Passkeys statt Passwort? Was die neue Anmeldung wirklich sicherer macht

Passwörter sind seit Jahrzehnten der Standard für Online-Konten – und gleichzeitig eine ständige Fehlerquelle. Sie werden vergessen, mehrfach verwendet oder auf täuschend echten Phishing-Seiten eingegeben. Passkeys setzen an einem anderen Punkt an: Statt eines gemeinsamen Geheimnisses nutzt die Anmeldung ein kryptografisches Schlüsselpaar, das an den jeweiligen Dienst gebunden ist.

Das klingt zunächst nach mehr Technik. Im Alltag kann es aber einfacher sein: Gerät entsperren, Anmeldung bestätigen, fertig. Entscheidend ist nicht das Schlagwort „passwortlos“, sondern der Schutz vor typischen Angriffen und eine vernünftige Wiederherstellung, falls ein Gerät verloren geht.

Was ist ein Passkey überhaupt?

Ein Passkey basiert in der Regel auf FIDO2/WebAuthn. Bei der Einrichtung erzeugt das Gerät ein kryptografisches Schlüsselpaar. Der öffentliche Schlüssel wird beim Online-Dienst gespeichert; der private Schlüssel bleibt beim Authenticator beziehungsweise wird bei synchronisierbaren Passkeys über die dafür vorgesehene Infrastruktur des Plattformanbieters geschützt zwischen eigenen Geräten synchronisiert.

Bei der Anmeldung muss deshalb kein Passwort an den Server übertragen werden. Der Dienst stellt stattdessen eine kryptografische Aufgabe, die mit dem passenden privaten Schlüssel beantwortet wird. WebAuthn bindet solche Zugangsdaten an den jeweiligen Dienst beziehungsweise dessen Domain. Genau diese Bindung ist ein wesentlicher Grund für den besseren Phishing-Schutz.

Warum schützt das besser vor Phishing?

Bei klassischem Phishing versucht eine gefälschte Webseite, ein verwendbares Anmeldegeheimnis abzugreifen. Bei einem Passwort funktioniert das leider erstaunlich direkt: Wer sein Kennwort auf der falschen Seite eingibt, hat es dem Angreifer praktisch übergeben.

Auch eine Zwei-Faktor-Anmeldung mit manuell eingegebenem Einmalcode ist nicht automatisch phishing-resistent. Ein Angreifer kann versuchen, Passwort und aktuellen Code in Echtzeit an den echten Dienst weiterzureichen. Laut NIST ist die Authentisierung mit Einmalcodes (OTP) nicht phishing-resistent.

WebAuthn arbeitet anders: Die kryptografische Antwort ist an den vorgesehenen Dienst gebunden. NIST nennt WebAuthn/FIDO2 ausdrücklich als Beispiel für phishing-resistente Authentisierung durch diese Bindung. Eine gefälschte Domain bekommt damit nicht einfach einen verwendbaren Anmeldenachweis für die echte Domain.

Passkey, 2FA oder Passwort-Manager: Was ersetzt was?

Hier lohnt sich eine nüchterne Trennung. Ein Passkey macht einen Passwort-Manager nicht über Nacht überflüssig. Viele Dienste unterstützen Passkeys noch nicht oder verwenden sie nur als zusätzliche Anmeldeoption. Für diese Konten bleiben einzigartige Passwörter und ein Passwort-Manager sinnvoll.

Mehrfaktor-Authentisierung bleibt ebenfalls wichtig. Das BSI rät dazu, die Zwei-Faktor-Authentisierung anzuwenden, sobald ein Online-Dienst dies ermöglicht. Wenn mehrere Verfahren zur Auswahl stehen, unterscheiden sie sich aber in ihrem Schutz. Das BSI nennt als hardwarebasierte Variante USB- oder NFC-Token (FIDO/U2F); NIST ordnet WebAuthn als phishing-resistent ein, Einmalcodes dagegen nicht.

Praktisch heißt das: Unterstützt ein wichtiger Dienst Passkeys sauber, ist das eine interessante Option. Gibt es nur Passwort plus Authenticator-App, ist auch das deutlich sinnvoller als ein Passwort allein. „Nicht perfekt“ ist kein guter Grund, einen vorhandenen zweiten Faktor abzuschalten.

Synchronisiert oder an ein Gerät gebunden?

Nicht jeder Passkey wird gleich gespeichert. Es gibt Zugangsdaten, die an einen bestimmten Hardware-Authenticator gebunden sind, und synchronisierbare Passkeys, die auf mehreren eigenen Geräten verfügbar gemacht werden können. Die Synchronisierung erhöht den Komfort und kann die Wiederherstellung erleichtern, verändert aber auch das Sicherheitsmodell.

NIST berücksichtigt synchronisierbare Authenticatoren inzwischen ausdrücklich in seinen aktuellen Digital Identity Guidelines. Dort ist unter anderem festgelegt, dass Schlüssel in der Synchronisationsinfrastruktur durch Zugriffskontrollen geschützt sein müssen, sodass nur der authentifizierte Nutzer darauf zugreifen kann, und dass dieser Zugriff durch eine Mehrfaktor-Authentisierung auf AAL2-Niveau abgesichert wird. Für die höchste Stufe (AAL3) verlangt NIST dagegen einen nicht exportierbaren privaten Schlüssel.

