Passkeys: wie sie funktionieren und wo sie Passwörter ersetzen

Wer schon einmal eine täuschend echte Login-Seite seiner Bank gesehen hat, weiß, wie wenig Aufmerksamkeit dagegen hilft. Die Adresszeile stimmt fast, das Logo stimmt, das Formular sieht aus wie immer. Ein Passwort tippt man dort genauso gern ein wie auf der echten Seite. Ein Passkey nicht, und das ist der eigentliche Grund, warum sich der Umstieg lohnt.

Was Passkeys technisch sind

Ein Passkey ist ein Schlüsselpaar nach dem Standard FIDO2. Der besteht aus zwei Teilen: WebAuthn, einer Browser-Schnittstelle des W3C, und CTAP, dem Protokoll der FIDO Alliance, über das Browser mit Authentifikatoren wie Handy oder Sicherheitsschlüssel sprechen.

Beim Einrichten erzeugt dein Gerät für genau diesen Dienst ein neues Schlüsselpaar. Der öffentliche Schlüssel geht an den Dienst, der private bleibt bei dir. Bei der Anmeldung schickt der Dienst eine Zufallszahl (Challenge), dein Gerät signiert sie nach Freigabe per Fingerabdruck, Gesicht oder PIN, und der Dienst prüft die Signatur mit dem öffentlichen Schlüssel.

Zwei Eigenschaften folgen daraus:

Warum Passkeys Phishing ins Leere laufen lassen

Jeder Passkey ist an eine sogenannte Relying Party ID gebunden, praktisch die Domain des Dienstes, etwa paypal.com. Der Browser gibt den Passkey nur heraus, wenn die aufgerufene Seite zu dieser Domain gehört. Auf paypal-sicherheit.example gibt es schlicht keinen passenden Passkey. Du kannst nichts falsch machen, selbst wenn du die Fälschung nicht bemerkst.

Das unterscheidet Passkeys auch von SMS-Codes und Authenticator-Apps. Einen sechsstelligen Code kann eine Phishing-Seite in Echtzeit abgreifen und weiterreichen. Bei einem Passkey klappt das nicht, weil die Signatur die Herkunft der Seite mit einschließt.

Synchronisiert oder gerätegebunden

Es gibt zwei Arten, wie Passkeys gespeichert werden:

• Synchronisierte Passkeys liegen im Schlüsselbund von Apple, im Google Passwortmanager oder in einem eigenständigen Passwort-Manager wie Bitwarden oder 1Password. Sie sind auf allen deinen Geräten verfügbar und überleben einen Handywechsel.
• Gerätegebundene Passkeys liegen auf einem Hardware-Schlüssel (etwa einem YubiKey) oder fest in einem Gerät. Sie lassen sich nicht kopieren, gehen aber mit dem Gerät verloren.

Für die meisten Menschen sind synchronisierte Passkeys die bessere Wahl, weil ein verlorenes Handy dann kein Drama ist. Wer ein Konto mit besonders hohem Schutzbedarf hat, etwa einen Admin-Zugang oder das Registrar-Konto einer Firmendomain, nimmt zusätzlich zwei Hardware-Schlüssel, einen davon als Reserve an einem anderen Ort.

Synchronisierte Passkeys verschieben das Risiko auf das Konto, in dem sie liegen. Das Apple- oder Google-Konto braucht deshalb selbst einen starken Schutz, und das Postfach, über das es wiederhergestellt wird, auch. Mehr dazu in Kontowiederherstellung mit eigener Domain.

Wo Passkeys heute schon gehen

Unterstützt werden Passkeys inzwischen von den großen Plattformen: Google-, Microsoft- und Apple-Konten, Amazon, PayPal, GitHub und viele weitere. Die Umsetzung ist unterschiedlich. Bei manchen ersetzt der Passkey das Passwort komplett, bei anderen ist er nur ein zweiter Faktor, und das Passwort bleibt Pflicht.

