Passkeys erklärt: wie sicher die Anmeldung ohne Passwort ist
Immer öfter erscheint beim Anmelden auf einer Website ein Fenster mit der Frage, ob Sie einen Passkey erstellen möchten. Viele klicken es weg, weil sie nicht wissen, was das eigentlich ist. Dahinter steckt eine Technologie, die das Potenzial hat, das Anmelden im Internet grundlegend sicherer zu machen. Seit 1. September 2026 macht Microsoft Passkeys sogar zur Standard-Anmeldemethode in Entra ID, also auch für Unternehmen mit Microsoft 365. Aber was genau ist ein Passkey, und wie unterscheidet er sich von Passwort, SMS-Code und Authenticator-App?
Warum gibt es Passkeys überhaupt?
Klassische Passwörter haben Schwächen und sind auf mehrere Arten angreifbar. Das gängigste Beispiel ist, dass man dasselbe Passwort auf mehreren Websites verwendet. Wird eine davon gehackt, probieren Angreifer die erbeuteten Zugangsdaten automatisiert auf anderen Plattformen aus. Auch schwache oder erratbare Passwörter stellen eine große Gefahr dar. Ein weiteres großes Problem ist das Risiko, gephisht zu werden. Dabei wird eine Anmeldeseite so gefälscht, dass sie aussieht wie das Original, und in der Eile des Alltags tippt man seine Zugangsdaten in einem unaufmerksamen Moment dort ein.
Die Zwei-Faktor-Authentifizierung löst diese Probleme nur teilweise. Wer unachtsam ist, tippt SMS- oder App-Codes auf der gefälschten Seite genauso ein, und Angreifer reichen sie in Echtzeit an die echte Seite weiter. Genau diese Lücken sollen Passkeys schließen.
Was ist ein Passkey?
Passkeys sind eine Anmeldemethode, die diese Schwächen herkömmlicher Passwörter beheben soll. Statt einer Zeichenfolge, die Sie meist selbst erfinden, sich merken müssen und auf der Website eintippen, erzeugt Ihr Gerät beim Einrichten ein kryptografisches Schlüsselpaar. Dieses Schlüsselpaar gilt nur für diesen einen Dienst, zum Beispiel Ihr Google- oder Amazon-Konto. Wenn Sie sich dort das nächste Mal anmelden, geben Sie kein Passwort mehr ein, denn die Anmeldung läuft über das Schlüsselpaar.
Hinter Passkeys stehen die offenen Standards FIDO2 und WebAuthn, dieselbe Technik, die auch Sicherheitsschlüssel wie der YubiKey nutzen.
Wie funktioniert die Anmeldung mit einem Passkey?
Die Anmeldung ist ein kurzer Austausch zwischen der Website und Ihrem Gerät. Grob läuft das so ab:
Beim Einrichten bekommt der Dienst Ihren öffentlichen Schlüssel. Der private Schlüssel bleibt auf Ihrem Gerät und wird bei der Anmeldung nie übertragen.
Beim Anmelden schickt der Dienst eine frische Rechenaufgabe (man spricht hier von einer Challenge), die nur für diese eine Anmeldung gilt.
Sie bestätigen auf Ihrem Gerät, dass Sie tatsächlich Sie sind, meist mit biometrischen Merkmalen wie Fingerabdruck oder Gesichtserkennung (Face ID), oder klassisch mit PIN. Damit entsperren Sie Ihren privaten Schlüssel, und Ihr Gerät signiert die Aufgabe bzw. die Challenge.
Der Dienst prüft die Signatur mit dem öffentlichen Schlüssel und meldet Sie an.
Ihre biometrischen Daten bzw. Ihre PIN werden dabei nie übertragen. Beides entsperrt nur den privaten Schlüssel auf Ihrem Gerät, und erst dieser Schlüssel erstellt die Signatur. Über die Leitung wandert also kein Geheimnis, das jemand abfangen könnte. Eine abgefangene Signatur nützt niemandem, sie ist beim nächsten Mal wertlos, da sich die Rechenaufgabe bei jeder Anmeldung ändert.
Der Passkey ist außerdem fest an die Domain gebunden, für die er erstellt wurde. Das heißt, sollten Sie versuchen, Ihren Passkey auf einer gefälschten Anmeldeseite zu verwenden, wird das nicht funktionieren, weil die gefälschte Domain nicht zu der hinterlegten passt. Und weil es nichts zum Eintippen gibt, können Sie ihn auch nicht versehentlich preisgeben. Ein Datenleck beim Anbieter ist für Passkeys ebenfalls weit weniger gefährlich als für Passwörter, denn dort liegt nur Ihr öffentlicher Schlüssel, der ohnehin nicht geheim ist und mit dem sich niemand anmelden kann. Deshalb gilt das Verfahren als größtenteils phishing-resistent.
Sind Passkeys gerätegebunden?
Nicht unbedingt. Die Signatur erstellt ein sogenannter Authenticator, und der kann an verschiedenen Orten sitzen. Klassische Beispiele dafür sind Windows Hello auf Ihrem Laptop oder der iCloud-Schlüsselbund auf Ihrem iPhone. Ebenso können Sie einen Passwortmanager oder einen physischen Sicherheitsschlüssel wie den YubiKey verwenden. Daraus ergeben sich zwei Arten von Passkeys, und der Unterschied entscheidet über die Sicherheit.
