Wenn ich mich mit Nachbarn in Frankfurt-Sachsenhausen über IT-Sicherheit unterhalte, höre ich fast immer denselben Satz: „Ich habe für alles ein anderes Passwort im Kopf, aber irgendwann verliere ich den Überblick.“ Genau hier liegt der fundamentale Konstruktionsfehler des heutigen Internets. Das Konzept des Passworts stammt aus den Anfangstagen der Informatik in den 1960er Jahren. Es beruht auf einem geteilten Geheimnis. Du denkst dir ein Wort oder eine Zeichenfolge aus, tippst sie in eine Maske, und der Server auf der anderen Seite vergleicht deine Eingabe mit einem dort gespeicherten Prüfwert.

Dieses Modell ist im Jahr 2026 nicht mehr tragfähig. Automatisierte Angriffe, Datenlecks bei Dienstleistern und KI-gestützte Täuschungsversuche haben das klassische Passwort zu einer offenen Flanke gemacht. Wenn Kriminelle einen Server hacken, erbeuten sie Passwörter millionenfach. Wenn du eine gefälschte Anmeldeseite aufrufst, tippst du dein Geheimnis freiwillig ein. Wie eine Analyse im Vodafone Business Blog zu aktuellen Schäden durch Cyberkriminalität aufzeigt, beläuft sich der jährliche Gesamtschaden für die deutsche Wirtschaft inzwischen auf rund 289 Milliarden Euro. Der Großteil dieser Angriffe beginnt nicht mit komplexen Zero-Day-Lücken, sondern mit gestohlenen Zugangsdaten. Laut dem Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI) stellen Passwörter bei 86,7 Prozent aller analysierten Datenabflüsse die primäre Beute dar.

Gleichzeitig stagniert das Verhalten im Alltag: Laut Erhebungen des Branchenverbands Bitkom nutzt rund ein Drittel der Bürger identische Kennwörter für mehrere Online-Dienste. Jeder Vierte wählt gezielt simple Kombinationen, um nicht den Zugang zu verlieren. Weniger als dreißig Prozent greifen konsequent zu einem Passwort-Manager. Wir verlangen vom menschlichen Gedächtnis eine Disziplin, die biologisch gegen automatisierte Angriffsnetze chancenlos ist.

Genau an dieser Sollbruchstelle setzt die Reihe Besser machen an: Es geht nicht darum, sich noch kompliziertere Merksätze auszudenken oder alle drei Monate Kennwörter zu wechseln. Es geht darum, das Passwort durch eine Technologie zu ersetzen, die Phishing bauartbedingt unmöglich macht. Diese Technologie heißt Passkey. In diesem Beitrag zeige ich dir, wie das Verfahren funktioniert, warum deine Daten damit geschützt bleiben und wie du deine wichtigsten Konten in einer Viertelstunde umstellst.

Das Paradox der Bekanntheit: Warum so wenige umsteigen

Obwohl Apple, Google, Microsoft, Amazon und die Deutsche Telekom Passkeys fest in ihre Systeme integriert haben, herrscht in Deutschland eine erstaunliche Lücke zwischen Theorie und Praxis. Die offizielle BSI-Verbraucherbefragung zur passwortlosen Authentisierung zeichnet ein klares Bild: Rund 38 Prozent der Bundesbürger haben den Begriff schon einmal gehört. Doch lediglich 18 Prozent nutzen Passkeys aktiv im Alltag.

Wer den Schritt einmal gemacht hat, will selten zurück: 72 Prozent der aktiven Nutzer bescheinigen der Technik ein hohes oder sehr hohes Vertrauen. Sie loben den Wegfall nerviger Tipparbeit, das Ende von SMS-Bestätigungscodes und die Schnelligkeit. Laut Daten der internationalen FIDO Alliance liegt die Erfolgsquote bei Passkey-Anmeldungen bei 93 Prozent, während passwortbasierte Logins wegen Vertippern und Rücksetzschleifen auf magere 63 Prozent abstürzen. Der Anmeldevorgang selbst verkürzt sich im Schnitt um 73 Prozent.

