Ein vergessenes Passwort kostet heute oft nur einen Klick auf „Passkey verwenden“ – kein Zurücksetzen, kein Notizzettel, keine Wiederverwendung unsicherer Kombinationen mehr. Passkeys sind digitale Schlüsselpaare, die das klassische Passwort ersetzen und die Anmeldung bei Onlinediensten stattdessen über den Fingerabdruck, die Gesichtserkennung oder die Geräte-PIN absichern. Technisch steckt dahinter der FIDO2-Standard: Ein privater Schlüssel bleibt sicher auf dem Smartphone oder Computer gespeichert, während der Onlinedienst nur den passenden öffentlichen Schlüssel kennt. Für Angreifer bedeutet das vor allem eins: Phishing und Credential Stuffing laufen ins Leere, weil es kein Passwort mehr gibt, das sich stehlen ließe.
Ein Passkey ist ein digitales Schlüsselpaar nach dem FIDO2-Standard, das ein Passwort beim Login vollständig ersetzt. Der private Schlüssel bleibt auf dem Gerät gespeichert und wird per Fingerabdruck, Gesichtserkennung oder PIN entsperrt. In der Praxis reicht dafür ein einziger Klick, etwa beim Log-in ins E-Mail-Konto oder ins Online-Banking.
Grundlagen: Wie Passkeys technisch funktionieren
Passkeys basieren auf einem asymmetrischen Kryptografieverfahren. Bei der Einrichtung erzeugt das Gerät ein Schlüsselpaar, wobei der öffentliche Teil beim Anbieter hinterlegt wird und der private Teil das Gerät nie verlässt. Beim Login schickt der Dienst eine Anfrage, die nur mit dem privaten Schlüssel beantwortet werden kann. Entsperrt wird dieser Vorgang lokal per biometrischer Prüfung oder PIN, niemals durch Eingabe eines Textes, der abgefangen werden könnte. Große Plattformen wie Apple, Google und Microsoft synchronisieren Passkeys inzwischen verschlüsselt über den jeweiligen Cloud-Schlüsselbund, sodass sie auf mehreren eigenen Geräten verfügbar sind. Für den Wechsel zwischen Betriebssystemen lässt sich ein Passkey zusätzlich per QR-Code und Bluetooth auf ein Fremdgerät übertragen, ganz ohne Cloud-Zwang.
Passkeys im Alltag: Diese Vorteile bringt der Wechsel
Wie schnell sich Passkeys durchsetzen, zeigen erste Zahlen der großen Anbieter: Google gab bereits 2023 an, dass mehr als 400 Millionen Konten Passkeys mindestens einmal genutzt hätten, mit messbar kürzeren und erfolgreicheren Anmeldevorgängen als bei klassischen Passwörtern. Die FIDO Alliance, der Industrieverband hinter dem Standard, verzeichnete in einer 2023 veröffentlichten Umfrage einen deutlichen Anstieg der Bekanntheit: Ein erheblicher Teil der befragten Internetnutzerinnen und -nutzer weltweit kannte demnach bereits den Begriff Passkey, auch wenn längst nicht alle ihn aktiv verwenden. Gerade Plattformen mit sensiblen Zahlungsdaten setzen zunehmend auf Passkeys, weil sichere Anmeldeverfahren dort unmittelbar vor Kontoübernahmen schützen. Das ist ein Baustein umfassender Netzsicherheit beim Online-Shopping. Selbst präparierte QR-Codes, wie sie beim sogenannten Quishing zum Einsatz kommen, laufen ins Leere, weil es schlicht keinen abfotografierbaren Zugangscode mehr gibt, der sich missbrauchen ließe. 2026 bieten zudem immer mehr deutsche Banken, Behördenportale und Online-Shops die passwortlose Anmeldung parallel zum klassischen Login an. Verpflichtend ist sie bislang nirgends, empfohlen aber zunehmend.
Passkeys einrichten: Praxistipps für den Umstieg
Der Umstieg gelingt am einfachsten dort, wo ohnehin ein Konto besteht: In den Sicherheitseinstellungen von Google-, Microsoft- oder Apple-Konto lässt sich ein Passkey meist in unter einer Minute anlegen, oft direkt neben der Option, das alte Passwort zusätzlich für den Notfall zu behalten. Wichtig bleibt trotz Passkey ein grundsätzlich abgesichertes Gerät: Wer etwa unter Windows 11 arbeitet, sollte weiterhin auf aktuelle Antivirus-Software setzen, denn ein bereits mit Schadsoftware infiziertes Gerät hebelt auch die beste Anmeldemethode aus.
- Mindestens zwei Geräte oder einen physischen Sicherheitsschlüssel hinterlegen
- Vom Anbieter ausgegebene Wiederherstellungscodes ausdrucken und sicher verwahren
- Altes Passwort erst löschen, wenn der Passkey nachweislich zuverlässig funktioniert
FAQ
Kann ich einen Passkey verlieren wie ein Passwort?
Nicht im klassischen Sinn, da nichts eingetippt und vergessen werden kann. Geht jedoch das einzige verknüpfte Gerät verloren und existiert kein Backup, droht ohne Wiederherstellungscode zumindest vorübergehend der Zugriffsverlust.
Funktionieren Passkeys auch ohne Internetverbindung?
Die lokale Entsperrung per Fingerabdruck, Gesichtserkennung oder PIN funktioniert offline. Der eigentliche Login-Vorgang beim jeweiligen Onlinedienst braucht anschließend aber weiterhin eine bestehende Internetverbindung.
Sind Passkeys sicherer als Zwei-Faktor-Authentifizierung?
Sie kombinieren Gerätebesitz und ein biometrisches Merkmal oder eine PIN in einem einzigen Schritt und gelten als robuster gegen Phishing, weil es keinen per SMS oder App abfangbaren Code mehr gibt.
Muss ich mein altes Passwort trotzdem behalten?
Aktuell verlangen viele Dienste das Passwort noch als Fallback für den Notfall. Langfristig arbeiten große Anbieter jedoch erkennbar auf rein passwortlose Konten hin.
Fazit
Der Umstieg lohnt sich überall dort, wo Anbieter die Option bereits anbieten, verlangt aber ein Mindestmaß an Sorgfalt bei Backup-Geräten und Wiederherstellungscodes. Am einfachsten gelingt er schrittweise: zuerst beim E-Mail-Konto, danach bei Banking und Online-Shopping. So verschwindet eines der größten Einfallstore für Phishing und Datenlecks, ohne dass die Sicherheit der eigenen Konten leidet. Wer wartet, bis das nächste Datenleck ein wiederverwendetes Passwort kompromittiert, hat den einfacheren Weg bereits verpasst.