Was Sie über Passkeys wissen sollten

Eine mögliche Lösung des Grundproblems, nämlich dass Passwörter die schwächste Stelle vieler Online-Konten sind, sind eben diese Passkeys. Zunächst aber zur Frage, was ein Passkey überhaupt genau ist.

Was ist ein Passkey?

Ein Passkey ist eine Methode zur passwortlosen Authentifizierung, die mehr Sicherheit und Bequemlichkeit bieten soll als herkömmliche Passwörter. Er kann allein oder als zweiter Faktor eingesetzt werden. Zunächst ist es wichtig zu verstehen, wie ein Nutzer gegenüber einem Webdienst beweisen kann, dass er tatsächlich zum Zugriff berechtigt ist. Hierzu muss ein Faktor oder Merkmal verwendet werden, das nur dieser Nutzer hat und das Unberechtigte nicht besitzen. Solche Faktoren gehören zu einer von drei Kategorien: Wissen (der Nutzer weiß etwas, das andere nicht wissen, zum Beispiel ein Passwort), Haben (der Nutzer hat einen Gegenstand, auf den andere keinen Zugriff haben) und Sein (der Nutzer hat eine persönliche Eigenschaft, die andere nicht haben).

Die Schwächen von Passwörtern sind allgemein bekannt: Sie können vergessen, erraten oder gestohlen werden. Daher wird zunehmend dazu übergegangen, Konten passwortlos abzusichern, also durch einen Faktor aus der Kategorie „Sein" oder „Haben". Zur ersten Kategorie zählen etwa biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung, zur zweiten Kategorie etwa USB-Krypto-Sticks und eben Passkeys, die an ein bestimmtes Gerät im Besitz des Nutzers gebunden sind.

Ohne gute Basis bleibt jeder Login angreifbar. Ihre Domain ist die Grundlage. Jetzt Domainnamen prüfen & registrieren

Die Schwächen von Passwörtern

Passwörter sind oft die schwächste Komponente beim Schutz digitaler Ressourcen. Abgesehen davon, dass es mühselig ist, sie sich zu merken, werden sie oft wiederverwendet und müssen häufig geändert werden. Der Support und die Wartung von Passwörtern sind in vielen IT-Abteilungen nicht selten der größte Kostenfaktor. Das Ersetzen der Passwörter durch sicherere Authentifizierungsfaktoren macht es Angreifern schwerer und kostspieliger, erfolgreich zu sein.

So werden Passkeys verwendet

Bei einem Passkey verläuft die Authentifizierung folgendermaßen: Statt sich mit Benutzername und Passwort anzumelden, gibt der Nutzer auf der Anmeldeseite lediglich an, für welches Konto er sich per Passkey anmelden möchte, und nutzt dafür bestimmte Sicherheitsfeatures des dafür registrierten Geräts, etwa den Fingerabdruck auf dem Smartphone. Ist dem Dienst bekannt, dass das verwendete Gerät dem betreffenden Nutzer gehört, lässt er die Anmeldung zu. Dafür muss auf diesem Gerät zuvor ein Passkey für den Dienst generiert worden sein, wofür ein Authenticator zuständig ist. Als Authenticator können Smartphone-Apps wie Google Passwortmanager, iCloud-Schlüsselbund oder Microsoft Authenticator, ein FIDO2-kompatibler USB-Security-Stick, aber auch Windows Hello oder ein Passwortmanager auf dem PC fungieren.

Passkeys: ein Blick unter die Haube

Die technische Grundlage ist die sogenannte Public-Key-Kryptografie, ein mathematisches Verfahren, bei dem zwei digitale Schlüssel generiert werden, ein privater und ein öffentlicher Schlüssel. Der private Schlüssel muss stets von seinem Besitzer geheim gehalten werden, der öffentliche Schlüssel kann dagegen öffentlich gemacht werden. Es handelt sich um asymmetrische Kryptografie: Eine Zeichenkette, die mit dem öffentlichen Schlüssel verschlüsselt wurde, kann nur mit dem zugehörigen privaten Schlüssel entschlüsselt werden, und umgekehrt.

