Ein Passkey ist ein Passwort, das nicht weiß, dass es eins ist. Du siehst es nie, du kannst es nicht ausplaudern, und eine gefälschte Login-Seite kann es nicht benutzen.
Kurz gesagt
Ein Passkey ist eine Anmeldeinformation auf Basis von FIDO-Standards. Statt eines Passworts hält dein Gerät für jedes Konto einen privaten Schlüssel, und die Website speichert nur den passenden öffentlichen Schlüssel [1][2]. Du bestätigst die Anmeldung so, wie du dein Gerät entsperrst, etwa mit Fingerabdruck, Gesicht oder PIN [1]. Passkeys sind gegen Phishing widerstandsfähig, weil der Schlüssel nur für die Seite funktioniert, die ihn erzeugt hat [2][3]. Unsere Einschätzung: Schalte sie ein, wo sie angeboten werden, aber plane vorher die Wiederherstellung.
So funktioniert’s
- Ein Schlüsselpaar pro Konto. Ein Passkey ist ein öffentliches/privates Schlüsselpaar, gebunden an dein Konto auf einer Website. Der private Schlüssel liegt in einem Authenticator, der im Gerät stecken, ein Hardware-Schlüssel oder ein Passwortmanager sein kann. Die Website speichert den öffentlichen Schlüssel [2]. Du erfindest und merkst dir nichts, also kann nichts Schwaches gewählt werden, und Schlüssel werden nie auf mehreren Seiten wiederverwendet [2].
- Die Anmeldung. Die Website sendet eine Aufgabe (Challenge). Der Authenticator findet das Schlüsselpaar, du entsperrst es per Biometrie oder PIN, und er signiert die Challenge. Der Dienst prüft die Signatur mit dem öffentlichen Schlüssel und meldet dich an [4][2].
- Warum Phishing scheitert. Ein Passkey ist an die Domain der Website (die Relying-Party-ID) gebunden, und die signierte Antwort enthält den Ursprung. Code auf einer Fake-Seite wie
examp1e.comkann den Passkey fürexample.comnicht nutzen [2][3]. Ein Einbruch beim Server legt keinen privaten Schlüssel offen, denn der Server hält nur öffentliche Schlüssel [2]. - Gerätegebunden oder synchronisiert. Ein gerätegebundener Passkey verlässt seinen Authenticator nie, deshalb registrierst du einen zweiten als Reserve. Ein synchronisierter Passkey wird über den Sync-Dienst eines Anbieters auf deine anderen Geräte kopiert. Das erleichtert die Wiederherstellung, bindet deinen Zugang aber an diesen Anbieter und dessen Sicherheit [5][3]. Synchronisierte Passkeys unterstützen keine Attestation [4], und NIST lässt synchronisierbare Authenticatoren auf dem Vertrauensniveau AAL3 nicht zu [3]. Das US-Bundes-Playbook hält synchronisierte Passkeys für die meisten Verbraucher-Anwendungen für gut geeignet [6].
- Was Passkeys nicht lösen. Sie verhindern nicht, dass ein Angreifer, der schon eine Sitzung kontrolliert, einen eigenen Passkey hinzufügt, und sie schützen nicht vor einer unsicheren Wiederherstellung oder einem kompromittierten Gerät oder Sync-Konto [3][2].
Ein Praxisbeispiel
Du aktivierst auf dem Laptop einen Passkey für dein E-Mail-Konto. Der Dienst speichert den öffentlichen Schlüssel, dein Laptop oder dein Passwortmanager hält den privaten. Danach fügst du das Handy als zweiten Authenticator hinzu und testest die Anmeldung von dort. Fällt der Laptop aus, kommst du trotzdem rein, und die verbleibende Schwachstelle ist der Wiederherstellungsweg, den du als Nächstes prüfst. Das ist ein allgemeiner Ablauf. Wir haben nicht erfasst, welche unserer Konten Passkeys anbieten, deshalb behaupten wir keine.
Prüfliste
- Aktiviere Passkeys zuerst für dein E-Mail-Konto und deinen Passwortmanager, denn andere Zurücksetzungen laufen darüber.
- Registriere mindestens zwei Authenticatoren, damit ein verlorenes Gerät dich nicht aussperrt [3].
- Finde heraus, wo jeder Passkey liegt: im Gerät, im Passwortmanager oder auf einem Hardware-Schlüssel [4].
- Schütze das Konto des Sync-Anbieters mit einer starken Anmeldung, denn synchronisierte Passkeys hängen daran [3][5].
- Prüfe die Wiederherstellungsoptionen und entferne schwache wie SMS oder alte E-Mail-Adressen [3].
- Teste die Anmeldung auf einem zweiten Gerät, bevor du ein Passwort löschst.