Passwörter begleiten das Internet seit Jahrzehnten, doch ihr grundlegendes Problem ist unverändert: Ein eingegebenes Geheimnis kann vergessen, mehrfach verwendet, erraten, abgefangen oder auf einer gefälschten Anmeldeseite preisgegeben werden. Passkeys sollen genau diese Schwachstelle beseitigen. Statt eines Kennworts genügt beim Anmelden häufig derselbe Vorgang, mit dem ein Smartphone oder Computer entsperrt wird – etwa ein Fingerabdruck, eine Gesichtserkennung oder die Geräte-PIN. Hinter dieser einfachen Bedienung steckt keine bloße Komfortfunktion, sondern ein anderes Sicherheitsprinzip.
Das Bundesamt für Sicherheit in der Informationstechnik hat das Thema im August 2026 erneut in seinem Verbraucher-Newsletter aufgegriffen. Immer mehr Dienste bieten Passkeys zusätzlich zum Passwort oder bereits als bevorzugte Anmeldemethode an. Dadurch entstehen neue praktische Fragen: Wo wird ein Passkey gespeichert, was passiert beim Verlust des Telefons, wie gelingt die Anmeldung an einem fremden Computer und erhält ein Anbieter dabei biometrische Daten? Die Antworten sind wichtig, weil Passkeys nur dann ihren Sicherheitsvorteil entfalten, wenn Geräteschutz, Kontowiederherstellung und verbleibende Ersatzmethoden ebenfalls sorgfältig eingerichtet sind.
Was ist ein Passkey?
Ein Passkey ist ein digitaler Anmeldeschlüssel, der ein Passwort ersetzen kann. Technisch beruht er auf den Standards FIDO2 und WebAuthn sowie auf asymmetrischer Kryptografie. Bei der Einrichtung erzeugt das Gerät ein zusammengehörendes Schlüsselpaar. Der öffentliche Schlüssel wird beim jeweiligen Onlinedienst hinterlegt. Der private Schlüssel bleibt auf dem Gerät, in einem geschützten Passwortmanager oder auf einem geeigneten Sicherheitsschlüssel.
Der öffentliche Teil ist kein Geheimnis. Selbst wenn er aus einer Serverdatenbank kopiert wird, lässt sich damit keine Anmeldung erzeugen. Der private Teil wird dagegen benötigt, um eine vom Dienst gestellte kryptografische Aufgabe zu beantworten. Er wird dabei nicht an den Anbieter übertragen. Die FIDO Alliance beschreibt Passkeys deshalb als passwortlose Zugangsdaten ohne gemeinsames Geheimnis, das Nutzer und Dienst beide kennen müssten.
Ein Passkey gehört immer zu einem bestimmten Konto bei einem bestimmten Dienst. Das unterscheidet ihn von einem Passwort, das trotz aller Warnungen oft für mehrere Konten verwendet wird. Ein kompromittierter Dienst liefert Angreifern daher keinen Schlüssel, der sich bei anderen Plattformen ausprobieren ließe. Wer zunächst ein klassisches Benutzerkonto anlegt, sollte dennoch darauf achten, welche Wiederherstellungswege und alten Anmeldeverfahren nach der Passkey-Einrichtung aktiv bleiben. Der Beitrag zum Anmelden bei einem Google-Konto zeigt beispielhaft, dass große Kontosysteme mehrere Zugangswege parallel verwalten.
Wie funktioniert die Anmeldung ohne Passwort?
Beim Einrichten fordert eine unterstützte Website oder App das Betriebssystem auf, einen Passkey zu erzeugen. Das Gerät erstellt den privaten und öffentlichen Schlüssel und übermittelt nur den öffentlichen Teil an den Dienst. Beim späteren Login sendet der Dienst eine einmalige kryptografische Anfrage. Das Gerät signiert sie mit dem privaten Schlüssel, nachdem die lokale Freigabe erfolgt ist. Der Server prüft die Antwort mit dem gespeicherten öffentlichen Schlüssel und gibt bei Übereinstimmung den Zugang frei.
Fingerabdruck, Gesicht oder PIN geben den Schlüssel frei
Die biometrische Prüfung ersetzt nicht selbst den Passkey. Sie erlaubt dem Gerät lediglich, den geschützten privaten Schlüssel für diesen Anmeldevorgang zu verwenden. Nach Angaben der FIDO Alliance bleiben biometrische Informationen und deren Verarbeitung lokal auf dem Gerät. Der Onlinedienst erhält nur die Bestätigung, dass die vorgesehene Geräteprüfung erfolgreich war. Wird keine Biometrie verwendet, kann je nach Gerät eine PIN, ein Entsperrmuster oder ein Sicherheitsschlüssel dieselbe Freigabefunktion übernehmen.
