Was sind Passkeys und sollten Sie sie nutzen?

von

Passkeys sind digitale Schlüssel, die das Passwort ersetzen: Sie melden sich an, indem Sie Ihr Smartphone oder Ihren Computer per Fingerabdruck, Gesichtserkennung oder Geräte-PIN entsperren. Weil dabei kein Geheimnis eingetippt oder übertragen wird, laufen Phishing-Seiten ins Leere. Wo ein Dienst Passkeys anbietet, sollten Sie sie in den meisten Fällen nutzen, vorausgesetzt, Sie haben vorher geklärt, was bei Verlust des Geräts passiert.

Kurz zusammengefasst

Ein Passkey besteht aus zwei zusammengehörigen Schlüsseln: Der geheime bleibt auf Ihrem Gerät, der öffentliche liegt beim Dienst. Das Verfahren beruht auf dem Standard FIDO2 und ist an die echte Webadresse gebunden, deshalb kann eine gefälschte Seite damit nichts anfangen. Synchronisierte Passkeys im iCloud-Schlüsselbund, im Google Passwortmanager oder in einem Passwort-Manager überstehen auch den Verlust eines Handys. Viele große Dienste wie Google, Apple, Microsoft, Amazon und PayPal unterstützen Passkeys bereits. Behalten Sie für den Notfall immer einen zweiten Anmeldeweg.

Was ist ein Passkey?

Ein Passkey ist ein Anmeldeschlüssel, der aus einem kryptografischen Schlüsselpaar besteht und an genau ein Konto bei genau einem Dienst gebunden ist. Wenn Sie einen Passkey anlegen, erzeugt Ihr Gerät zwei Schlüssel. Den geheimen Schlüssel speichert es intern, den passenden öffentlichen Schlüssel schickt es an den Dienst. Ein Passwort müssen Sie sich dafür nicht ausdenken.

Beim nächsten Login stellt der Dienst Ihrem Gerät eine Art Rechenaufgabe, die sich nur mit dem geheimen Schlüssel lösen lässt. Ihr Gerät löst sie, nachdem Sie es per Fingerabdruck, Gesicht oder PIN freigegeben haben, und schickt die Antwort zurück. Der Dienst prüft sie mit dem öffentlichen Schlüssel. Der geheime Schlüssel verlässt Ihr Gerät dabei nie.

Ein häufiges Missverständnis: Ihr Fingerabdruck oder Ihr Gesichtsscan wird nicht an den Dienst geschickt. Die Biometrie dient nur dazu, das eigene Gerät zu entsperren. Das BSI betont diese Trennung ausdrücklich, und auch Google weist darauf hin, dass biometrische Daten auf dem Gerät bleiben.

Für jedes Konto entsteht ein eigener Passkey. Haben Sie bei zehn Diensten Passkeys eingerichtet, liegen auf Ihrem Gerät zehn verschiedene geheime Schlüssel.

Was haben FIDO2 und WebAuthn damit zu tun?

FIDO2 ist der offene Standard, auf dem Passkeys technisch aufbauen. Entwickelt wurde er von der FIDO Alliance, einem Zusammenschluss von Technologieunternehmen, zu dem unter anderem Apple, Google und Microsoft gehören. Der Standard besteht aus zwei Teilen.

  • WebAuthn ist die Schnittstelle im Browser. Über sie fragt eine Webseite den Passkey an.
  • CTAP regelt die Verbindung zwischen Computer und externem Schlüssel, etwa einem USB-Sicherheitsschlüssel oder einem Smartphone, das Sie zum Anmelden am PC verwenden.

Für Sie als Nutzer ist vor allem eines wichtig: Weil alle großen Hersteller denselben Standard verwenden, funktioniert ein Passkey grundsätzlich in Chrome, Safari, Firefox und Edge sowie auf Android, iOS, Windows und macOS. Ältere Betriebssystem- und Browserversionen unterstützen ihn teils nicht, darauf weist die Verbraucherzentrale NRW hin.

Warum schützen Passkeys vor Phishing?

