Das Ende des Passworts:
wie die Anmeldung mit Passkeys funktioniert

Warum das Passwort die schwache Stelle ist

Ein Passwort funktioniert nach einem einfachen Prinzip: Zwei Seiten kennen dasselbe Geheimnis, und wer es nennt, gilt als berechtigt. Genau darin liegt der Konstruktionsfehler. Ein Geheimnis, das man kennt, kann man weitergeben, wiederverwenden, erraten lassen oder auf der falschen Seite eintippen — und es gibt keinen technischen Mechanismus, der das verhindert.

In der Praxis bündeln sich daraus drei Schwächen, die sich gegenseitig verstärken. Wie sich allein die erste — das gemeinsam genutzte Passwort — im Alltag ordnen lässt, haben wir im Beitrag zu den geteilten Passwörtern im Betrieb ausführlich beschrieben. Passkeys setzen eine Ebene darunter an und lösen die Wurzel des Problems.

• Wiederverwendung: Dasselbe Passwort an vielen Stellen — ein einziges Datenleck öffnet damit gleich mehrere Türen
• Übertragbarkeit: Ein Geheimnis, das man kennt, lässt sich erschleichen, abtippen oder auf einer gefälschten Seite eingeben
• Schwäche im Bau: Was man sich merken kann, ist meist auch erratbar — was sicher ist, landet auf einem Zettel

Der zweite Faktor — ein Einmal-Code zusätzlich zum Passwort — entschärft das spürbar, beseitigt es aber nicht. Denn auch der Code ist ein Geheimnis, das man eintippt. Eine überzeugend nachgebaute Anmeldeseite kann Passwort und Code genau in dem Augenblick abfangen, in dem das Opfer sie eintippt, und beides umgehend selbst verwenden. Solange Menschen Geheimnisse eintippen, bleibt diese Lücke offen.

Was ein Passkey wirklich ist

Ein Passkey ist kein besseres Passwort, sondern etwas anderes: ein kryptografisches Schlüsselpaar. Bei der Einrichtung erzeugt das Gerät zwei zusammengehörige Schlüssel. Der eine ist öffentlich und wird beim Dienst hinterlegt — er darf bekannt sein und richtet in fremden Händen keinen Schaden an. Der andere ist privat, bleibt auf dem Gerät und verlässt es nie.

Das Prinzip von Schloss und Schlüssel

Man kann sich den öffentlichen Schlüssel als ein Schloss vorstellen, von dem der Dienst eine Kopie behält. Aufschließen kann es nur der passende private Schlüssel — und der liegt ausschließlich beim Nutzer. Beim Anmelden muss der private Schlüssel nie preisgegeben werden; das Gerät zeigt lediglich, dass es ihn hat, indem es eine Aufgabe des Dienstes damit signiert. Die so erzeugte Signatur lässt sich mit dem öffentlichen Schlüssel überprüfen, aber nicht rückwärts auflösen.

Wo der private Schlüssel liegt — und wie er geschützt ist

Der private Schlüssel liegt in einem besonders abgeschirmten Bereich des Geräts und gibt sich erst frei, sobald sich die Person lokal legitimiert — per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Auch diese biometrischen Merkmale bleiben auf dem Gerät; sie schalten den Schlüssel ausschließlich vor Ort frei. Es gibt also kein zentrales Geheimnis mehr, das gestohlen werden könnte — und nichts, was man versehentlich auf der falschen Seite eingeben kann.

Technisch steht hinter Passkeys kein einzelnes Produkt, sondern ein offener, herstellerübergreifender Standard, den Betriebssysteme und Browser gemeinsam tragen. Dadurch funktioniert dasselbe Verfahren über Geräte- und Plattformgrenzen hinweg, ohne dass man sich an einen einzelnen Anbieter bindet.

