TL;DR: Passkeys ersetzen Passwörter durch kryptografische Schlüssel, die nicht gestohlen, geleakt oder erraten werden können. Apple, Google und Microsoft setzen bereits darauf. Wer Passkeys versteht, versteht die Zukunft der digitalen Sicherheit.
Was sind Passkeys?
Passkeys sind eine neue Methode zur Authentifizierung – ohne Passwort. Statt eines selbst gewählten Kennworts erstellt dein Gerät ein kryptografisches Schlüsselpaar: einen privaten Schlüssel, der niemals dein Gerät verlässt, und einen öffentlichen Schlüssel, der beim jeweiligen Dienst gespeichert wird.
Beim Login beweist dein Gerät durch eine mathematische Signatur, dass es im Besitz des privaten Schlüssels ist – ohne ihn jemals preiszugeben.
Das Ergebnis: Kein Passwort, das gestohlen werden kann. Kein Passwort, das geleakt werden kann. Kein Passwort, das erraten werden kann.
Warum Passwörter ein strukturelles Problem sind
Passwörter funktionieren seit Jahrzehnten nach demselben Prinzip: Der Nutzer wählt ein Geheimnis, der Server speichert es (idealerweise verschlüsselt), und beim Login wird verglichen.
Dieses System hat fundamentale Schwachstellen:
- Nutzer wählen schwache oder wiederverwendete Passwörter
- Server werden gehackt und Passwort-Datenbanken geleakt
- Phishing-Seiten stehlen Passwörter durch Täuschung
- Credential Stuffing nutzt geleakte Passwörter für Massenangriffe
- Passwortmanager helfen, lösen aber das Grundproblem nicht
Selbst mit Zwei-Faktor-Authentifizierung bleibt das Passwort die schwächste Stelle im System. Passkeys lösen dieses Problem nicht durch bessere Regeln – sondern durch ein grundlegend anderes Konzept.
Wie Passkeys technisch funktionieren
Passkeys basieren auf dem FIDO2-Standard und dem WebAuthn-Protokoll – entwickelt von der FIDO Alliance gemeinsam mit Apple, Google und Microsoft.
Der Ablauf beim Erstellen eines Passkeys:
- Der Dienst sendet eine Anfrage an dein Gerät
- Dein Gerät erstellt ein einzigartiges kryptografisches Schlüsselpaar
- Der private Schlüssel wird sicher auf deinem Gerät gespeichert
- Der öffentliche Schlüssel wird beim Dienst hinterlegt
Der Ablauf beim Login:
- Der Dienst sendet eine zufällige Herausforderung (Challenge)
- Dein Gerät signiert diese Challenge mit dem privaten Schlüssel
- Die Signatur wird mit dem öffentlichen Schlüssel verifiziert
- Login erfolgreich – ohne dass ein Passwort übertragen wurde
Der private Schlüssel verlässt dabei niemals das Gerät. Phishing ist damit strukturell unmöglich – ein gefälschter Dienst erhält keine verwertbare Antwort.
Passkeys und Biometrie: Was hat das eine mit dem anderen zu tun?
Viele Nutzer erleben Passkeys als „Login per Fingerabdruck oder Gesichtsscan“. Das stimmt – aber nur halb.
Die Biometrie (Face ID, Touch ID, Windows Hello) entsperrt lediglich den privaten Schlüssel auf dem Gerät. Die eigentliche Authentifizierung beim Dienst läuft weiterhin kryptografisch.
Das bedeutet: Dein Fingerabdruck verlässt das Gerät niemals. Er wird nicht beim Server gespeichert. Er kann nicht geleakt werden.
Passkeys verbinden Benutzerfreundlichkeit mit einem Sicherheitsniveau, das Passwörter strukturell nie erreichen können.
Welche Dienste unterstützen Passkeys bereits?
