Passkey: was hinter der Anmeldung ohne Passwort steckt

Ein Passkey ist ein Schlüssel, den man nicht abtippen kann. Damit ist das Wichtigste eigentlich schon gesagt, der Rest dieses Textes erklärt, warum dieser eine Unterschied so viel ausmacht. Wer sich heute bei Google, Amazon, PayPal oder WhatsApp anmeldet, bekommt das Angebot früher oder später ungefragt eingeblendet: Passkey erstellen, nie wieder Passwort. Die meisten tippen auf “Später” und fragen sich, ob das wieder so eine Neuerung ist, die nach drei Monaten keiner mehr kennt.

Diesmal sieht es anders aus. Apple, Google und Microsoft haben sich am 5. Mai 2022 öffentlich auf einen gemeinsamen Standard festgelegt, und die Branchenvereinigung dahinter, die FIDO Alliance, schätzt die Zahl der Passkeys im Mai 2026 auf rund fünf Milliarden. Die Hersteller-Seiten erklären gern, wie man einen Passkey anlegt. Was passiert, wenn das Handy im See landet, steht dort selten, und auch die Frage, wer die Schlüssel eigentlich verwahrt und wie man je wieder von Apple zu Android kommt, bleibt meist liegen. Genau darum geht es hier.

Was ein Passkey ist

Ein Passwort ist ein Geheimnis, das zwei Seiten kennen. Du weißt es, und der Dienst hat eine Prüfsumme davon gespeichert. Bei jeder Anmeldung schickst du das Geheimnis los, und der Server vergleicht. Das funktioniert, hat aber einen eingebauten Fehler: Alles, was man abschicken kann, kann auch jemand anderes abschicken, wenn er es einmal aufgeschnappt hat.

Ein Passkey dreht das um. Beim Einrichten erzeugt dein Gerät ein Paar aus zwei mathematisch verbundenen Schlüsseln. Der geheime bleibt bei dir, auf dem Handy, im Laptop oder im Passwortmanager. Der öffentliche geht an den Dienst. Will sich jemand anmelden, schickt der Server eine zufällige Aufgabe, eine Art Rätsel, das sich nur mit dem geheimen Schlüssel lösen lässt. Dein Gerät löst es und schickt die Lösung zurück, der Server prüft sie mit dem öffentlichen Schlüssel. Der geheime Teil verlässt dabei nie das Gerät.

Bevor dein Handy das Rätsel löst, will es wissen, dass du es bist. Dafür nimmst du, was du sowieso zum Entsperren benutzt: Fingerabdruck, Gesichtserkennung oder die PIN. Das ist der Moment, den die meisten für “die Anmeldung” halten. Dein Fingerabdruck wird dabei aber nirgendwohin geschickt. Google schreibt in seiner Hilfe ausdrücklich, dass die biometrischen Daten auf dem Gerät bleiben und nie an Google gehen. Der Fingerabdruck schaltet nur deinen eigenen Schlüssel frei.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, beschreibt es auf seiner Verbraucherseite nüchtern: Jeder Passkey schützt genau ein Konto, er kann weder zu kurz noch zu einfach sein, und vergessen kann man ihn auch nicht. Im Oktober 2024 hat das Amt eine eigene Pressemitteilung nachgelegt, Überschrift: “BSI empfiehlt die Nutzung von Passkeys”.

Warum Phishing an einem Passkey scheitert

Der eigentliche Fortschritt liegt in einem Detail, das man beim Benutzen nie sieht. Ein Passkey ist fest an die Internetadresse gebunden, für die er erstellt wurde. Dein Passkey für paypal.com existiert für dein Gerät auf keiner anderen Adresse, auch nicht auf paypal-sicherheit.com oder einer Seite, die bis aufs letzte Pixel genauso aussieht. Das Gerät prüft die Adresse selbst, bevor es überhaupt antwortet. Auf einer falschen Seite gibt es also schlicht nichts, was du eingeben oder bestätigen könntest.