Synchronisierte Passkeys sind der Normalfall für Privatnutzer. Apple legt sie in den iCloud-Schlüsselbund, Google in den Google Passwortmanager, und beide synchronisieren sie über alle Geräte des Kontos. Der Vorteil dabei ist, dass Sie weiter Zugriff auf Ihre Passkeys haben, auch wenn Sie ein Gerät verlieren. Am neuen Handy sind sie einfach wieder da. Jedoch ist jeder dieser Passkeys nur so sicher wie das Google- oder Apple-Konto, in dem er abgelegt ist.
Gerätegebundene Passkeys liegen auf genau einem Gerät und lassen sich nicht kopieren. Ein Passkey, den Windows Hello am Laptop erstellt hat, funktioniert deshalb nicht auf Ihrem Handy, und ein Passkey auf einem Sicherheitsschlüssel verlässt diesen nie. Welcher YubiKey dafür der richtige ist, haben wir in einem eigenen Vergleich beschrieben. Ein YubiKey ist also kein Gegenkonzept zu Passkeys, sondern deren gerätegebundene Form.
Können Passkeys gestohlen werden oder verloren gehen?
Ja, beides kann passieren. Anfang August 2026 hat das Sicherheitsteam Unit 42 von Palo Alto Networks die Malware „Pass-ta-key“ beschrieben. Sie stiehlt Passkeys, die über den Google Passwortmanager synchronisiert sind. Einen zentralen Widerruf gibt es nicht. Betroffene müssen die gestohlenen Passkeys bei jedem Dienst einzeln löschen und neu anlegen. Gerätegebundene Schlüssel sind von dieser Masche nicht betroffen.
Verloren gehen können Passkeys auch. Wer sie nur auf einem einzigen Gerät hat und dieses verliert, kommt an seine Konten nur noch über die Wiederherstellungswege des jeweiligen Dienstes. Planen Sie deshalb von Anfang an ein Backup ein, bei Sicherheitsschlüsseln in der Praxis einen zweiten registrierten Schlüssel.
Ersetzen Passkeys das Passwort?
Nein, noch nicht. Fast jeder Dienst behält neben dem Passkey das Passwort samt Zurücksetzen-Funktion als Fallback. Das wissen Angreifer auch und richten ihre Angriffe gezielt auf diesen Weg. Damit ist der Passkey-Schutz umgangen. Ein Konto ist immer nur so sicher wie seine schwächste Anmeldemethode.
Wer Passkeys nutzt, sollte deshalb schwache Fallbacks wie SMS-Codes deaktivieren, soweit möglich. Vollständig ersetzen können Passkeys das Passwort erst, wenn Dienste den alten Weg wirklich abschalten. Genau dorthin bewegt sich der Markt gerade, nur langsamer, als man bei der Einführung von Passkeys noch dachte.
Funktioniert ein Passkey mit der ID Austria?
Nein. Die ID Austria akzeptiert keine Passkeys. Sie können aber einen FIDO2-Sicherheitsschlüssel als zusätzlichen Faktor verknüpfen, dieselbe Technik, nur fest an ein Gerät gebunden. Wenn Sie einen Sicherheitsschlüssel registrieren, fragt der Browser oder das Handy trotzdem oft, ob Sie stattdessen einen Passkey anlegen möchten. Die offizielle Hilfe der ID Austria empfiehlt für diesen Fall ausdrücklich, auf „Anderes Gerät verwenden“ zu klicken und den physischen Schlüssel zu verwenden.
Einen offiziellen Grund nennt die ID Austria nicht, aber der Unterschied von oben ist die naheliegende Erklärung. Ein synchronisierter Passkey hängt am Google- oder Apple-Konto und lässt sich kopieren. Für eine staatliche Identität wäre das ein erhebliches Risiko. Wie Sie die ID Austria ohne Smartphone oder ohne Gesichtserkennung und Fingerabdruck nutzen, haben wir in eigenen Beiträgen beschrieben.
Was heißt das für Unternehmen?
Der Umstieg kommt auf Sie zu, ob geplant oder nicht. Microsoft stellt Entra ID seit 1. September 2026 auf Passkeys als Standard um, und SMS als Anmeldefaktor verschwindet dort mit 1. Februar 2027 ganz. Drei Empfehlungen für den Umstieg:
Aktivieren Sie Passkeys zuerst dort, wo Phishing am meisten Schaden anrichtet, bei E-Mail, Microsoft 365 und den Admin-Zugängen.
Für Administratoren und andere kritische Konten verwenden Sie gerätegebundene Sicherheitsschlüssel statt synchronisierter Passkeys.
Deaktivieren Sie schwache Fallbacks wie SMS-Codes und Sicherheitsfragen, sonst bleibt neben der neuen Tür die alte offen.
Sollten Sie Passkeys verwenden?
Ja. Trotz der beschriebenen Grenzen sind Passkeys die deutlich sicherere Wahl gegenüber Passwörtern, vor allem wegen der Phishing-Resistenz. Wichtig ist nur, dass Sie Ihren Authenticator absichern. Denn mit Passkeys verlagert sich die Sicherheit dorthin, wo Ihre Schlüssel liegen.
Sichern Sie also das Google- oder Apple-Konto, das Ihre Passkeys synchronisiert, mit einem starken Passwort und einem zweiten Faktor ab, sperren Sie Ihre Geräte mit Biometrie oder PIN, und verwenden Sie für besonders kritische Konten einen gerätegebundenen Sicherheitsschlüssel.
Zettasecure begleitet die Einführung von Passkeys und FIDO-Token von der Auswahl bis zur Schulung. Details finden Sie unter Cybersecurity-Consulting in Wien, oder vereinbaren Sie ein unverbindliches Erstgespräch.
