Passkeys sind dabei, das Passwort abzulösen – und zwar nicht irgendwann, sondern jetzt. Statt dir komplizierte Zeichenfolgen zu merken, bestätigst du deine Anmeldung mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Große Plattformen, Banken und Behördenportale bieten das Verfahren inzwischen an. Das Beste daran: Phishing-Seiten laufen damit ins Leere.
In diesem Ratgeber erfährst du, wie die Technik funktioniert, wo ihre Grenzen liegen und wie du deinen ersten Passkey Schritt für Schritt einrichtest. Außerdem klären wir, was passiert, wenn dein Smartphone verloren geht, und wie du Zugangsdaten zwischen verschiedenen Anbietern umziehst.
Was sind Passkeys?
Passkeys sind digitale Zugangsschlüssel, die Passwörter ersetzen. Sie basieren auf einem Schlüsselpaar: Der geheime Schlüssel bleibt auf deinem Gerät oder in deinem Passwort-Manager, der Onlinedienst kennt nur den öffentlichen Gegenpart. Beim Login entsperrst du den Schlüssel per Fingerabdruck, Gesicht oder PIN. Ein Passwort, das gestohlen oder erraten werden könnte, gibt es nicht mehr.
So funktionieren Passkeys technisch
Hinter dem Verfahren stehen die offenen Standards FIDO2 und WebAuthn, die von der FIDO Alliance und dem W3C entwickelt wurden. Betriebssysteme, Browser und Passwort-Manager unterstützen sie inzwischen breit. Für dich als Nutzerin oder Nutzer bleibt die Technik weitgehend unsichtbar.
Das Prinzip der Public-Key-Kryptografie
Beim Einrichten erzeugt dein Gerät zwei zusammengehörige Schlüssel. Den öffentlichen Schlüssel speichert der Dienst, den privaten behält dein Gerät. Meldest du dich an, schickt der Server eine zufällige Aufgabe, die nur der private Schlüssel korrekt signieren kann. Der Server prüft die Signatur mit dem öffentlichen Schlüssel – das Geheimnis selbst verlässt dein Gerät nie.
Das hat eine wichtige Folge: Selbst wenn Angreifer die Datenbank eines Onlinedienstes erbeuten, finden sie dort keine verwertbaren Zugangsdaten. Ein öffentlicher Schlüssel taugt nicht zum Einloggen. Massenhafte Datenlecks mit Millionen Passwörtern verlieren so ihren Schrecken.
Warum Phishing nicht mehr funktioniert
Jeder Passkey ist fest an die Webadresse des Dienstes gebunden, für den er erstellt wurde. Landest du auf einer täuschend echt gemachten Fälschung, bietet dein Gerät den Schlüssel dort schlicht nicht an. Das BSI erklärt auf seiner Passkey-Seite, dass der geheime Schlüssel auch bei gefälschten Webseiten nicht preisgegeben wird.
Genau hier liegt der größte Fortschritt gegenüber klassischen Codes per SMS oder App. Diese kann ein Angreifer in Echtzeit abfangen und weiterreichen, wenn du sie auf einer Phishing-Seite eintippst. Beim passwortlosen Login gibt es nichts einzutippen und damit nichts abzufangen.
Passkey oder Passwort mit zweitem Faktor?
Ein starkes Passwort mit zusätzlichem Code ist besser als ein Passwort allein, bleibt aber an zwei Stellen verwundbar. Erstens kann ein Angreifer auf einer gefälschten Seite beides in Echtzeit abgreifen. Zweitens hängt die Sicherheit davon ab, wie gut der Dienst seine gespeicherten Geheimnisse schützt. Das BSI beschreibt beide Schwachstellen ausdrücklich für SMS-Codes und Authenticator-Apps.
Ein Passkey vereint dagegen Besitz und Wissen oder Biometrie in einem einzigen Schritt: Du brauchst dein Gerät und musst es entsperren. Er ist damit selbst eine Form der Mehrfaktor-Anmeldung. Viele Dienste verzichten deshalb bei der Anmeldung per Zugangsschlüssel auf einen zusätzlichen Code.
