Klassische Passwörter gelten zunehmend als Schwachstelle. Viele Menschen nutzen kurze oder wiederverwendete Kombinationen. Andere speichern ihre Zugangsdaten unsicher oder fallen auf gefälschte Nachrichten herein. So erhalten Kriminelle oft direkten Zugriff auf Konten.
Passkeys setzen an diesem Problem an. Du meldest dich bei Webseiten, Apps und Onlinediensten ohne ein klassisches Passwort an. Meist bestätigst du den Zugriff mit deinem Fingerabdruck, deiner Gesichtserkennung, einem Gerätecode oder einem Sicherheitsschlüssel.
Die Technik basiert auf offenen Standards der FIDO Alliance und des World Wide Web Consortiums. Dazu zählen FIDO2 und WebAuthn. Apple, Google und Microsoft unterstützen Passkeys bereits auf vielen Geräten.
Dieser Artikel zeigt dir, wie Passkeys funktionieren und warum sie Phishing besser abwehren. Außerdem erfährst du, wie du sie im Alltag einrichtest. Offen bleibt die wichtige Frage, ob Passwörter vollständig verschwinden oder noch lange parallel gebraucht werden.
Passkeys: Was steckt hinter der passwortlosen Anmeldung?
Passkeys ermöglichen dir eine Anmeldung ohne klassisches Passwort. Dein Gerät übernimmt die technische Prüfung. Du bestätigst den Vorgang per Fingerabdruck, Gesichtserkennung, PIN oder Gerätecode.
Wie Passkeys mit kryptografischen Schlüsseln funktionieren
Bei der Registrierung erzeugt dein Gerät ein kryptografisches Schlüsselpaar. Es besteht aus einem öffentlichen und einem privaten Schlüssel. Der Onlinedienst speichert nur den öffentlichen Schlüssel.
Der private Schlüssel bleibt auf deinem Smartphone, Computer, Tablet oder einem kompatiblen Sicherheitsschlüssel. Er wird nicht an die Webseite übertragen. Bei der Anmeldung erstellt dein Gerät eine digitale Signatur.
Der Dienst prüft diese Signatur mit dem gespeicherten öffentlichen Schlüssel. Stimmen beide Werte zusammen, gilt deine Identität als bestätigt. Ein gemeinsames Geheimnis muss nicht auf dem Server liegen.
Passkeys nutzen den WebAuthn-Standard. Er bindet den Zugang an die Domain des jeweiligen Dienstes. Eine gefälschte Webseite kann den Passkey einer anderen Domain nicht verwenden.
Warum du dich ohne Passwort sicher anmelden kannst
Passwortlos bedeutet nicht, dass keine Authentifizierung stattfindet. Du musst nur kein Geheimwort mehr eintippen, übertragen oder merken. Die Freigabe erfolgt direkt auf deinem Gerät.
Touch ID, Face ID, Windows Hello oder die Android-Biometrie entsperren in der Regel nur den privaten Schlüssel. Deine biometrischen Daten werden nicht an den Onlinedienst gesendet.
Je nach Gerät kannst du eine PIN, einen Gerätecode oder einen FIDO-Sicherheitsschlüssel nutzen. Die genaue Option hängt vom Betriebssystem, vom Gerät und vom jeweiligen Dienst ab.
Ein Passkey kann fest an ein Gerät gebunden sein. Er kann sich über ein Konto-Ökosystem synchronisieren. Apple nutzt dafür den iCloud-Schlüsselbund. Android unterstützt den Google Passwortmanager. Unter Windows kann Windows Hello die lokale Freigabe übernehmen.
Welche Geräte und Plattformen Passkeys unterstützen
Aktuelle Versionen von iOS, iPadOS, macOS, Android und Windows unterstützen Passkeys. Gängige Browser wie Safari, Chrome und Microsoft Edge können die Anmeldung verarbeiten.
Apple synchronisiert Passkeys über den iCloud-Schlüsselbund zwischen kompatiblen Geräten. Android-Geräte verwalten sie unter anderem über den Google Passwortmanager. Die verfügbaren Funktionen richten sich nach Version, Hersteller und Kontoeinstellungen.
Für ein neues oder fremdes Gerät kannst du den Zugang über ein registriertes Smartphone freigeben. Ein synchronisierter Passkey oder ein physischer FIDO-Sicherheitsschlüssel sind weitere Möglichkeiten.
