Aktualisiert am 9. Oktober 2026
Das Wichtigste in Kürze
- Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar: Der private Schlüssel bleibt auf deinem Gerät bzw. in deinem Passwortmanager, der Dienst kennt nur den öffentlichen Schlüssel.
- Du bestätigst den Login mit Fingerabdruck, Gesicht oder Geräte-PIN. Deine biometrischen Daten verlassen dabei das Gerät nicht.
- Passkeys sind phishingresistent, weil sie nur auf der echten Website funktionieren, für die sie erstellt wurden.
- Geht das Handy verloren, sind synchronisierte Passkeys nicht weg: Sie liegen verschlüsselt in iCloud-Schlüsselbund, Google Passwortmanager oder einem Passwortmanager wie 1Password oder Bitwarden.
Warum Passwörter ein Auslaufmodell sind
Das Problem ist weniger das Passwort an sich als das, was Menschen daraus machen. Umfragen zufolge ist 123456 noch immer der Klassiker. Das bestätigt auch das Hasso-Plattner-Institut: In seiner im Januar 2026 veröffentlichten Auswertung geleakter Zugangsdaten aus Deutschland stand „123456“ erneut auf Platz 1, gefolgt von „123456789“. Auch „hallo123“ und „passwort“ schafften es in die Top 10. Alternativ werden ein Geburtsdatum oder der Name von Kindern oder Haustieren gewählt.
Dazu kommen drei strukturelle Schwächen:
- Wiederverwendung: Wird ein Dienst gehackt, probieren Angreifer dieselbe Kombination bei anderen Diensten aus.
- Phishing: Ein Passwort lässt sich auf einer gefälschten Seite genauso eintippen wie auf der echten.
- Server-Leaks: Der Anbieter muss Prüfdaten zu deinem Passwort speichern, und genau diese Datenbanken werden gestohlen.
Passkeys lösen alle drei Probleme gleichzeitig. Laut FIDO Alliance, die den Standard entwickelt, sind weltweit inzwischen rund 5 Milliarden Passkeys im Einsatz. In ihrer Umfrage zum Welt-Passkey-Tag 2026 (u. a. mit Teilnehmenden aus Deutschland) gaben 75 % an, auf mindestens einem Konto einen Passkey aktiviert zu haben.
So funktioniert ein Passkey
Hinter dem Begriff steckt der offene Standard FIDO2/WebAuthn. Beim Anlegen erzeugt dein Gerät zwei zusammengehörige Schlüssel:
- Privater Schlüssel: bleibt bei dir, gesichert im Gerät bzw. verschlüsselt in deinem Passwortmanager.
- Öffentlicher Schlüssel: wird beim Dienst gespeichert. Mit ihm lässt sich eine Anmeldung nur prüfen, nicht auslösen.
Beim Login läuft Folgendes ab:
- Der Dienst schickt eine zufällige Aufgabe (Challenge) an dein Gerät.
- Du entsperrst den Passkey mit Fingerabdruck, Face ID oder PIN.
- Das Gerät signiert die Challenge mit dem privaten Schlüssel.
- Der Dienst prüft die Signatur mit dem öffentlichen Schlüssel. Passt sie, bist du drin.
Der entscheidende Unterschied zum Passwort: Es wird kein Geheimnis übertragen. Selbst wenn Hacker die Datenbank des Anbieters stehlen, finden sie nur öffentliche Schlüssel, mit denen sie nichts anfangen können. Und weil jeder Passkey fest an die Domain gebunden ist (etwa paypal.com), bietet dein Gerät ihn auf einer nachgebauten Phishing-Seite gar nicht erst an.
Passkey vs. Passwort vs. Zwei-Faktor-Code
| Passwort | Passwort + SMS/App-Code | Passkey | |
|---|---|---|---|
| Muss gemerkt werden | Ja | Ja | Nein |
| Schutz bei Server-Leak | Gering | Mittel | Hoch |
| Schutz vor Phishing | Keiner | Teilweise (Codes können mit abgefischt werden) | Hoch |
| Login-Aufwand | Tippen | Tippen + Code | Finger oder Gesicht |
| Wiederverwendbar auf anderen Seiten | Leider ja | Leider ja | Nein, pro Dienst einzeln |
Ein Standard für viele Dienste
Digitale Dienste sind längst nicht mehr auf einzelne Plattformen oder Länder beschränkt. Wer morgens Mails bei GMX liest, mittags bei Amazon bestellt und abends Spiele über einen internationalen Launcher startet, hat es mit Dutzenden unterschiedlichen Login-Regeln zu tun. Nutzer greifen nicht nur auf lokale Dienste zu, sondern auch auf Plattformen, die außerhalb nationaler Regulierungen betrieben werden, wie zum Beispiel Portale ohne deutsche Lizenz . Gerade bei solchen internationalen Angeboten ist es wichtig, dass der Login überall nach demselben sicheren Prinzip funktioniert und nicht jeder Anbieter eigene Passwortregeln erfindet. Unabhängig vom Login solltest du bei jedem Dienst selbst prüfen, wer ihn betreibt und welchem Recht er unterliegt.
Passkeys bieten genau diese Einheitlichkeit: Der Ablauf ist bei Google, Microsoft, Apple, PayPal, Amazon, GitHub oder inzwischen auch bei WEB.DE und GMX im Kern derselbe. Microsoft legt neue Privatkonten seit 2025 standardmäßig passwortlos an und setzt dabei auf Passkeys.
