Passkeys: Die moderne Alternative zu Passwörtern

Schon bemerkt? Immer mehr Webseiten und Apps fragen Sie, ob Sie einen Passkey verwenden möchten. Nur: Was genau versteckt sich hinter diesem Begriff? Welche Vorteile haben Pass­keys? Und wie lassen sie sich einrichten und im Alltag nutzen? Hier erfahren Sie alles, was Sie schon immer über Pass­keys wissen wollten, aber bisher nicht zu fragen wagten.

Das Beste vorweg: Mit Pass­keys erhöhen Sie die Sicherheit Ihrer Online-Konten, müssen sich keine lästigen Pass­wörter mehr merken – und das Einrichten dauert nur 1 bis 2 Minuten.

Finger­abdruck als Beispiel

Zugunsten der Über­sicht­lich­keit gehen wir in diesem Text durch­gängig davon aus, dass Sie Ihre Pass­keys mit Hilfe Ihres Finger­abdrucks auf Ihrem Smartphone frei­geben. Sie können aber alternativ auch einen Laptop oder ein Tablet verwenden und die Pass­keys über Gesichts­erkennung oder eine Pin frei­schalten.

Alle Fragen im Überblick

Wie Pass­keys funk­tionieren und welche Vorteile sie bieten

Was sind Pass­keys?

Pass­keys sind eine Form der pass­wort­losen Anmeldung. Als Nutzerin oder Nutzer können Sie sich in Ihre Online-Konten einloggen, ohne ein Pass­wort eingeben zu müssen. Die Anmeldung läuft statt­dessen über ein tech­nisch an sich komplexes Verfahren, das sich aber sehr einfach bedienen lässt: Sie drücken einmal auf den Finger­abdruck­sensor Ihres Smartphones.

Sie brauchen sich also nicht mehr lauter verschiedene, möglichst komplexe Pass­wörter zu merken. Statt­dessen rufen Sie einfach die gewünschte Seite auf, geben Ihren Finger­abdruck ein – und fertig. Wichtig: Der Finger­abdruck ist nicht Ihr Passkey, er gibt den Passkey lediglich frei. Und die jeweilige Webseite erhält Ihren Finger­abdruck bei diesem Verfahren nicht.

Warum bieten Pass­keys mehr Sicherheit als Pass­wörter?

Pass­keys sind nicht nur bequemer, sondern auch sicherer als Pass­wörter: Der private Schlüssel bleibt auf Ihrem Handy und wird nicht beim Anbieter einer App oder Webseite gespeichert, bei der Sie sich anmelden. Er kann also bei Hacks oder Daten­lecks nicht gestohlen werden. Selbst wenn Kriminelle das Smartphone mit Ihren Pass­keys stehlen, nützt ihnen das in der Regel nichts, da sie ja noch Ihren Finger­abdruck oder Ihren Handy-Entsperr­code bräuchten. Anders als bei Pass­wörtern können Sie als Nutzerin oder Nutzer keinen zu einfachen Passkey wählen oder denselben Schlüssel bei mehreren Anbietern verwenden. Und da Sie sich nichts merken müssen, können Sie auch nichts vergessen.

Außerdem machen Pass­keys eine der häufigsten Angriffs­arten – das Phishing – nahezu unmöglich: Ehe Ihr Passkey im Hintergrund für eine Webseite freigegeben wird, prüft die Software erst, ob Sie auf der richtigen Seite sind. Wurden Sie auf eine gefälschte Seite gelockt, erkennt die Software das auto­matisch an der Adresse und weigert sich dann, Ihren Passkey frei­zugeben.

Tipp: Wie Sie sich vor Daten­diebstahl und Daten­verlust schützen, erklären wir ausführ­lich in unserem Buch Alle Daten sicher. Der Ratgeber der Stiftung Warentest hat 160 Seiten und ist für 19,90 Euro im test.de-Shop zu haben.

Wie funk­tioniert die Technik hinter Pass­keys?