Die Unterstützung wächst schnell. Große Plattformen haben Passkeys bereits eingeführt oder angekündigt:
- Google – Passkeys für alle Google-Accounts verfügbar
- Apple – iCloud Keychain synchronisiert Passkeys geräteübergreifend
- Microsoft – Windows Hello und Microsoft-Accounts
- GitHub – Passkey-Login für Entwickler
- PayPal – Passkeys für US-Nutzer eingeführt
- Adobe, Shopify, eBay – Rollout in verschiedenen Phasen
- 1Password, Bitwarden – Passkey-Verwaltung in Passwortmanagern
Die FIDO Alliance führt eine aktuelle Liste aller unterstützten Dienste unter passkeys.directory.
Vorteile von Passkeys gegenüber Passwörtern
- Phishing-resistent: Kein Passwort, das abgefangen werden kann
- Kein Datenleak-Risiko: Kein geteiltes Geheimnis auf dem Server
- Kein Credential Stuffing: Jeder Passkey ist einzigartig pro Dienst
- Keine Passwort-Wiederverwendung möglich: Das Problem existiert strukturell nicht
- Schneller Login: Fingerabdruck oder Gesichtsscan statt Eingabe
- Kein Passwort vergessen: Der Schlüssel liegt auf dem Gerät
- 2FA bereits eingebaut: Gerätesitz + Biometrie in einem Schritt
Nachteile und aktuelle Einschränkungen
Passkeys sind nicht perfekt – zumindest noch nicht.
- Geräteverlust: Wer sein Gerät verliert, braucht einen Wiederherstellungsprozess
- Plattformabhängigkeit: Sync zwischen Apple und Android war lange eingeschränkt
- Noch nicht überall verfügbar: Viele Dienste unterstützen Passkeys noch nicht
- Lernkurve: Nutzer müssen das Konzept erst verstehen
Die meisten dieser Probleme werden aktiv gelöst. Passwortmanager wie 1Password und Bitwarden können Passkeys plattformübergreifend synchronisieren. Die FIDO Alliance arbeitet an Industriestandards für die Wiederherstellung.
Warum Passkeys Passwörter langfristig ersetzen werden
Die Frage ist nicht ob, sondern wann.
Drei Faktoren machen Passkeys unausweichlich:
1. Die großen Plattformen haben sich entschieden. Apple, Google und Microsoft haben sich auf den FIDO2-Standard geeinigt. Das bedeutet: Passkeys funktionieren betriebssystemübergreifend, ohne proprietäre Insellösung.
2. Passwörter sind das größte Einfallstor für Cyberangriffe. Laut Verizon Data Breach Report sind kompromittierte Zugangsdaten für die Mehrheit aller Datenpannen verantwortlich. Passkeys lösen dieses Problem strukturell.
3. Nutzer wollen einfachere Sicherheit. Passkeys sind für den Endnutzer bequemer als Passwörter – und gleichzeitig sicherer. Sicherheit muss sich nicht wie Aufwand anfühlen, um akzeptiert zu werden.
Fazit
Passkeys sind kein Nischenprodukt für Sicherheitsexperten. Sie sind die praktische Antwort auf ein Problem, das Passwörter in Jahrzehnten nicht lösen konnten.
Phishing? Strukturell unmöglich. Datenleak? Kein geteiltes Geheimnis mehr. Passwort vergessen? Existiert nicht mehr.
Der Übergang wird Zeit brauchen – aber er hat längst begonnen. Wer heute anfängt, Passkeys zu nutzen, ist nicht früh dran. Er ist zur richtigen Zeit dabei.
Die wichtigsten Punkte zusammengefasst:
- Passkeys ersetzen Passwörter durch kryptografische Schlüsselpaare
- Der private Schlüssel verlässt das Gerät niemals
- Phishing und Credential Stuffing werden strukturell unmöglich
- Apple, Google und Microsoft unterstützen den Standard bereits
- Passkeys sind bequemer und sicherer zugleich