Passkeys statt Passwörter: Was die Technologie kann und wo sie an Grenzen stößt

Passkeys gelten als einer der vielversprechendsten Ansätze, um klassische Passwörter langfristig abzulösen. Die Technologie schützt wirksam vor Phishing, vereinfacht den Login-Prozess und beseitigt typische Schwachstellen wie Passwort-Wiederverwendung. Gleichzeitig bringt der Umstieg praktische Herausforderungen mit sich, die du kennen solltest, bevor du deine Konten umstellst.

Wie Passkeys technisch funktionieren

Bei einer klassischen Anmeldung gibst du einen Benutzernamen und ein Passwort ein. Dieses Passwort wird in irgendeiner Form an den Server übertragen, der es mit einem gespeicherten Hash vergleicht. Das grundsätzliche Problem dabei: Es existiert ein Geheimnis, das du kennen und übermitteln musst. Genau dieses Geheimnis kann abgefangen, erraten oder durch Datenlecks kompromittiert werden.

Passkeys arbeiten mit einem asymmetrischen Schlüsselpaar, das auf dem FIDO2/WebAuthn-Standard basiert. Beim Erstellen eines Passkeys für einen Dienst wird ein privater Schlüssel auf deinem Gerät oder in einem kompatiblen Passkey-Manager erzeugt und gespeichert. Der zugehörige öffentliche Schlüssel wird an den Dienst übermittelt. Bei jedem Login-Vorgang sendet der Server eine sogenannte Challenge, also eine kryptografische Anfrage, die dein Gerät mit dem privaten Schlüssel signiert. Der Server verifiziert diese Signatur anhand des öffentlichen Schlüssels. Der private Schlüssel verlässt dabei zu keinem Zeitpunkt dein Gerät.

Die Authentifizierung auf dem Gerät selbst erfolgt über den bereits eingerichteten Entsperrmechanismus. Fingerabdrucksensor, Face ID oder die Geräte-PIN dienen als lokale Bestätigung, dass du die Person bist, die den Passkey verwenden darf. Für dich fühlt sich der Vorgang an wie ein einfaches Entsperren. Im Hintergrund findet jedoch eine vollwertige kryptografische Authentifizierung statt.

Warum Passkeys klassischen Passwörtern überlegen sind

Phishing-Resistenz durch Domain-Bindung

Der entscheidende Sicherheitsvorteil von Passkeys liegt in der technischen Bindung an die Domain des jeweiligen Dienstes. Ein Passkey, der für example.com erstellt wurde, funktioniert ausschließlich auf example.com. Wenn du auf eine täuschend echt nachgebaute Phishing-Seite unter examp1e.com landest, wird der Passkey dort schlicht nicht angeboten und kann nicht ausgelöst werden. Diese Prüfung findet automatisch auf Protokollebene statt und ist nicht von deiner Aufmerksamkeit abhängig.

Bei klassischen Passwörtern existiert dieser Schutzmechanismus nicht. Du kannst ein Passwort auf jeder beliebigen Seite eintippen, und selbst Einmalcodes aus einer Zwei-Faktor-Authentifizierung lassen sich durch Echtzeit-Phishing-Proxys abfangen. Passkeys schließen diesen Angriffsvektor grundsätzlich aus.

Keine Passwort-Wiederverwendung möglich

In der Praxis verwenden viele Nutzer identische oder leicht abgewandelte Passwörter für mehrere Dienste. Ein einziges Datenleck kann dann eine Kettenreaktion auslösen, bei der Angreifer über Credential Stuffing Zugang zu weiteren Konten erhalten. Bei Passkeys entsteht dieses Problem konstruktionsbedingt nicht. Jeder Dienst erhält ein individuelles Schlüsselpaar, und selbst wenn der öffentliche Schlüssel bei einem Anbieter kompromittiert wird, lässt sich daraus weder der private Schlüssel ableiten noch ein anderer Dienst angreifen.

Kein serverseitiges Geheimnis

Ein weiterer relevanter Punkt: Auf Serverseite wird nur der öffentliche Schlüssel gespeichert. Dieser ist für Angreifer nutzlos, weil sich daraus keine Anmeldung ableiten lässt. Bei Passwort-Hashes sieht das anders aus. Schwach gehashte oder ungesalzene Passwörter können nach einem Datenleck geknackt werden. Diese gesamte Angriffsfläche entfällt bei Passkeys vollständig.

