Passkeys Sicherheit: 6 Checks gegen Phishing 2026

Eine E-Mail vom vermeintlichen Cloud-Anbieter, ein Link, eine Login-Maske, die täuschend echt aussieht. Wer hier sein Passwort tippt, hat es soeben an die falsche Adresse verschickt. Bei einem Passkey passiert an dieser Stelle: nichts. Die Anmeldeantwort ist an die korrekte Website gebunden, die gefälschte Seite bekommt keine verwertbare Antwort. Das ist der Kern von Passkeys Sicherheit – und der Grund, warum immer mehr Dienste die passwortlose Anmeldung sichtbar in die Konto-Einstellungen räumen. Verhindert wird damit nicht jeder Angriff. Aber ein sehr verbreiteter Angriffstyp verliert seinen wichtigsten Trick.

Passkeys Sicherheit: Was technisch anders läuft

Passkeys basieren auf den WebAuthn- und FIDO-Standards. Der private Schlüssel verbleibt auf dem Gerät oder im Authenticator, der Dienst bekommt nur den öffentlichen Schlüssel zu sehen. Diese Aufteilung ist im WebAuthn-Standard des W3C festgelegt und keine Marketing-Erfindung eines Anbieters.

Entscheidend ist die Bindung an die sogenannte Relying Party, also die tatsächliche Domain des Dienstes. Eine Phishing-Seite kann diese Bindung nicht fälschen, weil ihr die Domain fehlt, für die der Schlüssel gilt. Genau deshalb greift der klassische Trick mit der kopierten Login-Seite ins Leere.

Das heißt nicht, dass jeder Dienst Passkeys anbietet. Viele haben die Option ergänzt, einige lassen sie nur als Zusatz zum Passwort zu, andere gar nicht. Wer umsteigen will, prüft das im jeweiligen Konto selbst, statt es pauschal zu unterstellen.

Und Passkeys Sicherheit bedeutet nicht Unverwundbarkeit. Gestohlene Sitzungen, kompromittierte Geräte oder Schadsoftware auf dem Endgerät hebeln auch passwortlose Anmeldungen aus. Der Schutz wirkt gegen eine bestimmte, sehr häufige Angriffsklasse – nicht gegen alle.

Passwortlos heißt nicht automatisch Mehrfaktor

Ein Passkey kombiniert von sich aus zwei Dinge: den Besitz des Geräts und die Freigabe per Biometrie oder Gerätecode. Das ist der Grund, warum Anbieter Passkeys gern als starken Ersatz für Passwort-plus-MFA bewerben.

Trotzdem bleibt die Qualität der Umgebung entscheidend. Ein veraltetes Betriebssystem, offene Zugänge oder ungepatchte Geräte schwächen jede Authentifizierungsmethode, egal wie modern sie ist. Sicherheitsarbeit endet nicht am Login-Bildschirm.

Das zeigt sich auch abseits von Endnutzer-Konten: Bei Netzwerkgeräten sorgen veraltete Firmware-Stände regelmäßig für Einfallstore, wie der Fall rund um die Zugänge und Updates bei RouterOS-Systemen zeigt. Passkeys ersetzen kein Patch-Management.

Wer also Passkeys einrichten will, sollte das als einen Baustein verstehen, nicht als Rundum-Versicherung. Gerätesicherheit, aktuelle Software und aufmerksames Verhalten bleiben Teil der Rechnung.

Lokale und synchronisierte Passkeys im Unterschied

Lokale Passkeys sind an genau ein Gerät gebunden. Verliert man das Gerät, ist der Schlüssel weg – ohne Umwege, ohne Cloud-Kopie. Das ist unbequem, aber in gewisser Weise auch ehrlich: Der Schlüssel existiert nur dort, wo man ihn erzeugt hat.

Synchronisierte Passkeys liegen dagegen in einem Passwortmanager oder Betriebssystem-Ökosystem und werden über mehrere Geräte hinweg abgeglichen. Das ist praktisch, wenn Smartphone, Tablet und Laptop denselben Zugang teilen sollen.

Die Kehrseite: Wer synchronisiert, verlagert einen Teil der Sicherheit auf das Konto, das die Synchronisierung steuert. Ist dieses Konto schwach geschützt, wird es zum gemeinsamen Nenner für alle daran gehängten Passkeys.

Das BSI weist in diesem Zusammenhang auf die Gerätebindung beziehungsweise Synchronisierung als relevanten Faktor hin, wenn Nutzende Passkeys einrichten. Beide Varianten haben ihren Platz – die Wahl hängt vom eigenen Nutzungsmuster ab, nicht von einem generellen „besser“ oder „schlechter“.

Mehrere Geräte, ein Backup-Passkey

Ein einzelner Passkey auf einem einzelnen Gerät ist ein Single Point of Failure mit Komfortfunktion. Genau deshalb rät die FIDO Alliance dazu, zusätzliche Passkeys und eine funktionierende Wiederherstellung von Anfang an mitzuplanen, wie in den Empfehlungen der FIDO Alliance beschrieben.

