Passkeys erklärt: Das Ende der Passwörter?
Passkeys erklärt: Wie die Anmeldung ohne Passwort funktioniert, warum Phishing daran scheitert und was Gerätebindung und Geräteverlust praktisch bedeuten.
Was sind Passkeys?
Passkeys werden seit einigen Jahren von großen Anbietern wie Google und Apple als moderner Passwort-Ersatz beworben.
Passkeys haben das Potenzial, die Authentifizierung im Web grundlegend zu verändern. Die Technik ist mittlerweile tief in viele Betriebssysteme integriert, wirft in der Praxis aber auch Fragen zur Sicherheit und Portabilität auf.
Wie ein Passkey technisch funktioniert
Ein Passkey basiert auf asymmetrischer Kryptografie, ähnlich wie PGP. Es entsteht ein Schlüsselpaar aus öffentlichem und privatem Schlüssel.
Der öffentliche Schlüssel liegt beim Dienst, während der private Schlüssel dein Gerät niemals verlässt - dasselbe Prinzip, auf dem auch AES und die hybride Verschlüsselung im Web aufsetzen. Er wird sicher in der Hardware gespeichert (Secure Enclave, TPM). Beim Login bestätigt der Passkey deine Identität kryptografisch, ohne dass sensible Daten über das Netzwerk fließen.
Warum Passkeys sicherer sind als ein Passwort
Ein herkömmliches Passwort kann durch Phishing gestohlen werden oder in Datenlecks auftauchen - nicht selten, weil es zuvor im Klartext per E-Mail verschickt wurde.
Ein Passkey existiert hingegen nicht als Zeichenkette. Selbst eine täuschend echte Phishing-Seite scheitert, da der Passkey kryptografisch an die echte Domain des Anbieters gebunden ist - der Anmeldeversuch auf der falschen Domain erzeugt schlicht keine gültige Signatur. Gegen Angriffe auf eine bereits bestehende Sitzung schützt das nicht.
Die Kehrseite: Gerätebindung und Portabilität
Passkeys werden oft über Cloud-Dienste (iCloud Keychain, Google Passwort-Manager) zwischen eigenen Geräten synchronisiert.
Das bedeutet: Der Wechsel zwischen verschiedenen Ökosystemen ist bei Passkeys noch schwierig. Export-Standards für Passkeys sind noch nicht komplett ausgereift, was Nutzer oft an bestimmte Plattform-Anbieter bindet.
Was passiert bei einem Geräteverlust?
Solange die Cloud-Synchronisierung aktiv ist, stehen die Passkeys nach einem Geräteverlust auf einem neuen Gerät wieder bereit.
Voraussetzung ist ein stark abgesichertes Cloud-Konto, idealerweise selbst durch einen Passkey oder starke 2FA geschützt. Ein Verlust dieses Hauptkontos kann zum Verlust aller gebundenen Passkeys führen, was eine sorgfältige Absicherung erfordert.
Sind Passwörter durch Passkeys überflüssig?
Viele Dienste bieten Passkeys derzeit nur optional neben dem klassischen Passwort an.
Nicht jede Website unterstützt Passkeys bereits. Bis sich Passkeys flächendeckend durchsetzen, bleibt ein langes, einzigartiges Passwort - erzeugt durch unseren Passwort-Generator unter Passwort-Generator - unerlässlich. Nutze ergänzend immer die Zwei-Faktor-Authentifizierung.
Ersetzt ein Passkey auch die Zwei-Faktor-Authentifizierung (2FA)?
Ein Passkey kombiniert bereits Besitz (Gerät) und Inhärenz (Biometrie wie Fingerabdruck oder Gesichtserkennung).
Dadurch bietet ein Passkey standardmäßig ein Sicherheitsniveau, das über ein herkömmliches Passwort mit SMS-Code hinausgeht. SMS-Codes, Authenticator-Apps und Hardware-Schlüssel unterscheiden sich dabei erheblich: Ein per SMS zugestellter Code lässt sich abfangen oder über einen SIM-Tausch umleiten, ein Hardware-Schlüssel nach FIDO2 nicht.
Nutzung der Passkeys auf mehreren Geräten
Ja, durch aktive Cloud-Synchronisierung steht derselbe Passkey automatisch auf allen deinen verbundenen Geräten bereit.
Auch auf Computern außerhalb des eigenen Ökosystems lassen sich Passkeys verwenden. Ein QR-Code-Scan mit dem Smartphone reicht oft aus, um den Passkey sicher per Bluetooth zu bestätigen und sich anzumelden.
Fazit zur Passkey-Unterstützung
Bis Passkeys das klassische Passwort vollständig ablösen, wird noch Zeit vergehen.
Für Websites ohne Passkey-Support bleibt ein starkes Passwort mit 2FA die beste Wahl. Die Richtung ist aber absehbar: Immer mehr große Anbieter stellen auf Passkeys um.
Passkeys oder Passwort: was wofür taugt
Passkeys lösen das Passwort nicht überall ab, sondern zuerst dort, wo Phishing der eigentliche Angriffsweg ist. Weil der private Schlüssel das Gerät nie verlässt und die Anmeldung an die Domain gebunden ist, läuft eine nachgebaute Anmeldeseite ins Leere - sie bekommt schlicht nichts, was sie weiterverwenden könnte. Ein abgefangenes Passwort dagegen funktioniert überall dort, wo es wiederverwendet wurde.
Dagegen stehen zwei praktische Einschränkungen. Erstens die Wiederherstellung: Geht der Zugang zum Gerät oder zum synchronisierenden Konto verloren, braucht es einen zweiten Weg zurück ins Konto - und der ist bei vielen Diensten immer noch ein Passwort oder ein Wiederherstellungscode. Zweitens die Abdeckung: Aeltere Dienste, interne Anwendungen und viele Geräte im Heimnetz unterstützen den Standard schlicht nicht.
Die realistische Empfehlung
Passkeys überall dort einrichten, wo der Dienst sie anbietet - für den Rest bleibt ein Passwortmanager mit langen, je Dienst eigenen Passwörtern und einem zweiten Faktor. Beides parallel zu betreiben ist kein Uebergangskompromiss, sondern auf absehbare Zeit der Normalfall.