Für welche Szenarien sich Passkeys bereits bewähren

Passkeys entfalten ihren größten Nutzen in Umgebungen, in denen du regelmäßig auf eigenen Geräten arbeitest und kritische Konten absichern möchtest. Das betrifft typischerweise E-Mail-Konten, Cloud-Speicher, Konten mit hinterlegten Zahlungsdaten, Admin-Zugänge zu Content-Management-Systemen und Hosting-Verwaltungsoberflächen.

Gerade für Selbstständige und kleine Unternehmen, die Websites betreiben, E-Mail-Konten verwalten und regelmäßig auf Hosting-Panels zugreifen, bieten Passkeys einen spürbaren Sicherheitsgewinn. Der Admin-Zugang zu einer WordPress-Installation oder das Login in ein Hosting-Panel gehören zu den sensibelsten Stellen der gesamten Web-Infrastruktur. Wenn diese Zugänge nicht mehr über ein abfangbares Passwort laufen, reduziert das die Angriffsfläche erheblich.

Besonders reibungslos funktioniert der Einsatz, wenn deine Geräteumgebung eingespielt ist. Arbeitest du primär mit einem Laptop und einem Smartphone, die beide im selben Ökosystem laufen und Passkeys über einen gemeinsamen Schlüsselbund synchronisieren, ist die Anmeldung nahezu unsichtbar. Du wählst das Konto aus, bestätigst per Fingerabdruck oder Gesichtserkennung, und der Login ist abgeschlossen.

Wo die Grenzen und Stolpersteine liegen

Gerätegebundene vs. synchronisierte Passkeys

Ein zentraler Punkt, der in der Praxis über den Komfort entscheidet, ist die Unterscheidung zwischen gerätegebundenen und synchronisierten Passkeys. Gerätegebundene Passkeys existieren ausschließlich auf einem einzelnen Gerät, etwa auf einem Hardware-Sicherheitsschlüssel oder in einem TPM-Modul. Sie bieten ein höheres Sicherheitsniveau, weil der private Schlüssel das Gerät unter keinen Umständen verlässt. Der Nachteil: Bei Geräteverlust oder einem Hardwarewechsel musst du den Passkey beim jeweiligen Dienst neu einrichten.

Synchronisierte Passkeys werden über einen Cloud-Dienst wie den iCloud-Schlüsselbund, den Google Passwortmanager oder kompatible Drittanbieter-Manager auf mehrere Geräte verteilt. Das ist deutlich alltagstauglicher, weil ein neues Gerät automatisch Zugriff auf vorhandene Passkeys erhält. Allerdings hängt die Sicherheit dann auch von der Absicherung des jeweiligen Synchronisierungsdienstes ab. Wer den Zugang zu seinem Cloud-Konto verliert, verliert potenziell auch den Zugriff auf alle synchronisierten Passkeys.

Login auf fremden Geräten

Ein Passwort lässt sich grundsätzlich auf jedem Gerät eintippen. Bei Passkeys ist das nicht der Fall. Wenn du dich an einem fremden Rechner anmelden musst, an dem keiner deiner Passkeys verfügbar ist, brauchst du einen alternativen Weg. Einige Dienste bieten hier die Möglichkeit, den Passkey über einen QR-Code vom Smartphone zu verwenden, das du bei dir trägst. Das funktioniert, ist aber ein zusätzlicher Schritt, der bei klassischen Passwörtern nicht nötig wäre. Für Szenarien, in denen du häufig auf wechselnden oder gemeinsam genutzten Geräten arbeitest, kann das ein relevanter Nachteil sein.

Wiederherstellung als kritischer Faktor

Die Frage, was bei Geräteverlust passiert, ist bei Passkeys deutlich gewichtiger als bei Passwörtern. Ein vergessenes Passwort lässt sich in der Regel über eine E-Mail-Adresse zurücksetzen. Wenn du jedoch den Zugriff auf dein Gerät und gleichzeitig auf deinen Passkey-Manager verlierst, kann die Wiederherstellung erheblich aufwendiger werden. Nicht alle Dienste bieten für diesen Fall durchdachte Recovery-Prozesse an.

Bevor du kritische Konten auf Passkeys umstellst, solltest du deshalb prüfen, welche Wiederherstellungsoptionen der jeweilige Dienst anbietet. Recovery-Codes, registrierte Backup-Geräte oder ein zweiter Passkey auf einem separaten Gerät sind sinnvolle Absicherungen, die du von Anfang an einrichten solltest.

