Ein Passwort vergessen, einen Bestätigungscode abtippen und anschließend noch eine Sicherheitsabfrage beantworten: Viele Anmeldungen sind umständlich. Passkeys sollen diesen Ablauf vereinfachen. Statt eines selbst gewählten Kennworts bestätigt man die Anmeldung beispielsweise mit dem Fingerabdrucksensor, der Gesichtserkennung oder der Geräte-PIN. Das klingt nach einer rein biometrischen Anmeldung, doch technisch funktioniert es anders. Im Hintergrund arbeitet ein kryptografisches Schlüsselpaar. Entscheidend ist dabei, dass der geheime Schlüssel nicht an die besuchte Website übermittelt wird.

Passkeys können die Sicherheit erheblich verbessern, vor allem gegen gefälschte Anmeldeseiten und gestohlene Passwortdatenbanken. Sie lösen jedoch nicht jedes Problem. Wer ein Gerät verliert, keinen Zugriff mehr auf sein Benutzerkonto hat oder einen gemeinsam genutzten Computer verwendet, muss wissen, wie Wiederherstellung und Kontoschutz funktionieren. Dieser Ratgeber erklärt die Technik, den Alltagseinsatz und die Grenzen ohne unnötige Fachsprache.

Was ist ein Passkey und wie funktioniert die Anmeldung?

Ein Passkey ist eine Anmeldemethode, die auf asymmetrischer Kryptografie beruht. Bei der Einrichtung erzeugt das Gerät beziehungsweise der verwendete Anmeldedienst zwei zusammengehörige Schlüssel. Der öffentliche Schlüssel wird beim jeweiligen Online-Dienst hinterlegt. Der private Schlüssel bleibt geschützt auf dem Gerät oder in einer gesicherten, synchronisierten Passkey-Verwaltung. Bei einer späteren Anmeldung sendet der Dienst eine einmalige kryptografische Herausforderung. Das Gerät signiert sie mit dem privaten Schlüssel, und der Dienst prüft die Signatur mithilfe des öffentlichen Schlüssels.

Damit muss kein Passwort übertragen werden, das jemand auf dem Übertragungsweg oder auf einer gefälschten Website abfangen könnte. Der Dienst erhält auch keinen Fingerabdruck und kein Gesichtsbild. Biometrie oder PIN dienen normalerweise nur dazu, die Nutzung des privaten Schlüssels auf dem eigenen Gerät freizugeben. Ob man mit Fingerabdruck, Gesicht oder Gerätecode entsperrt, hängt vom Betriebssystem und der jeweiligen Konfiguration ab.

Passkeys beruhen auf den Standards FIDO2 und WebAuthn, deren Entwicklung von der FIDO Alliance und dem World Wide Web Consortium (W3C) vorangetrieben wird. WebAuthn regelt die Kommunikation zwischen Website, Browser und Authentifikator; FIDO2 umfasst zusätzlich das dazugehörige technische Umfeld. Die Begriffe wirken abstrakt, für Anwender ist der Vorgang jedoch meist einfach: Beim Anmelden erscheint eine Systemabfrage, die man lokal bestätigt. Danach wird das Konto geöffnet.

Ein wesentlicher Unterschied zu klassischen Kennwörtern ist die Bindung an die tatsächliche Internetadresse des Dienstes. Ein für eine bestimmte Website registrierter Passkey lässt sich nicht einfach auf einer ähnlich aussehenden Betrugsseite verwenden. Genau das macht Passkeys gegen viele Phishing-Angriffe deutlich widerstandsfähiger.

Passkey, Passwort und Zwei-Faktor-Anmeldung im Vergleich

Passkeys werden oft als Ersatz für Passwörter beworben. Tatsächlich unterscheiden sich die Verfahren vor allem darin, welches Geheimnis ein Angreifer erbeuten müsste und wie der Anmeldevorgang abgesichert ist. Ein Passwort kann erraten, wiederverwendet oder durch Täuschung preisgegeben werden. Ein Passkey benötigt dagegen den passenden privaten Schlüssel und die lokale Freigabe auf dem berechtigten Gerät.