Unter Windows 11, macOS, iOS und Android sind Passkeys im Betriebssystem eingebaut. Chrome, Safari, Edge und Firefox unterstützen WebAuthn. Ein eigenes Gerät brauchst du also nicht.

Die Schwachstellen ehrlich benannt

Passkeys sind kein Allheilmittel. Drei Punkte solltest du kennen:

1. Das Passwort bleibt oft bestehen. Solange ein Dienst parallel ein Passwort akzeptiert, ist das der schwächste Weg ins Konto. Wo möglich, das Passwort nach dem Einrichten entfernen oder zumindest durch ein zufälliges ersetzen.
2. Die Wiederherstellung ist der neue Angriffspunkt. Wer dein Konto über „Zugang verloren“ zurücksetzen kann, braucht deinen Passkey nicht. Das ist meist eine Mail an deine hinterlegte Adresse.
3. Wechsel zwischen Ökosystemen war lange holprig. Passkeys von Apple nach Android zu bringen ging früher kaum. Die FIDO Alliance hat dafür ein Austauschformat entwickelt, und erste Manager unterstützen den Import und Export. Prüfe vor einem Wechsel, ob dein Manager das kann.

Für den zweiten Punkt gilt: Wenn deine Wiederherstellungsadresse auf einer eigenen Domain liegt, muss diese Domain dauerhaft dir gehören. Läuft sie aus, kann sich jemand anderes Mails an diese Adresse zustellen lassen.

Passkeys im Passwort-Manager

Wer schon einen Passwort-Manager nutzt, kann Passkeys dort speichern, sofern er das unterstützt. Das hat einen Vorteil: Alle Zugänge liegen an einem Ort, unabhängig vom Betriebssystem. Der Nachteil ist derselbe wie bei Passwörtern: Der Tresor muss sehr gut geschützt sein.

Bei einem Datenleck bist du mit Passkeys übrigens deutlich entspannter. Der Dienst hat nur deinen öffentlichen Schlüssel verloren. Damit kann niemand etwas anfangen.

Ein sinnvoller Einstieg

Fang mit den Konten an, deren Übernahme am meisten Schaden anrichtet: Mail, Google- oder Apple-Konto, Passwort-Manager, Bank, und falls du eine hast, das Konto beim Domain-Registrar. Lege jeweils zwei Passkeys an, auf zwei verschiedenen Geräten.

Wenn deine Mail-Adressen auf einer eigenen Domain liegen, ist das Registrar-Konto genauso wichtig wie das Postfach selbst. Bei betadomain kannst du deine Domains und die DNS-Verwaltung an einem Ort pflegen; die Verlängerungspreise bleiben dieselben wie im ersten Jahr, sodass eine automatische Verlängerung keine Überraschung bringt. Wer noch eine Domain für die eigene Mail-Adresse finden will, sollte eine wählen, die er die nächsten zwanzig Jahre behalten möchte.

Schritt für Schritt

1. Passkey-Unterstützung prüfenSchau in den Sicherheitseinstellungen des Dienstes nach einem Eintrag wie Passkey, Sicherheitsschlüssel oder Anmeldung ohne Passwort.
2. Speicherort wählenEntscheide, wo der Passkey liegen soll: im Schlüsselbund des Betriebssystems, in deinem Passwort-Manager oder auf einem Hardware-Sicherheitsschlüssel.
3. Passkey erstellenStarte das Einrichten im Dienst, bestätige mit Fingerabdruck, Gesicht oder Geräte-PIN und gib dem Passkey einen erkennbaren Namen.
4. Zweiten Weg hinterlegenLege einen zweiten Passkey auf einem anderen Gerät oder Sicherheitsschlüssel an oder speichere die Wiederherstellungscodes des Dienstes.
5. Anmeldung testenMelde dich ab und mit dem Passkey wieder an, bevor du das Passwort entfernst oder vergisst.