Ein Passkey ist kein komplizierteres Passwort, sondern ein anderer Ansatz. Statt ein Geheimnis zu tippen, das auf vielen Servern liegt, signiert das eigene Geraet eine Anfrage mit einem Schluessel, der das Geraet nie verlaesst. Seit 2023 ist die Technik in den grossen Betriebssystemen angekommen, 2026 ist sie in vielen Konten der bequemste Weg. Der Umstieg klingt nach einem Klick, hat aber Fallstricke: fehlende Zweitgeraete, unklare Wiederherstellungswege und Dienste, die weiter auf Passwoerter bestehen. Dieser Ratgeber beschreibt den Ablauf in der Reihenfolge, in der er im Alltag am wenigsten Reibung erzeugt.

Was ein Passkey technisch ist

Hinter einem Passkey steht ein Schluesselpaar nach dem WebAuthn-Standard. Der oeffentliche Teil liegt beim Dienst, der private Teil im Sicherheitschip des Geraets: bei Apple in der Secure Enclave, bei Android im abgeschotteten Vertrauensbereich des Prozessors, unter Windows im TPM. Bei der Anmeldung schickt der Dienst eine Zufallszahl, das Geraet signiert sie nach einer Entsperrung per Fingerabdruck, Gesicht oder PIN. Der private Schluessel wird dabei weder kopiert noch uebertragen, und genau darin liegt der Unterschied zu allem, was vorher als bequeme Anmeldung galt.

Die Abgrenzung zum Passwortmanager ist grundsaetzlich, auch wenn beide im Alltag aehnlich wirken. Ein Passwortmanager speichert ein Geheimnis und gibt es beim Login heraus; wer die Anmeldeseite nachbaut, bekommt es im Klartext. Ein Passkey gibt kein Geheimnis heraus, sondern eine Signatur, die an eine bestimmte Domain gebunden ist. Ein gestohlener Datensatz eines Dienstes enthaelt deshalb nur oeffentliche Schluessel und ist fuer den Angreifer wertlos, ein Punkt, der bei der Bewertung von Datenlecks selten genannt wird.

Warum Phishing dadurch schwerer wird

Die Bindung an die Domain ist der eigentliche Gewinn. Der Browser prueft, ob die anfragende Seite mit dem hinterlegten Schluessel uebereinstimmt, und eine Kopie der Loginseite unter fremder Adresse bekommt keine gueltige Signatur. Das nimmt einen ganzen Angriffszweig weg, ersetzt aber keine Sorgfalt. Wer den Wiederherstellungsweg eines Kontos angreift, braucht keinen Passkey zu knacken. Genau dort liegen nach Beobachtungen der letzten zwei Jahre die meisten erfolgreichen Angriffe auf Konten, die bereits mit Passkeys geschuetzt waren.

Der Umstieg in vier Schritten

Der Ablauf unterscheidet sich je nach Dienst in Details, die Grundform bleibt gleich. Entscheidend ist die Reihenfolge: erst ein zweiter Passkey, dann das Passwort zurueckbauen. Wer umgekehrt arbeitet, steht beim ersten Geraeteproblem ohne Zugang da und muss sich durch einen Support arbeiten, der auf solche Faelle oft nur mit Standardantworten reagiert.

Schritt eins ist das Anlegen am Hauptgeraet. In den Sicherheitseinstellungen des Kontos findet sich ein Punkt Passkey oder Sicherheitsschluessel; nach der Bestaetigung mit der Geraetesperre ist der Eintrag aktiv. Scheitert der Vorgang, liegt es meist an einer blockierten Browser-Erweiterung oder an einer falsch gestellten Systemzeit. Beides laesst sich in wenigen Minuten beheben, ein Anruf beim Support ist selten noetig.

Schritt zwei ist der zweite Passkey auf einem anderen Geraet oder einem Hardware-Schluessel. Ohne diesen Schritt haengt der Zugang an einem einzigen Telefon. Viele Dienste erlauben zwei bis fuenf Passkeys pro Konto; wer nur einen anlegt, hat die Bequemlichkeit gewonnen und die Verfuegbarkeit verloren. Der zweite Schluessel sollte nicht im selben Rucksack liegen wie der erste.

