Passwörter gehören seit Jahrzehnten zum Internet. Fast jeder Onlinedienst verlangt eine Kombination aus Benutzername und Kennwort, gleichzeitig sollen Passwörter möglichst lang, kompliziert und für jeden Dienst unterschiedlich sein. Was aus Sicherheitsgründen sinnvoll klingt, funktioniert im Alltag nur eingeschränkt. Viele Nutzer verwenden dieselben Kennwörter mehrfach, wählen leicht zu merkende Kombinationen oder verlassen sich vollständig auf einen Passwortmanager.
Das Ende der Passwörter
Mit Passkeys steht inzwischen eine Technik bereit, die dieses Grundproblem anders löst. Statt einen geheimen Text zu kennen und an eine Website zu übermitteln, weist der Nutzer mit einem kryptografischen Schlüssel nach, dass er tatsächlich Zugriff auf das richtige Gerät beziehungsweise den dort gespeicherten Zugang besitzt. Fingerabdruck, Gesichtserkennung oder Geräte-PIN übernehmen dabei lediglich die Freigabe. Das eigentliche Geheimnis wird nicht mehr eingetippt.
Ein Passkey ist kein besonders kompliziertes Passwort
Der Name kann zunächst den Eindruck vermitteln, Passkeys seien lediglich eine neue Form besonders sicherer Passwörter. Technisch unterscheiden sich beide Verfahren jedoch grundlegend.
Bei einem klassischen Passwort kennen Nutzer und Anbieter im Prinzip dasselbe Geheimnis. Das Kennwort wird vom Nutzer eingegeben und der Server muss anschließend überprüfen können, ob es korrekt ist. Zwar speichern seriöse Anbieter Passwörter nicht einfach als lesbaren Text, trotzdem entsteht ein grundsätzliches Problem: Der Nutzer muss etwas Geheimes übermitteln.
Passkeys arbeiten dagegen mit einem Schlüsselpaar. Ein Teil davon darf öffentlich sein und wird beim jeweiligen Anbieter hinterlegt. Der zweite Teil bleibt geheim und befindet sich auf dem Gerät des Nutzers beziehungsweise in dessen sicherem Passwort- oder Zugangsdaten-Speicher.
Öffentlicher und privater Schlüssel arbeiten zusammen
Bei der Einrichtung eines Passkeys erzeugt das Gerät zwei mathematisch miteinander verbundene Schlüssel. Der öffentliche Schlüssel wird der Website oder App mitgeteilt. Der private Schlüssel bleibt beim Nutzer.
Will sich der Nutzer später anmelden, sendet der Dienst eine kryptografische Anfrage an das Gerät. Dieses beantwortet sie mithilfe des privaten Schlüssels. Der Server kann anschließend anhand des öffentlichen Schlüssels prüfen, ob die Antwort korrekt ist.
Der entscheidende Punkt dabei: Der private Schlüssel selbst muss den Computer oder das Smartphone nicht verlassen. Es gibt daher kein gemeinsames Geheimnis, das während der Anmeldung an den Anbieter geschickt werden muss.
Face ID und Fingerabdruck sind nicht der Passkey
Bei der Anmeldung sieht das Verfahren für Nutzer erheblich einfacher aus als die Technik dahinter. Auf dem Smartphone erscheint beispielsweise die Aufforderung, sich per Fingerabdruck oder Gesichtserkennung zu bestätigen. Unter Windows kann Windows Hello zum Einsatz kommen, auf einem Smartphone der normale Sperrcode.
Dadurch entsteht leicht der Eindruck, der Fingerabdruck ersetze das Passwort. Tatsächlich dient die Biometrie jedoch in erster Linie dazu, den auf dem Gerät gespeicherten kryptografischen Schlüssel freizugeben.
Die Website bekommt den Fingerabdruck nicht zu sehen. Auch ein Gesichtsscan wird nicht an den jeweiligen Onlinedienst übertragen. Das Gerät bestätigt lediglich lokal, dass die Person vor dem Bildschirm den Passkey verwenden darf.
Phishing verliert einen seiner wichtigsten Angriffspunkte
Eine der größten Stärken von Passkeys zeigt sich bei gefälschten Websites. Klassische Phishing-Angriffe versuchen häufig, einen Nutzer auf eine täuschend echt aussehende Kopie einer bekannten Anmeldeseite zu locken.
Gibt der Nutzer dort Benutzername und Passwort ein, kann der Angreifer diese Daten übernehmen und anschließend auf der echten Website verwenden. Selbst sehr aufmerksame Nutzer können auf gut gemachte Fälschungen hereinfallen.
