Passkeys bei GMX und WEB.DE: Was Phishing jetzt noch kann

GMX und WEB.DE haben Passkeys freigeschaltet. Für die beiden E-Mail-Marken der 1&1-Gruppe ist das ein Systemwechsel, kein Kosmetik-Update: Login per Fingerabdruck, Gesichtsscan oder Geräte-PIN statt Passwort, nach eigenen Angaben der Anbieter für rund 38 Millionen Postfächer in Deutschland, Österreich und der Schweiz. Wie das Verfahren im Detail funktioniert, beschreibt die Hilfeseite von GMX, über die Umstellung selbst berichtet auch heise. Klingt nach dem Ende der Phishing-Mail, wie wir sie kennen. Ist es aber nur zur Hälfte.

Passkeys statt Passwort: was sich bei GMX und WEB.DE ändert

Wer sich einloggt, tippt künftig nur noch seine E-Mail-Adresse ein und entriegelt danach sein Gerät – Fingerabdruck, Gesicht, PIN. Kein Passwortfeld mehr, keine Eingabe, die man abfotografieren, abtippen oder aus einer Zwischenablage klauen könnte. Passkeys lassen sich laut GMX in den Kontoeinstellungen unter „Login & Sicherheit“ aktivieren, kostenlos, optional. Gespeichert werden sie je nach Setup im Betriebssystem des Smartphones, im Browser oder in einem Passwortmanager.

Wichtig für alle, die jetzt schon die Passwortfelder aus ihrem Gedächtnis streichen wollen: Das klassische Passwort bleibt vorerst als Alternative bestehen. GMX und WEB.DE zwingen niemanden zum Umstieg, die neue Methode existiert parallel. Das ist pragmatisch, weil nicht jedes Gerät und nicht jeder Browser Passkeys unterstützt – und es ist, das kommt gleich noch, der Punkt, an dem die Angriffsfläche eben nicht verschwindet, sondern nur kleiner wird.

Wie ein Passkey technisch funktioniert

Ein Passkey ist im Kern ein Schlüsselpaar. Ein öffentlicher Schlüssel liegt beim Dienst, bei GMX oder WEB.DE. Ein privater Schlüssel liegt auf Ihrem Gerät und verlässt es im Regelfall nicht. Beim Login schickt der Server eine kryptografische Anfrage, das Gerät beantwortet sie mit dem privaten Schlüssel, nachdem Sie sich per Biometrie oder PIN freigeschaltet haben. Nur die Kombination aus beidem öffnet das Postfach.

Der entscheidende Unterschied zum Passwort: Es gibt nichts mehr, was man eintippen, mitlesen oder auf einer gefälschten Seite abgreifen könnte. Ein Passwort ist ein Geheimnis, das durch die Leitung wandert und dabei theoretisch jeder Zwischenstation zugänglich wird, die man kompromittiert. Ein Passkey verrät sein Geheimnis nirgendwo – er beweist nur, dass er es hat.

Technisch basiert das Verfahren auf dem FIDO2- beziehungsweise WebAuthn-Standard, der von großen Browser- und Betriebssystemherstellern gemeinsam getragen wird. Das ist kein Alleingang von GMX oder WEB.DE, sondern die Umsetzung eines Standards, den auch andere große Anbieter längst nutzen. Der Vorteil dieser Standardisierung: Ein Passkey, der auf einem iPhone erzeugt wurde, funktioniert bei entsprechender Cloud-Synchronisierung auch auf einem Mac oder, mit Einschränkungen, auf Windows-Geräten. Nutzer sind damit nicht an einen Hersteller gebunden, auch wenn die Bequemlichkeit steigt, je konsequenter man innerhalb eines Ökosystems bleibt.

Der Domain-Trick: warum klassisches Phishing ins Leere läuft

Das Pikante an Passkeys ist die Bindung an die Domain. Ein Passkey für gmx.net funktioniert ausschließlich auf gmx.net. Bauen Kriminelle eine Kopie der Login-Seite unter gmx-sicherheit.com oder web-de-support.net, verweigert das Gerät die Zusammenarbeit – der Browser erkennt schlicht, dass die angefragte Domain nicht zu dem gespeicherten Schlüssel passt, und zeigt gar keine Passkey-Option an. Genau diese Fake-Login-Seiten waren jahrelang das Rückgrat der klassischen Phishing-Mail: „Ihr Postfach wurde eingeschränkt, bitte bestätigen Sie Ihre Daten.“ Klick, Eingabe, Datenklau, fertig.