Merkmal	Passwort	Passkey
Geheimnis beim Anbieter	Üblicherweise ein abgeleiteter Passwortprüfwert	Öffentlicher Schlüssel
Anmeldung	Passwort eingeben	Gerät lokal freigeben
Schutz gegen gefälschte Anmeldeseiten	Abhängig von zusätzlichen Schutzmaßnahmen	Durch Bindung an die Website grundsätzlich stark
Mehrere Geräte	Passwort überall nutzbar	Synchronisierung oder Anmeldung über ein zweites Gerät
Bei Geräteverlust	Passwort auf anderem Gerät nutzbar	Wiederherstellungsweg oder weiteres registriertes Gerät nötig

Bei einer klassischen Zwei-Faktor-Anmeldung wird das Passwort um einen zweiten Nachweis ergänzt, etwa eine Authentifikator-App oder einen Sicherheitsschlüssel. Ein Passkey kombiniert häufig den Besitz des Schlüssels mit der lokalen Gerätefreigabe. Das ist aber kein Freibrief, sämtliche anderen Sicherheitsmaßnahmen abzuschalten. Für besonders wichtige Konten bleiben Wiederherstellungsregeln, Benachrichtigungen bei neuen Anmeldungen und zusätzliche Sicherheitsprüfungen sinnvoll.

Auch sollte man nicht jedes Verfahren mit dem Etikett „passwortlos“ gleichsetzen. Ein per E-Mail versandter Einmalcode ist ebenfalls eine Anmeldung ohne klassisches Passwort, bietet jedoch nicht automatisch denselben Phishing-Schutz wie ein korrekt eingesetzter Passkey. Entscheidend ist die zugrunde liegende Technik, nicht die Werbebezeichnung.

Passkeys einrichten: Worauf man vor dem ersten Einsatz achten sollte

Viele Online-Dienste bieten in den Kontoeinstellungen einen Bereich für Sicherheit, Anmeldung oder Passkeys an. Dort kann man einen neuen Passkey hinzufügen. Der Browser oder das Betriebssystem fragt anschließend, wo er gespeichert werden soll. Je nach Gerät stehen ein integrierter Passwort- beziehungsweise Passkey-Manager, ein externer Manager oder ein kompatibler Hardware-Sicherheitsschlüssel zur Verfügung.

Vor der Einrichtung sollte man klären, welche Geräte künftig verwendet werden. Wer ausschließlich ein Smartphone besitzt und dieses verliert, braucht einen verlässlichen Wiederherstellungsweg. Wer dagegen mehrere Geräte im selben unterstützten Ökosystem verwendet, kann synchronisierte Passkeys nutzen. Dabei werden die Schlüssel durch den jeweiligen Anbieter geschützt zwischen berechtigten Geräten verfügbar gemacht. Die konkrete Funktionsweise und die Anforderungen für die Wiederherstellung unterscheiden sich jedoch.

Besonders sinnvoll ist es, zuerst bei weniger kritischen Konten Erfahrungen zu sammeln und dann wichtige Konten umzustellen. Bei E-Mail-Konten, die zugleich als Wiederherstellungsadresse für viele andere Dienste dienen, sollte man vorher prüfen, ob ein zweiter Anmeldeweg existiert. Ein zusätzlich registrierter Sicherheitsschlüssel oder ein zweites Gerät kann verhindern, dass ein einzelner Defekt zum vollständigen Ausschluss führt.

Bei der Registrierung sollte die Internetadresse des Dienstes stimmen. Zwar schützt die technische Bindung des Passkeys gegen die spätere Verwendung auf einer fremden Domain, dennoch ist es wichtig, die Einrichtung ausschließlich über den echten Dienst zu starten. Unbekannte Nachrichten mit angeblichen Sicherheitsproblemen sind kein guter Anlass, spontan auf Links zu klicken.