Bei einem Passkey ist der kryptografische Zugang an den jeweiligen Dienst beziehungsweise dessen Domain gebunden. Eine Phishing-Seite kann den Passkey für die echte Website deshalb nicht einfach abfragen und anschließend wiederverwenden.
Es gibt kein Passwort mehr, das gestohlen werden kann
Datenlecks bei großen Plattformen gehören seit Jahren zu den größten Gefahren für klassische Zugangsdaten. Werden Passwortdatenbanken entwendet, versuchen Angreifer, aus den gespeicherten Prüfdaten die ursprünglichen Kennwörter zu ermitteln.
Besonders gefährlich wird dies, wenn Menschen ein Passwort für mehrere Dienste verwenden. Wird beispielsweise das Kennwort eines kleineren Onlineshops bekannt, probieren automatisierte Systeme dieselbe Kombination anschließend bei Maildiensten, sozialen Netzwerken oder anderen Plattformen aus.
Bei Passkeys funktioniert dieser Angriff nicht auf dieselbe Weise. Jeder Zugang besitzt sein eigenes Schlüsselpaar. Der öffentliche Schlüssel eines Dienstes ist zudem kein Geheimnis und reicht alleine nicht aus, um sich anzumelden.
Wiederverwendete Passwörter verlieren ihre Bedeutung
Die Forderung, für jede Website ein eigenes Passwort zu verwenden, ist sinnvoll, aber für Menschen kaum praktikabel. Wer Dutzende oder sogar Hunderte Konten besitzt, kann sich nicht für jeden Dienst ein langes zufälliges Kennwort merken.
Passwortmanager lösen dieses Problem teilweise. Sie erzeugen lange zufällige Kennwörter und speichern sie verschlüsselt. Passkeys gehen noch einen Schritt weiter, weil der Nutzer überhaupt kein Passwort mehr kennen muss.
Jeder Dienst erhält automatisch einen eigenen kryptografischen Zugang. Ein versehentliches Wiederverwenden desselben Geheimnisses auf mehreren Websites ist damit ausgeschlossen.
Die Anmeldung wird gleichzeitig einfacher
Mehr Sicherheit führt bei vielen technischen Verfahren zu zusätzlichem Aufwand. Passkeys versuchen genau diesen Gegensatz zu vermeiden.
Statt ein langes Kennwort einzutippen, reicht häufig die gleiche Bewegung, mit der das Smartphone ohnehin entsperrt wird. Ein Finger wird auf den Sensor gelegt, das Gesicht erkannt oder die Geräte-PIN eingegeben.
Gerade auf Smartphones ist dieser Unterschied erheblich. Komplizierte Passwörter über eine kleine Bildschirmtastatur einzugeben, ist langsam und fehleranfällig. Ein Passkey kann die Anmeldung dagegen innerhalb weniger Sekunden abschließen.
Passkeys können zwischen Geräten synchronisiert werden
Ein Zugang wäre im Alltag wenig praktisch, wenn er ausschließlich auf einem einzelnen Smartphone gespeichert wäre. Deshalb können moderne Systeme Passkeys über ihre jeweiligen Zugangsdaten- und Passwortdienste synchronisieren.
Wer mehrere Geräte innerhalb eines Ökosystems verwendet, kann einen einmal eingerichteten Passkey dadurch häufig auch auf einem zweiten Smartphone, Tablet oder Computer nutzen. Voraussetzung ist, dass die entsprechenden Geräte mit dem gleichen Konto verbunden und die notwendigen Synchronisierungsfunktionen aktiviert sind.
Dabei werden die Passkeys nicht einfach als offen lesbare Datei in einer Cloud abgelegt. Die Anbieter verwenden geschützte beziehungsweise verschlüsselte Verfahren zur Speicherung und Synchronisierung.
Auch der Wechsel zwischen verschiedenen Geräten ist vorgesehen
Nicht jeder besitzt ausschließlich Geräte eines Herstellers. Ein Nutzer kann beispielsweise ein Android-Smartphone, einen Windows-PC und ein Tablet eines anderen Herstellers verwenden.
Passkeys wurden deshalb nicht als proprietäre Lösung eines einzelnen Unternehmens entwickelt. Die Technik basiert auf gemeinsamen Standards und wird von den großen Betriebssystem- und Browserherstellern unterstützt.
