Passkeys im Alltag: So ersetzen sie unsichere Passwörter auf dem Smartphone

Der Wecker klingelt, Sie tippen aufs Handy, wollen kurz die Bank-App checken – und dann kommt dieser Moment: Passwort vergessen, zu kurz, zu lang, Sonderzeichen fehlt. Kennen Sie das? Genau da kommen Passkeys ins Spiel. Und tatsächlich lösen sie genau dieses Alltagsproblem, ohne dass Sie sich noch ein Passwort merken müssen.

Passkeys sind gerade dabei, sich vom Nerd-Feature zum Standard zu entwickeln. Smartphone-Hersteller, Banken, Online-Shops – alle bauen sie ein. Grund genug, mal genau hinzuschauen: Was steckt technisch dahinter, wo hakt es noch, und wie fangen Sie am besten an?

Was sind Passkeys eigentlich?

Ein Passkey ist im Kern ein Schlüsselpaar aus Kryptografie: ein öffentlicher Schlüssel, der beim Anbieter liegt, und ein privater Schlüssel, der auf Ihrem Gerät bleibt. Beim Login schickt der Dienst eine Art digitale Aufgabe an Ihr Smartphone, das Gerät löst sie mit dem privaten Schlüssel – fertig. Kein Passwort wird eingegeben, keines wird übertragen, keines liegt irgendwo auf einem Server, wo es geklaut werden könnte.

Freigegeben wird der Vorgang meist per Biometrie, also Fingerabdruck oder Gesichtserkennung, oder alternativ per Geräte-PIN. Die Verbraucherzentrale NRW beschreibt das simpel: Freigabe per Geräte-PIN oder Knopfdruck reicht aus, ein zusätzliches Gerät müssen Sie sich in der Regel nicht kaufen. Smartphone, Tablet oder Rechner reichen als Authentikator.

Technisch basiert das Ganze auf dem FIDO2-Standard, der seit 2022 breit als nutzerfreundliche Alternative zum klassischen Login eingeführt wurde. Wichtig: Passkeys funktionieren längst nicht mehr nur mit separaten Sicherheitsschlüsseln zum Anstecken, sondern direkt auf dem Gerät, das Sie ohnehin in der Hand halten.

Warum Passkeys Passwörter so unsicher aussehen lassen

Passwörter haben ein Grundproblem: Sie sind wiederverwendbar, sie können abgefragt, erraten oder abgefischt werden. Genau da setzen Phishing-Seiten an – Sie tippen Ihr Passwort auf einer gefälschten Login-Seite ein, und weg ist es. Bei Passkeys funktioniert dieser Trick schlicht nicht, weil der private Schlüssel das Gerät nie verlässt und an die exakte Domain des echten Anbieters gebunden ist. Eine gefälschte Seite bekommt gar nichts zu greifen.

Das Bundesamt für Sicherheit in der Informationstechnik ordnet Passkeys deshalb als eigene Kategorie ein: passwortlose Authentisierung. In seinem Bericht von September 2024 zur passwortlosen Authentisierung beschreibt das BSI, dass Passkeys bereits in mehreren Alltagsbereichen genutzt werden, darunter Online-Banking, Bezahlsysteme und Passwort-Manager.

Moment mal, ist das jetzt dasselbe wie Zwei-Faktor-Authentisierung? Nein, und das wird oft verwechselt. Passkeys ersetzen den Passwort-Faktor selbst, sie sind keine zusätzliche Stufe obendrauf. Die Sicherheit kommt daher, dass niemand außer Ihrem Gerät den privaten Schlüssel besitzt – nicht daher, dass zwei Dinge kombiniert werden. Wer bislang gewohnt war, nach dem Passwort noch einen SMS-Code oder eine Authenticator-App zu bemühen, muss also umdenken: Bei einem reinen Passkey-Login entfällt dieser zweite Schritt meist komplett, weil die Kombination aus Gerätebesitz und Biometrie bereits beide Faktoren – Besitz und Inhärenz – abdeckt.

Wie Sie Passkeys auf dem Smartphone einrichten

Der Einstieg ist einfacher, als es klingt. Bei den meisten Diensten, die Passkeys unterstützen, finden Sie die Option in den Kontoeinstellungen unter Sicherheit oder Login-Methoden. Sie wählen „Passkey hinzufügen“, bestätigen mit Fingerabdruck oder Gesichtserkennung, und das Gerät erledigt den Rest im Hintergrund.

