Was ist ein Passkey? Anmelden ohne Passwort einfach erklärt

Inhalt

Kurzantwort: Ein Passkey ist ein Anmeldeverfahren, das das Passwort ersetzt. Statt eines Geheimworts, das du dir merken und eintippen musst, erzeugt dein Gerät ein Schlüsselpaar: Der private Schlüssel bleibt auf dem Gerät, der öffentliche liegt beim Onlinedienst. Beim Anmelden bestätigst du mit Fingerabdruck, Gesichtsscan oder Geräte-PIN. Passkeys beruhen laut BSI auf dem offenen Standard FIDO2 und funktionieren auf Phishing-Seiten nicht, weil das Gerät die echte Adresse des Dienstes prüft.

„Passkey einrichten?“ fragt inzwischen fast jeder große Dienst nach dem Login, von Google über PayPal bis Amazon. Viele klicken weg, weil unklar ist, was dann passiert und ob man das Passwort noch braucht. Dabei ist der Passkey der erste ernsthafte Versuch, das Passwort abzuschaffen, und er wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) empfohlen.

Hier liest du, was ein Passkey ist, wie er technisch funktioniert, warum er Phishing aushebelt, wo er gespeichert wird, was bei Verlust des Geräts passiert und wie verbreitet die Technik ist.

Die Definition

Die FIDO Alliance, das Industriebündnis hinter dem Standard, definiert einen Passkey als Anmeldeinformation auf Basis der FIDO-Standards, die auf dem Smartphone, dem Computer oder einem Hardware-Sicherheitsschlüssel gespeichert wird. Das BSI beschreibt Passkeys als offene, herstellerunabhängige Möglichkeit, sich ohne Passwort anzumelden.

Technisch ist ein Passkey ein kryptografisches Schlüsselpaar. Der private Schlüssel ist geheim und verlässt dein Gerät nie. Der öffentliche Schlüssel wird bei der Registrierung an den Dienst übertragen. Der Dienst kennt also kein Geheimnis von dir, das gestohlen werden könnte.

So funktioniert die Anmeldung

Das BSI erklärt den Ablauf über drei Beteiligte: die Relying Party, also die Website oder App, den Client, meist der Browser oder das Betriebssystem, und den Authentikator, der die Schlüssel erzeugt und verwahrt. Der Authentikator kann ein Hardware-Token sein oder ein Teil des Betriebssystems auf Smartphone, Tablet oder PC.

Registrierung

Du wählst in den Kontoeinstellungen „Passkey erstellen“. Dein Gerät erzeugt ein neues Schlüsselpaar, das nur für diesen Dienst und dieses Konto gilt. Der öffentliche Schlüssel geht an den Dienst, der private bleibt im geschützten Speicher des Geräts.

Anmeldung

Der Dienst schickt eine Challenge, laut BSI im Kern eine große Zufallszahl. Dein Gerät fragt dich nach Fingerabdruck, Gesicht oder PIN, signiert die Zufallszahl mit dem privaten Schlüssel und schickt die Signatur zurück. Der Dienst prüft sie mit dem öffentlichen Schlüssel. Passt es, bist du drin. Das Ganze dauert wenige Sekunden, und du tippst nichts ein.

Der Fingerabdruck oder die PIN wird dabei nur deinem Gerät gezeigt, nie dem Dienst. Damit hat die Anmeldung laut BSI zwei Faktoren: Besitz des Schlüssels und Wissen oder Biometrie zum Entsperren.

Warum Passkeys Phishing aushebeln

Beim klassischen Phishing lockt eine gefälschte Seite dich dazu, dein Passwort einzutippen. Das funktioniert, weil du das Geheimnis kennst und es weitergeben kannst. Bei Passkeys gibt es kein Geheimnis zum Weitergeben.

Dazu kommt die Domainprüfung. Das BSI beschreibt, dass der Client bei jeder Registrierung und jeder Anmeldung prüft, ob die Website tatsächlich die ist, für die sie sich ausgibt. Ein Passkey, der für paypal.com erstellt wurde, antwortet auf einer Seite namens paypa1-login.net schlicht nicht. Der Nutzer kann den Fehler gar nicht machen.

Auch Datenlecks beim Anbieter verlieren ihren Schrecken. Wird die Datenbank eines Dienstes gestohlen, erbeuten die Angreifer nur öffentliche Schlüssel, mit denen sie sich nirgends anmelden können.