In der Praxis bedeutet das: ein zweites Gerät mit registriertem Passkey, oder ein Backup-Passkey, der bewusst separat verwaltet wird. Wer nur ein Smartphone als einzigen Zugangspunkt nutzt, baut sich eine unnötige Engstelle ein.

Diese Planung ist keine private Fleißaufgabe, sondern eine Frage der Verantwortlichkeit für Zugänge – ein Muster, das sich auch in kritischeren Umgebungen zeigt, etwa wenn Zugänge in Wasserwerken klar zugeordnet werden müssen, statt lose irgendwo zu hängen.

Wer mehrere Geräte im Alltag nutzt, sollte beim Einrichten also gleich prüfen, ob ein zweiter Passkey oder eine Wiederherstellungsoption existiert. Das kostet zwei Minuten und erspart später einen Ausschluss aus dem eigenen Konto.

Kontowiederherstellung als kritischer Pfad

Passkeys verschieben das Risiko, sie schaffen es nicht ab. Wenn der Zugang zum Passkey verloren geht, entscheidet die Wiederherstellung darüber, ob man wieder ins Konto kommt – oder nicht.

Genau dieser Pfad ist häufig das schwächste Glied. E-Mail-Wiederherstellung, Sicherheitsfragen oder Backup-Codes sind oft weniger robust als der Passkey selbst, den sie ersetzen sollen.

Das BSI benennt sichere Kontowiederherstellung ausdrücklich als wichtigen Punkt bei der Umstellung auf Passkeys, wie in der Einschätzung des BSI zu Passkeys nachzulesen ist. Wer diesen Pfad ignoriert, hat eine moderne Vordertür und ein löchriges Fenster im Keller.

Ein sinnvoller Reflex: Wiederherstellungsoptionen genauso ernst nehmen wie den Passkey selbst. Dazu gehört, die verknüpfte E-Mail-Adresse selbst gut abzusichern und Backup-Codes nicht im Klartext irgendwo abzulegen.

Geräteverlust: Was jetzt zu tun ist

Ein verlorenes oder gestohlenes Gerät ist unangenehm, aber kein Grund zur Panik – solange vorher vorgesorgt wurde. Der erste Schritt ist, den betroffenen Passkey aus dem Konto zu entfernen, sofern der Dienst das anbietet.

Danach folgt der Blick auf die Kontoaktivität: ungewöhnliche Anmeldungen, unbekannte Geräte, veränderte Wiederherstellungsdaten. Wer hier zu spät hinschaut, merkt einen Missbrauch erst, wenn er längst passiert ist.

Existiert ein zweiter, unabhängiger Passkey oder ein Backup-Zugang, lässt sich das Konto ohne Umwege wieder erreichen. Fehlt dieser zweite Weg, bleibt oft nur die reguläre Kontowiederherstellung – mit allen Wartezeiten, die dazugehören.

Deshalb lohnt sich der Blick zurück auf die eigene Vorbereitung: Wer beim Einrichten einen Ersatzweg angelegt hat, verliert im Ernstfall Nerven, aber nicht den Zugang.

Mehrere Passkeys und Authenticators einplanen

Passkeys basieren auf dem WebAuthn-Standard der FIDO-Allianz. Dabei bleibt der private Schlüssel ausschließlich auf dem Authenticator, also etwa dem Smartphone, einem Sicherheitsschlüssel oder dem Passwortmanager, während der jeweilige Dienst nur den öffentlichen Schlüssel speichert. Diese Trennung ist technisch robust, macht aber jeden einzelnen Authenticator zu einem kritischen Baustein für den Zugang zu einem Konto.

Wer sich ausschließlich auf ein einziges Gerät verlässt, schafft damit einen einzelnen Ausfallpunkt. Sinnvoll ist es, für wichtige Konten mehrere Passkeys anzulegen, etwa auf dem Smartphone, einem Tablet und zusätzlich auf einem physischen Sicherheitsschlüssel. Viele Dienste erlauben die Registrierung mehrerer Authenticators pro Konto, sodass beim Ausfall eines Geräts ein zweiter Zugang bereitsteht, ohne auf unsichere Ausweichlösungen zurückgreifen zu müssen.

Für Unternehmen stellt sich zusätzlich die Frage, wer innerhalb eines Teams Passkeys für gemeinsam genutzte Systeme verwalten darf. Ähnlich wie bei industriellen Steuerungssystemen, wo klare Zuständigkeiten für kritische Zugänge über die Wirksamkeit von Schutzmaßnahmen entscheiden, sollte auch bei Passkeys dokumentiert sein, welche Person welchen Authenticator für welches Konto registriert hat.

Fremde Geräte, Browserprofile und Gerätewechsel

Passkeys sind an ein Gerät, einen Browser oder einen Passwortmanager gebunden, je nachdem, wo der private Schlüssel abgelegt wurde. Auf fremden oder gemeinsam genutzten Geräten sollten Sie deshalb keine Passkeys anlegen, die dauerhaft dort verbleiben. Browserprofile spielen dabei eine praktische Rolle: Wird ein Passkey in einem bestimmten Profil gespeichert, ist er dort synchronisiert und in anderen Profilen desselben Geräts unter Umständen nicht automatisch verfügbar.

