Wenn du dich in letzter Zeit bei deinem Google-, Apple- oder Microsoft-Konto angemeldet hast, bist du wahrscheinlich schon auf das Angebot gestoßen: „Möchtest du einen Passkey für dieses Konto erstellen?“
Viele Nutzer klicken dieses Pop-up-Fenster einfach weg, weil sie nicht genau wissen, wozu das gut sein soll. In diesem Beitrag beleuchte ich, was ein Passkey ist, wie er funktioniert und warum es sich lohnt, ihn zu nutzen.
Was ist ein Passkey?
Ein Passkey ist eine passwortlose Anmeldemethode, die herkömmliche Passwörter durch ein kryptografisches Schlüsselpaar ersetzt. Die Technologie basiert auf den WebAuthn- und FIDO2-Standards, die von der FIDO Alliance und dem World Wide Web Consortium (W3C) entwickelt wurden.
Im Wesentlichen geht es um zwei Schlüssel:
- Privater Schlüssel: Dieser verlässt dein Gerät (Telefon, Laptop, Sicherheitsschlüssel) nie, wird in verschlüsselter Form gespeichert und ist nur über biometrische Authentifizierung (Fingerabdruck, Gesichtserkennung) oder eine PIN zugänglich.
- Öffentlicher Schlüssel: Diesen erhält und speichert der Dienstanbieter (z. B. der Server einer Website), verknüpft mit deinem Konto.
Bei der Anmeldung sendet der Anbieter eine Verschlüsselungsaufgabe („Challenge“) an dein Gerät, die von deinem privaten Schlüssel signiert wird. Der Server überprüft diese Signatur mit dem bei ihm gespeicherten öffentlichen Schlüssel. Da der private Schlüssel das Gerät nie verlässt und nie über das Netzwerk gesendet wird, gibt es bei
einem Datenleck oder einem Phishing-Angriff nichts zu stehlen.
Wie unterscheidet er sich von Passwörtern?
| Kriterium | Passwort | Passkey |
| Durch Phishing stehlbar? | Ja | Nein |
| Bei Datenbank-Lecks entschlüsselbar? | Ja (wenn schwach) | Nein, da der Server nur den öffentlichen Schlüssel speichert |
| Auf mehreren Seiten wiederverwendbar? | Leider oft ja (risikoreich) | Nein, für jeden Dienst gibt es ein eindeutiges Schlüsselpaar |
| Erfordert Auswendiglernen? | Ja | Nein, das Gerät verwaltet ihn |
| Durch Brute-Force-Angriffe knackbar? | Theoretisch ja | Praktisch nein |
Wie funktioniert das in der Praxis?
- Registrierung: Wenn du einen Passkey bei einem Dienst erstellst, generiert dein Gerät ein eindeutiges Schlüsselpaar für diese Website.
- Speicherung: Der private Schlüssel wird sicher im Hardware-Sicherheitsmodul deines Geräts gespeichert (z. B. Secure Enclave auf Apple-Geräten, TPM auf Windows-Rechnern) und synchronisiert sich in der Regel mit deinem cloudbasierten Schlüsselbund (iCloud-Schlüsselbund, Google Passwort-Manager, Windows Hello).
- Anmeldung: Beim nächsten Login reicht es aus, den Fingerabdrucksensor zu berühren, in die Kamera zu schauen oder die PIN der Bildschirmsperre einzugeben – das Passwort entfällt im gesamten Prozess vollständig.
- Mehrere Geräte: Die meisten Plattformen (Apple, Google, Microsoft) unterstützen bereits die geräteübergreifende Synchronisierung von Passkeys. So kannst du dich mit einem auf dem Smartphone erstellten Passkey auch auf dem Laptop anmelden, beispielsweise durch Scannen eines QR-Codes.
Warum lohnt es sich, ihn zu nutzen?
- Resistent gegen Phishing
Der Passkey ist kryptografisch an die jeweilige Domain gebunden. Wenn dich eine gefälschte Phishing-Website täuschen will, kann sie schlichtweg keine gültige Passkey-Antwort von dir anfordern, da die Domain nicht übereinstimmt. Das schließt eine der häufigsten Formen von Phishing von Grund auf aus.