Dies ist auch die technische Grundlage von Ende-zu-Ende-Verschlüsselung bei E-Mails, digitalen Signaturen, HTTPS und anderen verbreiteten Verfahren im Internet. Nachdem der Authenticator bei der Registrierung für einen Webdienst ein solches Schlüsselpaar generiert hat, verbleibt der private Schlüssel auf dem Gerät des Nutzers. Der öffentliche Schlüssel wird an den Server des Dienstes geschickt. Bei einer Login-Anfrage schickt der Server eine sogenannte Challenge an den Authenticator, ein kleines Datenpaket, das mit dem privaten Schlüssel signiert und zurückgeschickt wird. Der Server prüft die Signatur mit dem zuvor hinterlegten öffentlichen Schlüssel.

Entscheidend dabei: Zwischen Authenticator und Konto-Server wird niemals eine geheime Information wie ein Passwort übermittelt. Daher kann auch kein Geheimnis von einem Angreifer abgefangen werden. Und weil Passkeys domainspezifisch erstellt werden, können auch gefälschte Phishing-Seiten, selbst solche mit sehr ähnlichen Domainnamen, nichts ausrichten.

Passwort trotz Passkey?

Trotzdem sind auch bei Passkeys geheime Informationen im Spiel, nämlich der private Schlüssel des Nutzers. Dieser muss sorgfältig geheim gehalten werden. Das bedeutet, dass der Authenticator selbst ebenfalls gegen unbefugten Zugriff abgesichert werden muss, etwa durch das Masterpasswort eines Passwortmanagers oder die PIN des Smartphones. Das Verfahren bleibt dennoch sehr viel sicherer als Online-Passwörter, da der Passkey an das jeweilige Gerät gebunden ist.

Auch bei der Zwei-Faktor-Authentifizierung (2FA) oder Multi-Faktor-Authentifizierung (MFA) per Passkey sind Passwörter in der Regel noch im Spiel: Hierbei handelt es sich oft um einen herkömmlichen Login, der durch einen zweiten Faktor, eben einen Passkey, abgesichert wird.

Sichere Passkeys funktionieren nur, wenn auch Ihr Hosting solide abgesichert ist. Jetzt über Webhosting von DomainFactory informieren

Passkeys als Authentifizierungsmethode mit breiter Unterstützung

Ein Vorteil von Passkeys gegenüber dem FIDO2-Standard, auf dem sie basieren, ist, dass sie zwischen verschiedenen Geräten synchronisiert werden können. Die FIDO Alliance, eine Industrievereinigung, der unter anderem Google, Microsoft, Samsung oder das deutsche BSI angehören, entwickelt gemeinsam mit dem W3C sichere, aber einfach zu nutzende Standards für die passwortlose Authentifizierung. Große Anbieter wie Google oder Apple implementieren die Synchronisation in ihrem jeweiligen Ökosystem bereits. Unternehmen mit höheren Sicherheitsanforderungen verzichten oft bewusst auf die geräteübergreifende Synchronisation, solche Passkeys werden als device-bound bezeichnet.

Neu seit 2026: Lange war die größte praktische Schwäche von Passkeys, dass sie sich kaum zwischen unterschiedlichen Ökosystemen übertragen ließen, ein Passkey aus dem Google Passwortmanager etwa nur umständlich zu 1Password oder umgekehrt. Mit dem von der FIDO Alliance entwickelten Credential Exchange Protocol und einem entsprechenden Android-Update im Juni 2026 lassen sich Passkeys inzwischen deutlich einfacher zwischen verschiedenen Passwortmanagern und Plattformen exportieren und importieren. Das nimmt eine wichtige Hürde für den Umstieg.

Wichtige Hinweise zur Nutzung von Passkeys

Nutzer müssen Passkeys auf jedem Gerät erstellen, das sie verwenden möchten. Bei gemeinsam genutzten Geräten sollte darauf geachtet werden, dass diese passwortgeschützt bleiben, um unbefugten Zugriff zu verhindern. Wenn ein Passkey auf einem gemeinsam genutzten Gerät gespeichert wird, könnte jede Person mit Zugriff auf dieses Gerät auch auf das jeweilige Konto zugreifen.

Schützen Sie Ihre Konten dort, wo „Passwort vergessen“ beginnt: mit sicherem E-Mail-Hosting. Jetzt Professional E-Mail von DomainFactory buchen

Aktuelle Zahlen zu Passkeys 

Die Nutzungszahlen haben sich deutlich weiterentwickelt. Laut dem „State of Passkeys 2026"-Report der FIDO Alliance, veröffentlicht zum Welt-Passkey-Tag am 7. Mai 2026, sind weltweit rund 5 Milliarden Passkeys aktiv im Einsatz. Insgesamt unterstützen inzwischen über 15 Milliarden Online-Konten die passwortlose Anmeldung, mehr als doppelt so viele wie noch ein Jahr zuvor.