Der Fingerabdruck entsperrt nur den Schlüssel auf deinem Gerät. Foto: Unsplash
Synchronisierte und gerätegebundene Passkeys
Es gibt zwei Varianten. Synchronisierte Passkeys liegen in einem Cloud-Schlüsselbund, etwa bei Apple, Google, Microsoft oder einem unabhängigen Passwort-Manager, und stehen dir auf allen angemeldeten Geräten zur Verfügung. Gerätegebundene Passkeys bleiben dagegen auf einem einzelnen Gerät, zum Beispiel auf einem FIDO2-Sicherheitsschlüssel für den USB-Port.
Synchronisierte Schlüssel sind bequemer und schützen besser vor Datenverlust. Gerätegebundene Schlüssel gelten als besonders robust, weil sie sich nicht kopieren lassen. Für die meisten privaten Konten ist die synchronisierte Lösung der sinnvolle Standard, für Admin-Zugänge und besonders sensible Konten lohnt sich zusätzlich ein Hardware-Schlüssel.
Vorteile und Grenzen von Passkeys
Die Technik ist ein großer Schritt, aber kein Allheilmittel. Bevor du umsteigst, lohnt ein nüchterner Blick auf beide Seiten.
Die wichtigsten Vorteile:
•
hoher Schutz vor Phishing, weil der Schlüssel an die echte Domain gebunden ist
•
keine schwachen oder mehrfach verwendeten Passwörter mehr
•
Datenlecks beim Anbieter verraten keine nutzbaren Zugangsdaten
•
schnellere Anmeldung mit einem Fingertipp oder Blick in die Kamera
•
jeder Schlüssel gilt nur für genau ein Konto
Die Grenzen, die du kennen solltest:
•
Noch nicht jeder Dienst bietet das Verfahren an, oft bleibt ein Passwort als Rückfallebene bestehen.
•
Ohne Synchronisation oder Backup droht bei Geräteverlust der Zugangsverlust.
•
Der Wechsel zwischen Ökosystemen war lange umständlich und wird erst schrittweise einfacher.
•
Ein kompromittiertes, entsperrtes Gerät bleibt ein Risiko – Bildschirmsperre und Updates sind Pflicht.
Wie schnell sich das Verfahren verbreitet, zeigen Zahlen der FIDO Alliance: Zum World Passkey Day im Mai 2026 schätzte der Verband die Zahl der weltweit genutzten Passkeys auf rund fünf Milliarden. In der zugehörigen Umfrage unter 11.000 Verbraucherinnen und Verbrauchern in zehn Ländern gaben 75 Prozent an, mindestens ein Konto bereits damit abgesichert zu haben.
Wo du den passwortlosen Login schon nutzen kannst
Die großen Plattformanbieter haben das Verfahren fest in ihre Betriebssysteme integriert: Der iCloud-Schlüsselbund auf iPhone und Mac, der Google Passwortmanager unter Android und in Chrome sowie Windows Hello auf Windows-PCs speichern Zugangsschlüssel ab Werk. Hinzu kommen unabhängige Passwort-Manager, die auf allen Systemen laufen.
Auf Seite der Onlinedienste reicht das Angebot von E-Mail-Postfächern und sozialen Netzwerken über Onlineshops und Zahlungsdienste bis zu Entwicklerplattformen. Auch öffentliche Stellen ziehen nach, so hat etwa die Bundesagentur für Arbeit die Anmeldung per Passkey für ihr Onlineportal eingeführt. Einen schnellen Überblick bekommst du, wenn du in den Sicherheitseinstellungen deiner wichtigsten Konten nach Begriffen wie „Passkey“, „Zugangsschlüssel“ oder „Anmeldung ohne Passwort“ suchst.
Steht die Option noch nicht zur Verfügung, ist das kein Grund zur Sorge. Sichere das Konto bis dahin mit einem einzigartigen Passwort und einem zweiten Faktor ab und schau in ein paar Monaten erneut nach.
Passkeys einrichten: Schritt für Schritt
Die Einrichtung dauert pro Konto meist weniger als eine Minute. Die Menüs heißen je nach Dienst etwas unterschiedlich, der Ablauf ist aber fast immer gleich:
1.
