Grundlagen

Was ist ein Passkey?

Ein Passkey ist ein digitaler Schlüssel, der das Passwort ersetzt. Er basiert auf dem offenen FIDO2-Standard der FIDO Alliance und des W3C. Statt ein Passwort einzutippen, entsperrst du dein Gerät per Fingerabdruck, Gesichtserkennung oder PIN, und das Gerät erledigt die Anmeldung kryptographisch im Hintergrund.

Bei der Registrierung erzeugt dein Gerät zwei Schlüssel, die mathematisch zusammengehören. Der private Schlüssel bleibt auf deinem Smartphone, Laptop oder Hardware-Key. Der öffentliche Schlüssel liegt beim Dienst, sozusagen als Schloss, zu dem nur du den passenden Schlüssel hast.

Wie funktioniert ein Passkey?

Die Anmeldung läuft in vier Schritten ab:

1. Der Dienst schickt eine zufällige Challenge an dein Gerät.
2. Du entsperrst das Gerät per Biometrie oder PIN.
3. Dein Gerät signiert die Challenge mit dem privaten Schlüssel.
4. Der Dienst prüft die Signatur mit dem öffentlichen Schlüssel und lässt dich rein.

Was dabei nie passiert: Es wird kein Passwort übertragen, und es gibt keinen Einmalcode, den jemand abfangen könnte. Selbst wer den Datenverkehr mitschneidet, bekommt rein gar nichts.

Passwort vs. Passkey im Vergleich

Der wichtigste Punkt steckt in der ersten Zeile. Ein Passkey ist an genau die Domain gebunden, für die er erstellt wurde. Auf einer gefälschten Login-Seite funktioniert er technisch einfach nicht. Credential-Phishing wird damit also nicht nur erschwert, sondern unmöglich gemacht.

Varianten

Welche Arten von Passkeys gibt es?

Es gibt zwei Varianten, die sich vor allem darin unterscheiden, wo der private Schlüssel liegt.

Kurz gesagt: Device-bound Passkeys sind für Hochrisiko-Accounts gedacht, Synced Passkeys für alle anderen.

Abgrenzung

Passkey vs. MFA: Was ist der Unterschied?

Klassische Multifaktor-Authentifizierung setzt einen zweiten Faktor auf das Passwort drauf, etwa einen SMS-Code oder eine Push-Nachricht. Das Passwort bleibt aber das schwache Glied, und Codes lassen sich über gefälschte Login-Seiten abgreifen.

Ein Passkey ist dagegen schon für sich eine starke Authentifizierung. Er verbindet Besitz (das Gerät) mit Wissen oder Biometrie (PIN oder Fingerabdruck) und ist dabei phishingresistent. Du brauchst also keinen zusätzlichen Faktor, sondern ersetzt Passwort und Code in einem Schritt.

Grenzen

Welche Nachteile haben Passkeys?

Passkeys sind nicht perfekt, und das darf man ruhig offen sagen. Die gute Nachricht: Für jeden Nachteil gibt es eine Lösung.

• Gerät verloren: Ohne Gerät gibt es auch keinen Passkey. Abhilfe schaffen Synced Passkeys, ein zweiter registrierter Passkey und ein sauber durchdachter Prozess für die Account Recovery.
• Abhängigkeit vom Anbieter: Synced Passkeys liegen beim jeweiligen Plattform- oder Passwortmanager-Anbieter. Mit dem Credential Exchange Protocol arbeitet die FIDO Alliance an einem Standard, mit dem sich Passkeys zwischen Anbietern umziehen lassen.
• Sicherheit hängt am Cloud-Konto: Wer das Apple- oder Google-Konto übernimmt, kommt an die Synced Passkeys heran. Für kritische Zugänge setzt du deshalb auf Device-bound Passkeys.
• Geteilte Accounts: Funktions- oder Team-Accounts passen schlecht zu einem Passkey pro Person. Hier hilft ein PAM-Ansatz mit persönlichen Identitäten.
• Ältere Anwendungen: Nicht jede Legacy-Anwendung kann FIDO2. Wenn die Anmeldung zentral über einen Identity Provider läuft, ist das aber halb so wild.
• Gewohnheit: Viele Nutzer vertrauen dem Passwort mehr als einem Fingerabdruck, einfach weil sie es kennen.

Der letzte Punkt ist der größte Stolperstein, deshalb bekommt er einen eigenen Abschnitt.

