Passwörter begleiten uns seit über 65 Jahren und sind damit älter als das World Wide Web und das moderne Internet.
Als das Massachusetts Institute of Technology (MIT) 1961 Passwörter einführte, sollten sie lediglich den Zugang zu einem gemeinsam genutzten Großrechner steuern. Was als pragmatische Übergangslösung begann, entwickelte sich zu einem der wichtigsten Sicherheitsmechanismen der digitalen Welt.
Über 60 Jahre später begleitet uns dieses Provisorium noch immer im digitalen Alltag, jedoch mit gravierenden Folgen: Laut dem aktuellen Verizon Data Breach Investigations Report (DBIR 2026) zählt die Ausnutzung gestohlener oder schwacher Passwörter weiterhin zu den häufigsten Ursachen für Datenpannen weltweit.
Doch es gibt eine Trendwende. Die Technologie der sogenannten “Passkeys” ersetzt komplizierte Zeichenketten durch ein Verfahren, das den Anmeldeprozess deutlich vereinfacht und Phishing-Angriffe technisch nahezu unmöglich macht. Das Beste daran: Die nötige Hardware tragen Sie in Form Ihres Smartphones bereits täglich mit sich.
Was ist ein Passkey überhaupt?
Um die Funktionsweise eines Passkeys zu verstehen, hilft das Bild eines Tresors mit zwei zusammenpassenden Schlüsseln:
- Der private Schlüssel: Dieser wird sicher auf Ihrem Endgerät (Smartphone, Laptop usw.) im sogenannten Secure Enclave-Bereich (einem besonders geschützten Hardware-Bereich) gespeichert. Er verlässt das Gerät zu keinem Zeitpunkt.
- Der öffentliche Schlüssel: Dieser liegt auf den Servern des jeweiligen Dienstes (z. B. Google, PayPal oder Amazon) und dient dazu, die Echtheit Ihrer Anmeldung zu überprüfen.
Melden Sie sich bei einem Dienst an, sendet dessen Server eine Anfrage an Ihr Gerät. Dieses prüft zunächst automatisch, ob die Anfrage tatsächlich von der echten Website stammt. Erst wenn dies der Fall ist, wird der private Schlüssel freigegeben. Die Freigabe bestätigen Sie wie gewohnt per Fingerabdruck (Touch ID), Gesichtserkennung (Face ID) oder Geräte-PIN.
Der entscheidende Unterschied zu Passwörtern: Der private Schlüssel verlässt Ihr Gerät niemals und wird auch nicht über das Internet übertragen. Selbst wenn Cyberkriminelle den Server eines Anbieters kompromittieren und die gesamte Nutzerdatenbank stehlen, gelangen sie lediglich an den öffentlichen Schlüssel. Mit diesem allein können sie sich jedoch nicht in Ihr Konto einloggen.
Ein weiterer Sicherheitsvorteil: Passkeys sind fest an die echte Domain einer Website gebunden. Landen Sie versehentlich auf einer täuschend echt aussehenden Phishing-Seite, erkennt Ihr Gerät automatisch, dass die Domain nicht mit der registrierten Website übereinstimmt. Der private Schlüssel wird in diesem Fall gar nicht erst freigegeben und eine Anmeldung ist daher nicht möglich.
Passwort vs. Passkey: Der direkte Vergleich
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Passkeys ausdrücklich als hochsichere Alternative zu klassischen Zugangsdaten. BSI-Präsidentin Claudia Plattner betont dazu die Notwendigkeit robuster, aber anwenderfreundlicher Systeme:
„Wir müssen Cybersicherheit so einfach wie möglich und gleichzeitig robust gestalten. Passkeys sind ein perfektes Beispiel dafür, wie man mit technischen Lösungen, technischen Herausforderungen begegnen kann.“
| Sicherheitskriterium | Klassisches Passwort | Passkey |
| Kann bei Server-Leaks gestohlen werden | Ja (häufige Ursache für Datenpannen) | Nein (verlässt das Endgerät nie) |
| Phishing-Anfälligkeit | Hoch (Gefälschte Websites täuschen Nutzer) | Sehr gering (Domain-Bindung verhindert klassische Phishing-Angriffe) |
| Brute-Force-Angriffe | Möglich bei kurzen/einfachen Passwörtern | Nicht möglich (kein Passwort zum Erraten) |
| Aufwand für den Nutzer | Hoch (Komplexe Zeichenketten verwalten) | Minimal (Freigabe per Biometrie) |
| Empfehlung durch BSI | Mit starkem Passwort und 2FA sicher | Ausdrücklich empfohlen |
| Unterstützung bei Top-Websites | Nahezu überall | Wachsend (bereits von vielen großen Online-Diensten unterstützt) |
Der Vergleich zeigt: Während Passwörter vor allem auf dem Geheimhalten einer Zeichenfolge beruhen, ersetzen Passkeys dieses Prinzip durch ein kryptografisches Verfahren. Dadurch werden viele der häufigsten Angriffsmethoden (insbesondere Phishing und gestohlene Zugangsdaten) bereits technisch ausgeschlossen.
