Geschrieben von Beim Anmelden taucht immer häufiger eine Frage auf: „Passkey erstellen?“ Wer bisher mit Passwort und Zwei-Faktor-Code gut zurechtkam, fragt sich zu Recht, was das nun wieder sein soll – und ob man sich damit nicht nur eine neue Abhängigkeit vom Smartphone einhandelt.
Ein Passkey ersetzt das klassische Passwort durch ein kryptografisches Schlüsselpaar. Für dich fühlt sich die Anmeldung meist viel einfacher an: Gerät entsperren, Fingerabdruck, Gesicht oder PIN bestätigen – fertig. Im Hintergrund passiert aber etwas grundlegend anderes als bei einem Passwort.
Was ist ein Passkey in einfachen Worten?
Stell dir einen Passkey wie einen digitalen Schlüssel vor, der zu genau einer Website oder App passt. Bei der Einrichtung werden zwei zusammengehörige kryptografische Schlüssel erzeugt:
- ein privater Schlüssel, der auf deinem Gerät oder in einem geschützten Anmeldespeicher bleibt,
- ein öffentlicher Schlüssel, den der jeweilige Dienst speichert.
Beim Anmelden schickt die Website keine Frage nach einem geheimen Passwort. Stattdessen muss dein Gerät beweisen, dass es den passenden privaten Schlüssel besitzt. Microsoft erklärt dieses Prinzip in seiner Passkey-Dokumentation anhand desselben Schlüsselpaar-Modells.
Warum muss ich dann Fingerabdruck oder PIN verwenden?
Mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN entsperrst du den Passkey auf deinem eigenen Gerät. Diese Information ist nicht der Passkey selbst.
Das ist ein wichtiger Unterschied. Microsoft weist beispielsweise ausdrücklich darauf hin, dass biometrische Daten auf dem Gerät bleiben und nicht an Microsoft übertragen werden. Auch bei anderen Anbietern ist die lokale Geräteentsperrung vom eigentlichen Webdienst getrennt.
Warum sind Passkeys besser gegen Phishing geschützt?
Ein Passwort kann man auf einer täuschend echt nachgebauten Login-Seite eingeben. Genau darauf zielen viele Phishing-Angriffe. Ein Passkey ist dagegen an die echte Domain gebunden.
Microsoft erklärt das so: Ein für eine bestimmte Website erzeugter Passkey wird einer ähnlich aussehenden falschen Domain nicht zur Anmeldung angeboten. Der Nutzer kann also nicht einfach denselben geheimen Text versehentlich an die falsche Website übermitteln.
Das macht Passkeys phishingresistent, aber nicht jede Art von Betrug unmöglich. Social Engineering, manipulierte Freigaben oder ein vollständig kompromittiertes Gerät sind weiterhin Sicherheitsprobleme.
Was passiert, wenn mein Smartphone verloren geht?
Das hängt davon ab, wie der Passkey gespeichert wurde.
Synchronisierte Passkeys liegen in einem geschützten Anmeldespeicher und können auf mehreren eigenen Geräten verfügbar sein. Gerätegebundene Passkeys bleiben dagegen ausschließlich auf dem Gerät, auf dem sie erzeugt wurden.
Bei einem verlorenen Gerät ist deshalb entscheidend, dass du eine Wiederherstellungsmöglichkeit hast: ein weiteres eigenes Gerät, einen synchronisierten Passwort-/Passkey-Manager, einen Sicherheitsschlüssel oder eine vom Dienst angebotene Kontowiederherstellung.
Passkeys auf mehreren Geräten
Viele moderne Systeme unterstützen Synchronisation. Google, Apple, Microsoft und verschiedene Passwortmanager können Passkeys innerhalb ihrer jeweiligen Kontosysteme auf mehreren Geräten bereitstellen.
