Kurz gesagt
Passkeys sind in der Regel sicherer und komfortabler als klassische Passwörter. Statt eines Geheimnisses, das ein Nutzer eingibt und das gestohlen werden kann, verwendet ein Passkey ein kryptografisches Schlüsselpaar. Der private Schlüssel bleibt auf dem Gerät. Dadurch lassen sich Passkeys deutlich schwerer per Phishing abfangen oder auf einer gefälschten Website wiederverwenden.
Grundprinzip
Was ist ein Passkey?
Ein Passkey ist eine moderne Anmeldemethode, die auf asymmetrischer Kryptografie basiert. Vereinfacht gesagt entstehen zwei zusammengehörige Schlüssel: ein öffentlicher Schlüssel beim jeweiligen Dienst und ein privater Schlüssel auf dem Gerät des Nutzers.
Bei der Anmeldung beweist das Gerät, dass es den privaten Schlüssel besitzt. Dieser private Schlüssel muss dabei nicht an den Dienst übertragen werden.
Direkter Vergleich
Passkey und Passwort funktionieren grundlegend unterschiedlich
Passwort
Ein gemeinsames Geheimnis, das der Nutzer kennt und beim Dienst hinterlegt ist.
- kann erraten oder wiederverwendet werden
- kann durch Phishing abgegriffen werden
- muss gespeichert oder gemerkt werden
- oft zusätzlicher zweiter Faktor sinnvoll
Passkey
Kryptografischer Schlüssel, der auf dem Gerät oder in einem geschützten Schlüsselbund liegt.
- kein klassisches Passwort notwendig
- deutlich besser gegen Phishing geschützt
- meist per Fingerabdruck, Gesicht oder PIN freigegeben
- kann je nach Plattform zwischen Geräten synchronisiert werden
Sicherheitsvorteil
Warum schützen Passkeys besser vor Phishing?
Beim klassischen Passwort kann ein Nutzer seine Zugangsdaten versehentlich auf einer täuschend echten gefälschten Website eingeben. Ein Angreifer kann diese Daten anschließend auf der echten Seite verwenden.
Ein Passkey wird dagegen für einen bestimmten Dienst beziehungsweise eine bestimmte Webadresse erstellt. Die Anmeldung funktioniert daher nicht einfach auf einer anderen Domain. Dadurch entfällt eine der häufigsten Angriffsmöglichkeiten auf Benutzerkonten.
Der entscheidende Unterschied
Ein Passwort kann verraten werden. Ein Passkey wird nicht eingetippt.
Genau deshalb sind Passkeys besonders interessant für E-Mail-Konten, Admin-Zugänge und andere geschäftskritische Dienste.
Übersicht
Passkey vs. Passwort im Alltag
| Kriterium | Passwort | Passkey |
|---|---|---|
| Phishing-Schutz | vergleichsweise schwach | sehr stark |
| Merkaufwand | hoch oder Passwortmanager nötig | kein klassisches Passwort merken |
| Wiederverwendung | häufiges Problem | nicht im klassischen Sinn möglich |
| Anmeldung | Passwort eingeben | Gerät entsperren / biometrisch bestätigen |
| Gerätewechsel | Passwort weiter nutzbar | abhängig von Plattform und Synchronisation |
| Unterstützung | praktisch überall | noch nicht bei jedem Dienst verfügbar |
Biometrie
Wird der Fingerabdruck an die Website übertragen?
Nein. Die biometrische Prüfung dient normalerweise nur dazu, den Passkey lokal auf dem Gerät freizugeben. Der Dienst erhält nicht den Fingerabdruck oder das Gesichtsbild selbst.
Stattdessen bestätigt das Gerät lediglich, dass die lokale Entsperrung erfolgreich war und der private Schlüssel für die Anmeldung verwendet werden darf.
Unternehmen
Wo lohnen sich Passkeys im Unternehmen besonders?
Der größte Nutzen entsteht dort, wo ein kompromittiertes Konto besonders großen Schaden verursachen könnte. Für kleine Unternehmen lohnt sich eine schrittweise Einführung.