Weitere Zahlen aus dem Report, basierend auf einer Befragung von 11.000 Verbrauchern und 1.400 Entscheidern aus zehn Ländern:

• 90 Prozent der Befragten kennen Passkeys inzwischen.
• 69 bis 75 Prozent haben mindestens einen Passkey auf einem Konto aktiviert.
• 96 Prozent aller Geräte sind heute grundsätzlich passkey-fähig.
• 48 bis 60 Prozent der 100 meistbesuchten Websites weltweit unterstützen Passkeys, bei den Top 1.000 Websites liegt der Anteil noch bei 20 bis 30 Prozent.
• Im Unternehmensumfeld haben 68 Prozent der befragten Organisationen Passkeys für die Mitarbeiter-Authentifizierung eingeführt oder befinden sich in der Pilotphase.

Google allein meldet rund 800 Millionen Konten mit Passkey-Unterstützung und mehr als 2,5 Milliarden darüber abgewickelte Anmeldungen. Die Erfolgsrate beim Login liegt bei Passkeys nach Unternehmensangaben bei etwa 93 Prozent, verglichen mit rund 63 Prozent bei klassischen Passwort-Logins.

Ebenfalls neu: Ab dem 15. Juli 2026 verlangt Google von Werbekunden zwingend die Nutzung von Passkeys für sensible Kontovorgänge, etwa Änderungen an Zahlungsdetails. Das zeigt, dass Passkeys nicht mehr nur eine optionale Zusatzfunktion sind, sondern von großen Plattformen zunehmend aktiv durchgesetzt werden.

Die Vorteile von Passkeys

Passkeys ersetzen sowohl Passwörter als auch traditionelle Multi-Faktor-Authentifizierung. Sie ermöglichen es Nutzern, sich mit biometrischen Daten wie Fingerabdrücken oder Gesichtsscans anzumelden, was den Authentifizierungsprozess erheblich vereinfacht.

Sicherheit von Passkeys

Ein entscheidender Vorteil von Passkeys ist ihre Immunität gegen die breite Masse bekannter Phishing-Angriffe. Selbst wenn ein Nutzer versucht, sich auf einer gefälschten Webseite einzuloggen, wird der geheime Schlüssel niemals preisgegeben. Der Login scheitert, und die Angreifer erfahren nichts über das Angriffsziel oder dessen Daten.

Passwortmanager: Weiterhin ein wichtiges Tool

Zusätzlich zu Passkeys spielen Passwortmanager weiterhin eine wichtige Rolle. Sie speichern komplexe Passwörter für Dienste, die noch keine Passkeys unterstützen, und generieren sichere Anmeldedaten. Moderne Passwortmanager wie 1Password, Dashlane und Bitwarden integrieren inzwischen auch Passkeys direkt und fungieren damit als Hybrid-Lösung während der Übergangszeit.

Passkeys auch für Ihr Domain-Factory-Kundenkonto

Für Dienste, die Sie regelmäßig nutzen, lohnt es sich, Passkeys überall dort zu aktivieren, wo sie bereits angeboten werden. Achten Sie dabei besonders auf zentrale Konten wie Ihr E-Mail-Postfach, etwa bei Professional E-Mail oder Microsoft 365, da darüber häufig weitere Konten per „Passwort vergessen" wiederhergestellt werden können.

Fazit: Passkeys sind 2026 im Mainstream angekommen

Was vor wenigen Jahren noch ein Nischenfeature war, ist 2026 Realität für Milliarden von Konten weltweit. Mit rund 5 Milliarden aktiven Passkeys, einer wachsenden Website-Unterstützung und einfacheren Wegen, Passkeys zwischen Geräten und Passwortmanagern zu übertragen, sinkt die Einstiegshürde weiter. Vollständig verschwinden werden Passwörter zwar vorerst nicht, ein Passwortmanager bleibt für Übergangsfälle sinnvoll, doch die Richtung ist klar erkennbar.

Aktivieren Sie Passkeys daher Schritt für Schritt zuerst bei den Diensten, die für Sie am wichtigsten sind, und arbeiten Sie sich von dort aus weiter vor.

