Passkeys ermöglichen die Anmeldung bei unterstützten Websites und Apps ohne klassisches Passwort. Sie basieren auf dem offenen FIDO2-Standard: Ein geheimer Schlüssel bleibt auf dem Gerät oder in einem geschützten Passkey-Manager, während der Dienst nur den öffentlichen Schlüssel erhält. Der größte Vorteil ist der Schutz vor vielen typischen Phishing-Angriffen. Nachteile sind vor allem die Abhängigkeit von kompatiblen Diensten, die Organisation der Wiederherstellung bei Geräteverlust und teilweise die Bindung an einen bestimmten Passkey-Anbieter.
Passkeys sind für viele Privatpersonen eine empfehlenswerte Alternative zu wiederverwendeten Passwörtern. Wer sie einrichtet, sollte immer vorher prüfen, wie der Zugang bei Verlust des Smartphones oder eines Sicherheitsschlüssels wiederhergestellt werden kann. Dieser Ratgeber erklärt Funktion, Sicherheit und Grenzen mit konkreten Alltagssituationen.
Passkeys: Vorteile und Nachteile auf einen Blick
| Vorteile | Nachteile und Einschränkungen |
|---|---|
| Phishing-resistente Anmeldung durch Bindung an die echte Website | Nicht alle Online-Dienste unterstützen Passkeys vollständig |
| Keine Passwörter, die erraten oder wiederverwendet werden können | Verlorene Geräte oder gesperrte Passkey-Manager erfordern Wiederherstellung |
| Einfacher Login per Geräte-PIN, Fingerabdruck oder Gesichtserkennung | Abhängigkeit von Betriebssystem, Manager oder Sicherheitsschlüssel möglich |
| Server speichern keinen geheimen privaten Passkey | Schwache Kontowiederherstellung kann trotzdem ein Angriffspunkt bleiben |
| Synchronisierte Passkeys können mehrere Geräte verbinden | Synchronisierung setzt einen entsprechend geschützten Anbieteraccount voraus |
| Hardware-Sicherheitsschlüssel bieten gerätegebundene Variante | Zusätzlicher Schlüssel kostet Geld und muss sicher als Reserve aufbewahrt werden |
Kurzurteil: Für die meisten normalen Nutzer sind synchronisierte Passkeys ein deutlich komfortablerer und gegen Phishing robuster Login als Passwort plus SMS-Code. Für besonders sensible Konten können gerätegebundene Passkeys auf Hardware-Sicherheitsschlüsseln sinnvoll sein. Das gilt allerdings nur, wenn auch Kontowiederherstellung, Geräteschutz und aktive Sitzungen abgesichert werden.
Vorteile von Passkeys
- Login ohne wiederverwendete oder abfangbare Passwörter.
- Starker Schutz gegen gefälschte Anmeldeseiten.
- Einfache Freigabe per Geräte-PIN oder Biometrie.
Nachteile von Passkeys
- Bei Geräteverlust kann der Zugang ohne Ersatzmethode schwierig werden.
- Nicht jeder Dienst und jede Plattform unterstützt dieselben Funktionen.
- Unsichere Kontowiederherstellung und gestohlene Sitzungen bleiben mögliche Risiken.
Was ist ein Passkey und wie funktioniert er?
Ein Passkey ist eine digitale Anmeldeberechtigung, die mithilfe asymmetrischer Kryptografie funktioniert. Beim Erstellen erzeugt das Gerät ein Schlüsselpaar: Der private Schlüssel verbleibt beim Authenticator beziehungsweise seinem geschützten Anbieter; der Dienst erhält nur den öffentlichen Schlüssel. Beim Login prüft der Dienst die signierte Antwort auf eine neue Herausforderung, ohne das Geheimnis übertragen zu müssen.
Das Sicherheitsmodell baut auf FIDO2 auf, insbesondere auf WebAuthn für Websites und CTAP für die Kommunikation mit Authentifikatoren. Ein Passkey ist deshalb nicht mit einem in der Cloud gespeicherten Klartext-Passwort zu verwechseln.
So sieht eine Anmeldung mit Passkey aus
- Du öffnest die echte Website oder App eines Dienstes, bei dem du einen Passkey angelegt hast.
- Der Dienst bietet „Mit Passkey anmelden“ an.