Passkeys auf mehreren Geräten verwenden

Im Alltag möchte kaum jemand für jede Anmeldung dasselbe Smartphone zur Hand nehmen müssen. Deshalb gibt es zwei grundlegende Wege: Der Passkey wird innerhalb eines unterstützten Systems synchronisiert, oder ein bereits registriertes Gerät bestätigt die Anmeldung auf einem anderen Gerät. Welche Möglichkeit verfügbar ist, hängt von Betriebssystem, Browser, Passkey-Anbieter und Online-Dienst ab.

Bei einer geräteübergreifenden Anmeldung zeigt der Computer häufig einen QR-Code an. Das Smartphone scannt ihn und bestätigt die Anfrage. Dabei muss das Smartphone nicht den privaten Schlüssel an den Computer übertragen. Stattdessen wird die Anmeldung über ein abgesichertes Verfahren zwischen den Geräten abgewickelt. Häufig müssen beide Geräte in der Nähe sein, beispielsweise damit eine Bluetooth-gestützte Näheerkennung stattfinden kann. Der QR-Code allein ist deshalb nicht zwangsläufig ausreichend.

Synchronisierte Passkeys erleichtern den Wechsel auf ein neues Gerät. Voraussetzung ist allerdings, dass man den Zugang zum jeweiligen Konto und dessen Wiederherstellungsmechanismen behält. Ein Passkey, der ausschließlich auf einem einzelnen Hardware-Sicherheitsschlüssel gespeichert ist, verhält sich anders: Er wird nicht automatisch auf weitere Geräte kopiert. Das kann für besonders schützenswerte Konten erwünscht sein, erhöht aber die Bedeutung eines Ersatzschlüssels.

Auf gemeinsam genutzten Computern ist besondere Vorsicht geboten. Ein eigener Passkey sollte nicht unüberlegt im Benutzerprofil einer anderen Person gespeichert werden. Besser ist eine Anmeldung über das persönliche Smartphone, sofern der Dienst diese Möglichkeit anbietet. Nach der Nutzung sollte man sich vom Online-Dienst abmelden und prüfen, ob der Browser eine dauerhafte Sitzung eingerichtet hat.

Was passiert, wenn das Smartphone verloren geht?

Der Verlust eines Smartphones ist einer der wichtigsten praktischen Einwände gegen Passkeys. Ob man ausgesperrt wird, hängt davon ab, wie die Schlüssel gespeichert wurden und welche weiteren Anmeldemöglichkeiten bestehen. Bei synchronisierten Passkeys kann ein neues Gerät nach erfolgreicher Wiederherstellung des zugehörigen Kontos möglicherweise wieder auf die Schlüssel zugreifen. Bei ausschließlich gerätegebundenen Schlüsseln ist das nicht automatisch möglich.

Deshalb sollte man vor dem Umstieg mindestens einen zweiten verlässlichen Zugang einrichten. Das kann ein weiterer Passkey auf einem unabhängigen Gerät, ein zusätzlicher Hardware-Sicherheitsschlüssel oder ein vom Dienst bereitgestelltes Wiederherstellungsverfahren sein. Wiederherstellungscodes gehören an einen sicheren Ort, der nicht ausschließlich auf dem möglicherweise verlorenen Gerät liegt.

Geht das Gerät verloren oder wird es gestohlen, sind mehrere Schritte sinnvoll: Zunächst sollte man die Möglichkeiten zur Fernsperre beziehungsweise zum Löschen prüfen. Danach sollte man die Sicherheitsübersicht wichtiger Konten öffnen, unbekannte Sitzungen beenden und nicht mehr benötigte Geräte oder Passkeys entfernen. Bei Verdacht auf einen kompromittierten Gerätecode kann eine rasche Änderung der betreffenden Kontosicherheitsdaten notwendig sein.

Ein Passkey ist nicht automatisch verloren, nur weil ein Telefon defekt ist. Umgekehrt darf man nicht annehmen, dass alle Passkeys grundsätzlich in einer Cloud gesichert sind. Gerade vor einem Gerätewechsel lohnt sich ein Blick in die Einstellungen des verwendeten Passkey-Managers. Dort lässt sich häufig erkennen, welche Schlüssel vorhanden sind und ob sie synchronisiert werden.