Schritt drei ist die Wartezeit. Das Passwort bleibt vier bis acht Wochen parallel bestehen, bis der neue Weg in zwei oder drei typischen Situationen funktioniert hat: im Buero, im Mobilfunknetz, nach einem Neustart des Geraets. Erst dann wird es entfernt. Diese Phase wirkt umstaendlich, verhindert aber den unangenehmen Fall, dass ein Konto mitten im Umstieg nicht mehr erreichbar ist.

Reihenfolge nach Risiko

Beginnen Sie mit dem E-Mail-Konto, weil daran fast alle anderen Konten haengen. Danach folgen Banking und Bezahldienste, dann Shops mit hinterlegter Karte, zuletzt Foren und Nebenkonten. Diese Reihenfolge bringt den groessten Sicherheitsgewinn pro investierter Minute, und sie laesst sich an einem Wochenende erledigen, wenn die Konten ohnehin gepflegt werden.

• E-Mail-Konto: Schluessel fuer alle Zuruecksetzungen anderer Dienste
• Banking und Bezahldienste: hoher Schaden bei Uebernahme, meist mit eigener App
• Shops mit gespeicherter Karte: bequem und haeufig Ziel von Angriffen
• Nebenkonten: sinnvoll, aber ohne Zeitdruck

Welche Dienste und Geraete 2026 mitspielen

Die Abdeckung ist deutlich besser als vor zwei Jahren, aber nicht vollstaendig. Grosse Plattformen, Mailanbieter und viele Shops unterstuetzen Passkeys inzwischen im Regelbetrieb. Banken und Versicherungen halten sich zurueck, oft wegen eigener Sicherheitsvorgaben und alter Kernsysteme, die nicht in Monaten umgestellt werden. Wer heute umsteigt, wird also nicht alle Konten auf einmal umstellen, sondern einen Teil.

Bei Banken ist die Zurueckhaltung nachvollziehbar: Die Anmeldeverfahren im Online-Banking sind regulatorisch geregelt, und ein Wechsel der Anmeldekomponente braucht Freigaben. Praktisch heisst das, dass im Alltag zwei Welten nebeneinander bestehen. Ein Passwortmanager, der beides verwaltet, ist deshalb 2026 nicht ueberfluessig, sondern die Bruecke zwischen dem neuen und dem alten Verfahren.

Auf Geraeteseite gilt: Ein aktuelles Smartphone mit Fingerabdruck- oder Gesichtserkennung ist die einfachste Basis. Aeltere Telefone ohne eigenen Sicherheitschip koennen Passkeys speichern, der Schutz ist dann aber geringer, weil der Schluessel im normalen Speicher liegt. Wer ein Geraet laenger als fuenf Jahre nutzt, sollte pruefen, ob der Hersteller noch Sicherheitsupdates liefert, bevor er darauf seine wichtigsten Konten umstellt.

Zwei Geraete, ein Konto: Sync und Wiederherstellung

Die meisten Nutzer bemerken den Sync nicht: Ein auf dem iPhone angelegter Passkey erscheint auf dem iPad, weil beide Geraete denselben Schluesselbund teilen. Die Uebertragung ist Ende zu Ende verschluesselt, der Anbieter sieht nur verschluesselte Daten. Bei Google und Microsoft gilt dasselbe Prinzip, die Details unterscheiden sich in der Wiederherstellung des Kontos und in der Frage, wie viele Geraete gleichzeitig angemeldet sein duerfen.

Plattformuebergreifend funktioniert es ueber den Standard selbst. Ein Passkey auf einem Android-Geraet kann fuer eine Anmeldung am Windows-Rechner genutzt werden, indem der Dienst einen QR-Code zeigt und das Telefon in der Naehe bestaetigt. Der private Schluessel bleibt dabei auf dem Telefon, der Rechner erhaelt nur die Signatur. Voraussetzung ist eine Bluetooth-Verbindung in der Naehe und eine aktuelle Browser-Version auf beiden Seiten.