Warum Phishing damit ins Leere läuft

Der größte Gewinn von Passkeys ist nicht Bequemlichkeit, sondern eine Eigenschaft, die kein Passwort haben kann: Sie sind an die echte Adresse des Dienstes gebunden. Beim Einrichten merkt sich der Passkey, zu welcher Web-Adresse er gehört. Das Gerät gibt eine Unterschrift nur heraus, wenn die aufrufende Adresse exakt passt.

Damit zerbricht die gesamte Mechanik des klassischen Datendiebstahls. Eine gefälschte Seite kann noch so perfekt nachgebaut sein — sie liegt unter einer anderen Adresse, und der Passkey verweigert dort schlicht die Mitarbeit. Es gibt nichts einzutippen, nichts weiterzuleiten, kein Geheimnis, das in der Eile preisgegeben werden könnte. Der häufigste Einstieg in fremde Konten verschwindet nicht, weil die Menschen aufmerksamer werden, sondern weil die Technik den Fehler gar nicht mehr zulässt.

Das ergänzt andere Schutzmaßnahmen, die am selben Problem ansetzen — etwa die Absicherung der eigenen Absenderadresse, damit Betrüger nicht im Namen des Betriebs schreiben, beschrieben im Beitrag zu Phishing-Schutz für die Firmen-Domain. Passkeys sichern die Gegenrichtung ab: Selbst wer einer täuschend echten Mail aufsitzt und den enthaltenen Link anklickt, findet am Ziel nichts Verwertbares vor.

Wie sich die Anmeldung im Alltag anfühlt

So aufwendig die Technik im Hintergrund ist, so unscheinbar ist sie an der Oberfläche. Statt eine Adresse, ein Passwort und einen Code einzutippen, genügt eine Geste: der Blick in die Kamera, der Finger auf dem Sensor, die kurze Geräte-PIN. Die Anmeldung ist bereits erledigt, sobald sie nach altem Muster gerade erst losgegangen wäre.

Weniger Schritte, weniger Reibung

Der praktische Effekt ist beträchtlich. Niemand sucht mehr in Notizen nach dem richtigen Passwort, niemand wartet auf einen Code, niemand vertippt sich dreimal und landet in der Sperre. Was als Sicherheitsgewinn beginnt, entpuppt sich im Alltag als spürbare Erleichterung — und das ist wichtiger, als es klingt, denn Sicherheit, die nervt, wird umgangen.

Über mehrere Geräte hinweg

Damit der Passkey nicht an ein einzelnes Gerät gebunden bleibt, gleicht ihn das Betriebssystem über seinen verschlüsselten Schlüsselbund – oder ein Passwort-Manager mit Passkey-Unterstützung – geräteübergreifend ab. So steht derselbe Zugang am Rechner, am Tablet und am Telefon bereit, ohne dass irgendwo ein Geheimnis im Klartext liegt. Für ein neues Gerät kann ein bestehendes den Anmeldevorgang freigeben — etwa durch kurzes Bestätigen am Telefon.

Was der Umstieg im Betrieb bedeutet

Im betrieblichen Umfeld sind Passkeys kein reines Technik-, sondern ein Organisationsthema. Die gute Nachricht: Der Umstieg ist kein Großprojekt mit Stichtag, sondern ein schrittweises Ablösen, das sich gut neben dem Tagesgeschäft fahren lässt. Drei Punkte verdienen dabei besondere Aufmerksamkeit.

Persönlich statt geteilt

Ein Passkey gehört zu einer Person und ihren Geräten. Das passt nicht zu einem Login, das sich mehrere teilen — und genau deshalb passt es gut zu dem Ziel, von geteilten Zugängen wegzukommen. Wo ein Dienst persönliche Konten erlaubt, bekommt jede Person ihren eigenen Passkey, und jeder Zugriff bleibt nachvollziehbar einer Person zugeordnet.