In bestimmten Situationen kann beispielsweise das Smartphone genutzt werden, um eine Anmeldung an einem fremden oder nicht synchronisierten Computer zu bestätigen. Häufig erscheint dazu ein QR-Code, der mit dem Smartphone gescannt wird. Anschließend erfolgt die eigentliche Freigabe auf dem mobilen Gerät.
Das Smartphone wird zum digitalen Schlüsselbund
Mit Passkeys verändert sich die Rolle des Smartphones bei der Anmeldung. Bereits heute dient es häufig zur Zwei-Faktor-Authentifizierung, empfängt Bestätigungscodes oder erzeugt Einmalpasswörter.
Bei Passkeys kann es selbst zum zentralen Schlüssel für zahlreiche Onlinekonten werden. Das klingt zunächst riskant, weil ein verlorenes Smartphone damit besonders wichtig erscheint.
Allerdings sind Passkeys auf dem Gerät durch dessen eigene Sicherheitsmechanismen geschützt. Wer ein gesperrtes Smartphone findet, kann nicht automatisch sämtliche darin gespeicherten Passkeys benutzen. Zunächst muss die Gerätesperre überwunden werden.
Der Geräte-PIN bekommt mehr Bedeutung
Bei biometrischer Anmeldung wird leicht übersehen, dass Gesichtserkennung und Fingerabdruck normalerweise durch einen Gerätecode ergänzt werden. Dieser Code dient als alternative Möglichkeit, das Gerät und damit unter Umständen auch gespeicherte Zugangsdaten freizugeben.
Ein schwacher Geräte-PIN wird deshalb nicht automatisch unwichtig, nur weil Passkeys verwendet werden. Ein Code wie 1234 oder eine leicht erratbare Zahlenfolge bleibt eine schlechte Wahl.
Passkeys beseitigen viele Probleme klassischer Passwörter, machen aber die grundlegende Absicherung des Smartphones oder Computers nicht überflüssig.
Was passiert bei einem verlorenen Smartphone?
Der Verlust eines Geräts gehört zu den häufigsten Bedenken gegenüber Passkeys. Würde ein Passkey tatsächlich ausschließlich lokal auf einem einzigen Gerät existieren, könnte der Zugang zu einem Konto problematisch werden.
Synchronisierte Passkeys können jedoch auf weiteren Geräten verfügbar sein. Besitzt ein Nutzer beispielsweise noch einen Computer oder ein Tablet, kann der Zugang dort weiterhin vorhanden sein.
Zusätzlich bieten viele Onlinedienste weiterhin alternative Wiederherstellungsverfahren an. Je nach Anbieter können dies ein weiteres registriertes Gerät, Wiederherstellungscodes oder andere Formen der Kontowiederherstellung sein.
Ein neues Smartphone muss nicht zum Problem werden
Beim Wechsel eines Smartphones sind Nutzer bereits daran gewöhnt, Kontakte, Fotos und Apps auf das neue Gerät zu übertragen. Auch Passkeys können Bestandteil solcher synchronisierten Zugangsdaten sein.
Wer denselben Passwort- beziehungsweise Zugangsdaten-Dienst weiterverwendet, muss daher nicht zwangsläufig jeden Passkey neu anlegen. Die konkrete Vorgehensweise hängt allerdings vom verwendeten Betriebssystem und der gewählten Passwortverwaltung ab.
Gerade vor dem Verkauf oder Zurücksetzen eines alten Smartphones sollte geprüft werden, ob der Zugriff auf wichtige Konten über das neue Gerät tatsächlich funktioniert.
Passwortmanager verschwinden deshalb nicht
Passkeys machen Passwortmanager nicht automatisch überflüssig. Im Gegenteil: Viele Passwortmanager entwickeln sich zunehmend zu allgemeinen Verwaltern digitaler Zugangsdaten.
Neben klassischen Kennwörtern können sie Passkeys, Einmalcodes und andere Anmeldeinformationen verwalten. Für Nutzer entsteht dadurch eine Übergangsphase, in der Passwörter und Passkeys nebeneinander existieren.
Das dürfte noch längere Zeit notwendig bleiben. Nicht jede Website und nicht jede ältere Anwendung unterstützt bereits eine Anmeldung ohne Passwort.
Zwei-Faktor-Authentifizierung verändert sich
Bei einem klassischen Benutzerkonto besteht eine sichere Anmeldung häufig aus zwei Schritten. Zuerst wird das Passwort eingegeben, anschließend folgt ein zusätzlicher Faktor, beispielsweise ein Code aus einer Authenticator-App.