Koexistenz mit Passwörtern

Ein häufig übersehener Punkt: Viele Dienste bieten Passkeys derzeit als zusätzliche Login-Methode an, ohne das bestehende Passwort zu deaktivieren. Das bedeutet, dass ein schwaches oder kompromittiertes Passwort weiterhin als Einfallstor dienen kann, auch wenn du parallel einen Passkey eingerichtet hast. Der Passkey verbessert den primären Anmeldeweg, beseitigt aber nicht automatisch bestehende Schwachstellen. Es lohnt sich daher zu prüfen, ob du das Passwort nach Einrichtung des Passkeys deaktivieren oder zumindest durch ein starkes, einzigartiges Passwort ersetzen kannst.

Wann der Umstieg sinnvoll ist

Der Umstieg auf Passkeys lohnt sich vor allem dann, wenn du überwiegend auf eigenen Geräten arbeitest und bereit bist, dein Wiederherstellungskonzept vorab durchzudenken. In dieser Konstellation bieten Passkeys eine Kombination aus Komfort und Sicherheit, die mit klassischen Passwörtern nicht erreichbar ist.

Ein schrittweiser Ansatz ist dabei in den meisten Fällen sinnvoller als eine vollständige Umstellung. Beginne mit den Konten, die den höchsten Schutzbedarf haben: E-Mail, Hosting-Verwaltung, Cloud-Dienste, Zahlungsplattformen. So sammelst du Erfahrung mit der Technologie in deinem konkreten Setup und kannst einschätzen, wie gut Synchronisierung und Gerätewechsel in deinem Alltag funktionieren.

Falls du häufig auf fremden Rechnern arbeiten musst oder in einer heterogenen Geräteumgebung unterwegs bist, in der Passkeys nicht zuverlässig synchronisiert werden, kann ein guter Passwortmanager mit starken, einzigartigen Passwörtern und aktivierter Zwei-Faktor-Authentifizierung weiterhin die pragmatischere Lösung sein.

Passkeys im Kontext deiner Web-Infrastruktur

Gerade wenn du eine Website betreibst, ein Hosting-Paket verwaltest oder mehrere E-Mail-Konten im Einsatz hast, ist die Absicherung deiner Zugänge ein Thema, das über einzelne Dienste hinausgeht. Der Admin-Zugang zu deinem CMS, das Login in dein Hosting-Panel, der Zugriff auf deine Domain-Verwaltung und deine geschäftlichen E-Mail-Konten bilden zusammen eine Angriffsfläche, die du als Ganzes betrachten solltest.

Bei dogado findest du die passende Infrastruktur, um deine Webprojekte professionell und sicher umzusetzen. Ob Webhosting für deine Website, WordPress Hosting mit optimierter Performance, leistungsfähige VPS für individuelle Anforderungen, sichere E-Mail-Adressen für die geschäftliche Kommunikation oder die Registrierung und Verwaltung deiner Domains: Alle zentralen Bausteine für deine Online-Präsenz lassen sich über eine Plattform verwalten. Wer eine Website aufbauen möchte, ohne tief in die Technik einzusteigen, kann dafür den Homepage-Baukasten nutzen oder die professionelle Website-Erstellung in Anspruch nehmen.

Ergänzend dazu bietet dogado SEO-Dienstleistungen und SEA-Dienstleistungen an, mit denen du die Sichtbarkeit deiner Website gezielt steigern kannst. So sicherst du nicht nur deine Zugänge ab, sondern stellst auch sicher, dass deine Web-Infrastruktur insgesamt auf einem soliden Fundament steht.

Fazit

Passkeys lösen reale Sicherheitsprobleme, die mit klassischen Passwörtern strukturell nicht zu beheben sind. Die Phishing-Resistenz durch Domain-Bindung, der Wegfall wiederverwendbarer Geheimnisse und die kryptografische Absicherung machen sie zur derzeit überzeugendsten Alternative für die tägliche Authentifizierung.

Gleichzeitig ist die Technologie kein Selbstläufer. Gerätegebundene vs. synchronisierte Varianten, Wiederherstellungsszenarien und die Koexistenz mit bestehenden Passwörtern erfordern ein durchdachtes Vorgehen. Wer diese Aspekte berücksichtigt und den Umstieg schrittweise angeht, profitiert von einem Sicherheitsniveau, das mit Passwörtern allein nicht erreichbar ist.