Pass­keys sind wie Flugzeuge: tech­nisch sehr kompliziert, aber zum Glück funk­tionieren sie auch, wenn man sie nicht komplett versteht. Sie bestehen aus einem kryptogra­fischen Schlüssel­paar – einem öffent­lichen Schlüssel (Public Key) und einem privaten (Private Key). Beide Schlüssel werden bei der Erstein­richtung erzeugt. Der öffent­liche Schlüssel wird beim jeweiligen Webseiten- oder App-Anbieter gespeichert. Er allein nützt Angreifern nichts – Kriminelle können daraus auch nicht den privaten Schlüssel ableiten. Der private Schlüssel bleibt auf Ihrem Gerät – er landet nicht bei Anbietern jener Portale, auf denen Sie sich anmelden.

Bei jeder Anmeldung auf einer Webseite oder App wird nun mit einem komplexen kryptogra­fischen Verfahren über­prüft, ob beide Schlüssel zueinander passen. Ist das der Fall, werden Sie in Ihr Konto einge­loggt. Keine Sorge: Das klingt kompliziert, Sie kriegen davon aber gar nichts mit; es geht blitz­schnell – und Sie müssen nichts tun, außer Ihren Finger­abdruck einzugeben.

Bild­lich gesprochen kann man sich Pass­keys zum Beispiel wie einen Tresor vorstellen, der sich nur öffnen lässt, wenn Kunde und Bank­angestellter gleich­zeitig ihre jeweiligen Schlüssel drehen. Wichtig dabei: Sowohl Schloss als auch Schlüssel sind einzig­artig. Anders als bei Pass­wörtern hat kein anderer Mensch auf der Welt denselben Schlüssel wie Sie. Und Sie haben auto­matisch für jeden Account einen anderen Passkey. Wird das Kenn­wort für Ihren Katzenforums-Account geknackt, sind alle anderen Konten gefährdet, bei denen Sie dasselbe Pass­wort verwenden. Bei Pass­keys kann dieses Problem nicht auftreten.

Die Technik hinter Pass­keys beruht auf dem Sicher­heits­stan­dard Fido2: Fido steht für „Fast Identity Online“, also möglichst schnelle, aber vor allem sichere Identitäts­über­prüfungen im Internet. Entwickelt wurde Fido2 von der Fido Alliance und dem World Wide Web Consortium – dahinter stehen Forschungs­einrichtungen, Institutionen wie das Bundes­amt für Sicherheit in der Informations­technik (BSI) sowie zahlreiche wichtige IT-Firmen wie Apple, Google und Microsoft.

Welche Portale bieten Pass­keys an?

Pass­keys finden immer mehr Verbreitung, werden aber noch längst nicht über­all angeboten. Eine Über­sicht von Passkey-fähigen Portalen finden Sie auf der Webseite passykeys.directory.

Welche Voraus­setzungen müssen Smartphones erfüllen, um Pass­keys nutzen zu können?

Handys, die mit dem Betriebs­system Android arbeiten, brauchen mindestens die Version Android 9 (2018 veröffent­licht) sowie eine aktive Displays­perre – Ihr Handy muss also durch Pass­wort, Pin oder Wisch­muster geschützt sein. Wenn Sie Ihre Pass­keys in Googles Pass­wort­manager speichern und synchronisieren wollen, benötigen Sie außerdem ein Google-Konto.

Apple-Handys erfordern mindestens iOS 16 (2022 veröffent­licht). Für das Speichern und Synchronisieren über Apples iCloud-Schlüssel­bund müssen außerdem ein Gerätecode für die Displays­perre, der iCloud-Schlüssel­bund und die Zwei-Faktor-Authentifizierung für den Apple-Account akti­viert sein.

Wie richte ich Pass­keys ein?

Loggen Sie sich in einen Ihrer Accounts auf einem Passkey-fähigen Portal ein und öffnen Sie die Sicher­heits­einstel­lungen der jeweiligen Webseite oder App. Suchen Sie nach dem Unter­punkt „Pass­keys“. Zur Einrichtung genügen ein paar Klicks – das jeweilige Portal führt Sie durch die einzelnen Schritte.

Anhand der Beispiel Google und Paypal haben wir Schritt-für-Schritt-Anleitungen zum Einrichten von Pass­keys erstellt.

Bei Apple ist keine separate Einrichtung von Pass­keys nötig: Seit iOS 17 (im Jahr 2023 veröffent­licht) verbindet Apple jeden Apple-Account auto­matisch mit einem Passkey.