Zusätzlich gibt es die Anmeldung über ein anderes Gerät, häufig per QR-Code und Näheprüfung. So kann beispielsweise der Passkey auf dem Smartphone genutzt werden, obwohl du dich gerade am Computer anmeldest.
Brauche ich dann überhaupt noch ein Passwort?
Das hängt vom Dienst ab. Manche Konten lassen sich bereits weitgehend passwortlos betreiben. Andere bieten den Passkey zunächst zusätzlich an und behalten das Passwort als Rückfalloption.
Genau diese Rückfalloption ist wichtig: Wenn ein Dienst ein starkes Passkey-Verfahren anbietet, aber gleichzeitig ein schwaches Passwort ohne weitere Absicherung als alternative Anmeldung zulässt, bleibt das Konto über diesen anderen Weg angreifbar.
Prüfe deshalb die gesamten Sicherheitseinstellungen und nicht nur, ob irgendwo „Passkey aktiv“ steht.
Passkey oder Passwort plus Zwei-Faktor-Anmeldung?
Ein gutes einzigartiges Passwort mit zusätzlichem zweiten Faktor ist weiterhin sehr viel besser als ein mehrfach verwendetes Passwort ohne Schutz. Passkeys können den Prozess aber einfacher und zugleich phishingresistenter machen.
Microsoft ordnet Passkeys als eine Form starker Mehrfaktor-Authentifizierung ein: Du brauchst das Gerät beziehungsweise den gespeicherten Schlüssel und zusätzlich die lokale Entsperrung durch PIN oder Biometrie.
Was sieht die Website eigentlich von meinem Fingerabdruck?
Normalerweise nichts. Die biometrische Prüfung erfolgt auf dem Gerät. Die Website erhält lediglich die kryptografische Bestätigung, dass die Anmeldung mit dem passenden Schlüssel autorisiert wurde.
Google beschreibt in seiner Passkey-Hilfe ebenfalls, dass Passkeys über die normale Gerätesperre bestätigt werden und biometrische Daten nicht an Google übermittelt werden.
Wann solltest du Passkeys ausprobieren?
Besonders sinnvoll sind Passkeys bei wichtigen Konten, deren Anbieter das Verfahren sauber unterstützt – etwa beim zentralen E-Mail-Konto, über das wiederum andere Passwörter zurückgesetzt werden können.
Vorher solltest du drei Dinge prüfen:
- Wie kommst du bei Geräteverlust wieder ins Konto?
- Ist dein Smartphone beziehungsweise Computer selbst gut geschützt?
- Gibt es noch unsichere alternative Anmeldewege?
Ein Passkey ersetzt nicht alle Sicherheitsregeln
Auch mit Passkeys solltest du Geräte aktuell halten, Bildschirmsperre nutzen und bei verdächtigen Nachrichten aufmerksam bleiben. Genau diese Grundlagen haben wir im Artikel „Sicher im Internet: 8 einfache Regeln für den digitalen Alltag“ zusammengefasst.
Wer noch Windows 10 nutzt, sollte außerdem beachten, dass die Sicherheit des Kontos nicht die fehlende Betriebssystempflege ersetzt. Welche Optionen es dort gibt, erklärt unser aktueller Beitrag „Windows 10 im Herbst 2026“.
Die kurze Antwort: Passkeys sind einfacher, als sie klingen
Der Begriff wirkt technisch, die tägliche Nutzung ist oft einfacher als ein Passwort. Der größte Sicherheitsvorteil liegt darin, dass kein gemeinsames Geheimnis eingegeben wird, das eine Phishing-Seite abfangen könnte.
Wichtig ist nur, die Kontowiederherstellung mitzudenken. Wer genau einen gerätegebundenen Passkey besitzt und danach das Gerät verliert, hat sonst ein neues Problem geschaffen. Mit sinnvoller Synchronisierung oder einem zweiten sicheren Wiederherstellungsweg sind Passkeys jedoch eine der interessantesten Verbesserungen beim normalen Login der letzten Jahre.