Für diese Angriffskette ist mit Passkeys tatsächlich Schluss. Wer seinen Zugang komplett auf Passkey umgestellt hat, kann sein Passwort nicht mehr auf einer Fake-Seite eintippen, weil es keines mehr gibt. Der Klassiker unter den Betrugsmails – die Kombination aus Angstmache und gefälschtem Login-Formular – verliert seinen Hebel. Das ist der eigentliche Fortschritt, und er ist real, keine Marketing-Nummer. Wer schon einmal beobachtet hat, wie professionell manche Phishing-Kits mittlerweile aussehen – originalgetreue Logos, korrekte Farbwerte, teils sogar funktionierende Support-Chatbots auf der Fake-Seite –, versteht, warum dieser eine technische Riegel so viel wert ist. Die Angreifer können die Optik noch so perfekt kopieren, an der Domain-Bindung des Passkeys scheitern sie trotzdem.

Plot Twist: was Phishing trotzdem noch kann

Wenig überraschend hört Betrug an der Stelle nicht auf, an der ein Anbieter ein neues Sicherheitsfeature einführt. Kriminelle verlagern sich, das war bei jeder Zwei-Faktor-Einführung so und wird bei Passkeys nicht anders sein. Drei Angriffsflächen bleiben konkret bestehen.

Erstens: Social Engineering am Gerät selbst. Eine gefälschte Support-Nachricht, angeblich von GMX, fordert dazu auf, einen „Sicherheits-Login“ zu bestätigen oder ein neues Gerät für den Zugang freizugeben. Wer das auf dem eigenen Smartphone bestätigt, öffnet die Tür von innen – der Passkey-Mechanismus selbst wird dabei nicht umgangen, sondern schlicht vom Opfer freiwillig ausgelöst. Das ist der Clou an dieser Betrugsvariante: Sie braucht keine gefälschte Domain mehr, sie braucht nur einen überzeugenden Vorwand.

Zweitens: Malware und Session-Hijacking. Wer sein Gerät bereits mit einem Trojaner infiziert hat, dem hilft ein Passkey wenig, wenn die Schadsoftware Zugriff auf laufende Sitzungen (Session-Cookies) oder die Bildschirmfreigabe erhält. Der private Schlüssel bleibt zwar auf dem Gerät, aber ein bereits geöffnetes, authentifiziertes Postfach ist für Angreifer genauso interessant wie ein gestohlenes Passwort – nur der Weg dorthin ist ein anderer geworden.

Drittens, und das ist der eigentliche Pferdefuß: Solange das Passwort als Fallback existiert, bleibt Credential Stuffing ein funktionierendes Geschäftsmodell. Botnetze testen massenhaft alte Zugangsdaten aus früheren Datenlecks gegen aktuelle Login-Formulare – nicht weil sie besonders klug sind, sondern weil ein Teil der Nutzer Passwörter über Jahre hinweg mehrfach verwendet. Solange dieser zweite Zugangsweg parallel offensteht, hat ein Passkey keinen Effekt auf Konten, die noch klassisch abgesichert sind.

Ein Beispiel-Szenario: So könnte Betrug nach der Umstellung ablaufen

Um zu verstehen, wie sich Angriffe verschieben, hilft ein einfaches, rein hypothetisches Szenario. Eine Nutzerin hat ihr GMX-Konto vollständig auf Passkey umgestellt. Sie erhält eine E-Mail, angeblich vom GMX-Sicherheitsteam, die vor einem „ungewöhnlichen Anmeldeversuch“ warnt und einen Link zur Bestätigung enthält. Klickt sie den Link, landet sie auf einer Kopie der echten Login-Seite – doch weil die Domain nicht übereinstimmt, bietet ihr Gerät keine Passkey-Anmeldung an. An dieser Stelle würde ein technisch weniger informierter Nutzer möglicherweise irritiert reagieren und die Seite verlassen, weil schlicht nichts passiert. Genau das ist der gewünschte Effekt: Der Betrugsversuch läuft ins Leere, weil das Gerät die Fälschung erkennt, ohne dass die Nutzerin selbst technisches Wissen braucht.

Anders sähe es aus, wenn die gefälschte Nachricht statt eines Links eine Telefonnummer enthält, unter der ein angeblicher Support-Mitarbeiter erreichbar ist. Ruft die Nutzerin dort an, könnte sie im Gespräch dazu gebracht werden, eine echte Anmeldeanfrage auf ihrem eigenen Gerät zu bestätigen, weil der Anrufer behauptet, dies sei zur „Identitätsprüfung“ notwendig. In diesem Fall würde der Passkey-Mechanismus korrekt funktionieren – er beweist ja nur, dass die Nutzerin ihr Gerät entriegelt hat. Das Problem liegt dann nicht in der Technik, sondern darin, dass Menschen unter Druck oder mit falschen Informationen selbst die entscheidende Bestätigung geben. Solche Szenarien zeigen, warum Passkeys eine sehr spezifische, aber keine allumfassende Lösung sind.