Passkeys schützen vor Phishing, weil Ihr Gerät einen Passkey nur für die Webadresse herausgibt, für die er erstellt wurde. Landen Sie auf einer täuschend echten Kopie Ihrer Bankseite mit leicht abweichender Adresse, findet Ihr Gerät schlicht keinen passenden Schlüssel. Es gibt nichts, was Sie versehentlich eintippen könnten, und nichts, was die Betrüger abfangen könnten.

Das ist der entscheidende Unterschied zu SMS-Codes und Authenticator-Apps. Diese zusätzlichen Codes helfen gegen gestohlene Passwörter, aber nicht gegen eine Phishing-Seite, die Passwort und Code in Echtzeit an die echte Seite weiterreicht. Das BSI bewertet sowohl gerätegebundene als auch synchronisierte Passkeys als resistent gegen übliche Phishing-Angriffe.

Ein zweiter Vorteil zeigt sich bei Datenlecks. Beim Dienst liegt nur der öffentliche Schlüssel, und der ist für Angreifer wertlos. Ein gehackter Online-Shop kann Ihre Passkeys also nicht verraten, wie er es mit Passwörtern tun könnte. Wie Sie Betrugsversuche trotzdem erkennen, die gar nicht auf Ihr Passwort zielen, sondern auf Überweisungen oder Codes am Telefon, lesen Sie unter Phishing erkennen.

Wo werden Passkeys gespeichert und synchronisiert?

Passkeys liegen entweder in einem Synchronisationsdienst, der sie auf alle Ihre Geräte verteilt, oder fest auf einem einzelnen Gerät. Die FIDO Alliance unterscheidet deshalb synchronisierte und gerätegebundene Passkeys.

Speicherort Verfügbar auf Wiederherstellung bei Verlust Gut zu wissen
iCloud-Schlüsselbund / Passwörter-App iPhone, iPad, Mac, mit iCloud für Windows auch in Chrome und Edge Über die Anmeldung am Apple Account auf einem neuen Gerät Ende-zu-Ende-verschlüsselt, setzt Zwei-Faktor-Authentifizierung beim Apple Account voraus
Google Passwortmanager Android und Chrome unter Windows, macOS und Linux Mit der Displaysperre eines Android-Geräts oder der Passwortmanager-PIN Ende-zu-Ende-verschlüsselt, die PIN ist standardmäßig sechsstellig
Unabhängiger Passwort-Manager Alle Geräte, auf denen der Manager läuft Über das Masterpasswort und die Wiederherstellung des Anbieters Praktisch, wenn Sie Apple- und Android-Geräte mischen
Windows Hello (lokal) Nur der eine Windows-PC Laut Verbraucherzentrale NRW nicht wiederherstellbar Zweiten Anmeldeweg zwingend behalten
Hardware-Sicherheitsschlüssel Jedes Gerät, an das Sie den Schlüssel anschließen oder halten Keine, der Schlüssel lässt sich nicht kopieren Höchste Sicherheit, das BSI rät zu einem zweiten Schlüssel als Reserve

Für die meisten Privatleute ist der synchronisierte Passkey die richtige Wahl. Er ist bequem und übersteht einen Handywechsel. Das BSI bewertet ihn in allen Kategorien positiv, solange ein funktionierendes Backup vorhanden ist. Die Sicherheit des Synchronisationsdienstes selbst hängt dann allerdings am Schutz Ihres Apple-, Google- oder Passwort-Manager-Kontos. Sichern Sie dieses Konto deshalb besonders gut ab, wie im Ratgeber Zwei-Faktor-Authentifizierung einrichten beschrieben.

Lange war es schwierig, Passkeys von einem Anbieter zum anderen mitzunehmen. Die FIDO Alliance hat dafür ein Austauschverfahren entwickelt, das Apple nach eigener Ankündigung mit iOS 26 und macOS 26 unterstützt. Ob Ihr Wunsch-Programm den Import beherrscht, sollten Sie vor einem Umzug in dessen Hilfe nachlesen.

