Passwörter begleiten dich wahrscheinlich seit deinen ersten Tagen im Internet. E-Mail, Onlineshopping, soziale Netzwerke, Streaming, Cloud-Speicher und Banking – fast überall musstest du dir bisher eine Kombination aus Benutzername und Passwort merken. Das Ergebnis kennen wir alle: zu kurze Passwörter, mehrfach verwendete Kennwörter, vergessene Zugangsdaten und ständig neue Regeln darüber, wie viele Großbuchstaben, Zahlen und Sonderzeichen ein Passwort enthalten soll.
Mit Passkeys soll sich das grundlegend ändern. Statt ein Passwort einzutippen, meldest du dich beispielsweise mit deinem Fingerabdruck, deinem Gesicht oder der PIN deines Smartphones beziehungsweise Computers an. Dahinter steckt allerdings deutlich mehr als nur eine bequemere Variante eines Passworts. Passkeys basieren auf kryptografischen Schlüsseln und sind speziell dafür entwickelt worden, klassische Schwachstellen von Passwörtern zu beseitigen. Die FIDO Alliance beschreibt Passkeys als kryptografische Zugangsdaten, die an dein Konto bei einem bestimmten Dienst gebunden sind und das Anmelden ohne Eingabe eines Passworts ermöglichen.
Was ist ein Passkey eigentlich?
Ein Passkey ist vereinfacht gesagt ein digitaler Schlüssel für ein bestimmtes Benutzerkonto. Anders als bei einem Passwort gibt es aber keine geheime Zeichenfolge, die sowohl du als auch der Anbieter kennen müssen.
Bei der Erstellung eines Passkeys entsteht ein kryptografisches Schlüsselpaar. Ein Teil davon ist der öffentliche Schlüssel. Dieser wird beim jeweiligen Onlinedienst gespeichert. Der zweite Teil ist der private Schlüssel. Er bleibt auf deinem Gerät oder wird über einen dafür vorgesehenen Passkey-Dienst sicher zwischen deinen Geräten synchronisiert.
Wenn du dich später anmeldest, sendet die Website eine kryptografische Anfrage an dein Gerät. Dein privater Schlüssel bestätigt diese Anfrage, ohne selbst an die Website übertragen zu werden. Der Server kann anschließend mithilfe des öffentlichen Schlüssels überprüfen, ob die Antwort gültig ist.
Genau dieses Prinzip macht Passkeys so interessant. Beim klassischen Passwort musst du ein Geheimnis an den Server übermitteln. Bei Passkeys verlässt das entscheidende Geheimnis dein Gerät dagegen nicht. Die FIDO Alliance beschreibt dieses Verfahren als Challenge-Response-Mechanismus mit einem privaten Schlüssel auf Nutzerseite und einem öffentlichen Schlüssel beim Dienstanbieter.
Warum Passwörter zunehmend zum Sicherheitsproblem werden
Das eigentliche Problem mit Passwörtern liegt weniger in der Technologie als im menschlichen Umgang damit. Niemand möchte sich für 70 verschiedene Internetdienste 70 komplizierte Kennwörter merken. Deshalb werden Passwörter wiederverwendet, vereinfacht oder irgendwo notiert.
Wird eines dieser Passwörter bei einem Datenleck gestohlen, probieren Angreifer die Kombination häufig auch bei anderen Diensten aus. Dazu kommen Phishing-Mails und gefälschte Login-Seiten, auf denen du möglicherweise selbst ein eigentlich sehr sicheres Passwort eingibst.
Passkeys funktionieren grundlegend anders. Sie sind für den jeweiligen Dienst erstellt und können nicht einfach wie ein Passwort auf einer gefälschten Website eingegeben werden. Microsoft bezeichnet Passkeys ausdrücklich als phishing-resistent, während Google darauf hinweist, dass ein Passkey mit der Website oder App verbunden ist, für die er erstellt wurde.
