Ein Passkey ersetzt das klassische Passwort durch ein kryptografisches Schlüsselpaar. Ein Teil bleibt geheim auf deinem Gerät oder in einem geschützten Synchronisationsdienst. Der andere Teil darf beim Anbieter liegen. Beim Login beweist dein Gerät, dass es den geheimen Teil besitzt – ohne ihn zu übertragen.
Warum das gegen Phishing hilft
Ein Passwort kann auf einer täuschend echten falschen Website eingegeben werden. Ein Passkey ist dagegen an den richtigen Onlinedienst gebunden. Die Anmeldung lässt sich nicht einfach auf eine andere Domain übertragen. Zusätzlich gibt es kein gemeinsames Geheimnis, das ein Anbieter im Klartext oder als Passwort-Hash verlieren könnte.
Wie die Anmeldung aussieht
- Die Website bietet „Mit Passkey anmelden“ an.
- Dein Gerät fordert Face ID, Fingerabdruck, PIN oder Gerätesperre an.
- Das Gerät signiert eine einmalige Anfrage.
- Der Dienst prüft die Signatur und meldet dich an.
Biometrische Daten werden dabei normalerweise nicht an die Website gesendet. Sie entsperren lokal den geschützten Schlüssel.
Wo Passkeys gespeichert werden
Je nach System können Passkeys auf einem einzelnen Sicherheitsschlüssel, in Apple Passwords/iCloud Keychain, Google Password Manager, Windows oder einem kompatiblen Passwortmanager liegen. Der Komfort der Synchronisation muss gegen die Abhängigkeit vom jeweiligen Ökosystem abgewogen werden.
Die wichtigsten Grenzen
- Nicht jeder Dienst unterstützt Passkeys vollständig.
- Wiederherstellung und Gerätewechsel unterscheiden sich je nach Anbieter.
- Manche Websites behalten ein schwaches Passwort als alternativen Login.
- Geteilte oder geschäftliche Konten brauchen klare Eigentums- und Übergaberegeln.
Was du jetzt tun solltest
Aktiviere Passkeys zuerst bei wichtigen Konten, behalte vorhandene Wiederherstellungswege im Blick und entferne schwache Alternativen erst, wenn ein zweites Gerät oder ein sicherer Ersatzweg getestet wurde. Ein Passkey ist kein Ersatz für Backup und Notfallplanung.