Passkeys und 2FA: Konten richtig absichern

Das Passwort hatte eine lange Karriere, die Übergabe steht an. Der Trick: übergeben, ohne sich an einem Sonntagabend aus dem eigenen Postfach auszusperren.

Kurz gesagt

Wie sicherst du deine Konten heute mit Passkeys und 2FA ab? Nutze überall einen Passkey, wo ein Dienst ihn anbietet, behalte einen zweiten, getesteten Anmeldeweg und bewahre deine Wiederherstellungscodes offline auf [1][4][9]. Fang mit deinem E-Mail-Konto und mit dem Konto an, das deine Passkeys hält, denn die meisten anderen Konten lassen sich von dort aus zurücksetzen [9][10]. Dieser Guide ist ein Umstiegsplan, kein Produkttest. Wir haben die Menüs der genannten Dienste nicht durchgeklickt. Wir beschreiben die Grundsätze nach Standards und Herstellerdoku und sagen, wo Quellen voneinander abweichen.

So funktioniert’s

1. Entscheide, wo deine Passkeys liegen. Ein Passkey ist ein kryptografisches Schlüsselpaar. Der Dienst behält den öffentlichen Schlüssel, dein Gerät oder dein Passwortmanager den privaten, und der Browser gibt ihn nur an die Seite heraus, für die er erstellt wurde [1][4]. Der Browser-Standard dahinter, WebAuthn Level 3, wurde am 25.08.2026 zur W3C-Empfehlung [3]. FIDO nennt Passkeys, die über eine Cloud synchronisiert werden, „synced passkeys“ und solche, die ein einzelnes Gerät nie verlassen, „device-bound passkeys“ [1]. Daraus ergeben sich drei Orte. Das Betriebssystem: Apple schreibt, dass Passkeys über den iCloud-Schlüsselbund synchronisiert werden, der Ende-zu-Ende-verschlüsselt ist [11]; Google bietet einen eigenen Passwortmanager [9][15]; unter Windows kann ein Passkey lokal mit Windows Hello oder im Microsoft Password Manager liegen [15]. Ein Passwortmanager: 1Password, Proton Pass, Bitwarden und KeePassXC dokumentieren jeweils die Passkey-Speicherung [19][21][22][23]. Ein Hardware-Sicherheitsschlüssel: Seine Passkeys sind gerätegebunden [1][4]. Unsere Einschätzung: Stammen deine Geräte von verschiedenen Herstellern, vermeidet ein Manager, der überall läuft, die Bindung an ein Ökosystem. Die Stiftung Warentest sieht das genauso und ergänzt, dass der iCloud-Schlüsselbund nicht auf jedem Gerät ein vollwertiger Passkey-Speicher ist und Googles Manager am PC den Browser Chrome braucht [9]. Mischen ist erlaubt. Das FIDO-Papier selbst schlägt synchronisierte Passkeys für normale Konten vor und gerätegebundene für Konten mit höchstem Schutzbedarf [2].
2. Schütze zuerst diesen Ort. Wer deinen Passkey-Speicher öffnet, öffnet deine Konten. FIDO sagt, die Synchronisation von Passkeys sei Ende-zu-Ende-verschlüsselt und die Anbieter schützten ihre Konten stark [1]. Apple verlangt Zwei-Faktor-Authentifizierung für einen Apple-Account, der den iCloud-Schlüsselbund nutzt [11]. Prüfe bei jedem Ort drei Dinge: Das Konto dahinter hat einen eigenen zweiten Faktor, du weißt, wie dieses Konto wiederhergestellt wird, und die Gerätesperre lässt sich nicht leicht über die Schulter ablesen. Die Stiftung Warentest rät von einer kurzen PIN als Freigabe ab, weil andere sie beobachten können, und empfiehlt, mindestens zwei Fingerabdrücke einzurichten [9]. Google ergänzt eine Warnung: Sobald ein Passkey existiert, kommt jeder, der das Gerät entsperren kann, in das Konto. Erstelle Passkeys deshalb nur auf eigenen Geräten und nie auf geteilten [12].
3. Vergleiche deine drei Werkzeuge. Passkeys, Passkeys auf Sicherheitsschlüsseln und TOTP-Apps lösen dasselbe Problem unterschiedlich. TOTP (zeitbasiertes Einmalpasswort, RFC 6238) berechnet aus einem geheimen Schlüssel und der aktuellen Uhrzeit einen kurzen Code, mit 30 Sekunden als Standardschritt [7]. Diesen Code tippst du auf der Seite ein, und genau das ist die Schwachstelle: Das BSI hält fest, dass TOTP nicht vor Phishing schützt, das in Echtzeit abläuft, weil ein Proxy des Angreifers den Code weiterreichen kann [5]. NIST sagt dasselbe über jede Ausgabe, die du von Hand eingibst [8]. Die Tabelle unten stellt die drei nebeneinander.