Warum Passkeys gegen Phishing helfen
Stell dir vor, du bekommst eine täuschend echte E-Mail, die angeblich von einem bekannten Onlineshop stammt. Du klickst auf einen Link und landest auf einer Website, die fast genauso aussieht wie das Original.
Bei einem Passwort kann genau hier der entscheidende Fehler passieren. Du gibst E-Mail-Adresse und Kennwort ein und übermittelst deine Zugangsdaten direkt an die Betrüger.
Bei einem Passkey funktioniert dieses Prinzip nicht auf dieselbe Weise. Der Passkey ist kryptografisch an den echten Dienst beziehungsweise dessen Domain gebunden. Eine gefälschte Website kann deshalb nicht einfach deinen Passkey abfragen und anschließend an anderer Stelle verwenden. Genau diese Phishing-Resistenz gehört zu den wichtigsten Sicherheitsvorteilen der Technologie. Apple beschreibt Passkeys ebenfalls als weniger anfällig für Phishing, weil für jedes Konto individuelle Zugangsdaten auf deinem Gerät erzeugt werden.
Dein Fingerabdruck ist nicht der Passkey
Ein häufiges Missverständnis besteht darin, dass dein Fingerabdruck oder dein Gesicht zum eigentlichen Passkey wird. Das ist nicht der Fall.
Face ID, Touch ID, Windows Hello oder der Fingerabdrucksensor deines Android-Smartphones dienen hauptsächlich dazu, auf deinem Gerät zu bestätigen, dass tatsächlich du den gespeicherten Passkey verwenden darfst. Alternativ kann häufig auch die Geräte-PIN zum Einsatz kommen.
Deine biometrischen Daten werden also nicht bei jeder Anmeldung an den jeweiligen Onlinedienst geschickt. Der Dienst erhält lediglich die kryptografische Bestätigung, die mit deinem privaten Schlüssel erzeugt wurde. Google erklärt beispielsweise, dass du einen Passkey durch deinen Fingerabdruck, Gesichtsscan oder die Bildschirmsperre deines Geräts verwenden kannst.
Passkeys auf dem iPhone und Mac
Apple hat Passkeys tief in seine Betriebssysteme integriert. Auf unterstützten Websites und in Apps kannst du einen Passkey erstellen und ihn anschließend statt eines klassischen Passworts verwenden. Die Anmeldung erfolgt normalerweise über Face ID, Touch ID oder den Gerätecode.
Besonders praktisch wird das innerhalb des Apple-Ökosystems. Passkeys können über Apples Passwort- und Schlüsselbundfunktionen auf Geräten verfügbar sein, auf denen du mit demselben Apple Account angemeldet bist. Apple weist ausdrücklich darauf hin, dass Passkeys auf deinen entsprechend verbundenen Geräten genutzt werden können.
Wenn du einen gespeicherten Passkey überprüfen möchtest, kannst du ihn über Apples Passwortverwaltung aufrufen. Apple beschreibt dafür sowohl die Passwort-App als auch – je nach Systemversion – den entsprechenden Bereich in den Einstellungen.
Passkeys auf Android
Auch Android unterstützt Passkeys inzwischen direkt. Der Google Passwortmanager kann Passwörter und Passkeys speichern und über deine Geräte hinweg verfügbar machen.
Wenn eine unterstützte Website einen Passkey anbietet, wirst du normalerweise gefragt, ob du einen erstellen möchtest. Danach bestätigst du den Vorgang über Fingerabdruck, Gesichtserkennung oder deine Displaysperre. Beim nächsten Besuch kann die Anmeldung ohne Eingabe des bisherigen Passworts erfolgen.
Google betont, dass Passkeys auf offenen Industriestandards basieren und deshalb über verschiedene Plattformen hinweg eingesetzt werden können. Chrome kann Passkeys ebenfalls verwalten und bei unterstützten Websites und Apps zur Anmeldung verwenden.