Gerät vorbereiten: Aktiviere Bildschirmsperre und Biometrie und installiere alle Updates für Betriebssystem und Browser.
2.
Speicherort wählen: Entscheide, ob der Schlüssel im Schlüsselbund des Systems oder in deinem Passwort-Manager liegen soll.
3.
Beim Dienst anmelden: Logge dich wie gewohnt ein und öffne die Sicherheits- oder Kontoeinstellungen.
4.
Passkey erstellen: Wähle „Passkey hinzufügen“ oder „Anmeldung ohne Passwort“ und bestätige mit Fingerabdruck, Gesicht oder PIN.
5.
Anmeldung testen: Melde dich ab und wieder an, um sicherzugehen, dass alles funktioniert.
6.
Rückfallebene absichern: Hinterlege einen zweiten Passkey oder Wiederherstellungscodes und sichere das verbleibende Passwort mit Zwei-Faktor-Authentifizierung.
Fang am besten mit den Konten an, die am meisten Schaden anrichten können: dein Haupt-E-Mail-Postfach, dein Apple-, Google- oder Microsoft-Konto und dein Passwort-Manager. Wer dein E-Mail-Konto kontrolliert, kann bei vielen anderen Diensten Passwörter zurücksetzen.
Anmeldung am fremden Rechner per QR-Code
Liegt dein Schlüssel auf dem Smartphone, kannst du dich trotzdem an einem Laptop oder PC anmelden. Der Browser zeigt dann einen QR-Code, den du mit der Handykamera scannst. Laut BSI ist dafür eine aktive Bluetooth-Verbindung nötig, weil die Geräte so prüfen, dass sie sich tatsächlich nahe beieinander befinden. Das verhindert, dass Angreifer den Code aus der Ferne missbrauchen.
Mit FIDO2-Sicherheitsschlüssel
Ein Hardware-Schlüssel steckt im USB-Port oder wird per NFC ans Smartphone gehalten. Weil sich solche Sticks nicht kopieren lassen, empfiehlt das BSI, einen zweiten Stick als Reserve anzuschaffen und bei jedem Dienst beide zu registrieren. Bewahre den Reserveschlüssel an einem anderen Ort auf als den Hauptschlüssel.
Hardware-Schlüssel nach FIDO2 werden per USB oder NFC verbunden. Foto: Unsplash
Backup, Wiederherstellung und Anbieterwechsel
Wenn das Gerät verloren geht
Die häufigste Sorge beim Umstieg lautet: Was passiert, wenn das Smartphone weg ist? Die Antwort hängt davon ab, wo deine Schlüssel liegen. Synchronisierte Passkeys stellst du auf einem neuen Gerät wieder her, sobald du dich bei deinem Cloud-Konto oder Passwort-Manager anmeldest.
Schwieriger wird es bei gerätegebundenen Schlüsseln ohne Reserve. Dann bleibt nur der Wiederherstellungsweg des jeweiligen Dienstes, etwa über eine Ersatz-E-Mail oder eine Identitätsprüfung. Das BSI weist darauf hin, dass ein Konto in seltenen Fällen dauerhaft unzugänglich bleiben kann. Plane deshalb von Anfang an mindestens zwei Wege ins Konto ein.
•
das Konto für die Synchronisation selbst stark absichern
•
Wiederherstellungscodes ausdrucken und sicher verwahren
•
bei wichtigen Diensten einen zweiten Passkey auf einem anderen Gerät anlegen
•
eine Vertrauensperson als Notfallkontakt hinterlegen, wo der Anbieter das anbietet
Passkeys im Passwort-Manager und Umzug zwischen Anbietern
Lange galt der Wechsel des Ökosystems als Schwachstelle: Wer seine Schlüssel bei einem Anbieter gespeichert hatte, kam schwer wieder heraus. Mit dem FIDO-Standard Credential Exchange ändert sich das schrittweise. Seit iOS 26 lassen sich Zugangsschlüssel aus unterstützten Apps exportieren und in andere Passwort-Manager übertragen, auch unter aktuellen Android-Versionen entstehen entsprechende Funktionen.