Nicht jeder Onlinedienst bietet Passkeys bereits vollständig an. Auf der Anmeldeseite findest du Hinweise wie „Passkey erstellen“, „Mit Passkey anmelden“ oder „Sicherheitsschlüssel verwenden“. Aktive Bildschirmsperren und regelmäßige Updates halten die Funktion zuverlässig.
Warum Passkeys sicherer als klassische Passwörter sind
Passkeys schützen deine Konten auf mehreren Ebenen. Sie ersetzen geheime Zeichenfolgen durch kryptografische Schlüssel und eine lokale Prüfung auf deinem Gerät. Das senkt viele Risiken, die bei klassischen Passwörtern entstehen.
Schutz vor Phishing und gestohlenen Zugangsdaten
Ein Passwort kann auf einer gefälschten Webseite eingegeben oder durch Schadsoftware abgegriffen werden. Bei einem Datenleck kann es aus einer kompromittierten Datenbank stammen. Passkeys übertragen den privaten Schlüssel nicht an den Anbieter.
Der Schlüssel ist an die echte Domain eines Dienstes gebunden. Eine Phishing-Seite kann deshalb meist keine gültige Anmeldung für die ursprüngliche Webseite auslösen. Selbst der öffentliche Schlüssel reicht nicht aus, um den privaten Schlüssel zu berechnen.
Passkeys erschweren dadurch Credential-Stuffing-Angriffe. Bei dieser Methode testen Kriminelle bekannte E-Mail-Passwort-Kombinationen bei vielen Diensten. Ein kompromittiertes Gerät oder eine unsichere Kontowiederherstellung bleibt trotzdem ein Risiko.
Keine wiederverwendbaren Passwörter und unsicheren Kombinationen
Für jeden Dienst wird ein eigener kryptografischer Schlüssel erzeugt. Ein Angriff auf ein einzelnes Konto gefährdet deine anderen Zugänge nicht automatisch. Du musst dir keine Namen, Geburtstage oder kurzen Zahlenfolgen merken.
Ungeschützte Notizen und private Dateien mit gespeicherten Passwörtern werden überflüssig. Ein Passwortmanager bleibt für klassische Passwörter, Wiederherstellungscodes und Passkeys nützlich. Dienste ohne Passkey-Unterstützung sollten weiterhin ein langes, einzigartiges Passwort und eine Zwei-Faktor-Authentifizierung erhalten.
Biometrische Anmeldung und Gerätecode als zusätzliche Sicherheit
Die Freigabe erfolgt meist per Fingerabdruck, Gesichtserkennung, PIN oder Gerätecode. Deine biometrischen Merkmale bleiben auf dem Gerät. Der Onlinedienst erhält nur den kryptografischen Nachweis der erfolgreichen Prüfung.
Eine starke Gerätesperre ist wichtig. Ein kurzer Code kann den Schutz schwächen, wenn jemand dein Smartphone oder deinen Computer in die Hände bekommt. Nach einem Neustart oder mehreren Fehlversuchen kann das Gerät erneut die PIN verlangen.
Passkeys vermeiden oft SMS-Codes, die durch SIM-Swapping oder abgefangene Nachrichten gefährdet sind. Installiere Sicherheitsupdates und aktiviere die Gerätesperre. Bei Verlust solltest du die Geräte- und Kontoverwaltung des jeweiligen Anbieters nutzen.
Passkeys im Alltag: Einrichtung, Nutzung und Wiederherstellung
Passkeys lassen sich auf Smartphones, Computern und Tablets schnell einrichten. Du brauchst dafür einen unterstützten Dienst und eine aktivierte Bildschirmsperre. Prüfe vor dem Wechsel, ob deine wichtigsten Geräte und Konten die Funktion unterstützen.
Passkeys auf Smartphone, Computer und Tablet einrichten
Melde dich bei Google, Microsoft, Apple, PayPal, eBay oder einem anderen Dienst an. Öffne danach die Sicherheits- oder Kontoeinstellungen. Dort findest du meist den Punkt „Passkey erstellen“.
Der Dienst fordert dein Gerät auf, einen kryptografischen Schlüssel zu erzeugen. Du bestätigst den Vorgang mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Am Computer können Windows Hello, Touch ID, ein Smartphone oder ein FIDO-Sicherheitsschlüssel zum Einsatz kommen.