Jede Website erhält einen eigenen Schlüssel
Passkeys sind an die echte Internetadresse des Dienstes gebunden. Eine täuschend ähnliche Phishing-Seite kann den für die Originaldomain erzeugten Schlüssel nicht verwenden. Das Gerät erkennt, dass die angefragte Domain nicht zum gespeicherten Passkey gehört, und verweigert die kryptografische Antwort. Genau diese Bindung macht das Verfahren wesentlich widerstandsfähiger gegen klassische Phishing-Angriffe als Passwörter oder Einmalcodes, die sich auf einer falschen Seite eintippen lassen.
Warum schützen Passkeys besser vor Phishing?
Bei einem Passwort muss ein Mensch erkennen, ob eine Anmeldeseite echt ist. Eine gut nachgebaute Seite kann Schrift, Farben und Adresse so ähnlich gestalten, dass ein Flüchtigkeitsfehler genügt. Passkeys verlagern diese Prüfung in das technische Protokoll. Der Browser und das Betriebssystem gleichen die Domain mit der für den Schlüssel hinterlegten sogenannten Relying Party ab. Stimmt sie nicht, entsteht keine gültige Anmeldung.
Auch gestohlene Serverdaten sind weniger ergiebig. Bei einem klassischen Datenleck können Passwort-Hashes mit hohem Aufwand geknackt oder schwache Kennwörter erkannt werden. Eine Passkey-Datenbank enthält dagegen öffentliche Schlüssel. Sie reichen nicht zum Signieren einer Anmeldung. Credential Stuffing, also das automatisierte Ausprobieren erbeuteter Zugangsdaten bei weiteren Diensten, verliert damit seine Grundlage.
Vollständig unangreifbar wird ein Konto dadurch nicht. Schadsoftware auf einem bereits entsperrten Gerät, unsichere Kontowiederherstellung, manipulierte Apps oder ein unzureichend geschütztes Cloud-Konto bleiben Risiken. Allgemeine Schutzmaßnahmen aus dem Ratgeber zum Datenschutz im Internet bleiben daher relevant. Passkeys schließen vor allem die große Angriffsklasse rund um gestohlene, wiederverwendete und auf Phishing-Seiten eingegebene Passwörter.
Wie funktioniert ein Passkey vom Smartphone am Computer?
Liegt der Passkey auf einem Smartphone, kann er häufig auch für eine Anmeldung am Computer verwendet werden. Der Dienst zeigt dazu auf dem Computer einen QR-Code an. Dieser wird mit dem Telefon gescannt. Anschließend bestätigt die Geräteprüfung per Fingerabdruck, Gesicht oder PIN die Anmeldung. Eine aktivierte Bluetooth-Verbindung dient bei vielen Implementierungen als Nähenachweis, damit ein Angreifer nicht beliebig aus der Ferne einen fotografierten QR-Code missbrauchen kann.
Das BSI erläutert dieses Verfahren in seiner aktuellen Seite „Passkeys – anmelden ohne Passwort“. Auch die offizielle Google-Hilfe beschreibt die Anmeldung am Computer über QR-Code, Smartphone und Bluetooth. Der QR-Code enthält dabei nicht einfach den privaten Schlüssel. Er stößt eine abgesicherte Kommunikation zwischen den beteiligten Geräten und dem Dienst an.
Synchronisierte und gerätegebundene Passkeys
Ein synchronisierter Passkey wird über einen geschützten Anmeldedaten-Manager auf mehrere Geräte desselben Kontos verteilt. Das erleichtert den Wechsel zwischen Smartphone, Tablet und Computer sowie die Wiederherstellung nach einem Geräteverlust. Je nach Ökosystem übernehmen beispielsweise der iCloud-Schlüsselbund, der Google Passwortmanager oder ein kompatibler Drittanbieter diese Aufgabe. Die genaue Absicherung und die Möglichkeiten zum Export unterscheiden sich.