Passkeys unter Windows 11
Auch Windows 11 unterstützt Passkeys. Microsoft ermöglicht es dir, Passkeys für Microsoft-Konten sowie für zahlreiche Websites, Apps und Dienste zu erstellen und zu speichern. Gespeicherte Passkeys lassen sich zudem über die Windows-Einstellungen verwalten.
Beim Anmelden kannst du beispielsweise Windows Hello verwenden. Das bedeutet, dass Gesichtserkennung, Fingerabdruck oder deine Windows-PIN den Zugriff auf den eigentlichen kryptografischen Schlüssel freigeben.
Damit entsteht ein ziemlich angenehmer Workflow. Du öffnest eine Website, wählst die Anmeldung per Passkey und bestätigst kurz mit Windows Hello. Lange Kennwörter musst du weder eintippen noch aus einem Passwortmanager kopieren.
So richtest du deinen ersten Passkey ein
Der genaue Ablauf hängt von der jeweiligen Website oder App ab, aber das Grundprinzip ist fast immer ähnlich.
Zunächst meldest du dich wie gewohnt bei deinem bestehenden Konto an. Anschließend findest du in den Sicherheits- oder Login-Einstellungen eine Option wie „Passkey erstellen“, „Passkey hinzufügen“ oder „Anmeldeschlüssel einrichten“. Danach wählst du aus, wo der Passkey gespeichert werden soll, und bestätigst deine Identität über die Sicherheitsfunktion deines Geräts.
Danach besitzt dieses Konto einen Passkey. Bei der nächsten Anmeldung kann dir der Dienst anbieten, diesen anstelle deines Passworts zu benutzen.
Die FIDO Alliance beschreibt ebenfalls, dass die Registrierung eines Passkeys typischerweise erfolgt, nachdem sich der Nutzer zunächst mit einer bereits vorhandenen Authentifizierungsmethode bei seinem Konto angemeldet hat.
Kannst du Passkeys zwischen Smartphone und PC verwenden?
Das ist eine der interessantesten Funktionen. Du bist nicht grundsätzlich darauf beschränkt, dich mit dem Gerät anzumelden, auf dem du den Passkey ursprünglich erstellt hast.
Unterstützte Systeme können Passkeys synchronisieren. Außerdem ist eine geräteübergreifende Anmeldung möglich. Wenn du beispielsweise auf einem PC eine Website öffnest, dein Passkey aber auf dem Smartphone gespeichert ist, kann dir die Website einen QR-Code anzeigen. Diesen scannst du mit dem Smartphone und bestätigst anschließend die Anmeldung dort.
Damit kannst du dein Telefon gewissermaßen als sicheren digitalen Schlüssel für einen anderen Computer verwenden. Das ist besonders praktisch, wenn du gelegentlich an einem anderen Rechner arbeitest und dort keinen Passkey dauerhaft speichern möchtest.
Was passiert, wenn du dein Smartphone verlierst?
Genau diese Frage verunsichert viele Nutzer zunächst. Wenn der Passkey auf deinem Smartphone liegt, scheint ein verlorenes Telefon auf den ersten Blick genauso problematisch zu sein wie ein verlorener Haustürschlüssel.
In der Praxis gibt es mehrere Schutzebenen. Zum einen ist das Smartphone selbst durch PIN, Fingerabdruck oder Gesichtserkennung geschützt. Zum anderen können Passkeys über Dienste wie Apples Passwortverwaltung oder den Google Passwortmanager auf deine anderen Geräte synchronisiert werden. Dadurch bist du nicht zwangsläufig von einem einzigen Gerät abhängig.
Trotzdem solltest du deine Kontowiederherstellung ernst nehmen. Prüfe bei wichtigen Accounts, ob deine Wiederherstellungs-E-Mail-Adresse und Telefonnummer aktuell sind. Wenn du ein altes oder verlorenes Gerät nicht mehr verwendest, solltest du außerdem kontrollieren, welche Passkeys noch mit deinem Konto verbunden sind, und nicht mehr benötigte Einträge entfernen. Microsoft empfiehlt bei Problemen ebenfalls, nicht mehr gültige Passkeys zu überprüfen und zu löschen.