- Das Gerät oder der Passkey-Manager fordert eine lokale Freigabe über PIN, Gesichtserkennung oder Fingerabdruck.
- Der Authenticator signiert die technische Anmeldeanfrage für genau diesen Dienst.
- Der Dienst überprüft die Signatur mit dem gespeicherten öffentlichen Schlüssel.
Dein Fingerabdruck wird dabei nicht an die Website geschickt. Die biometrische Prüfung erfolgt lokal auf dem Gerät. Ein PIN-Code kann dieselbe lokale Freigabe übernehmen; Passkeys funktionieren daher auch ohne biometrische Anmeldung.
Warum kann eine gefälschte Login-Seite den Passkey nicht einfach abgreifen?
Der Authentifizierungsablauf ist an den richtigen Dienst beziehungsweise seine Domain gebunden. Ein Phishing-Formular unter einer täuschend ähnlichen Adresse kann den Passkey nicht wie ein eingetipptes Passwort übernehmen. Das schützt gut gegen klassische Login-Phishing-Seiten. Es schützt aber nicht automatisch vor jedem Betrug, zum Beispiel vor manipulierten Kontowiederherstellungen, bösartigen Erweiterungen oder einem bereits gestohlenen Sitzungstoken.
Synchronisierte Passkeys oder gerätegebundene Passkeys?
| Eigenschaft | Synchronisierter Passkey | Gerätegebundener Passkey |
|---|---|---|
| Speicherung | Geschützter Manager, gegebenenfalls geräteübergreifend synchronisiert | Bleibt auf dem vorgesehenen Gerät oder Hardware-Sicherheitsschlüssel |
| Neues Gerät | Über den Passkey-Anbieter möglicherweise direkt wieder verfügbar | Neuer Passkey oder hinterlegter Ersatzschlüssel nötig |
| Gerät verloren | Mit geschütztem Anbieteraccount oft wiederherstellbar | Ohne Ersatzgerät oder zweiten Zugang droht Kontosperre |
| Typischer Einsatz | Alltägliche Online-Konten und mehrere eigene Geräte | Besonders sensible Zugänge oder strengere IT-Vorgaben |
| Aufwand | Meist gering, wenn Anbieter und Geräte unterstützt werden | Zusatzgerät, Verwaltung und Aufbewahrung können nötig sein |
Was empfiehlt sich für Privatpersonen?
Wer Smartphone und Laptop nutzt, profitiert häufig von synchronisierten Passkeys über einen gut geschützten Manager. Voraussetzung ist, dass die Zugangsdaten für den Manager selbst geschützt und Wiederherstellungswege eingerichtet sind. Wer den Anbieter wechselt, sollte vorher prüfen, ob Passkeys übertragen oder mit dem alten Gerät zum neuen Anbieter hinzugefügt werden können.
Wann ist ein Hardware-Sicherheitsschlüssel sinnvoll?
Für Konten mit erhöhtem Sicherheitsbedarf kann ein FIDO2-Sicherheitsschlüssel hilfreich sein. Sinnvoll ist häufig ein zweiter, separat aufbewahrter Schlüssel als Reserve. Es wäre riskant, den einzigen Passkey für ein besonders wichtiges Konto ausschließlich auf einem einzelnen, leicht verlierbaren Gerät zu speichern.
Sind Passkeys sicherer als Passwörter?
Für typische Angriffe auf Passwörter – Wiederverwendung gestohlener Zugangsdaten, Erraten einfacher Passwörter und gefälschte Login-Websites – haben Passkeys deutliche Vorteile. Der Dienst speichert keinen privaten Schlüssel, den Angreifer aus seiner Passwortdatenbank direkt übernehmen könnten. Viele Anmeldevorgänge erfolgen zudem mit Gerätefreigabe statt einer zusätzlichen SMS-TAN.
Was Passkeys nicht verhindern
- Gestohlene aktive Sitzungen: Wer einen gültigen Sitzungscookie erlangt, kann unter Umständen bereits angemeldete Sitzungen missbrauchen.
- Schwache Kontowiederherstellung: Ein Service, der Kontozugang allein über eine unsichere E-Mail-Kette zurücksetzt, kann diesen Weg angreifbar machen.
- Missbrauch eines entsperrten Geräts: Wer vollen Zugriff auf ein entsperrtes Gerät und dessen Passkey-Manager bekommt, kann möglicherweise Aktionen auslösen.