Passkey einrichten: Schritt für Schritt
- Gerät vorbereiten: Bildschirmsperre mit PIN und am besten Fingerabdruck oder Gesichtserkennung aktivieren. Ohne Gerätesperre gibt es keine Passkeys.
- Speicherort festlegen: iPhone/Mac nutzen den iCloud-Schlüsselbund bzw. die App „Passwörter“, Android den Google Passwortmanager. Alternativ wählst du einen plattformübergreifenden Manager wie 1Password oder Bitwarden.
- Im Konto die Option suchen: meist unter „Sicherheit“, „Anmeldung“ oder „Passkeys“. Viele Dienste bieten es nach dem nächsten Login auch direkt an.
- Passkey erstellen antippen und mit Finger, Gesicht oder PIN bestätigen.
- Testen: Einmal abmelden und per Passkey neu anmelden.
- Alten Weg absichern: Solange dein Konto zusätzlich ein Passwort hat, sollte es einzigartig und lang sein, idealerweise mit Zwei-Faktor-Schutz.
Am PC ohne Fingerabdrucksensor kannst du dich per Smartphone anmelden: Der Browser zeigt einen QR-Code, du scannst ihn mit dem Handy und bestätigst dort. Die Verbindung wird per Bluetooth geprüft, damit das Handy tatsächlich in der Nähe ist.
Was passiert, wenn das Handy weg ist?
Gestohlenes Gerät: Der Dieb kann deine Passkeys nicht nutzen, solange er das Gerät nicht entsperren kann. Fingerabdruck, Gesicht oder PIN sind die Hürde, genau wie beim Entsperren des Handys selbst. Deshalb: keine einfache PIN wie 000000 verwenden.
Neues Gerät: Synchronisierte Passkeys kommen zurück, sobald du dich mit demselben Konto anmeldest. Das neue Gerät muss dabei verifiziert werden:
- Apple: Der iCloud-Schlüsselbund ist Ende-zu-Ende-verschlüsselt. Für die Wiederherstellung brauchst du in der Regel den Code eines bisherigen Geräts, einen Wiederherstellungskontakt oder einen Wiederherstellungsschlüssel.
- Google: Der Google Passwortmanager schützt Passkeys mit einer eigenen PIN bzw. der Displaysperre eines früheren Android-Geräts.
- Passwortmanager wie 1Password oder Bitwarden: Hier hängt alles an deinem Master-Passwort bzw. deinen Notfall-Kits.
Hardware-Schlüssel (z. B. USB-Sicherheitsschlüssel) sind die Ausnahme: Passkeys darauf werden nicht synchronisiert. Wer so etwas nutzt, sollte einen zweiten Schlüssel als Reserve registrieren.
Tipp für Umsteiger: Seit iOS 26 kann die Passwörter-App Passkeys über das neue Austauschformat der FIDO Alliance sicher an andere Passwortmanager übergeben. Der Wechsel zwischen Ökosystemen wird damit deutlich leichter.
Warum viele trotzdem beim Passwort bleiben
- Gewohnheit: Das Passwort kennt jeder, der Begriff „Passkey“ klingt technisch.
- Parallelbetrieb: Die meisten Dienste lassen beides zu, also gibt es keinen Druck zum Umstieg.
- Angst vor Lock-in: Die Sorge, an Apple oder Google gebunden zu sein, war lange berechtigt, ist durch Export-Funktionen und unabhängige Manager aber kleiner geworden.
- Uneinheitliche Menüs: Jeder Dienst versteckt die Option woanders.
Oft braucht es erst einen Schockmoment, etwa ein gekapertes Konto nach einer Phishing-Mail, bis Menschen umsteigen. Einfacher ist es, jetzt mit den wichtigsten Konten anzufangen: E-Mail, Google/Apple/Microsoft, PayPal und Onlineshops. Wer den Arbeitslaptop mitbenutzt, sollte zusätzlich die Regeln der Firma kennen, siehe BYOD und Compliance.
FAQ
Speichert der Anbieter meinen Fingerabdruck?
Nein. Der Fingerabdruck oder das Gesicht entsperrt nur den Schlüssel auf deinem Gerät. Der Dienst erfährt davon nichts außer der gültigen Signatur.
Kann ich Passkeys auf mehreren Geräten nutzen?
Ja, wenn du sie über iCloud, Google Passwortmanager oder einen Passwortmanager synchronisierst. Auf fremden Geräten meldest du dich per QR-Code mit deinem Handy an.
Sind Passkeys sicherer als Zwei-Faktor-Authentifizierung?
Gegen Phishing ja, weil es keinen Code gibt, den man auf einer Fake-Seite eingeben könnte. Viele Dienste werten einen Passkey deshalb bereits als starke Anmeldung mit zwei Faktoren: Besitz des Geräts plus Biometrie bzw. PIN.
Was ist, wenn ein Dienst keine Passkeys anbietet?
Dann bleibt der beste Weg: ein langes, einzigartiges Passwort aus dem Passwortmanager plus Zwei-Faktor-Authentifizierung per App.
Machen Passkeys mich beim Surfen anonymer?
Nein. Sie schützen nur die Anmeldung. Was Websites, Netzbetreiber oder Werbenetzwerke über dein Surfverhalten erfahren, hängt von anderen Dingen ab, siehe Datenschutz im Inkognito-Modus.
Kann ich einen Passkey wieder löschen?
Ja, sowohl im Konto des Dienstes als auch in deinem Passwortmanager. Lösche ihn am besten an beiden Stellen, damit keine verwaisten Einträge übrig bleiben.