Auf dem iPhone landen Passkeys im iCloud-Schlüsselbund und synchronisieren sich automatisch zwischen Ihren Apple-Geräten, sofern Sie angemeldet sind. Details zu Einrichtung und Geräte-Login finden Sie direkt im Apple-Support-Bereich zu Passkeys. Auf Android-Geräten übernimmt der Google Passwortmanager diese Aufgabe, bei anderen Passwort-Managern läuft es je nach Anbieter etwas anders, das Prinzip bleibt aber gleich.

Praktisch heißt das: Einmal eingerichtet, tippen Sie beim nächsten Login nur noch auf den Fingerabdrucksensor oder schauen kurz in die Kamera. Kein Tippen, kein Merken, kein Passwort-Manager-Copy-Paste. Für viele Menschen fühlt sich das erst ungewohnt schnell an – fast zu easy, um sicher zu sein. Ist es aber, zumindest gegen die häufigste Angriffsform, Phishing.

Ein Detail, das gerne übersehen wird: Sie können in der Regel mehrere Passkeys parallel für denselben Dienst anlegen. Das bedeutet nicht, dass Sie sich mit mehreren Passkeys gleichzeitig anmelden, sondern dass jedes Gerät seinen eigenen, unabhängigen Schlüssel bekommt. Genau diese Möglichkeit ist der Grund, warum die Einrichtung eines Zweitgeräts überhaupt praktikabel ist, ohne dass Sie ständig zwischen Geräten synchronisieren müssten.

Der Haken: Was bei Handyverlust passiert

Jetzt zum unbequemen Teil. Was, wenn das Smartphone verschwindet, kaputtgeht oder gestohlen wird? Genau hier liegt die größte praktische Schwachstelle von Passkeys im Alltag. Wenn der private Schlüssel nur auf einem einzigen Gerät liegt und dieses Gerät weg ist, kommen Sie ohne Vorbereitung nicht mehr an Ihr Konto.

Seriöse Sicherheitsratgeber empfehlen deshalb unmissverständlich: Ein Passkey allein reicht nicht. Sie sollten mindestens einen zweiten Passkey auf einem Backup-Gerät einrichten, etwa einem Tablet oder einem zweiten Smartphone, oder alternativ Wiederherstellungscodes sicher aufbewahren, die viele Dienste beim Einrichten anbieten. Wer zusätzlich ein Cloud-Backup des Schlüsselbunds nutzt, sollte dieses Konto selbst besonders gut schützen, denn es wird faktisch zum Oberkonto für alle darunterliegenden Passkeys.

Das ist auch der Punkt, an dem sich die Diskussion in den letzten Jahren verschoben hat. Früher ging es vor allem darum, wie man Passwörter knackt. Heute dreht sich die Debatte stärker um Kontowiederherstellung und darum, wie Anbieter verhindern, dass jemand sich per Support-Anruf oder Identitätsdiebstahl in ein fremdes Konto einschleicht, ohne je den Passkey selbst zu brauchen. Das betrifft übrigens dieselbe Angriffslogik, die schon bei klassischem Credential Stuffing eine Rolle spielt: Angreifer suchen sich den schwächsten Punkt in der Kette, nicht den stärksten.

Stellen Sie sich ein realistisches Szenario vor: Sie sind im Urlaub, das Smartphone fällt ins Hotelpool-Wasser oder wird aus der Strandtasche gestohlen. Ohne vorbereitetes Backup-Gerät oder notierte Wiederherstellungscodes stehen Sie plötzlich vor verschlossenen Konten – gerade dann, wenn Sie unterwegs auf Online-Banking oder E-Mail-Zugriff angewiesen sind. Wer stattdessen vorher ein altes Tablet mit eigenem Passkey ausgestattet und zu Hause gelassen hat, kann sich per Fernzugriff oder sobald er wieder online ist, deutlich entspannter durch den Ernstfall bewegen. Diese Art von Vorsorge kostet einmalig ein paar Minuten, erspart im Ernstfall aber Stunden voller Support-Anrufe.

Sind Passkeys wirklich phishing-sicher?