Wie sicher sind Passkeys wirklich?

Der größte Sicherheitsgewinn liegt im Schutz gegen typische Passwortangriffe. Angreifer können keinen wiederverwendbaren Kennworttext aus einer Anmeldung abschöpfen, und eine gefälschte Website erhält nicht einfach eine gültige Passkey-Signatur für den echten Dienst. Auch ein Datenleck beim Anbieter ist anders zu bewerten: Der gespeicherte öffentliche Schlüssel ermöglicht normalerweise nicht, den privaten Schlüssel zu berechnen.

Damit sind jedoch nicht sämtliche Angriffe ausgeschlossen. Schadsoftware auf einem entsperrten Gerät kann unter Umständen Sitzungen missbrauchen, Eingaben manipulieren oder auf bereits angemeldete Dienste zugreifen. Auch betrügerische Wiederherstellungsprozesse und Social Engineering bleiben Risiken. Wenn ein Anbieter weiterhin eine schwache Passwort- oder E-Mail-Wiederherstellung erlaubt, kann diese Hintertür den Sicherheitsgewinn begrenzen.

Hinzu kommt die Frage der Gerätesicherheit. Eine einfache, leicht zu erratende Geräte-PIN oder ein ungeschütztes Benutzerprofil kann den lokalen Zugriff erleichtern. Die Qualität des gesamten Systems hängt deshalb nicht nur vom kryptografischen Verfahren ab, sondern auch von Updates, Bildschirmsperre, Wiederherstellungsregeln und dem Schutz des zentralen Kontos, über das Passkeys synchronisiert werden.

Biometrische Freigabe ist ebenfalls kein unfehlbares Verfahren. Sie ist eine bequeme Methode zur lokalen Entsperrung, aber nicht mit einer unabhängigen Identitätsprüfung durch jede besuchte Website gleichzusetzen. Der Online-Dienst prüft die kryptografische Antwort; die lokale Freigabe wird durch das Gerät beziehungsweise dessen Sicherheitskomponenten organisiert.

Typische Probleme bei der Anmeldung und ihre Lösungen

Passkeys können an unterschiedlichen Stellen scheitern: Der Dienst unterstützt sie noch nicht vollständig, der Browser ist veraltet, der gewünschte Schlüssel liegt auf einem anderen Gerät oder die geräteübergreifende Anmeldung kann keine Verbindung aufbauen. Wichtig ist, zunächst zu unterscheiden, ob der Passkey gar nicht angeboten wird oder ob seine Bestätigung fehlschlägt.

Problem	Mögliche Ursache	Sinnvoller erster Schritt
Passkey wird nicht angeboten	Dienst oder Browser unterstützt die Funktion nicht wie erwartet	Kontoeinstellungen und Browseraktualisierung prüfen
Passkey auf neuem Gerät fehlt	Keine Synchronisierung oder falsches Benutzerkonto	Passkey-Verwaltung und angemeldetes Konto kontrollieren
QR-Anmeldung funktioniert nicht	Näheerkennung oder Verbindung gestört	Bluetooth, Gerätestandort und Systemhinweise prüfen
Biometrische Freigabe scheitert	Sensorproblem oder lokale Sicherheitsabfrage	Falls angeboten, Geräte-PIN verwenden
Nach Geräteverlust kein Zugriff	Kein zweiter Passkey verfügbar	Offiziellen Wiederherstellungsweg des Dienstes nutzen
Unbekannte Passkey-Anfrage	Unbeabsichtigter Anmeldeversuch oder verdächtige Aktivität	Nicht bestätigen und Kontositzungen prüfen

Wer einen Passkey nicht findet, sollte nicht sofort alle vorhandenen Anmeldemethoden löschen. Besser ist es, zunächst auf einem bereits bekannten Gerät zu prüfen, ob der Passkey dort verfügbar ist. Danach kann man gegebenenfalls einen weiteren Schlüssel registrieren. Das reduziert das Risiko, sich durch eine überstürzte Sicherheitsänderung selbst auszusperren.