Passkey auf gemeinsam genutzten Computern? Lieber vorsichtig
Nicht jeder Computer ist ein guter Ort für einen Passkey. Auf deinem privaten Notebook ist das Speichern normalerweise sinnvoll. Auf einem Rechner in einem Hotel, Internetcafé, Schulungsraum oder allgemein gemeinsam genutzten Gerät solltest du dagegen vorsichtig sein.
Google empfiehlt ausdrücklich, keinen Passkey auf einem gemeinsam genutzten Gerät zu erstellen.
In solchen Situationen ist die Anmeldung über einen Passkey auf deinem Smartphone häufig die bessere Variante. So bleibt der eigentliche Schlüssel auf deinem persönlichen Gerät und wird nicht dauerhaft auf dem fremden Rechner gespeichert.
Sind Passkeys wirklich sicherer als Zwei-Faktor-Authentifizierung?
Passkeys und klassische Zwei-Faktor-Authentifizierung verfolgen teilweise ähnliche Ziele, funktionieren aber unterschiedlich.
Bei einem herkömmlichen Konto gibst du zunächst dein Passwort ein und bestätigst danach beispielsweise einen Code aus einer Authenticator-App. Dadurch müssen Angreifer zwei verschiedene Faktoren überwinden.
Ein Passkey kombiniert den Besitz des Geräts mit dessen lokaler Entsperrung. Dadurch kann eine sehr starke Anmeldung entstehen, ohne dass du einen sechsstelligen Code abschreiben musst.
Das bedeutet allerdings nicht, dass jede Website von heute auf morgen ihre bisherigen Sicherheitsmechanismen abschafft. Dienste können Passkeys unterschiedlich implementieren und zusätzliche Prüfungen für besonders sensible Aktionen einsetzen. Die FIDO Alliance weist beispielsweise darauf hin, dass Passkeys neben der Anmeldung auch für zusätzliche sicherheitsrelevante Szenarien wie Zahlungen eingesetzt werden können.
Warum Passkeys komfortabler sind als gute Passwörter
Ein wirklich sicheres Passwort sollte lang, einzigartig und schwer zu erraten sein. Für jedes Konto solltest du außerdem ein anderes verwenden. Ohne Passwortmanager wird das schnell unrealistisch.
Passkeys nehmen dir genau diese Denkarbeit ab. Du musst nichts erfinden, nichts merken und nichts eintippen. Das kryptografische Schlüsselpaar wird automatisch erzeugt.
Dadurch verschwindet auch eine der nervigsten Situationen des digitalen Alltags: „Passwort vergessen“. Microsoft beschreibt Passkeys deshalb als Weiterentwicklung des Passworts, bei der du dir keine komplexen Kennwörter mehr merken oder notieren musst.
Warum Passwörter trotzdem noch nicht sofort verschwinden
Trotz aller Vorteile wirst du Passwörter noch einige Zeit brauchen. Nicht jede Website unterstützt Passkeys, und manche Dienste bieten sie zunächst nur zusätzlich zum bestehenden Passwort an.
Auch die Kontowiederherstellung ist weiterhin ein wichtiger Punkt. Dienste müssen sicherstellen, dass du bei einem verlorenen Gerät wieder Zugriff erhalten kannst, ohne dadurch neue Angriffsmöglichkeiten zu schaffen.
Deshalb befinden wir uns momentan in einer Übergangsphase. Du wirst zunehmend Websites sehen, die dir beim Login einen Passkey anbieten, während andere weiterhin ausschließlich Benutzername und Passwort verlangen.
Die Entwicklung ist aber klar erkennbar: Apple, Google und Microsoft unterstützen die Technologie direkt in ihren Plattformen, während die FIDO Alliance ein öffentliches Verzeichnis aktiver Passkey-Implementierungen bereitstellt.
Brauchst du trotzdem noch einen Passwortmanager?