Warum zögern dann immer noch vier von fünf Internetnutzern? Die BSI-Studie nennt zwei Hauptgründe:

  1. Begriffsverwirrung: Viele Menschen verwechseln Passkeys mit dem Geräte-PIN ihres Telefons, mit der Face-ID-Bildschirmsperre oder mit den Ausfüllhilfen ihres Internetbrowsers.
  2. Die Verlustangst: Fast jeder hat die Sorge im Hinterkopf: „Was passiert eigentlich mit all meinen Zugängen, wenn mein Smartphone gestohlen wird oder in den Main fällt?“

Beide Vorbehalte beruhen auf Unwissenheit über die zugrundeliegende Kryptografie.

Wie Passkeys funktionieren: Abschied vom geteilten Geheimnis

Um zu verstehen, warum ein Passkey so sicher ist, lohnt ein Blick auf die Technik. Ein Passkey basiert auf den offenen Industriestandards FIDO2 und WebAuthn (Web Authentication), die vom Standardisierungsgremium W3C und der FIDO Alliance definiert wurden.

Der entscheidende Unterschied: Es gibt kein gemeinsames Passwort mehr, das auf einem fremden Webserver liegt. Stattdessen kommt asymmetrische Kryptografie zum Einsatz, also ein mathematisches Schlüsselpaar aus zwei getrennten Teilen:

  • Der öffentliche Schlüssel (Public Key): Dieser Schlüssel wird bei der Einrichtung erzeugt und an den jeweiligen Online-Dienst übermittelt, zum Beispiel an Google, Amazon oder PayPal. Er liegt dort offen in der Benutzerdatenbank. Selbst wenn Kriminelle diese Datenbank komplett kopieren, können sie mit dem öffentlichen Schlüssel nichts anfangen. Er dient lediglich als mathematisches Schloss, nicht als Schlüssel.
  • Der private Schlüssel (Private Key): Dieser Schlüssel verlässt dein Endgerät niemals. Er wird direkt im hardwarebasierten Sicherheitschip deines Telefons, Tablets oder Laptops generiert und isoliert gespeichert. Bei Apple ist das die Secure Enclave, bei Android-Geräten der Hardware-Backed Keystore oder Titan-Chip, bei Windows-Rechnern das Trusted Platform Module (TPM 2.0).

Wenn du dich künftig einloggen willst, fragt der Server nicht nach einem Passwort. Stattdessen sendet er eine zufällige, einmalige mathematische Rechenaufgabe an dein Gerät, eine sogenannte Challenge. Dein Smartphone verlangt nun von dir eine lokale Bestätigung: einen Fingerabdruck, einen Gesichtsscan oder deinen Gerätecode.

Wichtig dabei: Weder dein Fingerabdruck noch dein Gesicht werden jemals über das Internet übertragen. Die Biometrie ist lediglich der lokale Schalter, der den privaten Schlüssel auf deinem Chip für den Bruchteil einer Sekunde freigibt. Dein Gerät signiert die Rechenaufgabe mathematisch und schickt das Ergebnis zurück an den Server. Der Server prüft mit seinem öffentlichen Schlüssel, ob die Signatur stimmt. Ist die Rechnung korrekt, bist du eingeloggt. Dauer: weniger als zwei Sekunden.

Im ausführlichen Eintrag unseres Nachschlagewerks Was ist ein Passkey? kannst du diese Definition und die Unterschiede zu klassischen Kennwörtern noch einmal im Detail nachschlagen.