Wo der Passkey gespeichert wird

Laut BSI gibt es drei Orte:

Auf dem Gerät selbst: im geschützten Speicher von Smartphone oder Computer.
In der Cloud synchronisiert: über Passwortmanager wie den iCloud-Schlüsselbund, den Google Passwortmanager oder Anbieter wie 1Password. Die FIDO Alliance nennt diese Variante synced passkeys. Der Passkey steht dann auf allen deinen Geräten zur Verfügung.
Auf einem FIDO2-Sicherheitsschlüssel: einem USB- oder NFC-Stick. Diese Passkeys sind an das Stück Hardware gebunden und werden nie synchronisiert.

Für jede Website und jedes Konto entsteht ein eigenes Schlüsselpaar. Das BSI nennt das einen echten Mehrwert für Sicherheit und Datenschutz: Dienste können dich nicht über einen gemeinsamen Schlüssel wiedererkennen.

Was bei Verlust des Geräts passiert

Das ist die häufigste Sorge, und das BSI beantwortet sie direkt: Ist das Gerät verloren oder gestohlen, lassen sich die Zugänge wiederherstellen, wenn entweder lokale Backups existieren oder die Passkeys in einer Cloud synchronisiert werden. Wer Passkeys nur auf einem Gerät ohne Synchronisation speichert, sollte deshalb einen zweiten Anmeldeweg behalten, etwa einen zweiten Passkey auf einem anderen Gerät.

Ein Finder oder Dieb kann mit dem Gerät allein nichts anfangen. Der Passkey wird erst nach Fingerabdruck, Gesicht oder PIN freigegeben.

Wie verbreitet Passkeys sind

Der Standard dahinter heißt FIDO2. Er wurde laut BSI gemeinsam von der FIDO Alliance und dem World Wide Web Consortium entwickelt und besteht aus WebAuthn, der Schnittstelle im Browser, und CTAP, dem Protokoll zwischen Gerät und Authentikator. Der Begriff Passkey kam laut englischer Wikipedia 2022 auf, als Apple die Unterstützung für iOS und macOS ankündigte. Google folgte im Oktober 2022 für Android und Chrome, Microsoft im September 2023 für Windows 11.

Alle großen Betriebssysteme und Browser unterstützen Passkeys heute. Welche Dienste sie anbieten, listet laut BSI das Verzeichnis passkeys.directory. In einer Umfrage der FIDO Alliance von 2024 gaben 53 Prozent der Befragten an, auf mindestens einem Konto einen Passkey aktiviert zu haben, 22 Prozent auf jedem Konto, das es anbietet.

Häufige Fragen

Brauche ich mit Passkey noch ein Passwort?

Bei vielen Diensten bleibt das Passwort als Rückfallweg bestehen. Manche erlauben inzwischen, es ganz zu löschen. Das BSI hält Passkeys für geeignet, das Passwort zu ersetzen.

Sieht der Dienst meinen Fingerabdruck?

Nein. Biometrie oder PIN entsperren nur den Schlüssel auf deinem Gerät. Der Dienst bekommt eine Signatur, keine biometrischen Daten.

Funktioniert ein Passkey auf mehreren Geräten?

Ja, wenn er über einen Passwortmanager oder die Cloud synchronisiert wird. Ein Passkey auf einem Hardware-Schlüssel funktioniert nur mit diesem Schlüssel.

Was ist der Unterschied zwischen Passkey und Zwei-Faktor-Authentisierung?

Ein Passkey enthält bereits zwei Faktoren: Besitz des Geräts und Biometrie oder PIN. Er ersetzt damit Passwort plus SMS-Code in einem Schritt.

Kann ich einen Passkey löschen?

Ja, in den Kontoeinstellungen des Dienstes und im Passwortmanager deines Geräts.

Ist ein Passkey dasselbe wie ein FIDO2-Stick?

Der Stick ist ein Speicherort für Passkeys. Passkeys lassen sich auch ohne Stick direkt auf Smartphone oder Computer speichern.

Quellen

Das passt dazu

Drei Artikel, die dieselbe Frage von einer anderen Seite angehen:

Geschrieben von Jonas, Redaktion smarterklärt.de — er erklärt hier Begriffe und Zusammenhänge in einfacher Sprache.