Glossar · Organisation

Passkey - passwortloses Anmeldeverfahren nach FIDO2/WebAuthn

Anmeldung mit kryptografischem Schlüsselpaar statt Passwort

Lesezeit: 5 Min.

Was bedeutet Passkey?

Ein Passkey ist ein Anmeldeverfahren ohne Passwort: Das Gerät erzeugt pro Dienst ein Schlüsselpaar, behält den privaten Schlüssel und beweist die Identität durch eine Signatur, die nur für die echte Domain gültig ist.

Ein Passkey ist ein Anmeldeverfahren, das auf den offenen Standards FIDO2 und WebAuthn beruht und das Passwort vollständig ersetzt. Bei der Registrierung erzeugt das Gerät (Smartphone, Notebook oder ein separater Sicherheitsschlüssel) ein Schlüsselpaar, das nur für diesen einen Dienst gilt. Der private Schlüssel verlässt den geschützten Speicher des Geräts nie, der Dienst erhält ausschließlich den öffentlichen Schlüssel. Beim Anmelden schickt der Dienst eine Zufallsfrage (Challenge), die das Gerät nach einer lokalen Freigabe per Fingerabdruck, Gesicht oder PIN signiert. Zwei Eigenschaften unterscheiden das grundlegend vom Passwort: Es gibt kein gemeinsames Geheimnis, das ein Angreifer aus einer Datenbank erbeuten könnte, und die Signatur ist fest an die Domain gebunden, für die sie erzeugt wurde. Eine nachgebaute Anmeldeseite bekommt deshalb schlicht keine verwertbare Antwort. Die lokale Abfrage von Fingerabdruck oder PIN ist dabei nur die Freigabe des Schlüssels, biometrische Daten werden nicht an den Dienst übertragen.

Wie läuft eine Anmeldung mit Passkey konkret ab?

Registrierung: Sie melden sich einmalig regulär an und wählen im Konto „Passkey einrichten". Das Betriebssystem oder der Sicherheitsschlüssel erzeugt ein Schlüsselpaar, speichert den privaten Teil geschützt (Secure Enclave, TPM, Chip des Sticks) und übergibt den öffentlichen Teil an den Dienst.

Anmeldung: Sie geben Ihre Kennung ein oder wählen das Konto aus, der Dienst sendet eine Challenge, das Gerät fragt Fingerabdruck, Gesicht oder Geräte-PIN ab und signiert die Challenge zusammen mit der Domain. Der Dienst prüft die Signatur gegen den hinterlegten öffentlichen Schlüssel. Für die Nutzerin oder den Nutzer sind das zwei bis drei Sekunden und ein Fingerabdruck, technisch ist es eine vollwertige Zwei-Faktor-Authentifizierung: Besitz des Geräts plus Biometrie oder PIN.

Warum Passkeys gegen Phishing wirken, Passwort plus SMS-Code aber nicht

Beim klassischen Phishing baut ein Angreifer eine Seite nach, die aussieht wie das Original, und reicht alle Eingaben in Echtzeit an den echten Dienst weiter. Passwort, TAN und SMS-Code sind übertragbare Geheimnisse, sie funktionieren auch in fremder Hand.

Ein Passkey nicht: Der Browser übergibt die Domain der aufgerufenen Seite mit in die Signatur. Ruft das Opfer „firmen-portal-login.example" statt der echten Domain auf, findet das Gerät für diese Herkunft gar keinen passenden Schlüssel und erzeugt keine Signatur, die der echte Dienst akzeptieren würde. Dieser Origin-Bezug ist der eigentliche Sicherheitsgewinn, nicht der Komfort. Genau deshalb stufen BSI und NIST Verfahren dieser Art als phishing-resistent ein, während OTP-Codes per SMS oder App diese Eigenschaft nicht haben.

Synchronisiert oder gerätegebunden: der entscheidende Unterschied

Synchronisierte Passkeys (Apple iCloud-Schlüsselbund, Google Passwortmanager, Microsoft- oder Drittanbieter-Passwortmanager) werden verschlüsselt zwischen den Geräten eines Nutzerkontos abgeglichen.

Vorteil: Ein verlorenes Handy bedeutet keinen verlorenen Zugang, der Passkey ist auf dem nächsten Gerät wieder da.

Die Kehrseite: Die Sicherheit hängt am Cloud-Konto und an dessen Wiederherstellungsverfahren. Gerätegebundene Passkeys leben in einem Hardware-Sicherheitsschlüssel (z.B. YubiKey) oder im TPM eines Rechners und lassen sich nicht exportieren oder kopieren. Sie überstehen auch die Kompromittierung eines Cloud-Kontos und sind für die Zertifizierung prüfbar (Attestation), verlangen aber Beschaffung, Ausgabe und einen Ersatzschlüssel je Person. Für reguliert geprüfte Umgebungen ist dieser Unterschied dokumentationsrelevant: Nur bei gerätegebundenen Schlüsseln lässt sich belegen, in welcher Hardware der private Schlüssel liegt.