Ein gerätegebundener Passkey bleibt dagegen auf einem bestimmten Gerät oder einem physischen FIDO2-Sicherheitsschlüssel. Diese Variante kann für besonders schützenswerte Konten sinnvoll sein, erfordert aber eine geplante Reserve. Geht das einzige Gerät verloren oder wird es defekt, muss ein zweiter Passkey oder ein zuverlässiges Wiederherstellungsverfahren vorhanden sein. Bei sensiblen Konten ist es vernünftig, mehr als einen Zugang einzurichten und die Wiederherstellung vor einem Notfall zu testen.
Was passiert bei Verlust oder Verkauf des Smartphones?
Ein gefundenes Telefon eröffnet nicht automatisch den Zugriff auf gespeicherte Passkeys. Der private Schlüssel ist an den Schutz des Geräts gebunden und muss erst durch PIN oder Biometrie freigegeben werden. Trotzdem sollte ein verlorenes Gerät unverzüglich über die jeweilige Geräteverwaltung gesperrt oder gelöscht und in den Sicherheitsoptionen wichtiger Konten abgemeldet werden. Danach ist zu prüfen, ob die zugehörigen Passkeys aus der Kontoverwaltung entfernt werden müssen.
Vor dem Verkauf oder der Weitergabe eines Smartphones genügt nicht das manuelle Löschen einzelner Apps. Ein vollständiges Zurücksetzen und die vorherige Abmeldung aus Hersteller- und Cloud-Konten sind entscheidend. Der Artikel zum sicheren Löschen von Android-Daten vor dem Handyverkauf beschreibt die dafür notwendigen Vorbereitungen. Auch bei iPhone und iPad müssen Gerätesperre, Cloud-Anbindung und Zurücksetzen in der richtigen Reihenfolge behandelt werden.
Passkey sicher einrichten: die richtige Reihenfolge
Eine sichere Einrichtung beginnt nicht erst mit dem Klick auf „Passkey erstellen“. Geräteschutz, Speicherort, Reserve und alte Anmeldewege sollten in einer festen Reihenfolge geprüft werden, damit der neue Zugang nicht an einer schwachen Wiederherstellung oder einem einzigen verlorenen Gerät hängt.
Zuerst den Geräteschutz prüfen
Vor der ersten Einrichtung sollte das Smartphone oder der Computer eine starke Geräte-PIN, aktuelle Sicherheitsupdates und eine aktivierte Bildschirmsperre besitzen. Eine kurze, leicht erratbare PIN schwächt den lokalen Schutz. Bei einem gemeinsam genutzten Computer ist ein eigener Benutzerzugang notwendig. Ein Passkey sollte niemals auf einem öffentlichen, geliehenen oder nicht vertrauenswürdigen Gerät dauerhaft gespeichert werden.
Danach den Speicherort bewusst wählen
Bei der Einrichtung zeigt das Betriebssystem meist an, ob der Schlüssel im integrierten Anmeldedaten-Manager, auf einem anderen Gerät oder auf einem Hardware-Sicherheitsschlüssel gespeichert wird. Entscheidend ist, welche Geräte regelmäßig verwendet werden und wie ein Ausfall abgefangen werden kann. Wer mehrere Ökosysteme nutzt, sollte vorab prüfen, ob die gewählte Lösung plattformübergreifend arbeitet.
Anschließend eine Reserve und Wiederherstellung einrichten
Für wichtige Konten ist ein zweiter Passkey auf einem weiteren vertrauenswürdigen Gerät oder Sicherheitsschlüssel sinnvoll. Zusätzlich sollten hinterlegte E-Mail-Adressen und Telefonnummern aktuell sein. Wiederherstellungscodes gehören an einen geschützten, vom Hauptgerät getrennten Ort. Die Sicherheit eines Passkeys kann sonst durch eine schwache Ersatzanmeldung unterlaufen werden.
Zum Schluss alte Zugangswege kontrollieren
Viele Dienste lassen das Passwort nach der Einrichtung weiterhin aktiv. Das kann für eine Übergangsphase nötig sein, bedeutet aber, dass der alte Angriffsweg fortbesteht. In den Sicherheitseinstellungen sollte geprüft werden, ob passwortloses Anmelden tatsächlich aktiviert ist, welche Geräte einen Passkey besitzen und welche Sitzungen noch bestehen. Die bei einer iPhone-Neueinrichtung angelegten Konten und Gerätesperren sind dabei ebenso wichtig wie die Einstellungen des einzelnen Onlinedienstes.