Das Restrisiko: Passwort als Fallback

Genau hier liegt das Brisante der aktuellen Übergangsphase. GMX und WEB.DE haben Passkeys eingeführt, aber niemanden zum Umstieg gezwungen. Wer nichts tut, bleibt beim Passwort – und damit bei sämtlichen Risiken, die dazugehören: Wiederverwendung über mehrere Dienste, Phishing-Mails mit gefälschten Login-Formularen, automatisierte Angriffe über geleakte Zugangsdatensätze. Für diese Konten ändert sich durch die Einführung von Passkeys erst einmal nichts, außer dass eine bessere Option jetzt zur Verfügung steht.

Das ist keine Kritik an GMX oder WEB.DE, sondern an der Natur von Übergangsphasen generell. Ein vollständiger Umstieg auf passwortlose Verfahren braucht Zeit, weil nicht jedes Gerät, jeder Browser und jeder Nutzungskontext (öffentliche Rechner, alte Smartphones, Firmen-Hardware mit restriktiven Richtlinien) Passkeys unterstützt. Bis dahin bleibt eine Zweiklassen-Sicherheitslage bestehen: Wer Passkeys aktiviert hat, ist gegen den häufigsten Angriffsvektor weitgehend immun. Wer es nicht tut, bleibt exakt so verwundbar wie vorher.

Ein Gegenargument, das man ernst nehmen sollte: Nicht jeder Nutzer will oder kann sich auf biometrische Verfahren verlassen. Wer sein Smartphone nicht per Fingerabdruck oder Gesichtserkennung entsperrt, sondern ausschließlich mit einer PIN arbeitet, verschiebt das Risiko lediglich auf diese PIN. Und wer ein einfaches Gerät ohne Cloud-Anbindung nutzt, riskiert bei Verlust des Smartphones auch den Verlust des Zugangswegs, sofern kein Wiederherstellungsweg eingerichtet wurde. Passkeys sind deshalb kein Verfahren, das man blind aktivieren sollte, ohne sich einmal mit den eigenen Wiederherstellungsoptionen auseinanderzusetzen.

So aktivieren Sie Passkeys bei GMX und WEB.DE

Der Weg zur Aktivierung ist laut Anbieter unkompliziert: In den Kontoeinstellungen den Bereich „Login & Sicherheit“ öffnen, dort die Passkey-Option auswählen und dem Gerät die Erstellung eines neuen Schlüssels erlauben. Voraussetzung ist ein aktuelles Smartphone, Tablet oder ein Passwortmanager mit Passkey-Unterstützung sowie ein gängiger, aktueller Browser mit WebAuthn-Funktion – die meisten aktuellen Versionen von Chrome, Edge, Firefox und Safari bringen das inzwischen mit.

Praktisch sinnvoll ist, den Passkey nicht nur auf einem Gerät zu hinterlegen, sondern über die Cloud-Synchronisierung des jeweiligen Betriebssystems oder über einen Passwortmanager verfügbar zu machen. Geht das Smartphone verloren, lässt sich der Passkey laut GMX löschen und neu anlegen, ein zusätzlicher Wiederherstellungsweg über die Kontosicherheitsoptionen bleibt bestehen. Wer auf Nummer sicher gehen will, sollte parallel das hinterlegte Passwort auf ein einmaliges, langes und nicht wiederverwendetes ändern – als Absicherung für den Fall, dass der Fallback-Weg jemals gebraucht wird.

Für die Praxis empfiehlt sich ein einfacher Fahrplan, den man in wenigen Minuten durchgehen kann:

• Kontoeinstellungen öffnen und prüfen, ob die Passkey-Option bereits sichtbar ist.
• Passkey auf dem Hauptgerät anlegen und testen, ob der Login damit tatsächlich funktioniert.
• Wo möglich, den Passkey über die Cloud-Synchronisierung auch auf einem Zweitgerät verfügbar machen.
• Das bestehende Passwort trotzdem auf ein starkes, einmaliges Kennwort umstellen, statt es unverändert als Fallback stehen zu lassen.
• Wiederherstellungsoptionen im Konto prüfen, damit der Zugang auch bei Geräteverlust nicht verloren geht.

Und ja, das bedeutet: Auch nach der Umstellung lohnt sich ein Blick auf die eigene Passwort-Hygiene. Wiederverwendete Passwörter aus alten Datenlecks sind nach wie vor der Türöffner für automatisierte Angriffe, unabhängig davon, ob ein Anbieter Passkeys anbietet oder nicht.