So legen Sie Ihren ersten Passkey an

Einen Passkey legen Sie in den Sicherheitseinstellungen des jeweiligen Dienstes an. Viele Dienste schlagen es inzwischen auch nach dem Login von selbst vor. Ein guter Startpunkt ist Ihr Google-Konto, weil der Ablauf dort typisch ist:

  1. Öffnen Sie in Ihrem Google-Konto den Bereich „Sicherheit und Anmeldung“ und dort „Passkeys und Sicherheitsschlüssel“.
  2. Tippen Sie auf „Passkey erstellen“.
  3. Bestätigen Sie mit Fingerabdruck, Gesicht oder Displaysperre.
  4. Melden Sie sich zur Probe einmal ab und mit dem Passkey wieder an.

Google weist auf zwei Dinge hin. Erstellen Sie Passkeys nur auf Geräten, die Sie allein besitzen und nutzen, denn wer das Gerät entsperren kann, kommt auch in Ihr Konto. Und ein neu erstellter Passkey kann bis zu sieben Tage brauchen, bis er für die Anmeldung zur Verfügung steht.

Bei anderen Diensten finden Sie die Option meist unter Bezeichnungen wie „Anmeldung und Sicherheit“, „Passkeys“ oder „Passwortlose Anmeldung“.

Anmelden auf einem fremden oder neuen Gerät

Auf einem Computer, auf dem Ihr Passkey nicht gespeichert ist, melden Sie sich mit Ihrem Smartphone an. Die Anmeldeseite zeigt einen QR-Code, den Sie mit dem Handy scannen. Danach bestätigen Sie die Anmeldung auf dem Handy. Bluetooth muss dafür an beiden Geräten eingeschaltet sein, weil so geprüft wird, dass das Handy tatsächlich in der Nähe ist. Ein Angreifer am anderen Ende der Welt kann diesen Weg also nicht nutzen.

Auf dem fremden Rechner wird dabei kein Passkey gespeichert. Wenn der Browser anbietet, einen anzulegen, lehnen Sie bei geteilten oder öffentlichen Computern ab.

Wichtig

Löschen Sie Ihr Passwort nicht sofort, nur weil Sie einen Passkey eingerichtet haben. Behalten Sie mindestens einen zweiten Weg ins Konto, etwa ein starkes Passwort mit Authenticator-App oder Backup-Codes, die Sie offline aufbewahren. Gerade bei gerätegebundenen Passkeys unter Windows Hello oder auf einem einzelnen Sicherheitsschlüssel ist das die einzige Rettung, wenn das Gerät ausfällt.

Was passiert, wenn das Handy verloren geht?

Bei synchronisierten Passkeys verlieren Sie nichts, solange Sie wieder an Ihr Apple-, Google- oder Passwort-Manager-Konto kommen. Nach der Anmeldung auf dem neuen Gerät sind die Passkeys wieder da. Bei Apple brauchen Sie dafür nach Angaben der Verbraucherzentrale NRW das Passwort Ihres Apple Accounts, den Gerätecode und eine Telefonnummer, die SMS empfangen kann. Bei Google benötigen Sie die Displaysperre eines bisherigen Android-Geräts oder die Passwortmanager-PIN.

Sperren Sie trotzdem sofort das verlorene Gerät:

  1. Melden Sie das Gerät aus Ihrem Konto ab. Bei Google geht das unter „Sicherheit und Anmeldung“ › „Alle Geräte verwalten“, bei Apple in der Geräteliste Ihres Apple Accounts.
  2. Entfernen Sie Passkeys, die nur auf diesem Gerät gespeichert waren, in den Kontoeinstellungen der jeweiligen Dienste.
  3. Lassen Sie die SIM-Karte sperren.
  4. Legen Sie auf dem neuen Gerät bei Bedarf neue Passkeys an.

Ein Finder kann mit Ihren Passkeys übrigens nichts anfangen, solange er Ihr Gerät nicht entsperren kann. Eine sichere Displaysperre ist deshalb die Grundlage. Mehr dazu im Beitrag Smartphone absichern.