Wie lang dauert die Einrichtung?

Pro Account bean­sprucht die Einrichtung etwa 1 bis 2 Minuten. Nehmen Sie sich rund eine halbe Stunde Zeit, um die wichtigsten Konten auf Pass­keys umzu­stellen – etwa bei E-Mail-Diensten, Online-Shops, Cloud-Anbietern und Zahlungs­diensten (beim Online-Banking sind Pass­keys derzeit noch die Ausnahme). Ihre sons­tigen Accounts können Sie auf Pass­keys umstellen, wenn Sie sie das nächste Mal aufrufen.

Wo werden Pass­keys gespeichert?

Pass­keys bleiben auf Ihren Geräten und werden nicht von Anbietern gespeichert, deren Apps und Webseiten Sie nutzen. Es gibt aktuell drei Haupt­varianten zur Passkey-Verwaltung: Auf Smartphones und Computern kann das Betriebs­system das Speichern über­nehmen – sei es in Googles integriertem Pass­wort­manager, Apples iCloud-Schlüssel­bund oder zwei verschiedenen Diensten von Microsoft (Wind­ows Hello, Microsoft Pass­word Manager).

Inzwischen können auch viele Passwortmanager-Apps Pass­keys verwalten. Das ist gerade dann praktisch, wenn Sie Geräte mit verschiedenen Betriebs­systemen oder mehrere Browser nutzen. Ihre Pass­wort­manager-App lässt sich meist auf all Ihren Geräten installieren. Apples iCloud-Schlüssel­bund steht dagegen nicht auf allen Geräten als voll­wertiger Passkey-Speicher zur Verfügung – und Googles Pass­wort­manager braucht auf PCs den Browser Chrome. Mit einer Pass­wort­manager-App aus dritter Hand machen Sie sich unabhängiger von Apple, Google, Microsoft und deren Ökosystemen.

Die dritte Variante sind physische Sicherheitsschlüssel wie Yubikey, die sich per USB oder Funk mit Computern und Smartphones verbinden.

Sollte ich die Freigabe des Pass­keys per Finger­abdruck, Gesichts­erkennung oder Pin schützen?

Von Pins raten wir ab. Fremde könnten Sie bei der Eingabe beob­achten und sich die Kombination merken. Mitunter lässt sich auf dem Display auch erkennen, welche Tastatur­bereiche besonders häufig gedrückt werden.

Finger­abdruck und Gesichts­erkennung gelten beide als relativ sicher. Hier kommt es auf die tech­nische Umsetzung an: In unseren Tests ertappen wir immer wieder Android-Handys dabei, dass sie sich von Fotos austricksen lassen. Bei Systemen mit Tiefensensoren und Infrarot-Technik wie Apples Face ID ist das jedoch deutlich unwahr­scheinlicher.

Finger­abdrücke lassen sich zwar mit einigem Aufwand nach­bilden – das ist aber eher ein Fall­strick für Prominente und VIPs. Im Alltag der meisten Menschen kommt es eher zu kleineren Problemen, etwa dass ein nasser, zu trockener, schmutziger oder verletzter Finger nicht erkannt wird. Wir raten deshalb dazu, auf Ihrem Gerät mindestens zwei verschiedene Finger­abdrücke einzurichten.

Kann ich Pass­keys auch auf fremden Geräten nutzen?

Ja. Wenn Sie sich etwa auf dem PC eines Freundes in Ihren Google-Account einloggen wollen, wird Ihnen im Anmelde­prozess ein QR-Code auf dem PC-Bild­schirm ange­zeigt. Diesen scannen Sie dann mit Ihrem Smartphone und weisen Ihre Identität wie üblich mit Ihrem Finger­abdruck nach. Der Passkey selbst bleibt dabei auf Ihrem Handy und wird nicht auf den PC über­tragen. Parallel findet häufig noch eine sogenannte „Näheerkennung“ statt: Über die Funk­technik Bluetooth wird geprüft, ob sich PC und Handy in direkter räumlicher Nähe befinden.

Sollte ich Pass­wörter, wenn möglich, deaktivieren?