Verwaltung über den Passwort-Manager

Ein betrieblicher Passwort-Manager bleibt auch in der Passkey-Welt das Fundament. Er verwaltet die Passkeys dort, wo sie schon möglich sind, und die verbleibenden Passwörter dort, wo ein Dienst sie noch verlangt. So entsteht ein einziger, geordneter Ort für alle Zugänge — statt einer Mischung aus Schlüsselbund, Notizen und Erinnerung.

Ein klar benannter Verantwortlicher

Wie bei jeder Zugangs-Ordnung braucht es eine Person, die den Überblick hält: Wer hat welchen Zugang, wo liegt der zweite Passkey für den Notfall, was passiert bei Ein- und Austritt. Diese Verantwortung gehört benannt, nicht stillschweigend vorausgesetzt.

Grenzen, Geräteverlust und geteilte Zugänge

Passkeys lösen das Phishing-Problem, aber sie machen nicht alle anderen Fragen überflüssig. Drei davon sollten geklärt sein, bevor man umstellt — sonst tauscht man ein Risiko gegen ein anderes.

Der Verlust des Geräts

Wenn der Schlüssel auf dem Gerät liegt, stellt sich sofort die Frage, was bei Verlust passiert. Die Antwort liegt in zwei Vorkehrungen: der Synchronisierung über mehrere Geräte und einem bewusst hinterlegten zweiten Passkey oder Wiederherstellungs-Weg pro wichtigem Konto. Beides gehört eingerichtet, bevor es gebraucht wird — dieselbe Logik wie bei einer tragfähigen Datensicherung nach der 3-2-1-Regel: Ausgerechnet im Ernstfall die Wiederherstellung zum allerersten Mal durchzuspielen, geht selten gut.

Noch nicht überall verfügbar

Nicht jeder Dienst unterstützt Passkeys schon. Für die verbleibenden gilt der bewährte Übergangsweg: ein langes, einmaliges Passwort aus dem Manager, ergänzt um einen zweiten Faktor. Der passwortlose Zustand entsteht nicht an einem Tag, sondern wächst, je mehr Dienste nachziehen.

Geteilte Konten bleiben ein Sonderfall

Wo ein Dienst technisch nur ein einziges Konto kennt, das mehrere bedienen müssen, stoßen Passkeys an ihre Grenze — sie sind auf Personen ausgelegt. Hier bleibt der Passwort-Manager mit gezielter Freigabe der richtige Weg, bis der Dienst selbst ein Mehr-Personen-Modell anbietet.

In welcher Reihenfolge ein Betrieb umstellt

Der Umstieg gelingt am besten in derselben Logik wie jede Zugangs-Ordnung: das Wichtigste zuerst, in kleinen Schritten, ohne den Alltag zu blockieren.

1. Postfach absichern: Das zentrale E-Mail-Konto bekommt als Erstes einen Passkey — und gleich einen zweiten auf einem anderen Gerät.
2. Kritische Zugänge nachziehen: Banking, Buchhaltung, Website-Login und das Konto beim Domain- und Hosting-Anbieter folgen, wo immer sie Passkeys anbieten.
3. Im Manager bündeln: Passkeys und verbleibende Passwörter wandern in einen betrieblichen Passwort-Manager als zentralen Ort.
4. Geteilte Logins ablösen: Gemeinsame Passwörter werden durch persönliche Konten mit eigenem Passkey ersetzt, wo der Dienst es zulässt.
5. Notfall und Routine festlegen: Zweiter Passkey und Wiederherstellungs-Weg sind dokumentiert; bei Eintritt wird eingerichtet, bei Austritt entzogen, einmal im Jahr geprüft.

Die fünf häufigsten Fehler beim Umstieg

Quer durch Branchen und Betriebsgrößen wiederholen sich dieselben Stolperstellen — und fast alle lassen sich vorab vermeiden.

Punkte 1 bis 3 wiegen am schwersten — sie führen zu Aussperrung oder lassen die alte Schwachstelle offen.