Der schwache Punkt ist die Wiederherstellung, wenn kein Geraet erreichbar ist. Dann greift fast immer derselbe Mechanismus wie frueher: ein Link per E-Mail, eine Sicherheitsfrage oder ein Anruf beim Support. Wer diesen Weg absichern will, braucht ein zweites Geraet, einen Hardware-Schluessel oder gedruckte Wiederherstellungscodes an einem sicheren Ort. Alles drei zusammen ist die robuste Variante, zwei davon die realistische.

Geraeteverlust: drei Szenarien

Der Verlust des Telefons ist unangenehm, aber selten ein Sicherheitsproblem, solange die Geraetesperre greift. Kritisch wird es, wenn das Telefon entsperrt verloren geht oder das Cloud-Konto gesperrt ist, weil dann auch der Schluesselbund nicht mehr erreichbar ist. Die folgenden Faelle decken ab, was in der Praxis tatsaechlich vorkommt.

Der Widerruf ist wichtiger als das Sperren. Ein Passkey, der beim Dienst noch registriert ist, bleibt gueltig, auch wenn das Geraet in einer Schublade liegt. Entfernen Sie den Eintrag in den Sicherheitseinstellungen des Kontos, sobald klar ist, dass das Geraet nicht zurueckkommt, und legen Sie danach einen neuen an. Bei Diensten mit Sitzungsuebersicht sollten Sie zusaetzlich alle aktiven Sitzungen abmelden.

Haeufige Missverstaendnisse

Rund um Passkeys halten sich einige Annahmen, die den Umstieg verzoegern oder falsche Sicherheit erzeugen. Die fuenf haeufigsten betreffen Biometrie, Cloud, Datenschutz, den angeblichen Zwang zum Umstieg und die Folgen eines Verlusts. Ein kurzer Blick auf jede dieser Annahmen spart meist mehr Zeit als jede Anleitung.

• Gebundene Biometrie: Fingerabdruck und Gesicht bleiben auf dem Geraet, der Dienst erhaelt nur eine Signatur
• Cloud-Zwang: Hardware-Schluessel und geraetegebundene Passkeys funktionieren ohne jeden Sync
• Datenschutz: der oeffentliche Schluessel ist kein Merkmal, das Nutzer ueber Dienste hinweg verbindet
• Zwang: kein Dienst muss Passkeys anbieten, und kein Nutzer muss sie verwenden
• Verlust gleich Kontoverlust: nur wenn weder Zweitgeraet noch Wiederherstellung vorbereitet ist

Ein Punkt verdient Aufmerksamkeit: Passkeys sind je Dienst verschieden. Zwei Konten beim selben Anbieter koennen unterschiedliche Eintraege haben, und ein widerrufener Passkey laesst sich nicht wiederherstellen, sondern nur neu anlegen. Wer haeufig Geraete wechselt, sollte den Bestand einmal im Jahr durchsehen, alte Eintraege entfernen und die Zahl der aktiven Geraete im Konto pruefen.

Wo Passwoerter weiter sinnvoll sind

Es gibt Faelle, in denen ein Passwort die pragmatischere Wahl bleibt. Dazu gehoeren Geraete ohne Bildschirm, etwa ein Netzwerkspeicher im Keller, ein Drucker oder ein Router, die nur ein Webformular anbieten. Auch fuer Konten, die nur selten genutzt werden, ist der Aufwand oft groesser als der Gewinn, zumal viele dieser Dienste ihre Anmeldung seit Jahren nicht angefasst haben.

Sinnvoll ist die Kombination: Passkeys fuer alles, was taeglich genutzt wird, ein Passwortmanager fuer den Rest, und beide Welten mit derselben Regel. Pro Dienst ein eigenes Geheimnis, nirgends doppelt verwendet, und die Sperre des Hauptgeraets nicht kuerzer als noetig. Wer diesen Grundsatz einhaelt, gewinnt mehr als mit jeder einzelnen Technik, weil er die Fehlerquelle beseitigt, die in den meisten Vorfaellen die eigentliche Ursache war.

Haeufige Fragen