4. Lege die Reihenfolge deiner Konten fest. Gehe die Konten in dieser Reihenfolge an, denn jeder Schritt schützt den nächsten. Erstens dein E-Mail-Konto: Das BSI nennt E-Mail und soziale Medien als Konten mit weitreichenden Rechten, und die Verbraucherzentrale rät, besonders das Postfach zu schützen, weil Zurücksetzen-Links dort ankommen [6][10]. Zweitens das Konto, das deine Passkeys synchronisiert (Apple-Account, Google-Konto, Microsoft-Konto oder das Konto deines Managers), samt seinem Wiederherstellungsweg. Drittens Konten mit Geld oder Identität: Zahlungsdienste, Shops, Cloud-Speicher. Die Stiftung Warentest vermerkt, dass Passkeys beim Online-Banking noch die Ausnahme sind; bleib dort bei dem zweiten Faktor der Bank [9]. Viertens alles andere, jeweils ein Konto bei der nächsten Anmeldung. Die Stiftung Warentest veranschlagt für die wichtigsten Konten etwa eine halbe Stunde und pro Konto ein bis zwei Minuten [9].
5. Behalte einen Rückfall mit Absicht. Die meisten Dienste lassen das Passwort als zweiten Weg bestehen. Google sagt, ein hinzugefügter Passkey ändere keinen der vorhandenen Anmelde- oder Wiederherstellungsfaktoren, und bei eingeschalteter Bestätigung in zwei Schritten überspringe die Anmeldung mit Passkey den zweiten Schritt [12]. Das ist bequem und zugleich ein Risiko, denn ein Angreifer zielt auf den schwächsten Weg. Das BSI warnt, dass eine einstufige Wiederherstellung ein stärkeres Verfahren erheblich schwächen kann, und rät zu Diensten mit zweistufiger Wiederherstellung [5]. Unser Vorgehen: Behalte den Rückfall, bis du dich mit dem Passkey auf einem zweiten Gerät angemeldet und den Wiederherstellungsweg einmal ausprobiert hast. Ändere dann das alte Passwort in ein langes Zufallspasswort aus deinem Manager und erwäge das Abschalten, wie die Stiftung Warentest es vorschlägt, erst nach einigen Wochen reibungsloser Passkey-Nutzung und mit vorhandenen Backups [9]. Bevorzuge, wo der Dienst es zulässt, eine Authenticator-App statt SMS-Codes. Das BSI rät davon ab, den SMS-Code auf demselben Gerät zu empfangen, mit dem du dich anmeldest, weil die Faktoren dann nicht mehr getrennt sind [6].
6. Baue einen Wiederherstellungsplan in drei Schichten. Schicht eins: synchronisierte Passkeys. Sie überleben den Verlust eines Geräts, weil der Anbieter sie auf einem neuen wiederherstellt. Apple beschreibt die Wiederherstellung über das Hinterlegen (Escrow) des Schlüsselbunds: Du brauchst das Passwort deines Accounts, einen per SMS gesendeten Code und den Gerätecode, hast zehn Versuche, danach wird der Eintrag zerstört, und optional lassen sich Kontakte für die Kontowiederherstellung einrichten [11]. Schicht zwei: ein zweiter gerätegebundener Schlüssel. Sicherheitsschlüssel lassen sich nicht kopieren, also registrierst du jeden Schlüssel einzeln bei jedem Dienst [4]. Yubico empfiehlt einen Ersatzschlüssel, weil das Zurücksetzen eines Schlüssels seine PIN und alle seine Passkeys löscht [17]. Ein YubiKey sperrt seine FIDO2-Funktion nach acht falschen PIN-Eingaben [17]. Die Kapazität ist mit 100 Passkeys ab Firmware 5.7 dokumentiert [17][18]; Yubicos Passkey-Anleitung nennt für Firmware 5.0 bis 5.6 den Wert 25, während die FAQ auch dafür 100 nennt. Schau deshalb in Yubico Authenticator auf deinen eigenen Schlüssel. Schicht drei: Wiederherstellungscodes. Google gibt dir zehn Einmal-Backup-Codes, und ein neuer Satz macht den alten ungültig [13]. Das Emergency Kit von 1Password enthält deinen Secret Key und die Anmeldedaten, und wenn du für dieses Konto die Zwei-Faktor-Authentifizierung einschaltest, rät 1Password, das 16-stellige Geheimnis neben dem QR-Code aufzuschreiben [20]. Bewahre all das getrennt von den Geräten auf, auf denen deine Passkeys liegen, wie es die Stiftung Warentest rät [9]. Ein Ausdruck in der Schublade schlägt den Screenshot auf dem Handy, das du vielleicht verlierst.
7. Entferne alte Methoden in der richtigen Reihenfolge. Wenn du ein Handy ausmusterst, entferne seinen Passkey beim Dienst, nicht nur auf dem Gerät. 1Password stellt klar, dass das Löschen eines Passkeys im Tresor ihn nicht aus deinem Konto auf der Webseite entfernt [19]. Füge die neue Methode zuerst hinzu. Microsoft warnt, dass das Entfernen aller Sicherheitsinformationen ein persönliches Konto für 30 Tage in einen eingeschränkten Zustand versetzt, in dem Änderungen an Sicherheit und Abrechnung abgelehnt werden [16]. Google rät, dich auf einem noch nutzbaren Gerät anzumelden und den Passkey des verlorenen Geräts zu entfernen [14].

