Passkeys tauchen immer häufiger im Alltag auf und ersetzen zunehmend klassische Passwörter. Viele von euch fragen sich: Was genau steckt dahinter und warum ist das sicherer?
Ein Passkey ist ein gespeichertes, sicheres Anmeldekennzeichen, mit dem ihr euch bei einer bestimmten Webseite oder einem Online-Dienst anmeldet. Statt eines Passworts nutzt ihr dafür biometrische Daten wie Gesicht oder Fingerabdruck oder eine PIN. Technisch basiert das Ganze auf dem Web-Authentifizierung-Standard WebAuthn.
Wenn ihr einen Passkey anlegt, entstehen zwei zueinander passende, verschlüsselte Informationsstücke. Eines wird beim Dienst oder der Webseite gespeichert, das andere auf eurem Gerät. Diese beiden Bestandteile funktionieren nur gemeinsam, einzeln sind sie nutzlos.
In der Praxis läuft das so: Ihr meldet euch zunächst wie gewohnt mit Benutzername und Passwort an. Anschließend bietet euch die Webseite meist an, einen Passkey zu erstellen, oder ihr findet die Option in den Sicherheitseinstellungen eures Kontos. Dann wählt ihr, mit welchem Authentifikator – also Gerät, Passwortmanager oder Hardware-Sicherheitsschlüssel – der Passkey erstellt werden soll. Der Dienst speichert einen eindeutigen Verschlüsselungsschlüssel auf seinem Server, euer Authentifikator erzeugt den passenden privaten Schlüssel und legt ihn geschützt auf eurem Gerät ab. Benutzername und Passwort spielen für künftige Anmeldungen mit Passkey keine Rolle mehr, der private Schlüssel bleibt für euch unsichtbar.
Als Authentifikator kommt standardmäßig das jeweilige Gerät in Frage, etwa ein PC mit Windows-Hello-Anmeldung. Alternativ könnt ihr einen Passwortmanager mit Passkey-Unterstützung oder einen Hardware-Sicherheitsschlüssel nutzen. Nutzt ihr PC, Smartphone oder einen physischen Schlüssel, entsteht ein gerätegebundener Passkey, der nur zusammen mit dieser konkreten Hardware funktioniert. Auf einem anderen Gerät steht dieser Passkey dann nicht zur Verfügung.
Ein Passwortmanager kann dagegen synchronisierbare Passkeys anlegen, die ihr auf mehreren Geräten verwenden könnt. Passwortmanager von Google und Apple sowie Drittanbieter wie 1Password oder Bitwarden unterstützen diese Funktion. Ihr könnt zudem mehrere Authentifikatoren parallel nutzen und für ein Konto mehrere Passkeys anlegen, etwa auf mehreren Hardware-Schlüsseln und zusätzlich im Passwortmanager.
Bei der Anmeldung auf einer Seite mit Passkey-Unterstützung gebt ihr wie gewohnt eure E-Mail-Adresse oder euren Benutzernamen ein. Statt eines Passwortfelds erscheint die Frage, ob ihr euch mit einem Passkey anmelden möchtet. Bestätigt ihr das, schickt der Dienst seinen Schlüssel an euren Authentifikator und fragt sinngemäß an, ob die zugehörige Person Zugriff erhalten darf. Der Authentifikator prüft, ob die Anfrage von der echten Webseite kommt, gleicht den Schlüssel mit eurem gespeicherten Passkey ab und fordert euch zur Bestätigung per Biometrie oder PIN auf. Erst danach meldet er dem Dienst, dass ihr eure Identität nachgewiesen habt. Der eigentliche Passkey wird dabei nie übertragen.
Gespeichert werden Passkeys in einem geschützten Bereich auf eurem Gerät, abgesichert durch spezielle Sicherheits-Hardware wie das TPM unter Windows, die Secure Enclave auf Mac- und iOS-Geräten oder eine Trusted-Execution-Umgebung unter Android. Nur der Authentifikator hat Zugriff, und auch nur, wenn ihr euch vorher authentifiziert habt. Ihr könnt Passkeys weder im Dateisystem durchsuchen noch ihren Inhalt ansehen oder kopieren. Täuscht euch jemand mit einer gefälschten Webseite, kann der Passkey dort nicht genutzt werden, weil Domain und Schlüssel nicht zusammenpassen.
Passkeys ersetzen Passwörter aktuell nicht vollständig, sondern sind meist eine zusätzliche Anmeldemöglichkeit. In vielen Fällen bleibt das ursprüngliche Passwort weiter verfügbar. Einige Dienste erlauben das Entfernen des Passworts, sobald mehrere Passkeys eingerichtet sind, etwa bei Microsoft-Konten, solche Angebote sind aber noch die Ausnahme.
Passwörter lassen sich phishen, erraten, mit Schadsoftware auslesen oder durch schlechtes Passwort-Management eines Dienstes stehlen. Wiederverwendete Passwörter erhöhen das Risiko zusätzlich. Passkeys sind gegen diese Angriffe unempfindlich. Ein gefälschtes Login-Formular kann keinen gültigen Passkey nutzen, weil die kryptografische Bindung an die echte Domain fehlt, und der private Schlüssel verlässt das Gerät niemals. Entsperrt wird er ausschließlich nach einer legitimen Anfrage des Servers und einer erfolgreichen Bestätigung durch euch per Biometrie oder PIN.
Um die früher übliche Empfehlung, für jede Seite ein eigenes Passwort zu wählen, müsst ihr euch bei Passkeys nicht kümmern. Jeder Passkey ist automatisch einzigartig und nur für den jeweiligen Dienst gültig. Ihr könnt aber für ein einzelnes Konto mehrere Passkeys haben, zum Beispiel je Gerät oder zusätzlich auf einem oder mehreren Hardware-Schlüsseln sowie im Passwortmanager.
Den Beitrag in unserem Forum kommentieren
Mit iOS 27.3 können Entwickler:innen Siri AI in ihre Apps integrieren. Die Sprachassistenz soll dadurch Aufgaben über mehr Apps hinweg…
Apple hat die ersten Entwickler-Betas für iOS 27.3, iPadOS 27.3, macOS Golden Gate 27.3, watchOS 27.3, tvOS 27.3 und visionOS…
Mit der Beta von iOS 27.3 kehrt Apples neu gestaltete Health-App zurück, nachdem Apple sie zuvor aus einer Testversion entfernt…
Apple legt starke Quartalszahlen vor, deutet aber zugleich steigende Preise und Engpässe bei Hardware an. Parallel konkretisieren sich Pläne für…
Der Leaker Digital Chat Station erwartet beim iPhone 18 einen größeren Akku und hält auch einen höheren Preis für möglich.…
Apple hält an getrennten Betriebssystemen für iPad und Mac fest. CEO John Ternus sagte bei einer Telefonkonferenz zu den Geschäftszahlen,…
Diese Website benutzt Cookies um Ihr Nutzererlebnis zu verbessern. Wenn Sie diese Website weiter nutzen, gehen wir von Ihrem Einverständnis aus.
Mehr lesen