Eine Anmeldeseite, die aussieht wie die echte. Ein Passwort, das dort eingegeben wird. Ein Sechs-Zahlen-Code aus der Authenticator-App, der hinterhergeschickt wird. Beides liegt Sekunden später bei jemandem, der es sofort weiterverwendet — solange der Code gültig ist, reicht das völlig aus.
An dieser Stelle endet der Schutz, den ein zweiter Faktor bietet. Passwort und Einmalcode sind beide Geheimnisse. Sie funktionieren, wenn man sie kennt, unabhängig davon, wer sie eingibt und auf welcher Seite.
Ein Passkey funktioniert anders. Er ist kein Geheimnis, das getippt wird, sondern ein Schlüssel, der eine Rechenaufgabe löst — und zwar nur für die Adresse, für die er angelegt wurde. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt seit dem 1. Oktober 2024 ausdrücklich, sie zu nutzen.
Ein Passkey ist ein Schlüsselpaar, kein besseres Passwort
Bei der Einrichtung erzeugt dein Gerät zwei zusammengehörige Schlüssel. Der geheime Schlüssel bleibt im Speicher des Geräts. Der öffentliche Schlüssel geht an den Dienst und wird dort zum Konto gelegt.
Bei jeder Anmeldung schickt der Dienst eine Zufallsaufgabe. Das Gerät entsperrt den geheimen Schlüssel — durch Fingerabdruck, Gesicht oder Geräte-PIN — und unterschreibt damit. Der Dienst prüft die Unterschrift mit dem öffentlichen Schlüssel und lässt dich herein. Microsoft beschreibt genau diesen Ablauf für die Anmeldung an Entra ID Schritt für Schritt.
Entscheidend ist, was dabei nicht passiert: Der geheime Schlüssel verlässt das Gerät nie. Es gibt nichts, was sich abfangen, weitererzählen oder aus einer erbeuteten Datenbank auslesen ließe.
Der Phishing-Schutz kommt nicht vom Fingerabdruck
Der Fingerabdruck entsperrt nur den Schlüssel auf deinem eigenen Gerät. Er wird nirgendwohin übertragen. Der eigentliche Schutz steckt an einer anderen Stelle.
Passkeys folgen dem Standard WebAuthn, den das W3C betreut; dessen dritte Fassung ist dort seit dem 25. August 2026 offizielle Empfehlung. Der Standard legt fest, dass ein einmal angelegter Zugangsschlüssel nur noch von den Ursprüngen verwendet werden kann, die zu genau der Stelle gehören, für die er erzeugt wurde. Zusammen mit CTAP, dem Protokoll zwischen Gerät und Schlüsselspeicher, ergibt das FIDO2.
Praktisch heißt das: Eine nachgebaute Anmeldeseite unter einer anderen Adresse bekommt vom Gerät keine Unterschrift. Nicht weil der Mensch davor den Betrug erkennt, sondern weil das Gerät gar keinen passenden Schlüssel findet. Microsoft nennt das origingebundene Kryptografie und beschreibt sie als den Grund, warum Passkeys sich kaum abphishen lassen.
Damit fällt die Aufmerksamkeit des Menschen als letzte Verteidigungslinie weg. Phishing zu erkennen bleibt trotzdem nützlich — es ist nur nicht mehr das Einzige, was zwischen einer Mail und einem übernommenen Konto steht.
Das BSI hat den Rahmen inzwischen festgeschrieben
Am 30. Juni 2026 hat das BSI die Technische Richtlinie TR-03188 „Passkey Server" in Version 1.0 veröffentlicht. Sie richtet sich an alle, die Webseiten oder Onlinedienste betreiben, und beschreibt, wie ein Passkey-Server aufzusetzen ist — mit abgestuften Anforderungen für die Vertrauensniveaus normal, substanziell und hoch. Ab bestimmten Niveaus verlangt sie ausdrücklich eine Nutzerprüfung oder gerätegebundene Passkeys.
Die Richtlinie selbst ist für einen Handwerksbetrieb keine Lektüre. Die Aussage dahinter schon: Das BSI stuft Passkeys damit als Stand der Technik ein. Wer nach einem Vorfall erklären muss, warum die Anmeldung noch auf Passwort und SMS lief, argumentiert ab jetzt gegen diese Einordnung.
Zwei Bauformen, und der Unterschied entscheidet
Die FIDO-Allianz unterscheidet zwei Arten, die im Alltag denselben Namen tragen und sich sehr verschieden verhalten.
Synchronisierte Passkeys wandern über die Cloud des Anbieters auf alle Geräte einer Person. Microsoft nennt als Beispiele den iCloud-Schlüsselbund und den Google Passwortmanager. Neues Handy, Passkey wieder da.