Passkey, Sicherheitsschlüssel und TOTP im Vergleich

Lies die Tabelle als Rangfolge nach Phishing-Festigkeit, nicht als Verbot von TOTP. Das BSI rät, einen zweiten Faktor zu nutzen, sobald ein Dienst ihn anbietet, und ihn nicht abzuschalten [6]. Ein getesteter TOTP-Weg ist ein guter Rückfall. Er ist nur nicht deine Haustür.

Ein Praxisbeispiel

Das ist ein Plan für eine ausgedachte Person, kein Bericht über ein echtes Setup. Angenommen, sie hat ein Handy von einem Hersteller, einen Laptop von einem anderen, ein gemeinsames Tablet zu Hause und etwa 60 Konten. Sie wählt einen plattformübergreifenden Manager als Zuhause der Passkeys, weil ihre Geräte verschieden sind [9]. Abend eins: Sie sichert das Konto des Managers mit einer Authenticator-App und einem Sicherheitsschlüssel ab, druckt das Wiederherstellungsmaterial aus und legt es zu ihren Unterlagen [20]. Abend zwei: Sie erstellt einen Passkey für ihr E-Mail-Konto, meldet sich ab, meldet sich auf Laptop und Handy neu an und notiert, wo die Wiederherstellungscodes liegen. Abend drei: Sie wiederholt das für die Zahlungsdienste und den Cloud-Speicher, kauft einen zweiten Sicherheitsschlüssel und registriert beide bei den zwei Konten, die sie nicht verlieren darf [4]. Danach legt sie einen Passkey an, sobald eine Seite ihn bei der Anmeldung anbietet, und prüft alle paar Monate in den Sicherheitseinstellungen der Hauptkonten die Liste der Passkeys und Methoden [16]. Ihre Bank behält den eigenen zweiten Faktor [9].

Prüfliste

• Entscheide, wo deine Passkeys liegen, und notiere das Anbieterkonto, das sie schützt.
• Schalte für dieses Anbieterkonto einen zweiten Faktor ein und teste seinen Wiederherstellungsweg einmal.
• Erstelle zuerst für dein E-Mail-Konto einen Passkey und melde dich damit auf einem zweiten Gerät an.
• Registriere bei jedem Dienst, für den du einen Hardwareschlüssel nutzt, einen zweiten Schlüssel.
• Drucke deine Wiederherstellungscodes aus und bewahre sie getrennt von den Handys und Laptops auf, die deine Passkeys halten.
• Behalte eine Authenticator-App als Rückfall und lege das alte Passwort als langes Zufallspasswort in deinem Manager ab.
• Entferne den Passkey eines ausgemusterten Geräts bei jedem Dienst, nicht nur auf dem Gerät.
• Prüfe alle paar Monate die Anmeldemethoden deiner Hauptkonten und lösche die, die du nicht nutzt.