Häufige Missverständnisse über Passkeys

In der öffentlichen Diskussion um Passkeys tauchen immer wieder dieselben Missverständnisse auf, die sich lohnt kurz auszuräumen. Ein verbreiteter Irrtum ist die Annahme, Passkeys würden grundsätzlich vor jeder Form von Betrug schützen. Wie oben beschrieben, stimmt das nur für den spezifischen Fall des klassischen Login-Phishings über gefälschte Domains. Gegen Social Engineering, Malware auf dem Gerät oder Betrug außerhalb des Login-Vorgangs helfen sie nicht automatisch.

Ein zweites Missverständnis betrifft die Sicherheit der Biometrie selbst. Manche Nutzer befürchten, ihr Fingerabdruck oder ihr Gesichtsscan würde beim Login an GMX oder WEB.DE übertragen. Das ist beim FIDO2-Standard nicht der Fall: Die biometrische Prüfung findet ausschließlich lokal auf dem Gerät statt und entscheidet nur darüber, ob der lokal gespeicherte private Schlüssel freigegeben wird. Der Anbieter selbst bekommt weder Fingerabdruck noch Gesichtsdaten zu sehen.

Ein drittes Missverständnis ist die Annahme, mit der Aktivierung eines Passkeys sei das alte Passwort automatisch deaktiviert oder gelöscht. Das ist bei GMX und WEB.DE derzeit nicht so – beide Wege existieren parallel, bis man das Passwort aktiv entfernt oder der Anbieter diese Option irgendwann ganz abschafft. Wer maximale Sicherheit will, sollte sich dieser Parallelität bewusst sein und sie nicht als automatischen Vollschutz missverstehen.

Einordnung: ein Trend, kein Sonderweg

Dass ausgerechnet zwei deutsche Massen-Mail-Provider bei Passkeys vorangehen, ist kein Zufall. E-Mail-Postfächer sind Identitäts-Drehkreuze: Über sie laufen Passwort-Resets für Bankkonten, Onlineshops, soziale Netzwerke. Wer ein GMX- oder WEB.DE-Postfach kapert, kapert im schlimmsten Fall gleich ein halbes digitales Leben mit. Entsprechend hoch ist der Anreiz für Kriminelle, genau dort anzugreifen – und entsprechend sinnvoll ist es, ausgerechnet an dieser Stelle die stärkste verfügbare Absicherung anzubieten.

Der Fortschritt bei Passkeys sollte trotzdem nicht als Freifahrtschein missverstanden werden. Wer glaubt, mit aktiviertem Passkey sei das Thema Sicherheit für das eigene Postfach erledigt, unterschätzt, wie anpassungsfähig Betrugsmaschen sind. Phishing-Kampagnen zielen längst nicht mehr nur auf Zugangsdaten, sondern auch auf Anhänge mit Schadsoftware, auf gefälschte Rechnungen, auf Fake-Support-Anrufe. Der Passkey schützt exakt den einen Angriffsweg, für den er gebaut wurde – den Diebstahl von Zugangsdaten über gefälschte Login-Seiten. Für alles andere braucht es weiterhin Aufmerksamkeit, aktuelle Software und ein gesundes Misstrauen gegenüber Nachrichten, die Eile fordern.

Im größeren Bild fügt sich die Umstellung bei GMX und WEB.DE in eine Bewegung ein, die bei großen Technologieunternehmen längst begonnen hat. Zahlreiche Plattformen bieten passwortlose Anmeldeverfahren inzwischen an, und auch etablierte Passwortmanager haben Passkey-Unterstützung nachgerüstet. Für Verbraucher bedeutet das: Der Umstieg wird nicht bei einem einzelnen Anbieter enden, sondern schrittweise über weitere Dienste laufen. Wer sich einmal mit dem Prinzip vertraut gemacht hat, tut sich beim nächsten Anbieter leichter, weil das Grundprinzip – Gerät entriegeln statt Passwort eintippen – überall gleich bleibt.

Was bleibt?

Die Einführung von Passkeys bei GMX und WEB.DE ist der überfällige nächste Schritt, kein Wunderwerkzeug. Klassisches Passwort-Phishing verliert seine wichtigste Waffe, und das ist für 38 Millionen Postfächer keine kleine Sache. Gleichzeitig bleibt die Frage offen, wie schnell die Nutzerbasis den Umstieg tatsächlich vollzieht, solange das Passwort als bequeme Rückfalloption existiert. Bequemlichkeit war schon immer das Einfallstor Nummer eins – und daran ändert auch der schickste kryptografische Schlüssel nichts, solange die Hintertür offensteht. Wer die eigene Sicherheit wirklich verbessern will, aktiviert den Passkey jetzt, überprüft die eigenen Wiederherstellungsoptionen und ersetzt das alte, vielleicht wiederverwendete Passwort durch ein starkes, einmaliges Kennwort – statt erst zu handeln, wenn die nächste Phishing-Welle im Postfach landet.