FAQ – Häufig gestellte Fragen zu Passkeys

Wie richte ich einen Passkey für mein Konto ein? Die Einrichtung erfolgt je nach Anbieter etwas unterschiedlich. Grundsätzlich läuft sie so ab:

1. Melden Sie sich beim Dienst an, der Passkeys unterstützt.
2. Navigieren Sie zu den Sicherheits- oder Kontoeinstellungen.
3. Suchen Sie nach Optionen wie „Passkeys" oder „Anmeldemethoden".
4. Wählen Sie „Passkey hinzufügen" und bestätigen Sie Ihre Identität durch Ihr bestehendes Passwort.
5. Authentifizieren Sie sich auf Ihrem Gerät per Fingerabdruck, Gesichtserkennung oder PIN.
6. Der Passkey wird erstellt und mit dem Konto verknüpft.

Welche Geräte und Betriebssysteme unterstützen Passkeys? Passkeys werden auf den meisten modernen Geräten unterstützt: bei Apple ab iOS/iPadOS 16+ und macOS Ventura+ über Safari, bei Android ab Version 9+ über Chrome und den Google Passwortmanager, bei Windows über Windows Hello, Edge und Microsoft Authenticator. Auch Firefox (ab Version 111) sowie FIDO2-kompatible Sicherheitsschlüssel wie YubiKey werden unterstützt.

Welche Websites und Dienste unterstützen bereits Passkeys? Die Liste wächst stetig. Dazu gehören unter anderem Google, Microsoft 365, Apple ID, PayPal, Amazon, eBay, Shopify, Dropbox, GitHub sowie zahlreiche Banken und Passwortmanager. Eine aktuelle Übersicht unterstützter Dienste bietet die Website passkeys.directory.

Können Passkeys über verschiedene Betriebssysteme hinweg verwendet werden? Ja, allerdings mit Einschränkungen. Am reibungslosesten funktioniert die Synchronisation innerhalb eines Ökosystems. Für die betriebssystemübergreifende Nutzung stehen QR-Code-Verfahren sowie, seit 2026, das Credential Exchange Protocol zur Verfügung, das den Umzug zwischen verschiedenen Passwortmanagern deutlich vereinfacht.

Brauche ich weiterhin einen Passwortmanager, wenn ich Passkeys verwende? Ja, solange nicht alle genutzten Dienste Passkeys unterstützen. Passwortmanager bieten zudem mehr als nur Passwörter, etwa Kreditkartendaten und sichere Notizen, und dienen als Brücke zwischen verschiedenen Ökosystemen.

Was passiert, wenn ich mein Gerät verliere oder es gestohlen wird? Bei Geräteverlust sind Ihre Passkeys besser geschützt als herkömmliche Passwörter, da sie lokal verschlüsselt gespeichert werden und eine biometrische Verifizierung oder PIN erfordern. Synchronisieren Sie Ihre Passkeys dennoch über einen vertrauenswürdigen Cloud-Dienst, richten Sie alternative Anmeldemethoden für wichtige Konten ein und sperren Sie im Verlustfall Ihr Gerät umgehend.

Sind Passkeys DSGVO-konform? Passkeys wurden mit Datenschutz als Kernprinzip entwickelt und sind grundsätzlich DSGVO-konform. Sie belassen den privaten Schlüssel ausschließlich auf dem Gerät des Nutzers und erfordern keine Übermittlung vertraulicher Daten an Server.

Wie werden Passkeys bei Unternehmen implementiert? Die Unternehmensimplementierung erfolgt meist über eine Integration in bestehende IAM-Systeme wie Okta, Microsoft Entra ID oder Google Workspace, mit zentralisierter Verwaltung für Erstellung, Verteilung und Widerruf von Passkeys sowie entsprechenden Sicherheitsrichtlinien.

Quellen und weiterführende Links

• FIDO Alliance: State of Passkeys 2026
• https://blog.google/intl/de-de/unternehmen/technologie/passkeys-101/
• https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Passkeys/passkeys-anmelden-ohne-passwort_node.html
• https://passkeys.directory/

Titelmotiv: Bild von Gerd Altmann auf Pixabay

Dieser Artikel ist am 22.01.2024 erschienen und wurde am 09.10.2024, am 31.03.2025 und am 08.10.2026 aktualisiert.