Gerätegebundene Passkeys verlassen ein einzelnes Gerät nie. Dazu zählen FIDO2-Sicherheitsschlüssel zum Anstecken und Passkeys in der Microsoft-Authenticator-App.
Microsoft empfiehlt in seiner Dokumentation die Sicherheitsschlüssel für stark regulierte Branchen und für Konten mit erhöhten Rechten; für alle übrigen Nutzer nennt es synchronisierte Passkeys eine bequeme und kostengünstige Alternative zu herkömmlicher Mehrfaktor-Anmeldung. Beide Bauformen bezeichnet Microsoft als erhebliches Sicherheitsplus gegenüber Verfahren, die sich abphishen lassen.
Was in Microsoft 365 und Google Workspace heute geht
In Microsoft Entra ID sind Passkeys eine reguläre Authentifizierungsmethode. Damit meldet man sich am Konto an und ebenso an Windows-11-Geräten, die in Entra eingebunden sind, samt einmaliger Anmeldung für die nachgelagerten Dienste. Wer nur gerätegebundene Passkeys zulassen will, schaltet im Passkey-Profil die Attestierung scharf: Synchronisierte Passkeys sind dann ausgeschlossen, weil sie keinen Nachweis über die Geräteherkunft liefern.
In Google Workspace liegt der Schalter in der Admin-Konsole unter Sicherheit, Authentifizierung, Passwortlos — „Passwörter überspringen". Danach melden sich die Nutzer mit einem Passkey an, ohne vorher in der Bestätigung in zwei Schritten registriert zu sein.
Das Passwort bleibt stehen, und damit die Hintertür
Google schreibt an derselben Stelle einen Satz, der die ganze Umstellung relativiert: Das vorhandene Passwort des Nutzers wird nicht deaktiviert und nicht entfernt.
Solange es dieses Passwort gibt und solange die Wiederherstellung über SMS oder eine Sicherheitsfrage läuft, ist der Passkey nur der bequemere von zwei Wegen ins Konto. Ein Angreifer nimmt den anderen. Der Passkey erhöht die Sicherheit erst dann spürbar, wenn auch der Weg daneben aufgeräumt ist: starkes, einmaliges Passwort im Passwortmanager, Wiederherstellungscodes an einem Ort, der dem Betrieb gehört und nicht einer Person, und kein SMS-Rückfall als bequeme Notlösung. Das ist derselbe Punkt, an dem schon die Zwei-Faktor-Einführung scheitert.
Für den Fall, dass ein Gerät verlorengeht, empfiehlt das BSI einen zweiten FIDO2-Stick als Notfalllösung. Der Grund ist unbequem, aber logisch: FIDO2-Sticks lassen sich nicht kopieren. Wer nur einen hat, hat keinen Ersatz.
Wo du anfängst, und wo es sich noch nicht lohnt
Rechne nicht damit, dass die Belegschaft den Begriff kennt. In der repräsentativen Befragung, die das BSI im Oktober 2024 veröffentlicht hat, kannten 38 Prozent der Befragten das Wort „Passkey", 18 Prozent nutzten Passkeys bereits. Die Einführung braucht deshalb eine kurze Erklärung, nicht nur einen Schalter.
Eine sinnvolle Reihenfolge:
- Postfach und Konto des Anbieters — Microsoft 365 oder Google Workspace, dazu Apple- oder Google-Konto, wenn synchronisiert wird.
- Konten mit erhöhten Rechten — Administratorzugänge. Hier sind gerätegebundene Sicherheitsschlüssel die Empfehlung des Herstellers.
- Alles Übrige, wo Passkeys angeboten werden.
Nicht sinnvoll ist die Umstellung dort, wo mehrere Personen sich einen Zugang teilen. Ein Passkey gehört zu einem Konto und wird von einem Gerät freigegeben; geteilte Sammelkonten passen nicht in dieses Modell. Die richtige Antwort darauf sind eigene Konten je Person, nicht ein Verzicht auf Passkeys.
Und wer heute noch gar keinen zweiten Faktor hat, fängt nicht mit Passkeys an, sondern bringt zuerst die Grundlagen in Ordnung. Der Sprung von „nur Passwort" auf „passwortlos" überspringt zwei Schritte auf einmal, und gescheiterte Einführungen enden meist mit ausgesperrten Mitarbeitern.
Wir richten die Anmeldung ein, legen die Ersatzwege so ab, dass sie dem Betrieb gehören, und stellen die Konten in einer Reihenfolge um, bei der niemand vor verschlossener Tür steht — Teil unserer IT-Sicherheit und Infrastruktur.