Warum Passkeys Phishing technisch unmöglich machen

Im Artikel über die fünf häufigsten Phishing- und Betrugsmaschen habe ich beschrieben, wie raffinierte Kriminelle heute arbeiten. Sie schicken dir täuschend echte E-Mails und leiten dich auf Webseiten, die wie das Original aussehen. Bei einem klassischen Passwort fällst du darauf herein: Du tippst deine Daten ein, die Betrüger fangen sie ab und übernehmen dein Konto. Selbst wenn du eine SMS mit einem Einmalcode erhältst, leiten moderne Phishing-Kits diesen Code in Echtzeit an den echten Dienst weiter.

Bei Passkeys läuft dieser Angriff komplett ins Leere. Der Grund dafür nennt sich Domain-Binding (Bindung an die Relying Party ID).

Das WebAuthn-Protokoll koppelt die Schlüsselprüfung fest an die tatsächliche Internetadresse im Browser. Dein Browser liest die verifizierte Domain der aktiven TLS-Verschlüsselung aus. Lautet die Adresse im Browser paypal.com, sucht dein Betriebssystem nach dem passenden privaten Schlüssel für exakt diese Domain.

Bist du jedoch auf einen Betrugslink hereingefallen und befindest dich auf paypal-sicherheits-login.de, stellt dein Browser sofort fest: Die anfragende Domain stimmt nicht mit der registrierten Adresse überein. Dein Smartphone verweigert schlichtweg die Freigabe des Schlüssels. Es gibt keine Eingabemaske, in die du versehentlich etwas eintippen könntest. Es gibt kein Geheimnis, das du preisgeben kannst. Die Phishing-Seite bleibt stumm, und der Angreifer geht leer aus.

Passkeys schützen dich somit nicht durch menschliche Aufmerksamkeit, sondern durch kryptografische Gesetzmäßigkeiten.

Der 15-Minuten-Fahrplan: Deine wichtigsten Konten umstellen

Du musst nicht an einem einzigen Tag dein gesamtes digitales Leben umkrempeln. Es reicht völlig, wenn du an den fünf zentralen Schalthebeln ansetzt. Wenn diese Konten gesichert sind, ist der Großteil deiner digitalen Identität gegen Angriffe abgeschirmt.

Nimm dir fünfzehn Minuten Zeit und gehe diese fünf Schritte der Reihe nach durch.

Minute 0 bis 3: Dein Google-Konto

Das Google-Konto ist für viele der Generalschlüssel: Es steuert Android-Smartphones, Gmail-Postfächer, YouTube und oft auch die Anmeldung bei Drittanbietern.

  1. Rufe im Browser myaccount.google.com auf und logge dich ein.
  2. Klicke im Menü links auf Sicherheit.
  3. Wähle unter dem Punkt „So melden Sie sich bei Google an“ die Option Passkeys und Sicherheitsschlüssel.
  4. Klicke auf Passkey erstellen und bestätige die Abfrage auf deinem Gerät mit Fingerabdruck, Face ID oder Bildschirmsperre.
  5. Aktiviere anschließend die Option „Passwort nach Möglichkeit überspringen“. Künftig reicht beim Login die Bestätigung auf deinem Smartphone.

Minute 3 bis 6: Apple Account oder Microsoft-Konto

Hier liegen deine Gerätesicherungen, Cloud-Dateien und System-Backups.

  • Auf iPhone, iPad oder Mac: Öffne die Einstellungen (iOS) bzw. Systemeinstellungen (macOS). Tippe ganz oben auf deinen Namen und wähle Anmeldung und Sicherheit. Apple verwaltet Passkeys automatisch im Ende-zu-Ende-verschlüsselten iCloud-Schlüsselbund. Wenn du künftig auf einer Website einen Passkey anlegst, fragt Safari automatisch: „Möchtest du einen Passkey sichern?“. Ein Blick in Face ID genügt.
  • Bei Microsoft (Windows): Melde dich unter account.microsoft.com an. Gehe auf Sicherheit, dann auf Erweiterte Sicherheitsoptionen und wähle Neue Methode zur Anmeldung oder Verifizierung hinzufügen. Klicke auf Passkey und folge den Anweisungen von Windows Hello.