Beim Wechsel auf ein neues Smartphone oder einen neuen Laptop stellt sich die Frage, wie bestehende Passkeys übertragen werden. Cloud-basierte Synchronisierung über den jeweiligen Anbieter kann diesen Schritt erleichtern, ersetzt aber keine bewusste Prüfung, ob nach dem Wechsel tatsächlich alle relevanten Konten wieder erreichbar sind. Ein Test der wichtigsten Zugänge direkt nach der Einrichtung eines neuen Geräts verhindert, dass ein fehlender Zugriff erst im Bedarfsfall auffällt.

Wer beruflich und privat unterschiedliche Browserprofile oder Geräte nutzt, profitiert von einer klaren Struktur, welcher Authenticator zu welchem Kontext gehört. Diese Sorgfalt entspricht im Kleinen dem, was größere Organisationen bei der Sicherheitsarbeit entlang der Software-Lieferkette leisten müssen: Nachvollziehbarkeit darüber, welche Komponente wofür zuständig ist, verringert das Risiko unentdeckter Lücken.

Kontowiederherstellung und Geräteverlust

Passkeys lösen viele Probleme klassischer Passwörter, sind jedoch kein Allheilmittel für alle Aspekte der Kontosicherheit. Insbesondere die Wiederherstellung eines Zugangs nach Geräteverlust erfordert eigene Vorkehrungen, da der private Schlüssel nicht zentral beim Dienst liegt und somit auch nicht von diesem einfach neu ausgestellt werden kann. Wiederherstellungscodes, die viele Dienste bei der Einrichtung eines Passkeys anbieten, sollten deshalb sicher und getrennt vom eigentlichen Gerät aufbewahrt werden.

Geht ein Smartphone verloren oder wird es beschädigt, hängt die Wiederherstellung davon ab, ob zuvor ein zweiter Authenticator registriert wurde oder ob eine Synchronisierung über einen Cloud-Dienst eingerichtet war. Ohne diese Vorbereitung kann der Verlust eines einzigen Geräts den Zugang zu mehreren Konten gleichzeitig blockieren. Eine Bestandsaufnahme, welche Konten mit welchen Authenticators verknüpft sind, hilft dabei, im Ernstfall zügig reagieren zu können.

Ein oft unterschätzter Punkt ist die Rolle des verknüpften E-Mail-Kontos. Viele Wiederherstellungsprozesse für Passkeys laufen letztlich über die E-Mail-Adresse, die bei der Registrierung angegeben wurde. Ist dieses E-Mail-Konto selbst kompromittiert oder unzureichend geschützt, kann es zum Einfallstor werden, über das ein Angreifer die Passkey-Wiederherstellung für andere Dienste anstößt. Der Schutz des E-Mail-Zugangs verdient deshalb dieselbe Aufmerksamkeit wie der Passkey selbst.

Phishing-Resistenz und ihre Grenzen

Ein zentraler Vorteil von Passkeys liegt in der kryptografischen Bindung an die konkrete Domain eines Dienstes. Bei der Anmeldung prüft der Authenticator, ob die Website, die eine Signatur anfordert, tatsächlich zu der Domain gehört, für die der Passkey ursprünglich registriert wurde. Diese Bindung erschwert klassisches Phishing über gefälschte Login-Seiten erheblich, da ein nachgebautes Formular auf einer fremden Domain den passenden Passkey gar nicht abrufen kann.

Diese Eigenschaft schützt jedoch nicht vor allen Formen der Täuschung. Angreifer können weiterhin versuchen, Nutzende dazu zu bringen, einen völlig anderen Anmeldeweg zu wählen, etwa ein vermeintlich vergessenes Passwort zurückzusetzen oder eine gefälschte Support-Anfrage zu beantworten, die auf die Wiederherstellungsroutine abzielt statt auf den Passkey selbst. Auch täuschend echt gestaltete Nachrichten, die zur Neuregistrierung eines angeblich abgelaufenen Passkeys aufrufen, zielen nicht auf den kryptografischen Mechanismus, sondern auf menschliches Verhalten rund um ihn.

Passkeys verschieben das Risiko damit teilweise von der technischen Ebene auf organisatorische und prozessuale Fragen: Wer darf einen neuen Authenticator registrieren, welche Schritte sind für eine Wiederherstellung vorgesehen, und wie wird sichergestellt, dass diese Schritte nicht selbst zur Schwachstelle werden. Eine bewusste Auseinandersetzung mit diesen Abläufen bleibt notwendig, auch wenn die eigentliche Anmeldung durch Passkeys deutlich widerstandsfähiger gegen Phishing geworden ist.

Phishing-Schutz in der Praxis

Phishing-Schutz durch Passkeys funktioniert vor allem dort, wo die Umstellung konsequent gemacht wird. Ein paar wiederkehrende Fehler sorgen dafür, dass die Wirkung verpufft. Sechs Checks helfen, das zu vermeiden.

• Prüfen, ob der Dienst Passkeys als vollwertigen Login anbietet oder nur als Zusatz zum Passwort.
• Mindestens einen zweiten Passkey auf einem unabhängigen Gerät h