Nicht auf allen Portalen, die Pass­keys unterstützen, sind die Schlüssel ein voll­ständiger Ersatz Ihres Pass­worts. Oft bleibt das Pass­wort gespeichert, sodass Sie sich im Zweifels­fall auch damit einloggen können. Das mag gut klingen, führt das Konzept von Pass­keys aber ad absurdum: Pass­keys können ihre Vorteile nicht voll­ständig ausspielen, solange im Hintergrund weiterhin ein Pass­wort schlummert, das sich von Angreifern möglicher­weise hacken lässt.

Wir empfehlen: Falls sich das Pass­wort deaktivieren lässt, sollten Sie das tun – allerdings erst, nachdem Sie sich einige Wochen lang an das Anmelden per Passkey gewöhnt haben, das Einloggen reibungs­los funk­tioniert und Sie Backups der Pass­keys haben (siehe Abschnitt „Wie erstelle ich Backups meiner Pass­keys?“).

Ist das Deaktivieren des Kenn­worts nicht möglich, sollten Sie unbe­dingt unsere Tipps für starke Passwörter berück­sichtigen und zusätzlich zum Pass­wort den Zwei-Faktor-Schutz akti­vieren, damit das Kenn­wort Angreifern nicht reicht, um Ihren Account zu knacken.

Brauche ich neben Pass­keys noch einen Pass­wort­manager oder Zwei-Faktor-Authentifizierung?

Da Sie in einer Welt voller Pass­keys keine Pass­wörter mehr haben, brauchen Sie an sich keinen Pass­wort­manager mehr. Das ist aber Theorie, denn viele Apps und Webseiten unterstützen noch keine Pass­keys, sodass Sie auf absehbare Zeit weiterhin allerlei Pass­wörter haben werden. Ein Passwortmanager ist also nach wie vor eine gute Wahl: Er erstellt komplexe, einzig­artige Pass­wörter und nimmt Ihnen die Arbeit ab, sich diese merken zu müssen. Außerdem können viele Pass­wort­manager inzwischen auch Pass­keys speichern und system­über­greifend bereit­stellen. Pass­wort­manager sind also auch mit Pass­keys sehr nützlich.

Die Zwei-Faktor-Authentifizierung (2FA) ist in Pass­keys meist bereits inbegriffen: Sie brauchen neben dem Gerät, auf dem Ihre Pass­keys gespeichert sind, in der Regel Ihren Finger­abdruck (oder Gesichts­erkennung oder Pin). Sie haben mit Pass­keys aber einen stärkeren Phishing-Schutz als mit Pass­wort und 2FA. Über­all dort, wo Sie Ihre Accounts mangels Passkey-Unterstüt­zung weiterhin per Pass­wort sichern müssen, sollten Sie unbe­dingt 2FA einsetzen, um sich vor Angriffen zu schützen.

Was passiert, wenn ich ein neues Smartphone kaufe?

In diesem Fall müssen die Pass­keys auf das neue Gerät über­tragen werden. Das ist relativ einfach, wenn Ihr neues Handy dasselbe Betriebs­system verwendet wie das alte und das alte Gerät noch benutz­bar ist – dann loggen Sie sich auf Ihrem neuen Handy in Ihren Google- oder Apple-Account ein und können die Pass­keys dort mit ein paar Schritten wieder­herstellen. Selbst der Umstieg von Android zu iOS oder umge­kehrt funk­tioniert inzwischen oft recht passabel, da die betriebs­system­internen Pass­wort­manager die Pass­keys gegen­seitig über­tragen können.

Wenn Sie eine externe Pass­wort­manager-App mit Cloud-Anbindung wie 1Password oder Dashlane zur Verwaltung Ihrer Pass­keys verwenden, reicht es, die App einfach auf dem neuen Gerät zu installieren und sich darin anzu­melden.

Und falls Sie einen physischen Sicherheitsschlüssel wie Yubikey zur Verwaltung der Pass­keys einsetzen, ändert sich für Sie durch den Handywechsel gar nichts.

Was passiert, wenn ich mein Smartphone verliere?