Rollout

Passkeys im Unternehmen einführen: So klappt der Rollout

Ein erfolgreicher Passkey-Rollout ist nie ein Big Bang. Menschen sind Gewohnheitstiere, und das Passwort begleitet sie seit Jahrzehnten. Wer einen sofortigen Komplettumstieg erzwingt, erntet Frust, Support-Tickets und im B2C-Geschäft sogar abwandernde Kunden.

Ein Beispiel: Stell dir ein Kundenportal vor, in dem jüngere Nutzer Face ID längst vom Banking kennen und sofort umsteigen. Für Nutzer, die seit 15 Jahren dasselbe Passwort tippen, fühlt sich der Passkey dagegen fremd an. Beide Gruppen brauchen einen anderen Weg.

So sieht ein durchdachter Rollout aus:

• Nutzersegmente identifizieren: Teile deine Nutzer nach Gerätenutzung, Rolle und Risiko ein. Admins und privilegierte Accounts kommen zuerst dran.
• Opt-in für Early Adopters: Wer will, steigt sofort um. Biete das am besten direkt nach dem Login an, statt es in den Einstellungen zu verstecken.
• Schrittweise ausweiten: Hole weitere Gruppen mit gezielter Kommunikation und kurzen Anleitungen dazu.
• Fallbacks behalten: Wer noch nicht bereit ist, behält vorerst eine Alternative. Die schaltest du erst ab, wenn die Nutzungsquote stimmt.
• Recovery von Anfang an planen: Lege fest, wie Nutzer wieder an ihren Account kommen, ohne dabei ein neues Einfallstor zu öffnen.

Die Technik steht bereit. Microsoft aktiviert in Entra ID seit 2026 Passkey-Profile inklusive Synced Passkeys, und auch die gängigen Identity Provider unterstützen Passkeys nativ. Im CIAM-Umfeld schützt ein sanfter Rollout außerdem deine Conversion Rate.

Wie Passkeys mit deinem IAM zusammenspielen

Am meisten bringen Passkeys, wenn sie nicht in jeder Anwendung einzeln eingebaut werden, sondern zentral am Identity Provider sitzen. Ein Beispiel: Deine Mitarbeiterin klappt morgens den Laptop auf und meldet sich per Fingerabdruck einmal an. Per Single Sign-On ist sie danach in allen freigegebenen Anwendungen drin, ohne ein einziges Passwort einzugeben. Welche Anwendungen das genau sind und unter welchen Bedingungen sie zugreifen darf, regelt dein Access Management über Richtlinien.

Bei Kunden ist es ähnlich, nur mit einem anderen Ziel: Hier geht es vor allem um eine reibungslose Registrierung und wenig Kaufabbrüche. Viele Kundenportale bieten Passkeys deshalb als zusätzliche Option neben E-Mail-Login und Social Login an. Jeder Kunde nimmt den Weg, der ihm am liebsten ist, und der Anteil der Passkey-Nutzer wächst mit der Zeit von ganz allein.

FAQ

FAQ: Häufige Fragen zu Passkeys

Wie sicher sind Passkeys wirklich?

Passkeys sind deutlich sicherer als Passwörter, weil sie an die Domain gebunden und dadurch phishingresistent sind. Außerdem liegt beim Dienst nur ein öffentlicher Schlüssel, der für Angreifer wertlos ist. Bei Synced Passkeys hängt die Sicherheit zusätzlich am Schutz des Cloud-Kontos.

Was passiert, wenn ich mein Smartphone verliere?

Synced Passkeys stehen auf deinen anderen Geräten weiter zur Verfügung. Bei Device-bound Passkeys brauchst du einen zweiten registrierten Schlüssel oder einen Recovery-Prozess deines Unternehmens.

Sind Passkeys dasselbe wie 2FA?

Nein. 2FA ergänzt das Passwort um einen zweiten Faktor. Ein Passkey ersetzt beides und vereint Besitz und Biometrie oder PIN in einem einzigen, phishingresistenten Schritt.

Wo werden Passkeys gespeichert?

Sie liegen auf deinem Gerät oder Hardware-Key, bei Synced Passkeys zusätzlich verschlüsselt in deinem Passwortmanager, zum Beispiel im iCloud-Schlüsselbund, im Google Passwortmanager oder in 1Password.

Können Unternehmen Passkeys zentral verwalten?

Ja. Moderne Identity Provider wie Microsoft Entra ID erlauben Richtlinien, die zum Beispiel festlegen, welche Passkey-Typen und Authenticatoren zugelassen sind.