- Betrug nach erfolgreicher Anmeldung: Ein Passkey prüft die Anmeldung, nicht die Seriosität jeder Kaufentscheidung oder Nachricht.
- Schlechte Gerätesicherheit: Veraltete Systeme und schädliche Software bleiben Probleme.
Ist die Cloud-Synchronisierung problematisch?
Synchronisierte Passkeys werden nach dem FIDO-Modell über geschützte Verfahren und Ende-zu-Ende-Verschlüsselung bereitgestellt. Das erleichtert den Gerätewechsel. Dennoch hängt die Wiederherstellung auch vom Passkey-Anbieter, seinen Kontoschutzmaßnahmen und der Verfügbarkeit des eigenen Zugangs ab. Wer maximale Unabhängigkeit möchte, sollte eine zusätzliche geeignete Wiederherstellungsmethode oder gerätegebundene Reserve vorsehen.
Handy verloren: Was passiert mit meinen Passkeys?
Fall A: Synchronisierter Passkey und weiteres eigenes Gerät vorhanden
Wenn der Passkey über einen kompatiblen Manager synchronisiert ist, kann er auf einem zweiten angemeldeten Gerät verfügbar sein. Du kannst damit den betroffenen Dienst öffnen, die registrierten Anmeldemethoden prüfen und gegebenenfalls den verlorenen Gerätezugang widerrufen.
Fall B: Nur ein gerätegebundener Passkey vorhanden
Dann wird der Zugang schwierig, wenn kein weiterer Passkey, Hardware-Schlüssel oder anderer vom Dienst unterstützter Wiederherstellungsweg eingerichtet wurde. Ein verlorener gerätegebundener Schlüssel ist normalerweise nicht aus einer Cloud-Sicherung wiederherstellbar.
Fall C: Wechsel von Android zu iPhone oder umgekehrt
Ein plattformübergreifender Passkey-Manager kann den Wechsel erleichtern. Alternativ lässt sich – solange das alte Gerät verfügbar ist – die Anmeldung auf dem neuen Gerät mit dem bisherigen Passkey durchführen und dort ein neuer Passkey registrieren. Am besten werden beide Geräte parallel eingerichtet, bevor das alte zurückgesetzt wird.
Sofortmaßnahmen nach einem Geräteverlust
- Das verlorene Gerät mit der offiziellen Such- oder Sperrfunktion des Plattformanbieters schützen.
- Auf einem sicheren Zweitgerät die wichtigsten Konten und den Passkey-Manager überprüfen.
- Aktive Sitzungen und angemeldete Geräte bei kritischen Diensten kontrollieren beziehungsweise abmelden.
- Verlorene gerätegebundene Passkeys widerrufen und durch neue ersetzen.
- Die Wiederherstellungsmethoden überprüfen, damit kein unsicherer Alternativzugang offenbleibt.
Passkeys sicher einrichten: Schritt für Schritt
Die Menünamen unterscheiden sich zwischen Websites. Die folgenden Schritte gelten als allgemeines Verfahren; es handelt sich nicht um Screenshots einer bestimmten App.
- Bei einem unterstützten Dienst direkt über die bekannte offizielle Website oder App anmelden.
- Den Bereich Sicherheit, Anmeldemethoden oder Passkeys öffnen.
- Prüfen, ob Konto-Wiederherstellungsoptionen und eine sichere Geräte-PIN vorhanden sind.
- Die Funktion Passkey hinzufügen auswählen und den vorgesehenen Manager beziehungsweise Sicherheitsschlüssel wählen.
- Die lokale Freigabe mit PIN oder Biometrie durchführen.
- Nach der Einrichtung abmelden und den Passkey-Login testweise erneut verwenden.
- Einen zweiten geeigneten Wiederherstellungsweg festlegen und vertrauliche Wiederherstellungscodes sicher verwahren, falls vorhanden.
- Unsichere ältere Anmeldewege entfernen oder einschränken, sofern der Dienst dies unterstützt und die Wiederherstellung gesichert ist.
Mit dem Smartphone am PC anmelden
Manche Dienste unterstützen einen geräteübergreifenden FIDO-Login. Am PC wird ein QR-Code angezeigt, den das Smartphone über den vorgesehenen Anmeldeablauf bestätigt. Dabei muss auch die Nähe zwischen den Geräten überprüft werden. Ein QR-Code, der aus einer unbekannten Nachricht stammt, sollte niemals unkritisch als Aufforderung zur Anmeldung verwendet werden.