Falls Ihr Handy gestohlen wird oder abhanden kommt, klingt das zunächst mal nach einem großen Problem – schließ­lich sind die Pass­keys darauf gespeichert und Sie brauchen das Gerät, um die Schlüssel per Finger­abdruck frei­zugeben. Haben Sie keinerlei Zugriff mehr auf Ihre Pass­keys, müssen Sie den Zugang zu jedem einzelnen Online-Dienst mit viel Aufwand neu herstellen. Zum Glück lässt sich dieses Problem aber recht leicht vermeiden – mit auto­matischen Backups durch Synchronisation (siehe nächste Antwort). Ein synchronisierter Passkey über­lebt den Verlust eines Geräts.

Anders ist die Lage, falls Sie Ihre Pass­keys mit einem Hardware-Sicher­heits­schlüssel verwalten. Dann ändert sich durch einen Diebstahl oder Verlust Ihres Smartphones gar nichts, solange Sie den Stick noch besitzen. Natürlich kann ein Sicher­heits­stick selbst aber auch verloren gehen. Wenn Sie einen solchen Stick verwenden, raten wir deshalb dringend dazu, von vorn­herein ein zweites Exemplar als Backup einzurichten.

Wie erstelle ich Backups meiner Pass­keys?

In der Regel müssen Sie dafür nichts unternehmen: Die system­eigenen Pass­wort­manager von Google und Apple synchronisieren Ihre Pass­keys ebenso auto­matisch wie die meisten Cloud-basierten Pass­wort­manager-Apps von Drittanbietern. Sobald Sie sich also mit einem bereits zuvor verknüpften Gerät in Ihren Google- oder Apple-Account oder das Konto Ihres unabhängigen Pass­wort­managers einloggen, stehen Ihre Pass­keys üblicher­weise geräte­über­greifend zur Verfügung. Bei neuen Geräten sind ein paar Zusatz­schritte nötig – etwa die Eingabe des Entsperr­codes Ihres alten Handys –, damit Apple oder Google sicher sein kann, dass es wirk­lich Sie sind.

In der Cloud landen bei der Synchronisation via Google oder Apple nur verschlüsselte Formen der Pass­keys. Selbst wenn Angreifer diese Daten­pakete stehlen, können sie die Pass­keys also weder im Klar­text einsehen noch miss­brauchen. Wer sich dennoch mit Clouds unwohl fühlt, ist mit Hardware-Schlüsseln am besten beraten.

Falls Sie für besonders wichtige Online-Konten ein zusätzliches manuelles Passkey-Backup anlegen wollen, können Sie den jeweiligen Account mit einem Zweitgerät verknüpfen.

Was kann ich tun, wenn ich keinen Zugriff mehr auf meine Pass­keys habe?

Falls Ihr Smartphone abhanden kommt und Sie keine Backups der Pass­keys haben, können Sie sich in der Regel wie zuvor mit Ihrem jeweiligen Account-Pass­wort anmelden.

Sollten Sie dieses vergessen haben, bieten manche Dienste weitere Möglich­keiten, wie Sie Ihre Identität nach­weisen können, um wieder Zugriff auf Ihren jeweiligen Account zu erhalten. Ein Beispiel sind Wieder­herstellung­scodes, die etwa bei der Einrichtung der Zwei-Faktor-Authentifizierung generiert werden oder in den Sicher­heits­einstel­lungen mancher Online-Konten erstellt werden können. Solche Reco­very-Codes sollten Sie sicher und getrennt von den Geräten aufbewahren, auf denen Ihre Pass­keys gespeichert sind.

Kann ich Pass­keys auch wieder abschalten und auf Pass­wörter umsteigen?

Selbst­verständlich. In den allermeisten Fällen haben Sie auch nach dem Einrichten von Pass­keys weiterhin die Möglich­keit, sich statt­dessen per Pass­wort anzu­melden. Sollten Sie später wieder voll­ständig zu Pass­wörtern zurück­wechseln zu wollen, können Sie Ihre Pass­keys löschen.

Die Stiftung Warentest rät jedoch dazu, Pass­keys zu verwenden, da diese Technik mehr Sicherheit bietet als die meisten Pass­wörter, deutlich leichter zu hand­haben ist und sich durch hervorragenden Schutz gegen Phishing auszeichnet.