Passkeys kombinieren mehrere Sicherheitsaspekte bereits in einem Verfahren. Der Nutzer benötigt den kryptografischen Schlüssel und muss dessen Verwendung auf einem Gerät freigeben.
Das bedeutet jedoch nicht, dass zusätzliche Sicherheitsprüfungen grundsätzlich verschwinden. Anbieter können weiterhin weitere Kontrollen durchführen, beispielsweise bei ungewöhnlichen Anmeldeversuchen oder besonders sensiblen Aktionen.
SMS-Codes bleiben die schwächere Lösung
Viele Dienste verwenden für die Zwei-Faktor-Authentifizierung noch immer SMS. Das ist besser als ein ausschließlich durch Passwort geschütztes Konto, besitzt aber bekannte Nachteile.
Telefonnummern können übernommen, Nachrichten umgeleitet oder Nutzer zur Weitergabe eines Codes verleitet werden. Auch Phishing-Websites können einen SMS-Code unmittelbar nach der Eingabe weiterverwenden.
Bei Passkeys existiert kein solcher sechsstelliger Code, den ein Nutzer versehentlich an einen Angreifer weitergeben kann. Das macht das Verfahren insbesondere gegen automatisierte Phishing-Angriffe interessant.
Passkeys schützen nicht vor jedem Angriff
Trotz der erheblichen Sicherheitsvorteile sind Passkeys keine universelle Lösung für sämtliche Gefahren im Internet.
Ist ein Gerät vollständig kompromittiert, kann auch der Schutz darauf gespeicherter Zugangsdaten beeinträchtigt werden. Schadsoftware, manipulierte Betriebssysteme oder ein Angreifer mit vollständigem Zugriff auf ein entsperrtes Gerät bleiben ein Sicherheitsrisiko.
Auch Betrug verschwindet nicht. Ein Angreifer kann weiterhin versuchen, Nutzer zu Manipulationen zu bewegen, Zahlungen zu erschleichen oder Kontowiederherstellungsverfahren auszunutzen.
Social Engineering bleibt weiterhin möglich
Passkeys verhindern, dass ein Nutzer sein Passwort auf einer falschen Website eingibt. Sie verhindern jedoch nicht, dass jemand am Telefon glaubhaft behauptet, Mitarbeiter einer Bank oder eines Onlinedienstes zu sein.
Angreifer passen ihre Methoden an technische Schutzmaßnahmen an. Je schwieriger es wird, Zugangsdaten direkt zu stehlen, desto häufiger versuchen sie, den Nutzer zu einer Handlung auf seinem eigenen Gerät zu bewegen.
Eine unerwartete Aufforderung, eine Anmeldung oder Transaktion zu bestätigen, sollte deshalb auch bei Verwendung von Passkeys kritisch geprüft werden.
Unternehmen müssen ihre Wiederherstellung absichern
Die stärkste Anmeldetechnik hilft wenig, wenn das Kontowiederherstellungsverfahren deutlich schwächer geschützt ist. Ein Angreifer könnte sonst versuchen, den Passkey vollständig zu umgehen und sich über die Funktion „Zugang verloren“ einen neuen Zugang zu verschaffen.
Für Anbieter wird deshalb nicht nur die Einführung von Passkeys wichtig. Auch Supportprozesse, Identitätsprüfungen und Wiederherstellungsverfahren müssen mit dem Sicherheitsniveau der eigentlichen Anmeldung Schritt halten.
Gerade bei besonders wertvollen Konten kann sich die Schwachstelle dadurch vom Passwort auf den Kundendienst oder andere Wiederherstellungsmechanismen verlagern.
Nicht jede Website unterstützt Passkeys
Der größte praktische Nachteil liegt derzeit weniger in der Technik als in ihrer Verbreitung. Viele große Anbieter unterstützen Passkeys bereits, bei kleineren Websites und älteren Systemen bleibt das klassische Passwort dagegen weiterhin notwendig.
Für Nutzer bedeutet das eine Übergangszeit. Manche Konten können vollständig ohne Passwort verwendet werden, andere bieten einen Passkey lediglich zusätzlich zum bestehenden Kennwort an und bei weiteren Diensten existiert die Funktion überhaupt nicht.
Ein vollständiger Verzicht auf Passwortmanager oder sichere Kennwörter ist deshalb noch nicht realistisch.
Mehrere Anmeldeoptionen können zunächst verwirren
Auch die Benutzeroberflächen sind noch nicht überall einheitlich. Je nach Browser, Betriebssystem und Website erscheinen Begriffe wie Passkey, Sicherheitsschlüssel oder andere Anmeldeoptionen.