Kurze Antwort: sehr viel resistenter, aber nicht unangreifbar. Der eigentliche Login-Vorgang ist durch die Bindung an die exakte Domain gut gegen klassisches Phishing abgesichert. Wer aber Zugriff auf Ihr entsperrtes Smartphone bekommt, oder wer es schafft, sich als Sie beim Support eines Anbieters auszugeben und die Kontowiederherstellung zu manipulieren, hebelt die Technik aus, ohne den kryptografischen Schutz überhaupt anzugreifen.

Auch die Aussage „Passkeys liegen in der Cloud, also sind sie genauso unsicher wie alles andere“ greift zu kurz. Wie sicher die Cloud-Synchronisation ist, hängt stark vom jeweiligen Ökosystem ab – Apple, Google und Microsoft haben unterschiedliche Architekturen, und pauschale Gleichsetzungen ignorieren diese Unterschiede. Wer sich unsicher ist, sollte im jeweiligen Support-Bereich nachlesen, wie die Synchronisation konkret abgesichert ist, statt sich auf Bauchgefühl zu verlassen.

Nicht jeder Dienst setzt Passkeys übrigens als vollwertigen Ersatz fürs Passwort ein. Manche Anbieter bieten sie nur als zusätzliche, optionale Login-Möglichkeit an, während das Passwort im Hintergrund weiter existiert. Das ist okay als Zwischenschritt, aber eben nicht dasselbe wie eine komplette Ablösung unsicherer Zugangsdaten.

Ein weiteres Gegenargument, das in Diskussionen häufig auftaucht: Was, wenn ein Angreifer das Smartphone bereits entsperrt in der Hand hat, etwa weil es kurz unbeobachtet auf dem Tisch lag? In diesem Fall schützt der Passkey selbst nicht mehr, weil die Freigabe durch Biometrie oder PIN bereits erfolgt ist. Deshalb bleibt die Bildschirmsperre mit kurzer Auto-Lock-Zeit ein wichtiger Baustein, der Passkeys ergänzt, statt sie zu ersetzen. Wer sein Gerät nie sperrt oder eine triviale PIN wie 0000 verwendet, unterläuft damit einen wesentlichen Teil des Sicherheitsgewinns, den Passkeys eigentlich bringen sollen.

Wo Passkeys im Alltag schon funktionieren

Am weitesten verbreitet sind Passkeys inzwischen dort, wo Sicherheit besonders wichtig ist: Online-Banking, Bezahldienste und Passwort-Manager selbst. Das deckt sich mit der Einschätzung des BSI, das genau diese Bereiche als frühe praktische Nutzungsfelder nennt.

Auch große Handelsplattformen treiben die Verbreitung voran, weil sie ihren Kundinnen und Kunden einen einfacheren, aber sichereren Checkout-Prozess anbieten wollen. Amazon etwa hat laut aktuellerer Berichterstattung mehrere Hundert Millionen Nutzerinnen und Nutzer, die einen Passkey aktiviert haben – ein deutliches Wachstum gegenüber dem Vorjahr. Solche Zahlen zeigen: Passkeys sind längst kein Nischending mehr, sondern werden im Massenmarkt zum Standard-Login-Weg.

Die FIDO Alliance, die den zugrunde liegenden Standard maßgeblich mitentwickelt hat, berichtet regelmäßig über die weltweite Verbreitung auf ihrer offiziellen Webseite. Dass ein Industrieverband die eigene Technologie optimistisch darstellt, ist dabei mitzudenken – trotzdem passt die Richtung zu dem, was auch unabhängige Stellen wie das BSI beobachten: Der Trend geht klar weg vom klassischen Passwort.

Auch im Familienalltag zeigt sich der Nutzen: Wer Kindern oder älteren Angehörigen beim digitalen Alltag hilft, kennt das Problem vergessener Passwörter oft aus erster Hand. Ein Passkey auf dem Familientablet, kombiniert mit einer einfachen Face-ID-Freigabe, reduziert genau diese wiederkehrenden Frustrationsmomente – ohne dass dabei Sicherheit geopfert wird. Gerade bei E-Mail-Konten, die häufig als zentrale Wiederherstellungsadresse für andere Dienste dienen, lohnt sich diese Umstellung besonders früh.

