Warum Passkeys so sicher sind
Aus diesem Prinzip ergeben sich drei Vorteile, die fast alle Passwort-Probleme auf einen Schlag beseitigen:
Ist ein Passkey schon Mehr-Faktor?
Ja. In einem einzigen Schritt vereint er zwei Faktoren: Besitz (Ihr Gerät mit dem geheimen Schlüssel) und Inhärenz oder Wissen (Fingerabdruck, Gesicht oder PIN zum Entsperren). Ein Passkey ist damit von Haus aus so stark wie ein Passwort plus Zwei-Faktor-Authentifizierung — nur bequemer.
Wo Passkeys an Grenzen stoßen
So stark Passkeys auch sind, ein Allheilmittel sind sie nicht. Da der geheime Schlüssel auf dem Gerät, z. B. Ihrem Smartphone liegt, braucht man für den Fall, dass es verloren geht oder kaputt ist, einen Ersatzweg. Apple, Google und Microsoft synchronisieren Passkeys deshalb verschlüsselt über ihre Cloud auf mehrere Geräte — das ist bequem, macht aber ein Stück weit vom Anbieter abhängig. Allerdings unterstützen geräteunabhängige Passwortmanager Passkeys inzwischen ebenfalls. Außerdem sind Passkeys noch nicht überall verfügbar. In der Übergangszeit bestehen Passkey und Passwort oft nebeneinander.
Im Unternehmen begegnen Ihnen Passkeys zunehmend beim Anmelden an Firmenkonten — häufig als Sicherheitsschlüssel, den die IT für besonders schützenswerte Zugänge ausgibt. Privat bieten sie unter anderem Amazon, PayPal und Google schon heute an. 2026 ist ohnehin das Jahr, in dem Passkeys im Alltag ankommen: Die großen Anbieter machen sie zunehmend zum Standard, und Microsoft schaltet sie in Firmenkonten inzwischen sogar automatisch ein (mehr dazu im Vertiefungsteil). Wo immer Ihnen ein Passkey angeboten wird, ist er die sicherste Wahl.
Praktischer Rat
Nutzen Sie Passkeys überall dort, wo sie angeboten werden — der Sicherheitsgewinn ist groß, im Betrieb wie privat. Für alle Dienste, die noch keine Passkeys unterstützen, bleibt die bewährte Kombination aus einem starken Passwort (Lektion 1.2.2) und der Zwei-Faktor-Authentifizierung (Lektion 1.2.3).
Zum Weiterlesen: wie ein Passkey technisch funktioniert
Nicht Pflichtstoff — für alle, die genauer wissen wollen, warum die Verfahren sich so unterscheiden.
Hinweis: Das Video enthält Werbung/Sponsoring. Wir verlinken es dennoch, weil die Erklärung fachlich sauber und besonders verständlich ist.
Passkeys haben 2026 die Schwelle zum Massenmarkt überschritten. Zum „World Passkey Day 2026" meldete die FIDO Alliance rund 5 Milliarden aktive Passkeys weltweit; die allermeisten Menschen kennen den Begriff inzwischen, und drei von vier haben mindestens einen eingerichtet. Anfang 2026 begann Microsoft, Passkeys in Firmenkonten automatisch zu aktivieren — die bislang größte Umstellung auf passwortloses Anmelden. Auch die US-Normbehörde NIST führt synchronisierte Passkeys ausdrücklich als phishing-resistentes Verfahren.
Beim Einrichten erzeugt Ihr Gerät zwei zusammengehörige Schlüssel. Der private bleibt für immer sicher auf Ihrem Gerät und verlässt es nie. Der öffentliche wird beim Dienst hinterlegt und darf, wie der Name sagt, öffentlich sein.
Ein Bild macht es anschaulich: Der öffentliche Schlüssel ist wie ein Vorhängeschloss, von dem Sie beliebig viele Kopien verteilen können. Der private Schlüssel ist der einzige passende Schlüssel dazu — und den behalten Sie. Jeder kann mit dem Schloss etwas verschließen, aber nur Sie können es öffnen.
- Der Dienst schickt Ihrem Gerät eine zufällige Aufgabe („Beweise, dass du den privaten Schlüssel besitzt").
- Ihr Gerät löst die Aufgabe mit dem privaten Schlüssel — aber erst, nachdem Sie es entsperrt haben (Fingerabdruck, Gesicht, PIN).
- Der Dienst prüft die Antwort mit dem hinterlegten öffentlichen Schlüssel. Passt sie, sind Sie angemeldet.
Entscheidend: Der private Schlüssel wird dabei nie übertragen. Über die Leitung wandert nur der Beweis, dass Sie ihn besitzen — nicht der Schlüssel selbst. Es gibt also an keiner Stelle ein Geheimnis, das abgefangen werden könnte.
Kurz gesagt
Der Passkey löst gleich drei Probleme auf einmal — das Merken, das Stehlen und das Phishing — und ist dabei einfacher als alles, was ihm vorausging.
