Passkeys

Ein Passkey ist ein Zugang ohne Passwort. Statt eines Geheimnisses, das du eintippst, erzeugt dein Gerät ein Schlüsselpaar: Der geheime Schlüssel bleibt bei dir, der öffentliche liegt beim Dienst. Zum Anmelden bestätigst du nur mit Fingerabdruck, Gesicht oder Geräte-PIN. Das BSI hält Passkeys laut seiner Seite zum Anmelden ohne Passwort für immun gegen die breite Masse bekannter Phishing-Angriffe und rät: Bietet ein Anbieter, dem du vertraust, Passkeys an, kannst du sie ohne Weiteres nutzen.

So funktioniert ein Passkey

1. Einrichten: Du meldest dich wie gewohnt an und wählst „Passkey erstellen“. Dein Gerät legt einen geheimen Schlüssel im internen Speicher ab und schickt dem Dienst den passenden öffentlichen Schlüssel.
2. Anmelden: Der Dienst schickt eine Anfrage an dein Gerät.
3. Bestätigen: Du entsperrst den Passkey mit Fingerabdruck, Gesicht oder PIN.
4. Unterschreiben: Dein Gerät beantwortet die Anfrage mit dem geheimen Schlüssel. Der Dienst prüft die Antwort mit dem öffentlichen Schlüssel. Ein Passwort wird dabei nicht übertragen.

Der Datenaustausch läuft im Hintergrund, du merkst davon nichts. Laut FIDO Alliance bleiben biometrische Daten wie dein Fingerabdruck auf dem Gerät und werden nie an einen Server geschickt.

Warum Phishing ins Leere läuft

Bei einem Passwort reicht es, dich auf eine täuschend echte Kopie der Bankseite zu locken. Bei einem Passkey funktioniert das nicht: Laut BSI wird der geheime Schlüssel auf einer gefälschten Webseite nie preisgegeben, die Anmeldung scheitert einfach. Die Täter erfahren dabei nichts. Das ist der größte Vorteil gegenüber Passwörtern und auch gegenüber SMS-Codes, die du auf einer falschen Seite eintippen kannst. Mehr zu den Tricks der Betrüger steht unter Phishing erkennen.

Passkey und Gerätesperre sind zwei Dinge

Ein häufiges Missverständnis: Wer den Passkey mit dem Fingerabdruck bestätigt, gibt dem Dienst nicht den Fingerabdruck. Laut BSI wird ein Passkey nur zum Einloggen genutzt, das Entsperren des Geräts ist davon getrennt. Fingerabdruck, Gesicht oder PIN sind nur der Schlüssel zu deinem Gerät, das dann im Hintergrund den Passkey verwendet. Wer dein Gerät entsperren kann, kann unter Umständen auch deine Passkeys nutzen. Eine gute Gerätesperre mit einer nicht zu kurzen PIN ist also Teil des Schutzes.

Woher kommen Passkeys?

Hinter Passkeys steht die FIDO-Allianz, FIDO steht für „Fast Identity Online“. Passkeys sind ein offener, herstellerunabhängiger Standard. Das BSI ist seit 2015 Mitglied der Allianz. Laut der FIDO Alliance werden Passkeys von allen großen Betriebssystemen und Browsern sowie von Passkey-Anbietern anderer Hersteller unterstützt.

Synchronisiert oder gerätegebunden

Microsoft beschreibt für Windows beide Varianten: Gerätegebundene Passkeys werden nur auf dem Gerät gespeichert, auf dem sie erstellt wurden. Passkeys in einem Passwortmanager werden über dein Cloud-Konto auf andere Geräte übertragen.

Bei FIDO2-Sicherheitsschlüsseln empfiehlt das BSI einen zweiten Stick als Notfalllösung, weil sich FIDO2-Sticks nicht kopieren lassen. Du musst die Passkeys für jeden Stick einzeln anlegen.