Minute 6 bis 9: Dein primäres E-Mail-Postfach

Wer dein E-Mail-Postfach kontrolliert, kann bei fast jedem Onlinedienst auf „Passwort vergessen“ klicken und deine Konten kapern. Deshalb gehört das Hauptpostfach an vorderste Stelle.

  • Deutsche Telekom (T-Online): Logge dich auf telekom.de im Kundencenter ein. Navigiere zu den Login-Einstellungen und wähle Sicherheit. Klicke beim Menüpunkt Passkey auf Jetzt einrichten und bestätige mit deinem Fingerabdruck. Damit ist dein Telekom-Login passwortlos geschützt.
  • Andere Provider: Anbieter wie GMX, Web.de oder Fastmail rollen Passkeys schrittweise in ihren Sicherheitseinstellungen aus. Prüfe in den Kontoeinstellungen unter „Sicherheit“, ob der Menüpunkt bereits verfügbar ist.

Minute 9 bis 12: Finanz- und Bezahldienste (PayPal)

Finanzkonten sind das primäre Ziel von Betrügern. PayPal unterstützt Passkeys seit geraumer Zeit vollständig.

  1. Logge dich bei PayPal ein und klicke oben rechts auf das Zahnrad-Symbol für die Kontoeinstellungen.
  2. Wechsle auf den Reiter Sicherheit.
  3. Klicke neben Passkeys auf Aktualisieren oder Erstellen.
  4. Bestätige den Dialog deines Betriebssystems. Künftig bezahlst du im Netz mit einem kurzen Scan deines Gesichts oder Fingers, ohne SMS-Tipperei.

Minute 12 bis 15: Shopping (Amazon und eBay)

E-Commerce-Konten werden gerne für Warenbestellungen auf fremde Rechnung missbraucht.

  • Amazon: Öffne im Browser oder in der App den Bereich Mein Konto. Gehe auf Anmelden und Sicherheit. Klicke neben Passkey auf Einrichten. Folge den Bildschirmanweisungen deines Handys.
  • eBay: Unter Mein eBay in die Kontoeinstellungen gehen, dort auf Einloggen und Sicherheit klicken und Passkeys als Anmeldemethode hinzufügen.

Fünfzehn Minuten, fünf Dienste, und das Risiko eines Kontodiebstahls bei deinen wichtigsten Alltagsanwendungen ist drastisch gesunken.

Was passiert bei Handyverlust? Die Notfallszenarien

Die häufigste Frage, die mir gestellt wird: „Armin, was mache ich, wenn mein Telefon weg ist? Bin ich dann für immer aus meinen Konten ausgesperrt?“

Die Antwort lautet: Nein. In der Praxis unterscheidet man zwei Arten von Passkeys:

  1. Hardwaregebundene Passkeys (Device-Bound): Diese liegen auf einem physischen USB-Sicherheitsstick wie einem YubiKey oder Nitrokey. Sie können den Stick niemals verlassen. Verlierst du den Stick und hast keinen Zweitschlüssel registriert, hast du ein Problem. Dieses Verfahren wird vor allem von Firmen und Behörden mit extrem hohen Sicherheitsanforderungen genutzt.
  2. Synchronisierte Passkeys (Multi-Device Credentials): Das ist der Standard für Verbraucher. Deine Passkeys werden verschlüsselt über die Cloud deines Betriebssystems synchronisiert: bei Apple über den iCloud-Schlüsselbund, bei Google über den Google Passwort-Manager, bei Windows über das Microsoft-Konto.

Diese Synchronisierung erfolgt mit starker Ende-zu-Ende-Verschlüsselung. Weder Apple noch Google können deine privaten Schlüssel einsehen. Wenn du dir nach einem Verlust ein neues Smartphone kaufst, meldest du dich mit deiner Apple ID oder deinem Google-Konto an. Zur Entschlüsselung deiner Passkeys verlangt das System zusätzlich den Sperrcode deines alten Geräts oder eine Bestätigung über ein zweites vertrauenswürdiges Gerät. Sobald du diesen Code eingibst, sind all deine Passkeys auf dem neuen Handy wieder verfügbar.