Synchronisierte Passkeys werden innerhalb des jeweiligen Plattform-Ökosystems geschützt zwischen kompatiblen Geräten bereitgestellt. Der private Schlüssel liegt dabei nicht auf dem Server des einzelnen Onlinedienstes. Plattformübergreifende Verfahren nutzen standardisierte FIDO-Protokolle und Bluetooth zur Nähebestätigung.
Richte für wichtige Konten mindestens eine weitere Zugangsmöglichkeit ein. Geeignet sind ein zweites vertrauenswürdiges Gerät oder ein FIDO-Sicherheitsschlüssel. Teste die Anmeldung auf deinen wichtigsten Geräten, bevor du dich vollständig auf Passkeys verlässt.
Mit Passkeys bei Onlinediensten und Apps anmelden
Beim nächsten Login wählst du die Passkey-Option. Der Browser oder die App erkennt die verfügbaren Zugangsmethoden und öffnet die lokale Gerätefreigabe. Nach der Bestätigung wird die kryptografische Anmeldung automatisch abgeschlossen.
Du musst kein Passwort eintippen und keinen SMS-Code ablesen. Sind mehrere Passkeys registriert, kannst du oft zwischen Smartphone, Computer, Tablet und Sicherheitsschlüssel wählen. Die Geräte dürfen von verschiedenen Herstellern stammen.
Auf einem fremden Computer lässt sich häufig ein Smartphone verwenden. Der Dienst zeigt dafür einen QR-Code an. Du scannst ihn mit dem Mobilgerät und bestätigst die Anmeldung mit deiner Bildschirmsperre.
Unterstützt ein Dienst Passkeys nur teilweise, bleibt das Passwort meist als Alternative verfügbar. Bedienung und Auswahl unterscheiden sich je nach Anbieter.
Was passiert, wenn du dein Gerät verlierst?
Sperre oder lösche ein verlorenes Gerät über Apples Funktion „Wo ist?“, Googles Geräteverwaltung oder die Microsoft-Kontoverwaltung. Das klappt, wenn der Dienst für dein Gerät verfügbar ist.
Ist der Passkey mit einem geschützten Plattformkonto synchronisiert, kannst du ihn auf einem neuen Gerät wiederherstellen. Dafür bestätigst du dein Plattformkonto und die Gerätesicherheit. Ein gerätegebundener Passkey lässt sich nicht automatisch zurückholen.
Viele Dienste bieten eine hinterlegte E-Mail-Adresse, Backup-Codes oder eine Identitätsprüfung an. Schütze diese Wege besonders sorgfältig. Sie ermöglichen einen alternativen Kontozugang.
Nach einem Verlust prüfst du aktive Sitzungen und entfernst unbekannte Geräte. Kontrolliere Sicherheitsmeldungen und ändere bei Bedarf alternative Zugangsdaten. Eine aktivierte Bildschirmsperre und ein starker Gerätecode senken das Risiko deutlich.
Werden Passkeys klassische Passwörter langfristig ersetzen?
Passkeys haben das Potenzial, klassische Passwörter bei vielen Anmeldungen zurückzudrängen. Sie schützen besser vor Phishing und gestohlenen Zugangsdaten. Die Anmeldung per Fingerabdruck, Gesichtserkennung oder Gerätecode ist zudem schnell und einfach.
Apple, Google, Microsoft, Browserhersteller und die FIDO Alliance schaffen dafür eine breite technische Basis. Dadurch können Passkeys auf Smartphones, Computern und Tablets immer leichter genutzt werden. Auch weitere Schutzmaßnahmen gegen Online-Betrug bleiben wichtig.
Ein vollständiger Ersatz ist jedoch nicht sofort zu erwarten. Viele Webseiten, Behörden, Unternehmen und ältere Apps unterstützen Passkeys noch nicht. Bei manchen Diensten dienen sie zunächst nur als zusätzliche Option neben dem Passwort.
Auch der Gerätewechsel, die Kontowiederherstellung und die Nutzung gemeinsamer Geräte müssen verständlich gelöst sein. Passwörter bleiben deshalb vermutlich noch lange als Notlösung und für alte Systeme bestehen. Für dich lohnt sich der Umstieg besonders bei E-Mail, Cloud-Speicher, Banking-Diensten und sozialen Netzwerken. Wahrscheinlich werden Passkeys Passwörter nicht plötzlich abschaffen, sondern ihre Rolle Schritt für Schritt als Standard der digitalen Anmeldung ersetzen.