Zusätzlich kann ein Gerät mehrere Orte anbieten, an denen ein Passkey gespeichert werden soll. Nutzer müssen dann entscheiden, ob der Zugang beispielsweise im Betriebssystem, in einem Passwortmanager oder auf einem externen Sicherheitsschlüssel abgelegt wird.
Mit zunehmender Verbreitung dürften diese Abläufe einheitlicher werden. Derzeit kann die erste Einrichtung jedoch ungewohnt wirken.
Physische Sicherheitsschlüssel bleiben interessant
Passkeys müssen nicht zwingend auf Smartphone oder Computer gespeichert werden. Auch spezielle Hardware-Sicherheitsschlüssel können für entsprechende Anmeldeverfahren verwendet werden.
Für durchschnittliche Privatanwender ist das meist nicht erforderlich. Personen mit besonders hohem Schutzbedarf können einen physischen Sicherheitsschlüssel jedoch als zusätzliche oder alternative Möglichkeit verwenden.
Der Vorteil liegt darin, dass sich der kryptografische Schlüssel auf einem separaten Gerät befindet, das nur bei Bedarf angeschlossen oder drahtlos verwendet wird.
Passwörter werden nicht plötzlich verschwinden
Obwohl Passkeys technisch viele Nachteile klassischer Kennwörter beseitigen, dürfte das Passwort noch lange Teil des Internets bleiben. Zu viele ältere Systeme, Geräte und Anwendungen beruhen weiterhin darauf.
Auch die Migration bestehender Konten benötigt Zeit. Anbieter müssen Passkey-Unterstützung implementieren und Nutzer ihre Konten entsprechend umstellen.
Der Übergang wird deshalb wahrscheinlich schrittweise erfolgen. Neue Geräte und große Plattformen machen Passkeys zunehmend sichtbar, während klassische Passwörter parallel weiterbestehen.
Passkeys sollten genutzt werden, wenn sie angeboten werden
Für Nutzer spricht wenig dagegen, einen Passkey zusätzlich einzurichten, wenn ein wichtiger Dienst diese Möglichkeit anbietet. Besonders sinnvoll ist das bei Konten, die bislang lediglich mit Passwort und vielleicht einem SMS-Code geschützt sind.
Vorher sollte allerdings sichergestellt werden, dass das Smartphone oder der Computer selbst vernünftig abgesichert ist und eine zuverlässige Möglichkeit zur Kontowiederherstellung existiert.
Wer mehrere Geräte verwendet, sollte außerdem verstehen, wo die eigenen Passkeys gespeichert und wie sie synchronisiert werden.
Ein fundamentaler Wechsel bei der Anmeldung
Der entscheidende Fortschritt von Passkeys besteht nicht darin, dass Kennwörter komfortabler gespeichert werden. Die Technik entfernt das Passwort aus dem eigentlichen Anmeldevorgang.
Nutzer müssen kein gemeinsames Geheimnis mehr an eine Website übermitteln. Für jeden Dienst existiert ein eigener kryptografischer Zugang, der sich nicht einfach kopieren und bei einer anderen Website einsetzen lässt.
Damit lösen Passkeys gleich mehrere alte Probleme der Internetsicherheit: schwache Kennwörter, Passwortwiederverwendung, gestohlene Passwortdatenbanken und einen großen Teil klassischer Phishing-Angriffe.
Das Passwort verliert langsam seine wichtigste Aufgabe
Das Ende des Passworts wird nicht an einem bestimmten Tag stattfinden. Wahrscheinlicher ist ein schleichender Prozess. Immer mehr Dienste bieten Passkeys an, immer mehr Betriebssysteme verwalten sie automatisch und immer seltener muss ein Nutzer tatsächlich ein Kennwort eintippen.
Genau darin liegt die Stärke der Technik. Sicherheit verlangt nicht mehr zwangsläufig, sich noch kompliziertere Zeichenfolgen zu merken. Statt das Passwort immer weiter zu verbessern, wird es für viele Anmeldungen schlicht nicht mehr benötigt.
Passkeys gehören deshalb zu den wenigen Sicherheitsverbesserungen, die für Nutzer gleichzeitig einfacher und technisch robuster sein können. Bis das klassische Passwort vollständig verschwindet, wird noch Zeit vergehen. Seine jahrzehntelange Rolle als universeller Schlüssel zum Internet hat jedoch bereits begonnen, sich zu verändern.