Was ist ein Passkey? Die wichtigste Antwort in 30 Sekunden
Passkey-Authentifizierung ist eine moderne Login-Methode, die passwortlose Anmeldungen ermöglicht. Statt euch Buchstaben-Zahlen-Kombinationen zu merken, authentifiziert ihr euch mit biometrischen Daten wie Fingerabdruck, Gesichtserkennung oder einer PIN direkt auf eurem Gerät.
Die Technologie basiert auf dem FIDO2-Standard und nutzt kryptografische Schlüsselpaare: Ein privater Schlüssel bleibt sicher auf eurem Gerät gespeichert, während der öffentliche Schlüssel beim Dienst hinterlegt wird. Bei der Anmeldung beweist ihr durch eure Biometrie, dass ihr Zugriff auf den privaten Schlüssel habt – ohne dass dieser dem Online-Dienst offengelegt wird.
Das macht Passkeys besonders sicher: Sie sind phishing-resistent, da die Anmeldung an die echte Domain gebunden ist. Ein geleakter öffentlicher Schlüssel kann nicht allein zur Anmeldung verwendet werden. Und ihr müsst euch nichts mehr merken oder aufschreiben.
Wie funktioniert Passkey-Authentifizierung? Technik erklärt
Die Passkey-Technologie funktioniert nach dem Prinzip der asymmetrischen Verschlüsselung, auch Public-Key-Kryptografie genannt. Wenn ihr einen Passkey für einen Dienst erstellt – etwa für Google, Microsoft oder PayPal – generiert euer Gerät automatisch zwei zusammengehörige Schlüssel.
Der private Schlüssel bleibt in einem besonders geschützten Bereich eures Smartphones, Tablets oder Computers gespeichert. Bei iPhones und iPads ist das die Secure Enclave, bei Android-Geräten werden entsprechende Hardware-Sicherheitsmodule genutzt, sofern verfügbar. Der private Schlüssel wird dem Online-Dienst nicht offengelegt.
Der öffentliche Schlüssel hingegen wird beim Online-Dienst hinterlegt. Er ist quasi das Gegenstück zum Schloss, während der private Schlüssel der einzige passende Schlüssel ist. Wichtig: Mit dem öffentlichen Schlüssel allein kann sich niemand einloggen – er dient nur zur Verifikation.
Beim Login-Vorgang passiert Folgendes: Der Dienst sendet eine Challenge, eine Art digitale Herausforderung, an euer Gerät. Euer Gerät fordert euch nun auf, euch zu authentifizieren – per Fingerabdruck, Gesichtserkennung (Face ID, Windows Hello) oder mit eurer Geräte-PIN.
Erst wenn ihr euch erfolgreich identifiziert habt, nutzt das Gerät den privaten Schlüssel, um die Challenge zu signieren. Diese Signatur wird zurück an den Dienst gesendet, der sie mit dem hinterlegten öffentlichen Schlüssel überprüft. Stimmt alles überein, seid ihr eingeloggt.
Das Besondere: Die biometrische Authentifizierung findet ausschließlich lokal auf eurem Gerät statt. Weder euer Fingerabdruck noch euer Gesichtsscan werden jemals ins Internet übertragen. Der Online-Dienst erfährt nur, dass ihr erfolgreich Zugriff auf den privaten Schlüssel erhalten habt – nicht wie.
Moderne Passkey-Implementierungen synchronisieren die Schlüssel zudem verschlüsselt über Cloud-Dienste wie iCloud-Schlüsselbund oder Google Password Manager. So könnt ihr euch auf mehreren Geräten mit demselben Passkey anmelden, ohne ihn neu erstellen zu müssen. Beachtet dabei: Einige Speicherorte wie Windows Hello speichern Passkeys nur lokal ohne Synchronisierung.
Warum Passkeys sicherer als Passwörter sind: 5 Vorteile
Im Alltag begegnen euch Passkeys bereits bei vielen großen Diensten. Google kündigte im Mai 2023 die Unterstützung von Passkeys für Google-Konten an. Apple hat Passkeys fest in iOS, iPadOS und macOS integriert. Auch weitere große Dienste bieten zunehmend Passkey-Unterstützung an, wobei die Verfügbarkeit vom jeweiligen Dienst, Konto und Land abhängen kann.