Wie viel das wert ist, zeigt ein Abend im Juli 2022. Am 20. Juli um 22:50 Uhr Weltzeit bekamen mindestens 76 Beschäftigte des Netzwerkdienstleisters Cloudflare innerhalb von weniger als einer Minute eine SMS, teilweise auch ihre Familienangehörigen. Der Link führte auf cloudflare-okta.com, eine Adresse, die knapp 40 Minuten vorher registriert worden war. Dort wartete eine perfekte Kopie der internen Anmeldeseite.

Die Seite fragte Benutzername und Passwort ab und danach den sechsstelligen Code aus der Authenticator-App. Alles, was dort eingetippt wurde, ging in Echtzeit über den Messenger Telegram an die Angreifer, die es sofort auf der echten Seite benutzten, solange der Code noch gültig war. Nach demselben Muster wurde etwa zur selben Zeit der Kommunikationsdienst Twilio angegriffen, der den erfolgreichen Einbruch Anfang August 2022 öffentlich machte.

Bei Cloudflare fielen drei Beschäftigte darauf herein und gaben ihre Zugangsdaten ein. Passiert ist trotzdem nichts. Das Unternehmen hatte allen Mitarbeitenden Hardware-Sicherheitsschlüssel nach dem FIDO2-Standard ausgegeben, derselben Technik, auf der Passkeys beruhen. Die Angreifer hatten die richtigen Passwörter in der Hand und scheiterten an einem Schlüssel, der auf cloudflare-okta.com einfach nicht reagierte. Cloudflare schrieb danach, es sehe seit der Einführung der Schlüssel keine erfolgreichen Phishing-Angriffe mehr.

Ein zweiter Vorteil fällt erst auf, wenn ein Dienst gehackt wird. Bei einem Datenleck landen Listen mit Benutzernamen und Passwort-Prüfsummen im Netz, und wer dasselbe Passwort woanders benutzt, hat ein Problem. Ein Server, der nur Passkeys kennt, hat nur öffentliche Schlüssel gespeichert. Mit denen kann ein Angreifer nichts anfangen, sie sind ja gerade dafür gemacht, öffentlich zu sein. Ob deine Adresse schon in einem Leck aufgetaucht ist, kannst du übrigens auf sichere Weise selbst prüfen.

Passkey oder Passwort: der direkte Vergleich

Wo Passkeys heute schon funktionieren

Die großen Plattformen haben in den letzten Jahren nachgezogen, jeder in seinem eigenen Tempo. Google hat Passkeys am 10. Oktober 2023 zur Standardoption für private Google-Konten gemacht. PayPal bietet Passkeys in Deutschland seit dem Sommer 2023 an, Amazon schaltete sie im Oktober 2023 frei. WhatsApp startete im selben Monat auf Android und zog im April 2024 auf dem iPhone nach. Microsoft erlaubt schon seit September 2021, das Passwort aus einem privaten Microsoft-Konto ganz zu entfernen, und richtet neue Konten seit Mai 2025 standardmäßig ohne Passwort ein.

Das Muster ist überall ähnlich. Irgendwo in den Sicherheitseinstellungen des Kontos steht ein Punkt wie “Passkey erstellen” oder “Anmeldeoptionen”. Du tippst darauf, dein Gerät fragt nach Fingerabdruck oder PIN, fertig. Beim nächsten Mal schlägt dir das Anmeldefeld den Passkey von selbst vor. Eine Anleitung für jeden einzelnen Dienst braucht es nicht, der Ablauf dauert meist weniger als eine Minute.

Bei Firmen- und Schulkonten kann es anders aussehen. Google schreibt etwa für Workspace-Konten, dass die Verwaltung entscheidet, ob ein Passkey das Passwort ersetzen darf oder nur als zweiter Faktor dient.

Handy weg: Was dann mit den Passkeys passiert

Das ist die Frage, die fast jeder als Erstes stellt, und die Antwort hängt davon ab, wo deine Passkeys liegen. In den allermeisten Fällen werden sie synchronisiert, also verschlüsselt über ein Konto auf alle deine Geräte verteilt. Auf dem iPhone ist das der iCloud-Schlüsselbund, auf Android meist der Google Passwortmanager, dazu kommen Passwortmanager anderer Anbieter.