Um für Notfälle perfekt aufgestellt zu sein, empfehle ich zwei einfache Vorsichtsmaßnahmen:

  • Ein zweites Gerät im selben Ökosystem: Wenn du neben deinem Smartphone ein Tablet, ein MacBook oder einen Windows-PC nutzt, registriere dort dasselbe Benutzerkonto. Geht das Handy verloren, dient das Tablet als sichere Brücke.
  • Plattformunabhängige Passwort-Manager: Wenn du gemischte Systeme nutzt, etwa ein iPhone und einen Windows-Laptop, kannst du Passkeys direkt in modernen Passwort-Managern wie Bitwarden oder 1Password speichern. Diese verwalten Passkeys plattformübergreifend und synchronisieren sie über einen eigenen verschlüsselten Tresor.

Gleichzeitig hat die FIDO Alliance mit den Standards CXF (Credential Exchange Format) und CXP (Credential Exchange Protocol) Spezifikationen verabschiedet, die künftig den reibungslosen Export und Import von Passkeys zwischen verschiedenen Herstellern ermöglichen, ganz ohne Plattformfalle.

Brauche ich noch eine Zwei-Faktor-Authentifizierung?

Hier herrscht ein weit verbreitetes Missverständnis. Viele glauben, der Passkey ersetze nur das Passwort und man müsse danach weiterhin einen SMS-Code eingeben.

Das Gegenteil ist der Fall: Ein Passkey ist bereits eine vollwertige Zwei-Faktor-Authentifizierung. Die Kryptografie vereint bauartbedingt zwei voneinander unabhängige Faktoren:

  • Faktor Besitz: Du musst das Gerät besitzen, auf dem der private kryptografische Schlüssel gespeichert ist (dein Smartphone oder Laptop).
  • Faktor Inhärenz oder Wissen: Du musst die lokale Gerätesperre überwinden (durch dein biometrisches Merkmal wie Fingerabdruck/Gesicht oder deinen Geräte-PIN).

Beide Faktoren greifen zeitgleich in einer einzigen Sekunde. Ein zusätzlicher SMS-Code ist technisch komplett überflüssig und stellt sogar ein Sicherheitsrisiko dar. Angreifer versuchen bei sogenannten Downgrade-Angriffen gezielt, Nutzer auf gefälschten Seiten zur Eingabe von SMS-Codes zu bewegen.

Meine Empfehlung: Sobald du bei einem Dienst einen Passkey eingerichtet hast, prüfe in den Sicherheitseinstellungen, ob du unsichere Fallback-Kanäle wie SMS-Zusendungen deaktivieren kannst.

Anmeldung an fremden Rechnern und Smart-TVs

Wie funktioniert das Anmelden, wenn du bei Freunden am Computer sitzt oder dich auf einem Hotel-Fernseher bei einem Streaming-Dienst einloggen möchtest? Auch dafür gibt es eine durchdachte Lösung: die FIDO Cross-Device Authentication.

Der Ablauf ist denkbar einfach:

  1. Wähle auf dem fremden Bildschirm beim Login die Option „Mit anderem Gerät anmelden“ oder „Passkey verwenden“.
  2. Der Bildschirm zeigt dir einen dynamischen QR-Code an.
  3. Öffne die normale Kamera-App auf deinem Smartphone und scanne den Code.
  4. Dein Smartphone baut im Hintergrund eine kurze Nahbereichsverbindung via Bluetooth Low Energy (BLE) zum Zielgerät auf.
  5. Dieser Bluetooth-Check stellt physikalisch sicher, dass sich dein Smartphone tatsächlich im selben Raum wie der Bildschirm befindet (Reichweite wenige Meter). Ein Hacker aus Übersee kann dir diesen QR-Code also nicht unterschieben.
  6. Du bestätigst die Anmeldung auf deinem Smartphone per Fingerabdruck.
  7. Der fremde Computer wird sofort freigeschaltet, ohne dass dort irgendein Passwort oder Schlüssel hinterlegt wird. Wenn du den Browser schließt, bist du abgemeldet.