Wer steckt dahinter und wie weit ist die Technik?
Passkeys basieren auf den offenen Standards FIDO2 (Fast IDentity Online) und WebAuthn. Entwickelt wurden diese von der FIDO Alliance gemeinsam mit Unternehmen wie Apple, Google und Microsoft. Ziel war es, eine sichere und gleichzeitig benutzerfreundliche Alternative zum klassischen Passwort zu schaffen.
Inzwischen hat sich die Technologie etabliert: Weltweit unterstützen bereits Milliarden von Online-Konten die Anmeldung per Passkey, und jedes Jahr kommen weitere Dienste hinzu.
Unterstützte Dienste & Plattformen
Zu den bekanntesten Anbietern mit vollständiger Passkey-Unterstützung zählen unter anderem Google, Apple, Microsoft, Amazon, PayPal, WhatsApp, GitHub und Nintendo. Auch zahlreiche Banken, E-Commerce-Plattformen und Unternehmensanwendungen integrieren die Technologie zunehmend in ihre Login-Systeme.
Im Microsoft-Ökosystem wird die Unterstützung ebenfalls kontinuierlich ausgebaut. Über Microsoft Edge lassen sich Passkeys bereits plattformübergreifend nutzen und zwischen unterstützten Geräten synchronisieren. Auch Apple und Google erweitern die geräteübergreifende Nutzung ihrer Passkey-Lösungen kontinuierlich.
Warum Passkeys auch für Unternehmen interessant sind
Nicht nur Privatnutzer profitieren von Passkeys. Auch Unternehmen setzen zunehmend auf phishingresistente Authentifizierungsverfahren. Mit der Umsetzung der NIS-2-Richtlinie (Network and Information Security Directive 2) und steigenden Anforderungen an die IT-Sicherheit gewinnt insbesondere die Multi-Faktor-Authentifizierung (MFA) weiter an Bedeutung. Passkeys können dabei (abhängig von der jeweiligen Implementierung) eine phishingresistente Form der Anmeldung ermöglichen und Unternehmen dabei unterstützen, hohe Sicherheits- und Compliance-Anforderungen zu erfüllen.
Wo Passkeys noch an ihre Grenzen stoßen
Passkeys bieten im Alltag zahlreiche Vorteile. Dennoch gibt es einige Situationen, in denen die Umstellung etwas mehr Planung erfordert:
- Gemeinsam genutzte Geräte: Nutzen mehrere Personen denselben Computer, etwa im Familienhaushalt, in einer Bibliothek oder an einem Shared-Desk-Arbeitsplatz, sind Passkeys weniger komfortabel, wenn sie an die Biometrie eines einzelnen Nutzers gebunden sind. Viele Dienste ermöglichen inzwischen jedoch die Anmeldung per QR-Code mit dem eigenen Smartphone, sodass kein Passkey auf dem fremden Gerät gespeichert werden muss.
- Gerätewechsel und Kontowiederherstellung: Geht das Smartphone verloren oder wird es ersetzt, lassen sich Passkeys in der Regel über den jeweiligen Cloud-Dienst (z. B. Apple iCloud-Schlüsselbund oder den Google Passwort-Manager) wiederherstellen. Voraussetzung ist allerdings, dass weiterhin Zugriff auf das zugehörige Benutzerkonto besteht. Die Wiederherstellungsverfahren unterscheiden sich je nach Anbieter.
Was passiert, wenn ich mein Smartphone verliere?