Passkeys, Passwortmanager und Zwei-Faktor-Authentisierung im Vergleich
| Anmeldemethode | Typische Stärke | Typische Schwäche |
|---|---|---|
| Passwort allein | Nahezu überall einsetzbar | Phishing, Wiederverwendung, Datenlecks |
| Passwort + SMS-Code | Zusätzliche Hürde gegenüber Passwort allein | Codes können abgefragt oder weitergeleitet werden |
| Passwort + Authenticator-App | Meist besser als Passwort allein | Auch Einmalcodes sind auf Phishing-Seiten abfragbar |
| Synchronisierter Passkey | Phishing-resistent und bequem auf mehreren Geräten | Abhängigkeit von Manager und Kontowiederherstellung |
| Gerätegebundener Passkey | Sehr starke Bindung an geschützten Authenticator | Verlust ohne Reserve kann Zugang blockieren |
Ein guter Passwortmanager bleibt für Dienste ohne Passkey-Unterstützung sinnvoll. „Passkey“ und „Passwortmanager“ sind keine ausschließenden Alternativen: Viele Manager können heute beides verwalten.
Häufige Fragen zu Passkeys
Sind Passkeys kostenlos?
Die Nutzung von in Betriebssysteme integrierten Passkeys verursacht häufig keine separate Gebühr. Ein zusätzlicher Hardware-Sicherheitsschlüssel oder bestimmte Passwortmanager können kostenpflichtig sein.
Wird mein Fingerabdruck an Google, Apple oder die Website übertragen?
Der Dienst erhält beim Passkey-Login nicht deinen Fingerabdruck. Die biometrische Prüfung läuft auf dem Gerät und gibt den kryptografischen Anmeldevorgang frei.
Kann ich Passkeys ohne Fingerabdruck verwenden?
Ja. Geräte-PIN oder andere zulässige lokale Freigaben können anstelle biometrischer Daten verwendet werden.
Ist ein Passkey bei Gerätewechsel verloren?
Nicht unbedingt. Synchronisierte Passkeys können auf einem neuen Gerät wieder bereitstehen. Gerätegebundene Passkeys benötigen einen separaten neuen Zugang oder eine hinterlegte Wiederherstellung.
Kann ich noch ein Passwort nutzen?
Das hängt vom jeweiligen Dienst ab. Manche Websites bieten Passkeys zusätzlich zum Passwort, andere ermöglichen einen weitgehend passwortlosen Login. Der verbleibende Passwortweg kann ein eigenes Sicherheitsrisiko sein.
Sind Passkeys für Banking geeignet?
Wenn die Bank sie ausdrücklich als Anmeldemethode unterstützt und die jeweiligen Anforderungen erfüllt werden, können sie eine sichere Login-Methode sein. Für einzelne Transaktionen können weiterhin eigene Freigabeverfahren gelten.
Was passiert, wenn der Passkey-Anbieter gehackt wird?
Die Sicherheit hängt von der konkreten Implementierung und den Schutzmaßnahmen ab. Synchronisierte Passkeys werden im FIDO-Ökosystem verschlüsselt verwaltet. Dennoch sind Kontoschutz, Recovery und Gerätezugriff weiterhin wichtig.
Fazit: Passkeys sind sinnvoll – mit einem Plan für den Notfall
Passkeys sind für die meisten Menschen eine empfehlenswerte Verbesserung gegenüber wiederverwendeten Passwörtern. Sie senken das Risiko vieler klassischer Phishing-Angriffe und erleichtern die Anmeldung. Der wichtigste praktische Punkt ist die Vorsorge: Wer wichtige Konten auf Passkeys umstellt, sollte einen sicheren zweiten Zugang und eine verlässliche Wiederherstellungsmethode einrichten.
Passende weiterführende Artikel
- Internet: Vorteile und Nachteile
- Online-Banking: Vorteile und Risiken
- Smartphones: Vorteile und Nachteile
Quellen und Transparenz
Die Funktionsbeschreibungen basieren auf Informationen der FIDO Alliance und der Verbraucherzentrale. Der Text ist ein allgemeiner Ratgeber, kein eigener Sicherheitstest einzelner Geräte oder Anbieter.