Passkeys erklärt: der Login, der sich nicht phishen lässt

Passwörter haben einen eingebauten Fehler: Alles, was Sie tippen können, kann man Sie dazu verleiten, woanders zu tippen. Passkeys beheben das. Sie stecken bereits in iPhones, Android-Handys, Windows, Macs und jedem großen Browser — und für die meisten Menschen sind sie die größte heute verfügbare Sicherheitsverbesserung.

Was ein Passkey wirklich ist

Ein Passkey ist ein sicherer digitaler Schlüssel, der auf Ihrem Gerät gespeichert und per Gesicht, Fingerabdruck oder Bildschirm-PIN entsperrt wird. Beim Anmelden beweist Ihr Gerät der Website Ihre Identität, ohne je ein Geheimnis zu senden, das die Website — oder ein Beobachter — wiederverwenden könnte. Nichts zu merken, nichts zu tippen.

Warum Passkeys besser sind als Passwörter

• Sie lassen sich nicht phishen. Ein Passkey ist an die Adresse der echten Website gebunden. Auf einer nachgemachten Phishing-Seite funktioniert er schlicht nicht — es gibt kein Passwortfeld, das man versehentlich ausfüllen könnte.
• Sie lassen sich nicht wiederverwenden oder erraten. Jeder Passkey ist für eine Website einmalig, sodass das Leck eines Dienstes keinen anderen öffnen kann.
• Bei einem Leck gibt es nichts zu stehlen. Websites speichern nur die öffentliche Hälfte des Schlüssels, die allein nutzlos ist. Die geheime Hälfte verlässt nie Ihr Gerät.
• Sie sind schneller. Ein Blick oder eine Berührung, und Sie sind drin — kein Tippen, keine Codes.

Wie es funktioniert, einfach erklärt

Wenn Sie einen Passkey erstellen, erzeugt Ihr Gerät ein zusammengehörendes Schlüsselpaar. Der öffentliche Schlüssel geht an die Website; der private Schlüssel bleibt auf Ihrem Gerät gesperrt und verlässt es nie. Zum Anmelden sendet die Website eine Aufgabe, Ihr Gerät beantwortet sie mit dem privaten Schlüssel (nachdem Sie per Gesicht, Fingerabdruck oder PIN entsperrt haben), und die Website prüft die Antwort gegen den öffentlichen Schlüssel. Das Geheimnis wird nie übertragen — es gibt also nichts abzufangen oder Ihnen zu entlocken.

Ihren ersten Passkey einrichten

Wählen Sie ein wichtiges Konto, das bereits Passkeys anbietet — Ihr E-Mail-, Google-, Microsoft- oder Apple-Konto ist ein guter Anfang. Suchen Sie in dessen Sicherheitseinstellungen nach „Passkeys" oder „Mit einem Passkey anmelden" und folgen Sie der Aufforderung. Die Einrichtung dauert Sekunden:

• iPhone/iPad: Passkeys werden in Ihrem iCloud-Schlüsselbund gespeichert und automatisch zwischen Ihren Apple-Geräten synchronisiert.
• Android: Passkeys werden in Ihrem Google Passwortmanager gespeichert und zwischen Ihren Android-Geräten synchronisiert.
• Windows: Passkeys lassen sich mit Windows Hello (Gesicht, Fingerabdruck oder PIN) auf Ihrem PC speichern.
• Ein Passwort-Manager: Viele Passwort-Manager speichern inzwischen auch Passkeys und synchronisieren sie über Handys, Tablets und Computer hinweg, markenunabhängig.

Unsicher, wo Sie sie aufbewahren sollen? In unserem Verzeichnis der Zwei-Faktor- und Passkey-Tools finden Sie vertrauenswürdige Optionen.

Was passiert, wenn Sie Ihr Gerät verlieren?

Das ist die Frage, die alle stellen — und die Antwort beruhigt. Passkeys sind auf Wiederherstellbarkeit ausgelegt:

• Synchronisieren sie über iCloud, Google oder einen Passwort-Manager, werden sie beim Anmelden auf Ihrem neuen Gerät automatisch wiederhergestellt.
• Die meisten Konten erlauben mehr als einen Passkey — fügen Sie einen auf dem Handy und einen auf dem Laptop hinzu, damit der Verlust eines Geräts Sie nicht aussperrt.
• Dienste behalten eine Ersatz-Anmeldemethode (und Wiederherstellungscodes) für den Notfall.

Bewahren Sie die Wiederherstellungscodes Ihres Kontos offline an einem sicheren Ort auf, und Sie haben ein verlässliches Sicherheitsnetz.

Häufige Sorgen, beantwortet

Bekommt die Website meinen Fingerabdruck oder mein Gesicht? Nein. Ihre Biometrie verlässt nie Ihr Gerät; sie entsperrt den Schlüssel nur lokal. Die Website sieht immer nur die kryptografische Antwort.

Kann ich trotzdem ein Passwort nutzen? Meist ja — die meisten Websites behalten das Passwort als Rückfallebene, während Passkeys ausgerollt werden. Wenn Sie sich sicher fühlen, können Sie oft die schwächeren Optionen entfernen.

Was, wenn ich den Computer einer anderen Person nutze? Sie können sich anmelden, indem Sie mit Ihrem Handy, das den Passkey hält, einen QR-Code scannen. Das Handy genehmigt die Anmeldung; der geliehene Computer erhält den Schlüssel nie.

Sind Passkeys dasselbe wie ein Passwort-Manager? Nicht ganz — aber sie arbeiten wunderbar zusammen. Ein Passwort-Manager kann Ihre Passkeys speichern und synchronisieren und gibt Ihren Anmeldungen ein sicheres Zuhause.

Passkeys vs. Authenticator-Apps vs. Hardware-Schlüssel

• Passkeys ersetzen das Passwort vollständig und widerstehen Phishing von Natur aus. Beste Voreinstellung für die meisten Konten.
• Authenticator-Apps (die 6-stelligen Codes) sind ein starker zweiter Faktor zusätzlich zum Passwort — besser als SMS, doch der Code kann noch gephisht werden, wenn Sie ihn auf einer gefälschten Seite eintippen.
• Hardware-Sicherheitsschlüssel (wie ein YubiKey) sind eine physische Form derselben phishing-resistenten Technik — hervorragend für Hochrisiko-Konten.

Womit Sie heute beginnen

Fügen Sie zuerst Ihrem Haupt-E-Mail-Konto einen Passkey hinzu — es ist das Konto, das alle anderen schützt. Fügen Sie dann Passkeys zu Ihren wertvollsten Anmeldungen hinzu, sobald der jeweilige Dienst sie anbietet. Sie müssen nicht alles auf einmal umstellen; jeder Passkey, den Sie hinzufügen, ist eine weitere Anmeldung, die sich nicht phishen lässt. Für einen umfassenderen Plan gegen moderne, KI-gestützte Angriffe lesen Sie unseren Leitfaden, wie Sie Ihre Konten vor KI-gesteuerten Cyberangriffen schützen.