- Microsoft-, Google- und zentrale E-Mail-Konten
- Administratorkonten
- Passwortmanager
- Hosting- und Cloud-Zugänge
- Entwicklerplattformen und Code-Repositories
- kritische SaaS-Anwendungen
Grenzen
Welche Nachteile haben Passkeys?
Passkeys lösen viele Probleme klassischer Passwörter, sind aber nicht in jeder Situation perfekt. Besonders bei gemischten Geräteumgebungen und älteren Anwendungen müssen Unternehmen etwas genauer planen.
- Nicht jeder Dienst unterstützt Passkeys bereits.
- Gerätewechsel und Wiederherstellung müssen vorab verstanden werden.
- Bei mehreren Plattformen kann die Verwaltung komplizierter werden.
- Geteilte Konten passen schlecht zu einem personenbezogenen Passkey-Modell.
- Für Notfälle sollte ein zusätzlicher sicherer Wiederherstellungsweg existieren.
Übergangsphase
Verschwinden Passwörter jetzt komplett?
Kurzfristig nicht. Viele Dienste unterstützen weiterhin Passwörter, weil Nutzer alte Geräte einsetzen oder weil Anwendungen noch nicht auf moderne Anmeldeverfahren umgestellt wurden.
In der Praxis werden Passkeys und Passwörter deshalb noch eine Zeit lang nebeneinander existieren. Unternehmen sollten dort umstellen, wo der Dienst eine saubere Passkey-Unterstützung bietet und gleichzeitig sichere Wiederherstellungswege vorhanden sind.
Praxis
Welche Lösung sollten kleine Unternehmen wählen?
Wenn ein wichtiger Dienst Passkeys sauber unterstützt, spricht aus Sicherheitssicht viel dafür, sie zu verwenden. Wo das noch nicht möglich ist, bleiben ein einzigartiges starkes Passwort plus MFA eine gute Lösung.
Fazit
Passkeys sind die modernere und meist sicherere Lösung
Passkeys reduzieren gleich mehrere typische Schwachstellen klassischer Passwörter: Sie müssen nicht ausgedacht, gemerkt, wiederverwendet oder auf einer Website eingegeben werden. Besonders der starke Phishing-Schutz macht sie für geschäftskritische Konten interessant.
Dennoch sollte die Einführung geplant erfolgen. Gerätewechsel, Wiederherstellung und die noch nicht überall vorhandene Unterstützung müssen berücksichtigt werden.
FAQ
Häufige Fragen zu Passkeys
Sind Passkeys wirklich sicherer als Passwörter?
In vielen typischen Angriffsszenarien ja. Besonders gegen Phishing und Passwort-Wiederverwendung bieten Passkeys deutliche Vorteile.
Kann ein Passkey gestohlen werden?
Der private Schlüssel ist normalerweise durch das Gerät oder einen geschützten Schlüsselbund abgesichert. Das reduziert das Risiko erheblich, macht Geräte- und Kontoschutz aber weiterhin wichtig.
Brauche ich mit Passkeys noch MFA?
Ein Passkey kann bereits mehrere Eigenschaften einer sicheren Anmeldung kombinieren. Je nach Dienst und Schutzbedarf können zusätzliche Richtlinien oder Faktoren trotzdem sinnvoll sein.
Was passiert bei einem neuen Smartphone?
Das hängt vom verwendeten Ökosystem ab. Manche Passkeys werden sicher synchronisiert, andere müssen auf dem neuen Gerät neu eingerichtet werden. Genau deshalb sollte die Wiederherstellung vorher getestet werden.
Sind Passkeys für Unternehmen geeignet?
Ja. Besonders für Admin-Konten und zentrale Cloud-Dienste sind sie interessant. Unternehmen sollten aber auf Geräteverwaltung, Recovery und klare Zuständigkeiten achten.
NulOne IT-Sicherheit
Passkeys und MFA sinnvoll im Unternehmen einführen.
Wir unterstützen bei sicheren Anmeldeverfahren, Rechtekonzepten und der Auswahl passender Lösungen für kleine Unternehmen.