Apple beschreibt den Schlüsselbund als Ende-zu-Ende-verschlüsselt, mit Schlüsseln, die Apple selbst nicht kennt. Passkeys lassen sich laut Apple sogar dann wiederherstellen, wenn man alle Geräte auf einmal verliert. Google löst es so: Auf einem neuen Android-Handy meldest du dich mit deinem Google-Konto an und gibst zusätzlich die Display-PIN, das Muster oder das Passwort eines deiner alten Geräte ein. Erst beides zusammen öffnet den Tresor.

Heikel wird es nur bei Schlüsseln, die nirgends synchronisiert sind. Das betrifft vor allem Hardware-Sicherheitsschlüssel, kleine USB-Sticks, auf denen der geheime Teil fest eingeschlossen ist. Geht so ein Stick verloren, ist der Passkey darauf weg. Das BSI nennt für diesen Fall den Wiederherstellungsweg des jeweiligen Dienstes, also eine Ersatzadresse, eine hinterlegte Telefonnummer oder einen zweiten Schlüssel. Wer nur mit einem einzigen Stick arbeitet, sollte sich das vorher überlegen.

Wer deine Passkeys eigentlich verwahrt

Hier liegt der Punkt, den die Werbung gern überspringt. Wer seine Passkeys im iCloud-Schlüsselbund oder bei Google speichert, legt viele Schlüssel in einen Korb. Die Verschlüsselung ist ordentlich, und Apple wie Google haben den Zugang mehrfach abgesichert. Am Ende ist dein Konto aber nur so sicher wie das Konto, über das die Schlüssel synchronisiert werden. Ein schwaches Passwort für den Apple Account ohne zweiten Faktor ist eine schlechte Grundlage für einen Schlüsselbund voller Passkeys.

Auch die Technik selbst ist nicht unangreifbar. Forscher der Sicherheitsfirma Unit 42 von Palo Alto Networks haben im August 2026 Angriffe auf das Google-Sync-System beschrieben, die alle eine Voraussetzung teilen: Auf dem Rechner des Opfers läuft bereits Schadsoftware. Im schlimmsten ihrer Szenarien ließen sich alle synchronisierten Passkeys herausziehen. Das ist ernst, aber es verschiebt das Problem nur dorthin, wo es bei Passwörtern längst liegt. Ein verseuchter Rechner ist für jedes Anmeldeverfahren ein Totalschaden.

Von Apple zu Android: Kommt man wieder raus?

Lange war das der stärkste Einwand gegen Passkeys. Passwörter ließen sich immer irgendwie exportieren, zur Not als unverschlüsselte Tabelle. Passkeys saßen fest. Wer vom iPhone auf Android wechselte, musste jeden Passkey auf dem neuen Gerät neu anlegen.

Inzwischen gibt es dafür einen Standard. Die FIDO Alliance hat im Oktober 2024 zwei Spezifikationen vorgestellt, das Credential Exchange Protocol und das dazugehörige Format, kurz Credential Exchange. Damit wandern Passwörter und Passkeys verschlüsselt direkt von einer App zur anderen, ohne Umweg über eine Datei. Apple hat das mit iOS 26 und macOS 26 eingebaut, nach eigener Aussage lassen sich Passkeys seitdem zwischen teilnehmenden Passwort-Apps übertragen. Google zog auf Android nach. Seit dem 10. September 2026 funktioniert der Transfer laut Google zwischen dem Google Passwortmanager, 1Password, Bitwarden und Dashlane, weitere Anbieter sollen folgen.

Das klingt nach einer Lösung, beschreibt aber erst einmal einen Weg innerhalb einer Plattform, von einer App zur anderen auf demselben Gerät. Wer vom iPhone auf ein Android-Handy umzieht, braucht deshalb eine Zwischenstation: einen Passwortmanager, den es auf beiden Systemen gibt und der den Standard beherrscht. Auf dem iPhone wandern die Passkeys in diese App, auf dem neuen Gerät stehen sie über deren Synchronisierung bereit. Ob eine bestimmte App das schon kann, steht in ihrer eigenen Hilfe, und ältere Systemversionen bleiben außen vor.

