„Ändere dein Passwort“ – diesen Satz habe ich in den letzten Jahren so oft gesagt, dass er fast zur Floskel geworden ist. Aber die Wahrheit ist: Passwörter sind ein schlechtes Sicherheitsmodell. Und es gibt einen besseren Weg: Passkeys.
Ich erkläre hier, wie Passkeys funktionieren, warum sie sicherer sind als jedes noch so kreative Passwort – und wo sie aktuell noch Grenzen haben.
Warum Passwörter grundsätzlich ein Problem sind
Ein Passwort ist im Kern ein Geteiltes Geheimnis: Sie wissen es, der Server weiß es. Das erzeugt drei Probleme:
- Es wird abgefragt. Jedes Mal, wenn Sie sich anmelden, geben Sie das Passwort an einen Server weiter. Jedes Mal kann Ihnen jemand über die Schulter schauen, könnte es sich um Phishing handeln, könnte das Passwort abgefangen werden; z.B. mit einem Keylogger.
- Es wird geraten oder gecrackt. Brute-Force-Angriffe, gestohlene Passwortlisten, Phishing – Passwörter sind angreifbar, weil sie ein einzelner, wiederverwendbarer Wert sind.
- Menschen merken sich keine guten Passwörter. Das Ergebnis: kurze, wiederverwendete Passwörter.
Wie Passkeys funktionieren – ohne Fachchinesisch
Ein Passkey nutzt kryptographische Schlüsselpaare (Public Key / Private Key) statt eines gemeinsamen Geheimnisses:
- Beim Anlegen wird ein Schlüsselpaar erzeugt. Der öffentliche Teil geht an den Server, der private Teil bleibt auf Ihrem Gerät (in einem sicheren Chip: TPM auf dem PC, Secure Enclave im iPhone/Android).
- Bei jeder Anmeldung beweisen Sie dem Server, dass Sie im Besitz des privaten Schlüssels sind – ohne den Schlüssel selbst zu übermitteln.
- Der Server kann den privaten Schlüssel also nie stehlen, weil er ihn nie sieht.
Das ist der fundamentale Unterschied: Beim Passwort teilen Sie ein Geheimnis. Beim Passkey beweisen Sie Besitz – und geben nichts preis.
Die praktischen Vorteile
| Eigenschaft | Passwort | Passkey |
|---|---|---|
| Phishing-Anfällig? | Ja – Sie tippen es auf einer gefälschten Seite ein | Nein – der Passkey ist an die Domain gebunden, funktioniert nur auf der echten Seite |
| Datenleck beim Anbieter? | Passwort ist kompromittiert | Kein Passwort gestohlen – der private Schlüssel bleibt auf Ihrem Gerät |
| Wiederverwendung möglich? | Ja (und genau das ist das Problem) | Nein – jeder Dienst bekommt einen eigenen, einzigartigen Passkey |
| Biometrie als 2. Faktor? | Optional | Integriert – FaceID, Fingerabdruck oder PIN entsperrt den privaten Schlüssel |
Wo Passkeys aktuell noch Grenzen haben
Ich will hier nicht so tun, als wäre alles perfekt. Ein paar ehrliche Einschränkungen:
- Nicht überall verfügbar. Viele Dienste unterstützen Passkeys noch nicht. Hier bleibt das Passwort vorerst die einzige Option.
- Gerätewechsel: Wenn Ihr Handy kaputtgeht oder Sie auf ein neues wechseln, müssen Sie den Passkey übertragen. Das klappt mittlerweile gut über iCloud/Google-Sync, ist aber trotzdem ein Schritt mehr als „Passwort neu eingeben“.
- Plattformabhängigkeit: Apple und Google haben jeweils eigene Ökosysteme. Ein Passkey, der auf iPhone erzeugt wurde, lässt sich nicht immer reibungslos auf einen Android-Handy übertragen (wird aber besser).
- Offline-Szenarien: In manchen Branchen (z. B. bestimmte Industrie-Systeme) gibt es noch keine sinnvolle Passkey-Lösung.
Was Sie jetzt konkret tun können
- Passkeys aktivieren, wo es geht. Apple: Einstellungen → Passwörter → Passkeys. Android/Google: Einstellungen → Passwörter → Passkeys. Bei vielen großen Diensten (Microsoft, Google, GitHub, Amazon) gibt es bereits die Option „Passkey verwenden“.
- Passwort-Manager behalten. Für Dienste ohne Passkey-Unterstützung bleibt der Passwort-Manager die beste Lösung. Ein guter Manager (Bitwarden, 1Password, KeePass) erzeugt und verwaltet starke, eindeutige Passwörter.
- 2FA aktivieren – bei allem, was noch keinen Passkey hat. Ein TOTP-Authenticator (z. B. Aegis, Authy) oder ein Hardware-Key (YubiKey) sind hier die beste Ergänzung.
Passkeys sind keine Zukunftsmusik mehr. Sie sind der Standard, den große Anbieter bereits ausrollen – und sie machen Ihr digitales Leben spürbar sicherer, ohne dass Sie sich mehr merken müssen.