Passkeys erklärt: Anmelden ohne Passwort

Immer mehr Dienste fragen bei der Anmeldung: „Passkey erstellen?“ Viele Menschen tippen dann auf „Später“, weil nicht klar ist, was dabei passiert. Dieser Artikel erklärt, was ein Passkey ist, was er besser macht als ein Passwort, wo seine Grenzen liegen und wie Sie ihn einrichten.

Was ein Passwort eigentlich ist

Ein Passwort ist ein Geheimnis, das Sie und der Dienst gemeinsam kennen. Damit das funktioniert, muss der Dienst es prüfen können, und Sie müssen es irgendwo eintippen. Daraus ergeben sich drei Schwachstellen:

• Der Dienst kann es durch ein Datenleck verlieren.
• Sie können es auf einer gefälschten Seite eintippen, ohne es zu merken.
• Wer es einmal hat, kann es bei anderen Diensten ausprobieren, falls Sie es mehrfach verwenden.

Keine dieser drei Schwachstellen hat mit Ihrer Sorgfalt zu tun. Sie liegen im Prinzip „gemeinsames Geheimnis“.

Was ein Passkey anders macht

Ein Passkey ist kein Geheimnis, das Sie kennen, sondern ein Schlüsselpaar, das Ihr Gerät erzeugt. Den einen Teil, den privaten Schlüssel, behält Ihr Handy, Computer oder Passwort-Manager. Den anderen Teil, den öffentlichen Schlüssel, bekommt der Dienst.

Bei der Anmeldung stellt der Dienst Ihrem Gerät eine Aufgabe. Ihr Gerät löst sie mit dem privaten Schlüssel, nachdem Sie es mit Fingerabdruck, Gesicht oder PIN entsperrt haben. Der Dienst prüft die Lösung mit dem öffentlichen Schlüssel. Das war es.

Daraus folgen drei Eigenschaften:

Es gibt nichts zu verraten. Sie kennen kein Geheimnis, das Sie eintippen, am Telefon vorlesen oder abfotografieren könnten. Wer Sie anruft und nach Ihrem Passkey fragt, bekommt keine Antwort, weil es keine gibt.

Der Passkey funktioniert nur auf der echten Seite. Browser und Gerät geben einen Passkey nur für die Adresse heraus, für die er erstellt wurde. So steht es in der Spezifikation des Web-Standards dahinter (W3C Web Authentication). Landen Sie auf einer täuschend echten Fälschung, bietet Ihr Gerät dort schlicht keinen Passkey an. Diese Eigenschaft heißt in der Fachsprache „phishing-resistent“. Phishing bedeutet: Jemand lockt Sie mit einer Nachricht auf eine gefälschte Seite, um Ihre Zugangsdaten abzufangen. Die US-Standardbehörde NIST zählt Passwörter, SMS-Codes und Codes aus Apps ausdrücklich nicht zu den phishing-resistenten Verfahren, Passkeys schon (NIST SP 800-63B-4, Abschnitt 3.2.5).

Ein Datenleck beim Dienst gibt nichts her. Mit dem öffentlichen Schlüssel kann sich niemand anmelden.

Was mit Ihrem Fingerabdruck passiert

Nichts, was das Gerät verlässt. Fingerabdruck und Gesicht entsperren nur den Schlüssel in Ihrem Gerät. Der Dienst sieht weder Ihren Finger noch Ihr Gesicht, er sieht nur die gelöste Aufgabe. Wenn Sie keine Biometrie verwenden möchten, genügt die PIN oder das Muster Ihres Geräts.

Zwei Arten von Passkeys

Synchronisierte Passkeys liegen im Schlüsselbund Ihres Handy-Herstellers oder in Ihrem Passwort-Manager und stehen auf allen Ihren Geräten zur Verfügung. Geht ein Handy verloren, sind sie nicht weg. Für private und berufliche Konten ist das in aller Regel eine gute Wahl; NIST lässt sie für die mittlere Schutzstufe zu.

Gerätegebundene Passkeys sitzen auf einem Sicherheitsschlüssel, einem kleinen Gerät für den USB-Anschluss oder zum Auflegen ans Handy. Der Schlüssel verlässt dieses Gerät nie. Das eignet sich für Konten, über die man viele andere Konten steuern kann, etwa das Administratorkonto der Firmenmail. Kaufen Sie in dem Fall zwei Schlüssel und hinterlegen Sie den zweiten als Ersatz.