Das Passwort läuft oft weiter

Ein Passkey ersetzt das Passwort längst nicht bei jedem Dienst. Häufig kommt er einfach dazu. Google schreibt in seiner Hilfe, dass ein neuer Passkey keinen der bestehenden Anmelde- oder Wiederherstellungswege ändert oder entfernt. Das Passwort bleibt also gültig, und wer es auf einer gefälschten Seite eingibt, öffnet die Tür nach wie vor.

Für den Phishing-Schutz ist das ein echter Abstrich. Ein Betrüger muss nicht an deinem Passkey vorbei, wenn daneben eine zweite Tür offen steht. Manche Dienste lassen sich deshalb so einstellen, dass das Passwort ganz wegfällt. Bei einem privaten Microsoft-Konto geht das seit 2021. Bei vielen anderen gibt es diese Möglichkeit noch nicht, und dann bleibt immerhin, das alte Passwort lang, einzigartig und gut verwahrt zu halten.

Anmelden am fremden Rechner

Was macht man am Computer in der Bibliothek oder am Laptop der Schwester? Den Passkey dort anzulegen wäre falsch, der Rechner gehört dir nicht. Dafür gibt es die Anmeldung per QR-Code. Die Webseite zeigt einen Code, du scannst ihn mit dem Handy und bestätigst dort mit dem Finger. Das BSI beschreibt den Ablauf genau so und weist auf ein Detail hin: Bei beiden Geräten muss Bluetooth eingeschaltet sein.

Das Bluetooth hat einen Zweck. Es prüft, ob das Handy wirklich neben dem Rechner liegt. Ein Betrüger, der dir einen QR-Code per Mail schickt und irgendwo am anderen Ende der Welt sitzt, kommt so nicht weiter. Nach der Anmeldung bleibt auf dem fremden Rechner nichts zurück außer der Sitzung, die du am Ende sauber abmelden solltest.

Wo es noch hakt

Vieles ist besser geworden, perfekt ist es nicht. Ein Punkt sind Familien und Notfälle. Ein Passwort kann man auf einen Zettel schreiben und im Ordner für die Angehörigen ablegen. Einen Passkey nicht. Apple erlaubt seit iOS 17, Passwörter und Passkeys in einer Gruppe mit Vertrauten zu teilen, allerdings nur mit Leuten, die ebenfalls ein aktuelles Apple-Gerät haben. Für gemischte Haushalte ist das keine Lösung.

Ältere Hardware fällt teilweise heraus. Google verlangt für Passkeys mindestens Android 9, iOS 16 oder Windows 10 und einen halbwegs aktuellen Browser. Die Bedienung ist außerdem uneinheitlich. Manche Dienste sprechen von Sicherheitsschlüsseln, wo sie Passkeys meinen, und mancher fragt beim Anlegen, wo der Schlüssel gespeichert werden soll, ohne zu erklären, was die Optionen bedeuten. Laut einer Umfrage des BSI von 2024 kannten nur 38 Prozent der Befragten den Begriff überhaupt, und 44 Prozent standen der Technik skeptisch gegenüber.

Womit man anfangen kann

Niemand muss an einem Abend alle Konten umstellen. Sinnvoll ist, mit dem E-Mail-Postfach zu beginnen, weil über die E-Mail-Adresse fast alle anderen Passwörter zurückgesetzt werden können. Wer das Postfach übernimmt, übernimmt alles, was daran hängt. Danach kommen die Konten, die Geld bewegen oder private Nachrichten enthalten.

Bevor du den ersten Passkey anlegst, lohnt ein Blick auf das Konto, das ihn verwahren wird. Der Apple Account oder das Google-Konto sollte selbst einen zweiten Faktor haben, und die hinterlegte Telefonnummer für die Wiederherstellung muss stimmen. Praktisch ist auch ein zweites Gerät, über das man im Notfall wieder hineinkommt. Ein Passkey auf einem schlecht gesicherten Sync-Konto ist wie ein gutes Schloss an einer Tür aus Pappe.