Der Verlust des Smartphones ist eine der häufigsten Sorgen beim Umstieg auf Passkeys. Viele Nutzer fragen sich: Sind meine Konten dann automatisch gefährdet?
Die kurze Antwort lautet: Nein. Ein verlorenes Smartphone bedeutet nicht automatisch, dass jemand Zugriff auf Ihre Konten erhält. Der Passkey selbst ist durch die Gerätesperre geschützt und kann in der Regel nur mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN verwendet werden.
Bei modernen Geräten werden Passkeys häufig verschlüsselt über das eigene Benutzerkonto synchronisiert. Verlieren Sie beispielsweise Ihr Smartphone, können Sie Ihre Passkeys auf einem neuen Gerät wiederherstellen, sobald Sie wieder Zugriff auf Ihr Apple-, Google- oder Microsoft-Konto haben.
Zusätzlich empfehlen Experten für besonders wichtige Konten eine zweite Absicherung. Dazu gehören beispielsweise ein weiterer registrierter Passkey auf einem anderen Gerät oder ein physischer Sicherheitsschlüssel nach dem FIDO2-Standard.
Wichtig: Anders als bei einem gestohlenen Passwort können Angreifer mit der bloßen Kenntnis Ihrer E-Mail-Adresse oder dem Besitz Ihrer alten Kontodaten keinen Passkey nachbilden. Der entscheidende private Schlüssel bleibt geschützt und wird nicht auf den Servern der Anbieter gespeichert.
Empfehlung für den Umstieg: Aktivieren Sie Passkeys überall dort, wo sie bereits angeboten werden. Für Konten, die noch keine Passkeys unterstützen, bleibt ein Passwort-Manager mit einem starken Master-Passwort und aktivierter Zwei-Faktor-Authentifizierung die beste Wahl. So profitieren Sie schon heute von den Sicherheitsvorteilen der neuen Technologie, ohne auf Kompatibilität verzichten zu müssen.
So aktivieren Sie Passkeys Schritt für Schritt
Die Einrichtung dauert in der Regel weniger als zwei Minuten. Der genaue Ablauf unterscheidet sich je nach Anbieter, folgt aber meist demselben Prinzip:
Google-Konto
- Öffnen Sie die Sicherheitseinstellungen Ihres Google-Kontos.
- Navigieren Sie zum Bereich Passkeys.
- Wählen Sie Passkey erstellen.
- Bestätigen Sie den Vorgang mit Ihrem Fingerabdruck, Face ID, der Geräte-PIN oder einer anderen Bildschirmsperre.
Apple-Konto
- Stellen Sie sicher, dass auf Ihrem Gerät der iCloud-Schlüsselbund aktiviert ist.
- Öffnen Sie anschließend einen Dienst, der Passkeys unterstützt (z. B. eine Website oder App).
- Wählen Sie dort die Option Passkey erstellen oder Mit Passkey anmelden.
- Bestätigen Sie die Erstellung mit Face ID, Touch ID oder Ihrem Gerätecode.
Microsoft-Konto
- Öffnen Sie die Sicherheitseinstellungen Ihres Microsoft-Kontos.
- Wechseln Sie zum Bereich für Anmelde- oder Sicherheitsmethoden.
- Wählen Sie die Option zum Hinzufügen eines Passkeys.
- Bestätigen Sie die Einrichtung über Windows Hello, einen Fingerabdrucksensor oder einen kompatiblen Sicherheitsschlüssel.
Tipp: Viele Online-Dienste wie Amazon, PayPal oder GitHub bieten die Einrichtung eines Passkeys direkt in ihren Kontoeinstellungen an. Suchen Sie dort nach Menüpunkten wie „Sicherheit“, „Anmeldung“ oder „Passkeys“.
FAQ: Die wichtigsten Fragen zu Passkeys
Was ist ein Passkey einfach erklärt?
Ein Passkey ist eine moderne Alternative zum klassischen Passwort. Statt eine Zeichenfolge aus Buchstaben, Zahlen und Sonderzeichen einzugeben, bestätigt Ihr Gerät die Anmeldung mithilfe eines kryptografischen Schlüsselpaares.