Die praktischen Vorteile sind enorm: Ihr müsst euch keine komplizierten Passwörter mehr ausdenken und merken. Kein „Passwort vergessen“ mehr, keine unsicheren Notizzettel. Der Login wird deutlich schneller – ein kurzer Blick ins Smartphone oder ein Fingerabdruck genügt. Die Verwaltung erfolgt dabei über integrierte Passwortmanager oder Plattformfunktionen eures Betriebssystems.
Besonders wichtig ist die Sicherheit: Phishing-Angriffe, bei denen Betrüger euch auf gefälschte Login-Seiten locken, funktionieren mit Passkeys nicht mehr. Selbst wenn ihr auf eine täuschend echte Fake-Seite gelangt, kann dort kein Login erfolgen – denn der Passkey ist an die echte Domain gebunden.
Auch bei Datenlecks bieten Passkeys Vorteile: Wenn Hacker in die Datenbank eines Dienstes einbrechen, finden sie nur öffentliche Schlüssel, die nicht allein zur Anmeldung verwendet werden können. Anders als bei Passwort-Datenbanken gibt es keine geheimen Zugangsdaten zu knacken.
Für Menschen mit eingeschränkter Mobilität oder Gedächtnisproblemen sind Passkeys eine echte Erleichterung. Die biometrische Authentifizierung ist oft einfacher zu handhaben als das Eintippen komplexer Passwörter auf kleinen Smartphone-Tastaturen.
Sind Passkeys wirklich sicher? Mythen und Fakten im Check
Ein verbreiteter Irrtum: „Passkeys sind dasselbe wie biometrische Authentifizierung.“ Tatsächlich ist die Biometrie nur ein Teil des Systems – sie entsperrt lediglich den Zugang zum privaten Schlüssel auf eurem Gerät. Die eigentliche Authentifizierung gegenüber dem Online-Dienst erfolgt kryptografisch.
Manche befürchten, dass ihre biometrischen Daten gespeichert oder übertragen werden. Das ist nicht der Fall: Fingerabdruck und Gesichtsdaten bleiben ausschließlich auf eurem Gerät in geschützten Hardware-Bereichen. Der Online-Dienst erfährt davon nichts.
Auch die Sorge „Was passiert, wenn ich mein Gerät verliere?“ lässt sich adressieren: Passkeys können über Cloud-Dienste synchronisiert werden, sodass ihr auf anderen Geräten weiterhin Zugriff habt. Zudem könnt ihr bei der Einrichtung meist mehrere Geräte als Passkey-Quelle hinterlegen oder Wiederherstellungsmechanismen festlegen. Beachtet jedoch, dass lokal gespeicherte Passkeys ohne Cloud-Synchronisierung bei Geräteverlust nicht wiederhergestellt werden können.
Passkeys sind nicht einfach identisch mit der Zwei-Faktor-Authentifizierung (2FA). Sie können passwortlos als mehrfaktorielle Authentifizierung dienen, aber auch als zweiter Faktor oder zusammen mit weiteren Authentifizierungsanforderungen eingesetzt werden – je nach Sicherheitsanforderungen des jeweiligen Dienstes.
Passkey einrichten: Anleitung für iPhone, Android & Windows
Die Passkey-Technologie basiert auf dem FIDO2-Standard, der von der FIDO Alliance entwickelt wurde – einem Zusammenschluss von Technologieunternehmen wie Apple, Google, Microsoft und vielen anderen. FIDO2 besteht aus der W3C-Spezifikation WebAuthn und dem Protokoll CTAP und ist vom World Wide Web Consortium (W3C) offiziell anerkannt.
Verwandte Konzepte sind Hardware-Sicherheitsschlüssel wie YubiKey oder Google Titan, die nach ähnlichen Prinzipien funktionieren. Sie eignen sich besonders für Nutzer, die maximale Sicherheit wünschen und bereit sind, einen physischen Schlüssel bei sich zu tragen.
Die Entwicklung geht weiter: Immer mehr Dienste und Plattformen implementieren Passkey-Unterstützung. Experten erwarten, dass passwortlose Anmeldungen in den nächsten Jahren deutlich zunehmen werden – zumindest bei großen Online-Diensten und modernen Anwendungen.
Wer tiefer einsteigen möchte, findet auf den Websites der FIDO Alliance und bei den Entwickler-Dokumentationen von Apple, Google und Microsoft ausführliche technische Informationen zur Implementierung und den Sicherheitsmechanismen.