- Nichts zu stehlen bei einem Datenleck
Da Dienstanbieter nur den öffentlichen Schlüssel speichern, können Angreifer im Falle eines serverseitigen Datenlecks damit nichts anfangen – es lässt sich daraus kein Passwort „entschlüsseln“ oder auf anderen Seiten ausprobieren.
- Bequemer als die Kombination aus Passwort + Zwei-Faktor-Authentifizierung
Du musst dir kein Passwort merken und nicht auf SMS-Codes warten. Ein Tippen oder ein Blick genügt – während das Sicherheitsniveau praktisch dem eines starken Passworts in Kombination mit einer Hardware-Zwei-Faktor-Authentifizierung entspricht.
- Keine Wiederverwendung bei mehreren Diensten möglich
Einer der häufigsten Sicherheitsfehler ist die Verwendung desselben Passworts für mehrere Konten. Bei Passkeys ist das technisch ausgeschlossen, da für jeden Dienst ein separates Schlüsselpaar existiert.
- Immer breitere Unterstützung
Große Technologiedienstleister (Google, Apple, Microsoft), die meisten größeren E-Commerce-Seiten (Amazon, eBay, Target) und zahlreiche Fintech-Anbieter (PayPal, Coinbase, Robinhood) unterstützen die Anmeldung per Passkey. Auch in Unternehmenssystemen (SaaS, Arbeitsplatz) verbreitet sie sich rasch – oft aufgrund von Sicherheits-Compliance-Anforderungen (SOC 2, ISO 27001). Traditionelle Banken und Behördenportale hinken hier noch hinterher, aber der Trend geht eindeutig in diese Richtung.
Was sind die Nachteile und Einschränkungen?
- Geräteabhängigkeit: Wenn du dein Gerät verlierst und keine Cloud-Synchronisierung oder alternative Zugangsmethode eingerichtet ist, kann es passieren, dass du dich aus deinem Konto aussperrst. Aus diesem Grund bieten die meisten Dienste weiterhin alternative Login-Optionen an (z. B. Wiederherstellungscodes).
- Noch nicht von allen Diensten unterstützt: Obwohl die Akzeptanz schnell wächst, haben viele kleinere Websites und traditionelle Banken die Technologie noch nicht eingeführt.
- Plattformübergreifende Kompatibilität: Obwohl sich vieles verbessert hat, kann es beim Wechsel zwischen verschiedenen Betriebssystemen (z. B. Android und Windows) gelegentlich zu Hürden kommen.
- Lernkurve: Es kann für weniger technisch versierte Nutzer etwas Zeit in Anspruch nehmen, sich an das neue System zu gewöhnen.
Wie fängst du am besten an?
Wenn du Passkeys ausprobieren möchtest, lohnt es sich dort anzufangen, wo sie bereits sicher verfügbar sind:
- Öffne die Sicherheitseinstellungen deines Google-, Apple- oder Microsoft-Kontos.
- Suche nach dem Menüpunkt „Passkey“ oder „Passwortlose Anmeldung“.
- Folge den Anweisungen – meist reicht ein Fingerabdruck oder eine Gesichtserkennung zur Erstellung aus.
- Es empfiehlt sich, dein Passwort vorerst als Backup aufzubewahren, bis alle deine wichtigen Dienste Passkeys unterstützen.
Fazit
Passkeys sind eine der vielversprechendsten Entwicklungen für die Zukunft der Authentifizierung: Sie bieten einen stärkeren Schutz vor Phishing sowie Datenlecks und sind gleichzeitig bequemer als herkömmliche Passwörter. Obwohl der Übergang noch nicht abgeschlossen ist, fördern große Technologieunternehmen und immer mehr Onlinedienste deren Nutzung aktiv. Es lohnt sich, sich schon jetzt damit vertraut zu machen und Passkeys überall dort einzurichten, wo sie verfügbar sind, schließlich ist dies einer der einfachsten Wege, die Sicherheit deiner Konten erheblich zu verbessern.