Die Realität bei deutschen Banken: Warum es dort noch hakt

Während internationale Tech-Konzerne und Bezahldienste wie PayPal den Umstieg vormachen, erleben Kunden traditioneller deutscher Banken oft Ernüchterung. Wer bei Sparkassen, der DKB oder der ING nach einer Passkey-Anmeldung sucht, sucht meist vergeblich.

Die Institute setzen weiterhin auf eigene Freigabeverfahren wie S-pushTAN, die DKB-App oder die ING-Banking-App. Die Gründe dafür sind historischer und regulatorischer Natur:

  • Die Auslegung der Zahlungsdiensterichtlinie (PSD2): Die Aufsichtsbehörden BaFin und EBA haben synchronisierte Passkeys über Jahre zögerlich bewertet, weil die Replikation in Clouddiensten als Verwischung der geforderten Kanaltrennung ausgelegt wurde.
  • Investitionsschutz: Die Banken haben Millionen in die Entwicklung ihrer proprietären Apps gesteckt. Diese Anwendungen sichern den Login ab, sind für die Häuser aber gleichzeitig der wichtigste digitale Vertriebskanal für hauseigene Finanzprodukte.

Das Problem daran: Genau diese App-Freigaben werden zunehmend Ziel von Phishing-Angriffen. Kriminelle versenden E-Mails über angebliche Systemupdates oder ablaufende Registrierungen, locken Kunden auf gefälschte Bankseiten und rufen sie teilweise sogar an, um sie zur Bestätigung in der Bank-App zu bewegen.

Bis die europäische Regulierung (PSD3) und die technischen Richtlinien des BSI (BSI TR-03188) auch den Bankensektor zur Einführung offener FIDO2-Schnittstellen bewegen, gilt für Bankkunden: Sei bei pushTAN-Freigaben doppelt vorsichtig. Bestätige niemals eine Aufforderung auf deinem Telefon, die du nicht in diesem Moment selbst an einem vertrauten Computer ausgelöst hast. Weitere Tipps zum Schutz deiner persönlichen Identität findest du in unserer Checkliste Datenschutz.

Fazit: Die einfachste Sicherheitsverbesserung des Jahres

Wir haben uns jahrzehntelang daran gewöhnt, dass Sicherheit im Internet wehtun muss: kryptische Sonderzeichenfolgen, ständiges Zurücksetzen, vergessene Antworten auf Sicherheitsfragen und das ungute Gefühl, dass irgendwo im Netz ein Passwort durchgesickert ist.

Passkeys beenden diesen Zustand. Sie sind das seltene Beispiel für eine Technologie, die ein System drastisch sicherer macht und den Alltag gleichzeitig spürbar bequemer gestaltet. Du musst dir nichts mehr merken. Du kannst auf Phishing-Links klicken, ohne dass deine Zugangsdaten gestohlen werden. Und du sparst bei jeder Anmeldung wertvolle Sekunden.

Mein Rat für den heutigen Tag: Warte nicht, bis dein nächstes Passwort in einer Datenbank im Darknet auftaucht. Nimm dir heute Abend eine Viertelstunde Zeit. Fang mit deinem Google-Konto oder deiner Apple ID an, sichere dein Hauptpostfach und PayPal ab. Es ist eine kleine Umstellung mit einer enormen Wirkung. Genau das bedeutet es, Dinge im Alltag einfach besser zu machen.

Fehler in diesem Beitrag gefunden? Bitte melden →