Häufige Missverständnisse im Umgang mit Passkeys

In Foren und Kommentarspalten tauchen immer wieder ähnliche Sorgen auf, die sich bei genauerem Hinsehen relativieren lassen. Ein verbreiteter Einwand lautet, Passkeys würden den Anbieter zu viel Kontrolle über den Login geben. Tatsächlich verhält es sich eher umgekehrt: Der private Schlüssel bleibt bei Ihnen, der Anbieter speichert nur den öffentlichen Teil, mit dem sich ohne den passenden privaten Gegenpart ohnehin nichts anfangen lässt.

Ein weiteres Missverständnis betrifft die Portabilität. Manche gehen davon aus, ein Passkey sei fest an ein einziges Gerät gekettet und lasse sich nie übertragen. Das stimmt so nicht mehr uneingeschränkt: Innerhalb eines Ökosystems, etwa zwischen mehreren Apple-Geräten mit derselben Apple-ID, synchronisieren sich Passkeys automatisch. Zwischen komplett unterschiedlichen Plattformen, etwa von Android zu einem separaten Windows-Passwort-Manager, ist der Wechsel dagegen tatsächlich noch nicht überall reibungslos gelöst, auch wenn plattformübergreifende Standards genau das langfristig verbessern sollen.

Und schließlich hört man oft: „Ich habe doch schon einen Passwort-Manager, was bringt mir da noch ein Passkey?“ Die Antwort ist, dass ein Passwort-Manager weiterhin ein geheimes Master-Passwort schützt, das theoretisch abgefragt oder erraten werden kann. Ein Passkey entfernt genau dieses verbleibende Passwort-Risiko an der Stelle, wo er eingesetzt wird, und lässt sich zugleich meist bequem innerhalb desselben Passwort-Managers verwalten.

Praktische Schritte für den Einstieg

Wenn Sie jetzt einsteigen wollen, lohnt sich ein strukturierter Anfang statt wildem Herumklicken. Fangen Sie bei den Konten an, die Ihnen am wichtigsten sind: E-Mail-Postfach, Online-Banking, der Passwort-Manager selbst. Diese drei Bereiche sind meist auch die, bei denen ein Datenverlust am schmerzhaftesten wäre.

Richten Sie danach direkt einen zweiten Passkey ein, sobald der Dienst das anbietet. Ein Tablet, ein altes Zweit-Smartphone oder ein Familien-Account mit Backup-Funktion reichen dafür oft schon aus. Notieren Sie sich außerdem angebotene Wiederherstellungscodes und bewahren Sie sie getrennt vom Smartphone auf, etwa in einem Passwort-Manager mit eigenem starkem Master-Passwort oder physisch an einem sicheren Ort.

Prüfen Sie schließlich in den Einstellungen Ihres Smartphones, ob die Passkey-Synchronisation über Ihr Cloud-Konto aktiv ist, und sichern Sie genau dieses Cloud-Konto besonders sorgfältig ab – etwa mit einer starken PIN und, falls verfügbar, mit einem eigenen Passkey dafür. Das übergeordnete Konto wird sonst schnell zum einzigen Nadelöhr, über das alle anderen Zugänge laufen.

Ein sinnvoller Zwischenschritt für Unsichere: Löschen Sie alte Passwörter nicht sofort, wenn Sie auf einen Passkey umgestellt haben. Lassen Sie das Passwort für eine gewisse Übergangszeit als Rückfalloption bestehen, sofern der Dienst das zulässt, bis Sie sich mit dem neuen Ablauf wirklich sicher fühlen. Erst wenn der Passkey-Login mehrfach reibungslos funktioniert hat und ein Backup-Gerät steht, ist ein guter Zeitpunkt, das alte Passwort endgültig zu entfernen oder durch ein zufälliges, nie wieder benötigtes Zeichenchaos zu ersetzen.

Was bleibt?

Passkeys sind kein Wundermittel, aber ein echter Fortschritt gegenüber dem Passwort-Chaos, das viele von uns seit Jahren mit sich herumschleppen. Krass, wie unspektakulär sich der Login inzwischen anfühlt, wenn er einmal eingerichtet ist – und wie viel Sicherheit dahinter tatsächlich steckt. Die eigentliche Frage ist nicht mehr, ob Passkeys sicher genug sind. Sie ist, ob Sie Ihre Wiederherstellungswege gut genug abgesichert haben, bevor Ihr Smartphone mal im Regen liegen bleibt oder aus der Tasche verschwindet.