Wo du Passkeys nutzen kannst

Einige Beispiele, wo und wie du Passkeys nutzen kannst:

• Google: Bei der Anmeldung mit Passkey entfällt laut Google der zweite Schritt der Zwei-Faktor-Authentifizierung. Der Google Passwortmanager kann Passkeys speichern und auf Wunsch automatisch anlegen, wenn du dich mit einem gespeicherten Passwort anmeldest.
• Apple: Die App „Passwörter“ ab iOS 18 und macOS Sequoia speichert Passkeys und synchronisiert sie über den iCloud-Schlüsselbund auf deine Apple-Geräte.
• Windows: Unter Windows entsperrst du Passkeys mit Windows Hello, also PIN, Fingerabdruck oder Gesicht. Für die neuesten Passkey-Funktionen braucht es laut Microsoft Windows 11.
• Passwortmanager: Proton Pass gibt an, Passkeys auf allen Geräten zu unterstützen. Ein plattformübergreifender Manager mit Passkey-Funktion bringt deine Passkeys auch auf Geräte verschiedener Hersteller.

Ob ein Dienst Passkeys anbietet, siehst du in den Sicherheitseinstellungen des Kontos, meist neben Passwort und Zwei-Faktor-Authentifizierung.

Am PC mit dem Passkey vom Smartphone

Liegt dein Passkey auf dem Smartphone, kannst du dich trotzdem am PC anmelden. Der PC zeigt einen QR-Code, du scannst ihn mit dem Smartphone und bestätigst dort. Laut BSI muss dafür Bluetooth auf beiden Geräten aktiv sein. Microsoft erklärt, dass so geprüft wird, ob das Smartphone in der Nähe ist, damit niemand aus der Ferne zugreifen kann.

Vorteile und Nachteile

Vorteile laut BSI:

• Passkeys können nicht zu simpel oder zu kurz sein und nicht vergessen werden.
• Sie werden schnell und automatisch erstellt.
• Phishing oder Datendiebstahl führen mit geringerer Wahrscheinlichkeit zu ihrem Verlust.
• Jeder Passkey schützt genau ein Konto.
• Du musst keine Passwörter mehr erstellen oder verwalten.

Was du beachten solltest:

• Bindung an ein Konto: Synchronisierte Passkeys liegen bei Apple, Google, Microsoft oder deinem Passwortmanager. Wer zwischen Systemen wechselt, sollte einen Passwortmanager nutzen, der auf allen Geräten läuft.
• Geräteverlust: Laut BSI kannst du dich in seltenen Fällen nach dem Verlust eines Geräts nicht mehr anmelden und musst den Weg über den Anbieter gehen.
• Altes Passwort: Bleibt dein Passwort beim Dienst neben dem Passkey bestehen, sollte es weiterhin einzigartig und stark sein, siehe sicheres Passwort.

So steigst du um

1. Mit dem wichtigsten Konto anfangen: dem Google-, Apple- oder Microsoft-Konto oder deinem E-Mail-Postfach.
2. Speicherort festlegen: Nutzt du nur Apple- oder nur Android-Geräte, reicht der eingebaute Passwortspeicher. Bei gemischten Geräten ist ein plattformübergreifender Passwortmanager praktischer.
3. Passkey anlegen: in den Sicherheitseinstellungen des Dienstes.
4. Backup sicherstellen: Synchronisation aktivieren oder bei Sicherheitsschlüsseln einen zweiten Stick einrichten.
5. Notfallweg kennen: Das BSI rät, zu wissen, wie du beim Anbieter dein Konto wiederherstellst.

Beispiel: Ein Paar mit iPhone und Android-Smartphone teilt sich keinen Passwortspeicher. Beide legen Passkeys für ihre Google-Konten und alle anderen Dienste, die Passkeys anbieten, in einem plattformübergreifenden Passwortmanager an. Wechselt einer von beiden das Smartphone, sind die Passkeys nach der Anmeldung im Passwortmanager sofort wieder da.

Du musst nicht alle Konten auf einmal umstellen. Lege einen Passkey immer dann an, wenn ein Dienst ihn dir beim Anmelden anbietet und du ihm vertraust, so wie es das BSI vorschlägt. Nach ein paar Wochen sind die Konten, die du häufig nutzt, ganz von selbst umgestellt. Wo Passkeys noch fehlen, schützt du deine Konten mit Zwei-Faktor-Authentifizierung.