Warum Passkeys das Passwort noch nicht abgelöst haben

Passkeys galten lange als sichere Zukunft des Logins, klassische Passwörter als Auslaufmodell. In der Praxis dominiert das Passwort aber weiterhin deutlich.

Die Technik für passwortlose Anmeldung existiert und ist verbreitet, doch organisatorische Hürden bremsen den Wechsel aus.

Wie Passkeys funktionieren – und warum sie sicherer sind

Ein Passkey besteht im Kern aus zwei kryptografischen Schlüsseln: einem privaten Schlüssel auf Eurem Gerät und einem öffentlichen Schlüssel auf der Website. Beim Anmelden weist Euer Gerät nach, dass es den privaten Schlüssel besitzt, ohne ihn jemals zu übertragen. Dadurch gibt es für Angreifer:innen nichts abzugreifen, wie es bei eingegebenen Passwörtern möglich ist.

Vereinfacht gesagt: Passwörter sind etwas, das Ihr wisst, Passkeys sind etwas, das Ihr habt (ein Gerät) oder etwas, das Ihr seid (biometrische Merkmale). Auf Apple-Geräten übernehmen Face ID oder Touch ID die Verifikation, der private Schlüssel liegt in der Secure Enclave. Nutzt Ihr mehrere Geräte, synchronisiert iCloud-Schlüsselbund die privaten Schlüssel sicher zwischen iPhone, iPad und Mac, jeweils innerhalb der Secure-Enclave-Grenzen.

Laut der FIDO-Allianz können inzwischen mehr als 15 Milliarden Konten mit einem Passkey genutzt werden. Google meldet, dass seine eigenen Passkeys bereits über eine Milliarde Anmeldungen für mehr als 400 Millionen Konten ermöglicht haben. Auf der WWDC 2025 hat Apple ein neues Werkzeug zur Kontoerstellung vorgestellt, mit dem Apps Nutzer:innen von Beginn an per Passkey registrieren können, sodass nie ein Passwort erforderlich ist. Microsoft geht noch weiter und legt neue Konten standardmäßig passwortlos an.

Unternehmen zögern wegen Wiederherstellung und Fallbacks

Trotz dieser Fortschritte gibt es deutlichen Widerstand vieler Unternehmen, Passkeys einzuführen. Eine neue Website prangert bekannte Online-Dienste an, die Nutzer:innen noch keine Passkeys anbieten. Auf der Liste stehen unter anderem Instagram, Spotify und Netflix.

Ein wesentlicher Grund für die Zurückhaltung ist die Kontowiederherstellung. FIDO2, der Standard hinter Passkeys, sieht keinen integrierten Wiederherstellungsprozess vor. Gehen alle Geräte verloren, auf denen sich Eure Passkeys befinden, bleibt als Rückfalllösung meist ein Link zum Zurücksetzen per E-Mail. Genau diese Schwachstelle sollten Passkeys eigentlich überflüssig machen. Deshalb behalten viele SaaS-Anbieter und andere Websites das klassische Passwortfeld als Backup auf der Anmeldeseite bei.

Portabilität, Plattformen und die Rolle von Apple

Ein weiteres Hindernis ist die Portabilität der Passkeys, auch wenn sich hier viel bewegt. Passkeys liegen derzeit in unterschiedlichen Tresoren wie iCloud-Schlüsselbund, Google Passwortmanager oder Browsern, die lange nicht miteinander kommunizieren konnten. Das erschwert den Wechsel zwischen Systemen erheblich.

Apple hat mit iOS 26 eine systemweite Unterstützung zum Import und Export von Passkeys über Plattformgrenzen hinweg eingeführt. Das markiert eine deutliche Kursänderung, da der Schlüsselbund bisher eng an das eigene Ökosystem gebunden war. Solange das zugrunde liegende Credential-Exchange-Protokoll aber nicht überall reibungslos funktioniert, kann ein passwortloses System schnell zur Ökosystem-Falle werden.

Die Kryptografie hinter Passkeys gilt als robust und deutlich widerstandsfähiger gegen Phishing als Passwörter. Die offenen Fragen liegen eher im Betrieb: Wiederherstellung muss verlässlich funktionieren, Portabilität nahtlos sein, und Websites müssten das Passwortfeld wirklich entfernen. Apple bietet derzeit eine besonders glatte Integration im eigenen Ökosystem und hat Exportfunktionen sogar vor Google ausgeliefert. Solange die genannten Lücken jedoch bestehen, werden klassische Passwortfelder auf Anmeldeseiten weiter präsent bleiben.

Passkeys werden voraussichtlich die Zukunft der Authentifizierung – aber eben nicht sofort.

Security Bite ist die wöchentliche Tiefenanalyse von 9to5Mac zur Apple-Sicherheit. Jede Woche beleuchtet Arin Waichulis neue Bedrohungen, Datenschutzthemen, Schwachstellen und mehr in einem Ökosystem mit über 2 Milliarden Geräten.

Folgt Arin: Twitter/X, LinkedIn, Threads

Via: https://9to5mac.com

Den Beitrag in unserem Forum kommentieren