Empfehlung: Boardmittel für alle, Hardware-Schlüssel für die kritischen Konten

Für den Regelfall reichen die Bordmittel des Betriebssystems: Windows Hello for Business, der iCloud-Schlüsselbund unter macOS und iOS oder der Google Passwortmanager unter Android. Sie sind bereits lizenziert, brauchen keine Beschaffung und keinen Rollout, und jede damit abgelöste Passwortanmeldung ist ein echter Sicherheitsgewinn. Für die Konten, deren Verlust den Betrieb kippt, empfiehlt sich dagegen ein Hardware-Sicherheitsschlüssel: Domänen- und Cloud-Administration (Entra ID, Google Workspace), Zugänge zu Finanz- und Zahlungssystemen, Notfall- bzw. Break-Glass-Konten, Fernzugriffe der IT-Dienstleister und Geräte, die mehrere Personen teilen.

Praktische Faustregel: zwei Schlüssel pro Person, einer am Schlüsselbund, einer im Tresor als Ersatz, beide vorab im Konto registriert. Der Ersatzschlüssel ist kein Detail, sondern die Voraussetzung dafür, dass ein Verlust nicht in der Rückfallebene Passwort endet, denn ein reaktivierbares Passwort hebt den Phishing-Schutz wieder auf.

Was Passkeys für NIS2, ISO 27001 und Cyberversicherungen bedeuten

NIS-2 verlangt in Art. 21 Abs. 2 lit. j ausdrücklich Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, ohne ein Verfahren vorzuschreiben. Ein Passkey erfüllt das mit Besitz plus Biometrie oder PIN in einem Schritt. In der ISO/IEC 27001:2022 sind die Controls A.5.17 (Authentifizierungsinformationen) und A.5.15 (Zugangssteuerung) die passenden Anker: Im Statement of Applicability lässt sich die Umsetzung sauber als phishing-resistente Authentifizierung beschreiben, mit dem Restrisiko in den Wiederherstellungswegen. Auch Cyberversicherer fragen MFA für Administrations- und Fernzugriffe inzwischen regelmäßig ab.

Praktisch heißt das: Nicht nur die Einführung dokumentieren, sondern auch, welche Konten noch mit Passwort erreichbar sind, denn genau diese Ausnahmen werden im Audit und im Schadensfall geprüft.

Stolpersteine bei der Einführung

Wiederherstellung: Der häufigste Fehler ist ein Passkey-Rollout, hinter dem weiterhin eine Passwort-plus-E-Mail-Wiederherstellung liegt. Angreifer nehmen dann einfach diesen Weg. Zweiter registrierter Passkey oder Ersatzschlüssel statt Passwort-Fallback ist der sauberere Weg.

Altsysteme: Anwendungen ohne WebAuthn-Unterstützung, oft ältere On-Premises-Software, bleiben beim Passwort; hier hilft nur, sie hinter einen Single-Sign-On-Zugang oder ein Gateway zu legen, das Passkeys beherrscht.

Geteilte Konten: Ein Passkey ist an eine Person und ihr Gerät gebunden, gemeinsam genutzte Zugänge müssen vorher aufgelöst oder auf einen Hardware-Schlüssel im Tresor umgestellt werden.

Verwaltung: Wer Hardware-Schlüssel ausgibt, braucht eine Liste, wer welchen Schlüssel hat, und einen definierten Ablauf für Verlust und Austritt, sonst bleiben registrierte Schlüssel ausgeschiedener Mitarbeiter im Konto stehen.

Praxis-Tool

Prüfe, für welche Systeme du bereits Multi-Faktor-Authentifizierung einsetzt

Zum IT-Sicherheits-Audit →

Auch bekannt als

Passkeys · FIDO2 · WebAuthn · passwortlose Anmeldung · Sicherheitsschlüssel

Quellen

Zuletzt aktualisiert: 2026-08-17

Häufige Fragen zu Passkey

Was passiert, wenn ich mein Smartphone oder meinen Sicherheitsschlüssel verliere?

Bei synchronisierten Passkeys ist der Zugang nach der Anmeldung am Cloud-Konto auf dem Ersatzgerät wieder verfügbar. Bei gerätegebundenen Passkeys hilft nur ein zweiter, vorab registrierter Schlüssel, deshalb die Empfehlung, immer zwei Schlüssel zu hinterlegen. Der verlorene Schlüssel wird anschließend in den betroffenen Konten entfernt; da der private Schlüssel den Chip nie verlässt und zusätzlich per PIN oder Biometrie geschützt ist, ist der Finder ohne diese Freigabe damit machtlos.

Ist ein Passkey wirklich sicherer als Passwort plus Authenticator-App?

Ja, in dem entscheidenden Punkt: Ein Zahlencode aus einer Authenticator-App kann von einer gefälschten Seite abgefragt und in Echtzeit weitergereicht werden. Ein Passkey signiert nur für die echte Domain und lässt sich deshalb nicht in eine gefälschte Anmeldeseite hineinlocken. Gegen Schadsoftware auf einem bereits übernommenen Endgerät schützt allerdings auch ein Passkey nicht, er schützt die Anmeldung, nicht die laufende Sitzung.

Braucht ein kleines Unternehmen dafür YubiKeys, oder reichen Bordmittel?

Für die Mehrheit der Beschäftigten reichen die Bordmittel des Betriebssystems, sie kosten nichts und sind sofort verfügbar. Hardware-Schlüssel lohnen sich gezielt für Administrationskonten, Notfallzugänge, Finanzsysteme und geteilte Geräte. Diese Mischung bringt den größten Teil des Sicherheitsgewinns bei überschaubarem Aufwand.