Typische Fehler bei der Nutzung
Ein häufiger Fehler ist die Einrichtung auf einem fremden Gerät. Wer einen Passkey versehentlich auf einem gemeinsam genutzten Rechner speichert, sollte ihn im betroffenen Konto entfernen und die Gerätesitzungen kontrollieren. Ebenso riskant ist es, nur einen gerätegebundenen Schlüssel ohne Reserve zu besitzen. Dann kann ein Defekt zu einer komplizierten Kontowiederherstellung führen.
Auch blindes Bestätigen ist problematisch. Passkeys verhindern die Eingabe eines Passworts auf der falschen Domain, aber unerwartete Anmeldeaufforderungen sollten dennoch abgebrochen werden. Außerdem verdienen Ersatzwege dieselbe Aufmerksamkeit wie der Passkey. Bleibt ein schwaches Passwort aktiv oder lässt sich ein Konto allein über eine ungeschützte E-Mail-Adresse zurücksetzen, ist der Gesamtschutz nur so stark wie diese schwächste Stelle.
Häufige Fragen zu Passkeys
Die wichtigsten praktischen Fragen betreffen Biometrie, Gerätewechsel und die parallele Nutzung alter Anmeldeverfahren.
Ist ein Passkey dasselbe wie ein Passwortmanager?
Nein. Ein Passwortmanager speichert klassische Kennwörter und kann zusätzlich Passkeys verwalten. Der Passkey selbst ist ein kryptografischer Anmeldeschlüssel. Betriebssysteme und Passwortmanager dienen lediglich als geschützter Speicher und können ihn zwischen Geräten synchronisieren.
Erhält die Website den Fingerabdruck oder das Gesichtsbild?
Nein. Die biometrische Prüfung findet lokal auf dem Gerät statt. Der Dienst erhält eine kryptografisch bestätigte Anmeldung, aber weder das Fingerabdruckbild noch die für die Gesichtserkennung verwendeten biometrischen Daten.
Kann ein Passkey auf mehreren Geräten genutzt werden?
Ja, wenn er über einen kompatiblen Anmeldedaten-Manager synchronisiert wird oder ein vorhandenes Smartphone die Anmeldung an einem anderen Gerät bestätigt. Alternativ lassen sich bei vielen Diensten mehrere getrennte Passkeys für dasselbe Konto anlegen.
Funktioniert ein Passkey ohne Internet?
Der private Schlüssel kann lokal gespeichert sein, doch die Anmeldung bei einem Onlinedienst benötigt normalerweise eine Internetverbindung zum Server. Bei einer geräteübergreifenden Anmeldung können zusätzlich Bluetooth und das Scannen eines QR-Codes erforderlich sein.
Muss das bisherige Passwort sofort gelöscht werden?
Das hängt vom jeweiligen Dienst ab. Manche Plattformen erlauben einen vollständig passwortlosen Zugang, andere behalten das Passwort als Alternative. Solange es aktiv ist, sollte es einzigartig und stark bleiben. Die verfügbaren Wiederherstellungswege müssen vor einer Deaktivierung geprüft werden.
Was ist sicherer: Passkey oder Zwei-Faktor-Anmeldung?
Ein gut implementierter Passkey ist phishingresistent und kann Passwort plus zweiten Faktor ersetzen. Eine klassische Zwei-Faktor-Anmeldung ist weiterhin deutlich besser als nur ein Passwort, besonders wenn sie eine Authenticator-App oder einen Sicherheitsschlüssel nutzt. Entscheidend ist auch, wie der Dienst die Kontowiederherstellung absichert.
Fazit
Passkeys ersetzen das leicht kopierbare Passwort durch ein kryptografisches Schlüsselpaar. Der private Schlüssel bleibt auf dem Gerät oder in einem geschützten Anmeldedaten-Manager, während der Dienst nur den öffentlichen Schlüssel speichert. Die Bindung an die echte Domain schützt vor vielen Phishing-Angriffen, und biometrische Daten verlassen das Gerät nicht. Der größte praktische Gewinn entsteht, wenn zugleich eine starke Gerätesperre, aktuelle Software, ein zweiter Zugang und sichere Wiederherstellungswege vorhanden sind. Passkeys sind damit kein Ersatz für jede Sicherheitsmaßnahme, aber ein wesentlicher Fortschritt gegenüber wiederverwendeten Passwörtern und abtippbaren Einmalcodes.
Bildnachweis: Beitragsbild von I’m Zion über Pexels (Foto-ID 12376016); Bild im Artikel von Pixabay über Pexels (Foto-ID 278430). Nutzung gemäß Pexels-Lizenz.