Wo können Sie Passkeys heute schon nutzen?

Passkeys funktionieren inzwischen bei vielen großen Diensten. Die Verbraucherzentrale NRW nennt Amazon, Apple, eBay, Google, LinkedIn, Microsoft, Nintendo, PayPal und X als Dienste mit Anmeldung ohne Passwort. Google nennt zusätzlich WhatsApp. Facebook und Instagram setzten Passkeys laut Verbraucherzentrale zum Zeitpunkt ihrer Auswertung nur als zusätzlichen Faktor nach dem Passwort ein.

Einen aktuellen Überblick bietet das Verzeichnis passkeys.directory, eine von der Community gepflegte Liste, die vom Passwort-Manager-Anbieter 1Password bereitgestellt wird. Dort sehen Sie auch, ob ein Dienst Passkeys als vollständigen Ersatz für das Passwort oder nur als zweiten Faktor anbietet. Bei Banken ist die Lage uneinheitlich, hier lohnt der Blick in die App oder die Sicherheitshinweise Ihres Instituts.

Sollten Sie Passkeys nutzen?

Ja, wenn Sie einem großen Anbieter oder einem seriösen Passwort-Manager vertrauen und für den Notfall vorgesorgt haben. Das BSI schreibt sinngemäß, dass Sie die Technologie bei einem vertrauenswürdigen Anbieter ohne Weiteres verwenden und Ihr Passwort ersetzen können. Für wen Passkeys besonders sinnvoll sind:

  • Menschen, die sich schwer tun, für jedes Konto ein eigenes starkes Passwort zu verwalten
  • alle, die schon einmal auf eine Phishing-Mail hereingefallen sind oder unsicher sind, ob sie gefälschte Seiten erkennen
  • Konten mit hohem Schaden bei Verlust: E-Mail, Bezahldienste, Online-Shops mit gespeicherten Zahlungsdaten

Zurückhaltung ist angebracht, wenn Sie häufig zwischen Apple-, Android- und Windows-Geräten wechseln und nur den integrierten Speicher eines Herstellers nutzen. Hier ist ein plattformübergreifender Passwort-Manager oft die bessere Lösung.

Häufige Fragen

Kann jemand mit meinem Fingerabdruck auf mein Konto zugreifen?

Der Fingerabdruck verlässt Ihr Gerät nicht und wird nicht beim Dienst gespeichert. Er schaltet nur den Passkey auf Ihrem eigenen Gerät frei. Wer Ihr Konto übernehmen will, braucht also Ihr entsperrtes Gerät.

Ist ein Passkey dasselbe wie Zwei-Faktor-Authentifizierung?

Ein Passkey vereint beide Faktoren in einem Schritt: den Besitz des Geräts und die Entsperrung per Biometrie oder PIN. Google lässt deshalb bei der Anmeldung mit Passkey den zweiten Schritt weg.

Was passiert, wenn ich einen Passkey lösche?

Dann können Sie sich mit diesem Passkey nicht mehr anmelden und brauchen einen anderen Weg ins Konto. Löschen Sie Passkeys vollständig, also auch in den Kontoeinstellungen des Dienstes und gegebenenfalls in Ihrem Passwort-Manager, sonst taucht er bei der Anmeldung weiter auf.

Funktionieren Passkeys ohne Internet?

Für die Anmeldung bei einem Online-Dienst brauchen Sie natürlich eine Verbindung zu diesem Dienst. Die Entsperrung des Passkeys selbst passiert aber lokal auf Ihrem Gerät.

Kann ich Passkeys mit meiner Familie teilen?

Mit Apples Passwörter-App können Sie Passwörter und Passkeys in einer Gruppe mit Familienmitgliedern oder Vertrauenspersonen teilen. Viele Passwort-Manager bieten vergleichbare Funktionen für gemeinsam genutzte Konten.

Quellen

Weiterlesen auf Safety-IT

Das könnte dich auch interessieren