Im Moment lautet die Antwort für die meisten Menschen: ja.
Du wirst wahrscheinlich gleichzeitig Konten mit Passkeys und Konten mit klassischen Passwörtern besitzen. Moderne Passwortmanager entwickeln sich deshalb zunehmend zu Managern für beides.
Google kann beispielsweise Passwörter und Passkeys gemeinsam im Google Passwortmanager speichern. Microsoft bietet ebenfalls eine Verwaltung für Passwörter und Passkeys, und Apple integriert beide Zugangstypen in seine Passwortverwaltung.
Der Passwortmanager verschwindet also nicht unbedingt. Seine Aufgabe verändert sich vielmehr vom Tresor für Kennwörter zu einer zentralen Verwaltung deiner digitalen Zugangsdaten.
Sind Passkeys perfekt?
Nein. Auch Passkeys lösen nicht jedes Sicherheitsproblem. Wenn jemand vollständigen Zugriff auf dein entsperrtes Smartphone erhält, können grundsätzlich auch dort gespeicherte Konten gefährdet sein. Ebenso bleiben Social Engineering und unsichere Verfahren zur Kontowiederherstellung mögliche Angriffspunkte.
Außerdem kann die Verwaltung zunächst ungewohnt sein. Bei Passwörtern weißt du zumindest intuitiv, dass irgendwo eine Zeichenfolge existiert. Ein Passkey ist abstrakter. Du musst verstehen, wo deine Passkeys gespeichert werden und wie du sie bei einem Gerätewechsel wiederbekommst.
Trotzdem beseitigen Passkeys gleich mehrere der größten Probleme des klassischen Passwortsystems: schwache Kennwörter, Passwortwiederverwendung und das typische Phishing über nachgebaute Login-Seiten. Genau deshalb werden sie von Apple, Google, Microsoft und der FIDO Alliance als langfristige Alternative zum Passwort positioniert.
Solltest du Passkeys schon heute verwenden?
Wenn ein wichtiger Dienst dir Passkeys anbietet, spricht vieles dafür, sie zumindest auszuprobieren. Besonders komfortabel ist das bei Geräten, die du ohnehin per Fingerabdruck, Gesichtserkennung oder PIN entsperrst.
Du musst dabei nicht sofort dein gesamtes digitales Leben umstellen. Beginne beispielsweise mit deinem Google-, Microsoft- oder einem anderen häufig verwendeten Konto. Nach ein paar Anmeldungen merkst du schnell, wie natürlich sich das Verfahren anfühlt.
Wichtig bleibt allerdings, deine Geräte gut abzusichern und Wiederherstellungsoptionen aktuell zu halten. Speichere Passkeys außerdem möglichst nur auf Geräten, die dir selbst gehören.
Passkeys könnten das Ende einer jahrzehntelangen Passwort-Gewohnheit einleiten
Passwörter werden wahrscheinlich nicht plötzlich verschwinden. Dafür existieren zu viele alte Systeme, Websites und Anwendungen. Aber mit Passkeys steht erstmals eine Alternative bereit, die Sicherheit und Komfort gleichzeitig verbessern kann.
Du musst dir kein kompliziertes Kennwort ausdenken, kannst es nicht versehentlich auf einer gefälschten Login-Seite eingeben und meldest dich häufig genauso einfach an, wie du dein Smartphone ohnehin entsperrst.
Genau darin liegt die Stärke von Passkeys. Sicherheit wird nicht dadurch besser, dass dir noch kompliziertere Regeln auferlegt werden. Sie wird besser, weil die Technik einen Teil der Verantwortung übernimmt.
Wenn du also demnächst bei einer Website die Meldung „Passkey erstellen“ siehst, musst du sie nicht wegklicken. Probier die Funktion ruhig aus. Es könnte einer der ersten Schritte in eine Zukunft sein, in der die Frage „Wie war noch mal mein Passwort?“ tatsächlich irgendwann der Vergangenheit angehört.