Für Privatpersonen und kleine Unternehmen bedeutet das: Nicht automatisch die komplizierteste Lösung wählen. Für ein normales Kundenkonto kann ein synchronisierter Passkey sehr praktikabel sein. Für besonders privilegierte Administratorzugänge kann ein separater Hardware-Authenticator sinnvoller sein – sofern der jeweilige Dienst ihn unterstützt und Wiederherstellung sowie Ersatz sauber geplant sind.

Der oft vergessene Punkt: Was passiert beim Geräteverlust?

Eine sichere Anmeldung ist nur die halbe Arbeit. Wer beim Verlust des Smartphones gleichzeitig den einzigen Passkey und sämtliche Wiederherstellungsmöglichkeiten verliert, hat zwar ein sehr gut geschütztes Konto – möglicherweise auch vor sich selbst.

Deshalb sollte vor der Umstellung geprüft werden, welche Wiederherstellungswege der konkrete Dienst anbietet. Je nach Anbieter können weitere registrierte Geräte, zusätzliche Authenticatoren oder Wiederherstellungsverfahren vorgesehen sein. Diese Mechanismen sind nicht bei jedem Dienst identisch.

Wichtige Konten zuerst prüfen: E-Mail, Cloud-Speicher, Unternehmenszugänge und Konten mit administrativen Rechten verdienen besondere Aufmerksamkeit.
Nicht den einzigen Zugang voreilig entfernen: Erst prüfen, ob der neue Passkey auf den vorgesehenen Geräten funktioniert und wie die Wiederherstellung geregelt ist.
Zusätzliche Faktoren sinnvoll hinterlegen: Wenn der Anbieter mehrere Passkeys oder Hardware-Authenticatoren erlaubt, kann ein kontrollierter Ersatzweg sinnvoll sein.
Das Plattformkonto absichern: Wer synchronisierte Passkeys nutzt, sollte auch das Konto, über das die Synchronisierung erfolgt, entsprechend stark schützen.

Biometrie: Wandert mein Fingerabdruck jetzt ins Internet?

Bei typischen Passkey-Anmeldungen dient Fingerabdruck oder Gesichtserkennung dazu, den Authenticator lokal freizuschalten. Nach Angaben der FIDO Alliance bleiben die biometrischen Informationen und deren Verarbeitung auf dem Gerät; der Online-Dienst erhält nicht einfach den Fingerabdruck oder ein Gesichtsbild. Als Freigabe nennt die FIDO Alliance neben Biometrie auch PIN oder Muster.

Das ist ein wichtiger Unterschied: Biometrie kann Teil der lokalen Freigabe sein, ist aber nicht der kryptografische Schlüssel, den der Online-Dienst speichert.

Sind Passkeys jetzt die Lösung für alles?

Nein. Passkeys beseitigen nicht jede Form von Kontomissbrauch. Ein bereits entsperrtes oder kompromittiertes Gerät, unsichere Wiederherstellungsprozesse, manipulierte Sitzungen oder Social Engineering verschwinden nicht, nur weil auf der Anmeldeseite kein Passwortfeld mehr steht.

Auch die Unterstützung unterscheidet sich zwischen Diensten, Geräten und Unternehmensumgebungen. Die zugrunde liegende WebAuthn-Technik entwickelt sich weiter: Laut W3C ist Web Authentication Level 3 am 25. August 2026 als W3C Recommendation erschienen. Das ändert jedoch nichts daran, dass die konkrete Umsetzung des jeweiligen Anbieters geprüft werden muss.

Fazit: Passkeys sind sinnvoll – mit Plan

Passkeys lösen ein echtes Problem: Sie können eine komfortable Anmeldung mit deutlich besserem Schutz gegen klassische Phishing-Angriffe verbinden. Gerade bei wichtigen Konten ist das ein Fortschritt gegenüber Passwort allein und auch gegenüber Verfahren, bei denen Einmalcodes manuell eingegeben werden.

Trotzdem gilt: Nicht blind überall umstellen. Entscheidend sind die Unterstützung des Dienstes, die Speicherung des Passkeys und ein nachvollziehbarer Wiederherstellungsweg. Wenn ein Dienst noch keine Passkeys unterstützt, bleiben ein einzigartiges Passwort im Passwort-Manager und eine verfügbare Mehrfaktor-Authentisierung eine vernünftige Lösung.

Wer seine bestehenden Passwörter zuerst ordentlich strukturieren möchte, findet dazu den DGH-IT-Beitrag „Schluss mit Passwort-Zetteln: Warum ein Passwort-Manager Ihren Alltag sicherer und einfacher macht“.

Bei der Absicherung wichtiger Konten oder kleiner Unternehmensumgebungen kann DGH-IT dabei unterstützen, vorhandene Anmeldeverfahren zu prüfen und eine Lösung zu wählen, die nicht nur auf dem Papier sicher ist, sondern im Alltag auch funktioniert.

Quellen & weiterführende Informationen

Alle Quellen abgerufen am 01.11.2026.