. Ein iPhone- oder PC-Wechsel im selben Konto verläuft nahtlos.

Wurde der Zugriffsschlüssel hingegen nur lokal auf einem einzigen Gerät erstellt, bedeutet dessen Verlust den Verlust des Zugangs. Deshalb behalten die meisten Dienste während der Übergangszeit eine alternative Anmeldemethode. Ein Passwort-Manager, der Zugriffsschlüssel geräte- und browserübergreifend synchronisiert, reduziert dieses Risiko erheblich.

Wo werden meine Zugriffsschlüssel gespeichert?

Zugriffsschlüssel werden vom „Provider" gespeichert, den Sie bei der Erstellung wählen (oder der sich aufdrängt). Die wichtigsten sind iCloud Keychain (Apple), Google Password Manager (Chrome), Windows Hello (Windows) und externe Passwort-Manager.

Jeder Provider hat seinen eigenen Synchronisierungsbereich:

• iCloud Keychain synchronisiert zwischen allen Apple-Geräten, aber nicht darüber hinaus
• Google Password Manager synchronisiert auf allen Chrome-Browsern unabhängig vom Betriebssystem, jedoch nicht in Safari
• Unter Windows verwaltet Windows Hello Zugriffsschlüssel auf Systemebene, mit einer Synchronisierung über das Microsoft-Konto je nach Windows-Version
• Ein externer Passwort-Manager kann auf allen Geräten und Browsern funktionieren

Die häufigste Falle: Bei der Erstellung eines Zugriffsschlüssels können sich mehrere Provider gleichzeitig anbieten (die Passwort-Manager-Erweiterung, der Browser und das Betriebssystem). Touch ID erweckt beispielsweise den Eindruck, „der Mac regelt das", obwohl dahinter entweder Chrome oder macOS den Schlüssel speichert. Wer bei der anfänglichen Auswahl nicht aufpasst, riskiert, seinen Zugriffsschlüssel auf einem anderen Gerät nicht wiederzufinden.

Konkretes Beispiel: Ein unter Chrome erstellter Zugriffsschlüssel wird Ihnen nicht angeboten, wenn Sie Safari auf demselben Mac öffnen, da jeder Anbieter seine eigene Liste verwaltet, die nicht mit anderen geteilt wird. Bei der Erstellung ist nicht klar ersichtlich, wer die Kontrolle übernimmt, und auch nachträglich erleichtert die Benutzeroberfläche nicht, herauszufinden, welcher Anbieter den Schlüssel besitzt.

Wie kann ich einen Zugriffsschlüssel anzeigen, umbenennen oder löschen?

Es gibt noch keinen zentralen Ort, um alle Zugriffsschlüssel einzusehen: Sie sind je nach gewähltem Provider auf verschiedene Oberflächen verteilt. Die Verwaltung erfolgt daher an zwei Stellen - auf Geräteseite und auf Dienstseite.

So finden oder löschen Sie einen Zugriffsschlüssel je nach Speicherort:

• In Chrome: Passworteinstellungen des Browsers
• Unter macOS: Systemeinstellungen, Bereich „Passwörter"
• In einem externen Manager: im Tresor, im Bereich für Zugriffsschlüssel

Auf Dienstseite zeigen seriöse Websites die Liste der für Ihr Konto gespeicherten Zugriffsschlüssel an - mit der Möglichkeit, sie umzubenennen (um das zugehörige Gerät zu identifizieren) und zu widerrufen. Da es leicht passiert, unbeabsichtigt mehrere Schlüssel für dasselbe Konto bei verschiedenen Providern zu erstellen, ist es am einfachsten, sich für einen einzigen Provider zu entscheiden und dabei zu bleiben.

Werden Zugriffsschlüssel Passwörter ersetzen?

Nicht sofort. Die großen Anbieter (Google, Apple, Microsoft) treiben eine passwortfreie Zukunft voran, aber solange nicht alle Dienste Zugriffsschlüssel unterstützen, bleibt das Passwort notwendig - und das nicht nur aus Bequemlichkeit.

Es gibt einen konkreten Grund dafür: Ein Zugriffsschlüssel allein kann Sie aussperren. Wenn eine Website ausschließlich den Zugriffsschlüssel akzeptiert und dieser nicht synchronisiert ist, kann ein Gerätewechsel den Zugang unmöglich machen. Eine Ausweichmethode bleibt daher heute unverzichtbar: ein sicheres Passwort - etwa eine Passphrase -, ein per E-Mail versandter Einmal-Link oder Wiederherstellungscodes. Synchronisierte Zugriffsschlüssel (iCloud-Schlüsselbund, Google, Drittanbieter-Manager) verringern dieses Risiko erheblich, da sie dem Nutzer von Gerät zu Gerät folgen; dennoch behält dieses Sicherheitsnetz während der Übergangszeit seine volle Berechtigung.

Die Verbreitung schreitet dennoch zügig voran, und langfristig dürfte das Passwort zur Ausnahme statt zur Regel werden. In der Zwischenzeit bietet ein Passwort-Manager, der sowohl klassische Passwörter als auch Zugriffsschlüssel verwalten kann, das beste Übergangserlebnis.

Das Wichtigste auf einen Blick

• Ein Zugriffsschlüssel (Passkey) ist ein kryptografischer Schlüssel, der an Ihr Gerät gebunden ist - robuster und einfacher als ein Passwort
• Er ist strukturell Phishing-resistent: Er funktioniert nur auf der exakten Domain, für die er erstellt wurde
• Ihr Fingerabdruck verlässt Ihr Gerät niemals und kann nicht über eine Website gestohlen werden
• Wählen Sie einen einzigen Provider für die Speicherung Ihrer Zugriffsschlüssel, um Verwirrung zwischen Geräten zu vermeiden
• Behalten Sie eine Ausweichmethode (Passwort, E-Mail-Link, Wiederherstellungscodes): Ein einzelner, nicht synchronisierter Zugriffsschlüssel kann Sie aussperren
• Ein Passwort-Manager mit Passkey-Unterstützung vereinfacht die geräteübergreifende Verwaltung

Starke Authentifizierung und vertrauenswürdiges Hosting gehören zusammen. Erfahren Sie mehr über unseren Ansatz zu Sicherheit und digitaler Souveränität.