Auch ein erfolgreicher Login bedeutet nicht, dass jede Sitzung dauerhaft sicher ist. Auf fremden Computern sollte man Browserprofile, gespeicherte Anmeldungen und automatische Wiederanmeldungen im Blick behalten. Für besonders sensible Konten empfiehlt es sich, die Übersicht aktiver Geräte und Sitzungen regelmäßig zu kontrollieren.

Für wen lohnt sich die Umstellung auf Passkeys?

Für die meisten Privatnutzer sind Passkeys besonders attraktiv, wenn sie regelmäßig dieselben Dienste auf eigenen Geräten verwenden und bereits eine verlässliche Bildschirmsperre eingerichtet haben. Die Anmeldung wird oft schneller, weil keine Kennwörter mehr eingetippt oder zurückgesetzt werden müssen. Gleichzeitig sinkt das Risiko, auf eine täuschend echte Anmeldeseite hereinzufallen.

Wer viele Geräte unterschiedlicher Hersteller verwendet, sollte vorab prüfen, wie gut sich der gewählte Passkey-Manager in den eigenen Alltag integrieren lässt. Nicht jede Kombination aus Browser, Betriebssystem und Verwaltungslösung funktioniert gleich bequem. Auch bei häufig wechselnden Arbeitsplätzen oder gemeinsam genutzten Geräten kann ein Hardware-Sicherheitsschlüssel eine sinnvolle Ergänzung sein.

Bei besonders wichtigen Konten sollte die Entscheidung nicht allein von der bequemsten Anmeldung abhängen. Ein zweiter Zugang, sichere Wiederherstellungscodes und die regelmäßige Kontrolle der Kontosicherheit sind wichtiger als die Frage, ob eine Anmeldung zwei oder fünf Sekunden dauert. Der beste Schutz entsteht durch ein durchdachtes Gesamtkonzept.

Passkeys sind außerdem kein Grund, bestehende Passwörter überall sofort zu löschen. Viele Dienste erlauben eine Übergangsphase mit mehreren Anmeldeverfahren. Diese sollte man nutzen, um die neue Methode auf allen benötigten Geräten zu testen und erst anschließend nicht mehr benötigte Verfahren zu entfernen, sofern das Konto und die Sicherheitsanforderungen dies erlauben.

Häufige Fragen zu Passkeys

Ist ein Passkey dasselbe wie ein Fingerabdruck?

Nein. Der Passkey ist ein kryptografischer Anmeldeschlüssel. Ein Fingerabdruck kann die Nutzung dieses Schlüssels auf dem Gerät freigeben. Die Website erhält dabei normalerweise weder Fingerabdruckdaten noch ein Gesichtsbild.

Brauche ich für jeden Dienst einen eigenen Passkey?

Ja, die Registrierung ist an den jeweiligen Dienst gebunden. Ein Passkey für ein bestimmtes Konto lässt sich nicht als allgemeiner Universalschlüssel auf beliebigen anderen Websites einsetzen.

Kann ich Passkeys ohne Smartphone verwenden?

Ja. Je nach Dienst und Betriebssystem können Passkeys auf Computern, in geeigneten Passwortmanagern oder auf kompatiblen Hardware-Sicherheitsschlüsseln gespeichert werden. Ein Smartphone ist häufig praktisch, aber nicht grundsätzlich erforderlich.

Kann ein Angreifer meinen Passkey durch Phishing stehlen?

Das zugrunde liegende Verfahren schützt wesentlich besser gegen klassische gefälschte Anmeldeseiten als ein Passwort. Andere Angriffe, etwa auf ein bereits angemeldetes Gerät oder auf schwache Wiederherstellungsverfahren, bleiben möglich.

Was sollte ich vor dem Löschen meines Passworts tun?

Prüfe, ob du dich mit dem Passkey auf allen wichtigen Geräten anmelden kannst und ob ein unabhängiger Wiederherstellungsweg existiert. Erst danach solltest du überlegen, welche alten Anmeldeverfahren du tatsächlich nicht mehr benötigst.