Ein guter Passwort-Manager ist deshalb eine sinnvolle Zentrale: Er verwaltet klassische Passwörter und Passkeys gemeinsam und funktioniert plattformübergreifend auf Windows, macOS, Linux, Android und iOS. Achte darauf, dass der Tresor selbst mit einem starken Master-Passwort und einem zweiten Faktor geschützt ist.
Vorsicht bei Browser-Add-ons: Nur die offizielle Erweiterung deines Passwort-Managers sollte Zugriff auf deine Anmeldungen haben. Worauf du bei der Auswahl achten solltest, liest du in unserem Ratgeber zu sicheren Browser-Erweiterungen.
Per QR-Code meldest du dich mit dem Handy am Rechner an. Foto: Unsplash
Fazit: Jetzt umsteigen lohnt sich
Passkeys lösen zwei der größten Probleme der IT-Sicherheit auf einmal: schwache Passwörter und Phishing. Die Einrichtung ist einfach, und die Unterstützung durch Betriebssysteme und Dienste ist 2026 breit genug für den Alltag. Wichtig ist nur, die Wiederherstellung von Anfang an mitzudenken.
Starte heute mit deinem wichtigsten Konto und arbeite dich dann Schritt für Schritt vor. Nach ein paar Wochen wirst du dich fragen, warum du dich jemals mit Passwörtern herumgeschlagen hast. Das BSI bewertet gerätegebundene Passkeys übrigens als resistent gegen gängige Phishing-Angriffe – ein Sicherheitsniveau, das kein Passwort erreicht.
Häufige Fragen zu Passkeys
Sind Passkeys sicherer als Passwörter?
Ja, in den meisten Szenarien deutlich. Passkeys sind an die echte Webadresse eines Dienstes gebunden und funktionieren auf Phishing-Seiten nicht. Außerdem speichert der Anbieter nur einen öffentlichen Schlüssel, der Angreifern nach einem Datenleck nichts nützt. Schwache oder mehrfach verwendete Zugangsdaten sind technisch ausgeschlossen. Dein Gerät musst du allerdings weiterhin mit Sperre und Updates schützen.
Was passiert mit meinen Passkeys, wenn ich mein Handy verliere?
Synchronisierte Passkeys liegen verschlüsselt in deinem Cloud-Schlüsselbund oder Passwort-Manager. Auf einem neuen Gerät meldest du dich dort an und hast wieder Zugriff. Nur gerätegebundene Schlüssel ohne Reserve gehen verloren. Dann hilft der Wiederherstellungsweg des Dienstes. Lege deshalb bei wichtigen Konten einen zweiten Schlüssel oder Wiederherstellungscodes an.
Kann ich Passkeys zwischen Apple, Google und Microsoft übertragen?
Zunehmend ja. Der FIDO-Standard Credential Exchange ermöglicht den Export und Import zwischen Passkey-Managern, unterstützt etwa seit iOS 26 und in aktuellen Android-Versionen. Die Unterstützung ist aber noch nicht überall vollständig. Ein plattformübergreifender Passwort-Manager ist daher eine bequeme Lösung, wenn du Geräte verschiedener Hersteller nutzt.
Brauche ich für Passkeys einen Fingerabdrucksensor?
Nein. Biometrie ist komfortabel, aber nicht zwingend. Du kannst einen Passkey auch mit der PIN oder dem Entsperrmuster deines Geräts bestätigen. Biometrische Daten verlassen dein Gerät dabei nicht, sie dienen nur zum lokalen Entsperren des Schlüssels. Alternativ funktioniert ein FIDO2-Sicherheitsschlüssel, der per USB oder NFC verbunden wird.
Welche Konten sollte ich zuerst mit einem Passkey absichern?
Beginne mit deinem Haupt-E-Mail-Konto, weil sich darüber viele andere Passwörter zurücksetzen lassen. Danach folgen dein Apple-, Google- oder Microsoft-Konto, dein Passwort-Manager, Onlinebanking und Shopping-Konten mit hinterlegten Zahlungsdaten. Prüfe in den Sicherheitseinstellungen, ob der jeweilige Dienst die Anmeldung ohne Passwort bereits anbietet.