Und wo es geht, schaltest du das alte Passwort ab, oder du lässt es zumindest nicht verkümmern. Ein Dienst, der beides akzeptiert, ist immer nur so stark wie der schwächere Weg hinein.

Was bleibt

Passwörter haben ein Grundproblem, das sich mit keiner Regel zu Länge oder Sonderzeichen beheben lässt: Man kann sie weitergeben, auch an die falsche Adresse. Ein Passkey lässt sich nicht weitergeben, er antwortet nur dem richtigen Dienst und hält den geheimen Teil bei dir. Das macht ihn gegen die häufigste Angriffsform des Internets nahezu immun.

Die offenen Fragen betreffen vor allem das Drumherum, also Verwahrung, Verlust und Umzug. Darauf gibt es inzwischen deutlich bessere Antworten als noch vor zwei Jahren, auch wenn der Umzug zwischen den Welten von Apple und Google noch etwas Handarbeit verlangt. Wer sein Sync-Konto ordentlich absichert und mit dem E-Mail-Postfach anfängt, macht wenig falsch.

Häufige Fragen

Was ist ein Passkey einfach erklärt?

Ein Passkey ist ein digitaler Schlüssel für ein einzelnes Konto. Beim Einrichten erzeugt dein Gerät zwei zusammengehörige Teile: einen geheimen, der bei dir bleibt, und einen öffentlichen, den der Dienst speichert. Bei der Anmeldung beweist dein Gerät, dass es den geheimen Teil besitzt, ohne ihn herauszugeben. Du bestätigst das mit Fingerabdruck, Gesicht oder der Display-PIN. Ein Passwort, das man abtippen, vergessen oder verraten könnte, gibt es dabei nicht.

Was passiert mit meinen Passkeys, wenn das Handy verloren geht?

Das hängt davon ab, wo sie gespeichert sind. Liegen sie im iCloud-Schlüsselbund, im Google Passwortmanager oder in einem anderen Passwortmanager mit Synchronisierung, holst du sie auf einem neuen Gerät zurück, sobald du dich dort anmeldest. Bei Google brauchst du dafür zusätzlich die Display-Sperre eines alten Geräts oder die PIN des Passwortmanagers. Lag ein Passkey nur auf dem verlorenen Gerät oder auf einem Sicherheitsschlüssel, ist er weg. Dann bleibt nur der Wiederherstellungsweg des jeweiligen Dienstes.

Kann ich meinen Passkey löschen?

Ja, an zwei Stellen. In den Sicherheitseinstellungen des Dienstes entfernst du den öffentlichen Schlüssel, damit akzeptiert das Konto den Passkey nicht mehr. Im Passwortmanager deines Geräts löschst du den geheimen Teil. Sinnvoll ist beides, sonst bietet dir das Handy später einen Schlüssel an, der nirgends mehr passt. Vorher solltest du sicher sein, dass du noch einen anderen Weg ins Konto hast.

Welche Nachteile haben Passkeys?

Die Bindung an einen Anbieter war lange der größte Nachteil, weil sich Passkeys nicht exportieren ließen. Das hat sich seit 2025 und 2026 deutlich gebessert, ist aber noch nicht überall gelöst. Dazu kommt, dass viele Dienste das alte Passwort parallel weiterlaufen lassen, womit ein Teil des Phishing-Schutzes verpufft. Wer sein Sync-Konto schlecht absichert, legt außerdem alle Schlüssel in einen Korb. Und auf sehr alten Geräten oder Browsern funktioniert die Anmeldung oft gar nicht.

Sind Passkeys sicherer als Passwort plus Zwei-Faktor-Code?

Gegen Phishing ja, und zwar deutlich. Einen SMS-Code oder einen Code aus einer Authenticator-App kann ein Betrüger auf einer gefälschten Seite abfangen und sofort weiterreichen. Ein Passkey funktioniert nur auf der echten Adresse des Dienstes, auf einer gefälschten Seite antwortet dein Gerät einfach nicht. Gegen Schadsoftware auf dem eigenen Rechner hilft ein Passkey dagegen nur begrenzt, da gilt dasselbe wie bei jedem anderen Verfahren.