Ein Beispiel aus Österreich: Die ID Austria lässt sich statt mit der App auch mit einem FIDO-Sicherheitsschlüssel bestätigen. Laut id-austria.gv.at bleibt dabei der private Schlüssel im Token, der öffentliche wird mit Ihrer ID Austria verknüpft. Welche Modelle unterstützt werden, steht auf den offiziellen Hilfeseiten.

Wo die Grenzen liegen

Ein Passkey ist ein großer Schritt, aber er beendet nicht jeden Trick. Ehrlich gesagt:

• Der Nebeneingang bleibt offen. Viele Dienste erlauben neben dem Passkey weiter die Anmeldung mit Passwort und SMS-Code. Betrüger versuchen deshalb, Sie dorthin zu lenken: „Ihr Passkey wurde deaktiviert, bitte melden Sie sich mit Passwort an.“ Wenn eine Seite, die sonst einen Passkey anbietet, plötzlich Passwort und Code will, schauen Sie zuerst auf die Adresse.
• Freigaben und Zustimmungen bleiben möglich. Wer Ihnen am Telefon einredet, eine Zahlung in der Bank-App freizugeben, oder Sie bittet, einer unbekannten App Zugriff auf Ihre Mails zu erlauben, braucht Ihren Passkey gar nicht.
• Das entsperrte Handy ist der Schlüsselbund. Eine Gerätesperre mit PIN oder Biometrie gehört dazu.
• Wiederherstellung planen. Drucken Sie die Wiederherstellungscodes Ihrer Mail, Ihres Passwort-Managers und Ihres Handy-Kontos aus und legen Sie sie zu Ihren Dokumenten.

Noch ein Hinweis zu QR-Codes: Sie können sich mit einem Passkey vom Handy auch an einem fremden Computer anmelden, indem Sie dort einen QR-Code scannen. Das setzt voraus, dass Handy und Computer per Bluetooth nahe beieinander sind (FIDO Alliance, CTAP 2.2, Abschnitt 11.5). Scannen Sie einen solchen Code nur, wenn Sie selbst vor dem Computer sitzen und die Anmeldung selbst begonnen haben. Ein QR-Code, der per Mail kommt, gehört nicht dazu.

So richten Sie einen Passkey ein

Beginnen Sie mit Ihrem Mail-Konto, weil sich darüber viele andere Konten zurücksetzen lassen.

1. Melden Sie sich wie gewohnt an, über Ihr Lesezeichen oder die App.
2. Öffnen Sie die Einstellungen, meist unter „Sicherheit“ oder „Anmeldung“, und wählen Sie „Passkey erstellen“ oder „Anmeldung ohne Passwort“.
3. Wählen Sie, wo der Passkey gespeichert wird: auf dem Handy oder im Passwort-Manager.
4. Bestätigen Sie mit Finger, Gesicht oder PIN.
5. Melden Sie sich einmal ab und mit dem Passkey wieder an, damit Sie sehen, wie es aussieht.
6. Fügen Sie ein zweites Gerät oder einen Ersatzschlüssel hinzu und drucken Sie die Wiederherstellungscodes aus.

Danach machen Sie dasselbe bei Ihrem Passwort-Manager und Ihrem Handy-Konto, später bei allen Diensten, die es anbieten. Viele Menschen nutzen Passkeys bereits: Die FIDO Alliance, ein Zusammenschluss von Technologieunternehmen, meldet für Mai 2026 fünf Milliarden Passkeys in aktiver Nutzung, erhoben in zehn Ländern (FIDO Alliance, State of Passkeys 2026).

Kurz-Checkliste

• Mail-Konto: Passkey erstellt und einmal getestet.
• Passwort-Manager und Handy-Konto: Passkey erstellt.
• Zweites Gerät oder Ersatzschlüssel hinterlegt.
• Wiederherstellungscodes ausgedruckt und abgelegt.
• Gerätesperre mit PIN oder Biometrie aktiv.
• Merksatz: Wo ein Passkey geht, nehmen Sie den Passkey. Wo er plötzlich nicht geht, schauen Sie auf die Adresse.

Selbst ausprobieren

Wissen hilft, Üben hilft mehr. In Wachsam spielen Sie kurze Fälle, in denen ein Trickser versucht, Sie zur Anmeldung auf der falschen Seite zu bringen. Ein Fall dauert drei bis vier Minuten, das Spiel ist kostenlos. Jetzt einen Fall spielen.