Der private Schlüssel bleibt sicher auf Ihrem Smartphone oder Laptop gespeichert. Beim Login bestätigt Ihr Gerät nur, dass Sie tatsächlich Zugriff auf diesen Schlüssel haben. Die Freigabe erfolgt wie gewohnt über Fingerabdruck, Gesichtserkennung oder Geräte-PIN.
Der große Vorteil: Es gibt kein Passwort mehr, das gestohlen oder auf einer gefälschten Website eingegeben werden kann.
Muss ich jetzt alle meine Passwörter ersetzen?
Nein. Passkeys werden Passwörter nicht von heute auf morgen vollständig ablösen.
Die beste Strategie ist ein schrittweiser Umstieg: Aktivieren Sie Passkeys zunächst für besonders wichtige Konten wie Ihr E-Mail-Konto, Ihr Google- oder Apple-Konto sowie Zahlungsdienste und soziale Netzwerke.
Für Websites und Anwendungen, die noch keine Passkeys unterstützen, bleiben starke, einzigartige Passwörter in Kombination mit einem Passwortmanager und Zwei-Faktor-Authentifizierung weiterhin eine sinnvolle Lösung.
Was passiert, wenn ich mein Smartphone verliere?
Der Verlust des Smartphones bedeutet nicht automatisch den Verlust Ihrer Passkeys.
Bei modernen Geräten werden Passkeys häufig über sichere Cloud-Dienste wie den iCloud-Schlüsselbund von Apple oder den Google Passwort-Manager zwischen eigenen Geräten synchronisiert. Nach der Anmeldung auf einem neuen Gerät können die gespeicherten Passkeys in vielen Fällen wiederhergestellt werden.
Wichtig ist jedoch, dass Sie weiterhin Zugriff auf Ihr Hauptkonto haben. Zusätzlich kann ein physischer Sicherheitsschlüssel als Backup für besonders wichtige Konten sinnvoll sein.
Ist die Einrichtung von Passkeys kompliziert? Kann ich dabei etwas falsch machen?
Nein. Für die meisten Nutzer ist die Einrichtung sehr einfach und dauert nur wenige Minuten.
Sie wählen bei einem unterstützten Dienst lediglich die Option zur Erstellung eines Passkeys und bestätigen Ihre Identität mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Dabei wird kein bestehendes Passwort gelöscht oder verändert.
Fehler sind kaum möglich: Wenn der Vorgang nicht funktioniert, bleibt Ihr bisheriger Login in der Regel weiterhin aktiv. Sie können den Passkey später erneut einrichten oder entfernen.
Sind Passkeys sicherer als Passwort und Zwei-Faktor-Authentifizierung?
In vielen Fällen ja. Der entscheidende Vorteil von Passkeys liegt darin, dass sie speziell gegen eine der häufigsten Angriffsmethoden entwickelt wurden: Phishing.
Bei einer klassischen Anmeldung mit Passwort und Zwei-Faktor-Authentifizierung kann ein Angreifer beispielsweise versuchen, Nutzer zur Eingabe ihrer Zugangsdaten auf einer gefälschten Website zu bewegen. Passkeys funktionieren anders: Ihr Gerät prüft automatisch, ob Sie sich tatsächlich auf der echten Website befinden. Auf einer Phishing-Seite wird der private Schlüssel nicht freigegeben.
Für Unternehmen und sicherheitsbewusste Nutzer gelten Passkeys deshalb als eine der modernsten Formen der phishingresistenten Authentifizierung.
Fazit: Der schrittweise Wechsel lohnt sich ab sofort
Das klassische Passwort wird nicht von heute auf morgen verschwinden, aber seine Zeit läuft ab. Passkeys bieten eine Kombination aus signifikant höherer Sicherheit und maximalem Komfort im Anmeldevorgang.
Sie müssen nicht warten, bis das gesamte Internet umgestellt ist. Aktivieren Sie Passkeys schrittweise bei den großen Onlinediensten, die diese Funktion bereits unterstützen, allen voran bei Ihrem primären E-Mail-Konto.
Für alle Portale, die noch keine Passkeys anbieten, bleiben gewissenhaft erstellte Zugangsdaten unverzichtbar. Wie Sie komplexe Passwörter sicher generieren und organisieren, erfahren Sie im Praxis-Ratgeber Passwörter richtig erstellen & verwalten: So geht’s.