Passkeys erklärt, das Ende der Passwörter?

Passwörter haben ein grundsätzliches Problem: Du musst ein Geheimnis mit jedem Dienst teilen, bei dem du dich anmeldest. Wird dieses Geheimnis irgendwo gestohlen, ist dein Konto in Gefahr. Passkeys drehen dieses Prinzip um. Statt ein Geheimnis zu teilen, beweist dein Gerät, dass es den passenden Schlüssel besitzt, ohne ihn jemals herzugeben.

Was ein Passkey eigentlich ist

Ein Passkey besteht aus zwei zusammengehörenden Schlüsseln. Der öffentliche Schlüssel liegt beim Dienst und ist für sich genommen nutzlos. Der private Schlüssel bleibt sicher auf deinem Gerät und verlässt es nie. Bei der Anmeldung stellt der Dienst eine Aufgabe, die nur mit dem privaten Schlüssel gelöst werden kann. Dein Gerät löst sie, der Dienst prüft das Ergebnis mit dem öffentlichen Schlüssel, und du bist angemeldet.

Freigegeben wird der private Schlüssel durch das, was dein Gerät ohnehin kennt: deinen Fingerabdruck, dein Gesicht oder die Geräte-PIN. Für dich fühlt sich die Anmeldung deshalb an wie ein kurzes Entsperren, ohne Passwort und ohne Code aus einer App.

Warum das gegen Phishing hilft

Der entscheidende Unterschied zu Passwörtern: Ein Passkey ist fest an die echte Website gebunden. Landest du auf einer täuschend echten Fälschung, funktioniert der Passkey dort schlicht nicht, weil die Adresse nicht passt. Es gibt kein Geheimnis, das du versehentlich auf der falschen Seite eingeben könntest.

Damit fällt der häufigste Angriffsweg auf Privatkonten weg. Kein abgefangener Code, kein auf einer gefälschten Seite eingetipptes Passwort, kein wiederverwendetes Geheimnis aus einem Datenleck.

Passwort und zweiter Faktor in einem Schritt

Ein Passkey vereint zwei Dinge, die du sonst getrennt einrichtest. Er ist etwas, das du hast, nämlich dein Gerät mit dem privaten Schlüssel. Und er wird freigegeben durch etwas, das du bist oder weißt, deinen Fingerabdruck oder deine PIN. Damit erfüllt eine einzige Anmeldung bereits die Idee der Zwei-Faktor-Authentifizierung, ohne dass du einen separaten Code eingeben musst.

Was heute schon funktioniert

Passkeys sind kein Zukunftsversprechen mehr. Die großen Betriebssysteme und Browser unterstützen sie, und immer mehr Dienste bieten sie an, von E-Mail-Anbietern über soziale Netzwerke bis zu Onlineshops.

Deine Passkeys werden dabei meist über deinen Geräte-Anbieter oder deinen Passwort-Manager synchronisiert. So kannst du dich auch auf einem neuen Handy anmelden, ohne jeden Passkey neu zu erstellen. Wichtig ist, dass dieser Synchronisierungs-Account selbst gut geschützt ist, denn er verwaltet deine Schlüssel.

So legst du deinen ersten Passkey an

Melde dich wie gewohnt bei einem Dienst an, der Passkeys unterstützt.
Suche in den Sicherheitseinstellungen den Punkt Passkey erstellen oder Passkey hinzufügen.
Bestätige mit Fingerabdruck, Gesicht oder Geräte-PIN. Der Passkey wird angelegt.
Beim nächsten Mal wählst du bei der Anmeldung einfach den Passkey statt des Passworts.

Du musst dein altes Passwort dabei nicht sofort löschen. In der Übergangszeit ist es normal, beides zu haben. Solange ein Passwort noch existiert, sollte es lang, einzigartig und mit einem zweiten Faktor geschützt sein.

Ein realistischer Blick

Passkeys sind ein großer Fortschritt, aber sie lösen noch nicht jedes Konto ab. Manche Dienste bieten sie noch nicht an, und die Wiederherstellung bei Geräteverlust ist je nach Anbieter unterschiedlich gut gelöst. Der pragmatische Weg sieht deshalb heute so aus:

Nutze Passkeys überall, wo sie angeboten werden.
Behalte für den Rest lange, einzigartige Passwörter im Passwort-Manager.
Sichere alles Wichtige zusätzlich mit einem zweiten Faktor ab.

So profitierst du schon jetzt vom besseren Verfahren und bleibst dort abgesichert, wo Passwörter noch nötig sind. Das Ende der Passwörter kommt nicht über Nacht, aber es hat sichtbar begonnen.