Was ist ein Passkey?

Einfach erklärt

Ein Passkey ersetzt das Passwort durch einen digitalen Schlüssel, der auf Ihrem Gerät liegt. Beim Anmelden entsperren Sie ihn so, wie Sie Ihr Smartphone entsperren: mit Fingerabdruck, Gesicht oder PIN. Den Rest erledigen Gerät und Dienst im Hintergrund. Es gibt nichts mehr, das Sie sich merken, abtippen oder versehentlich verraten könnten.

Warum Passkeys vor gefälschten Seiten schützen

Ein Passkey gehört fest zu der Adresse, für die er angelegt wurde. Auf einer nachgebauten Anmeldeseite mit anderer Adresse funktioniert er schlicht nicht. Der geheime Teil des Schlüssels verlässt Ihr Gerät dabei nie. Das BSI stuft Passkeys deshalb als widerstandsfähig gegen übliche Angriffe mit gefälschten Seiten ein, das sogenannte Phishing. Bietet ein vertrauenswürdiger Dienst Passkeys an, können Sie damit nach Einschätzung des BSI Ihr Passwort ersetzen.

Was Sie tun können

• Passkeys zuerst für wichtige Konten einrichten, die sie anbieten, etwa E-Mail und Microsoft 365.
• Jeden Zugang doppelt absichern: über die Synchronisierung auf ein zweites Gerät oder mit einem zweiten Sicherheitsschlüssel. Schlüssel zum Anstecken lassen sich nicht kopieren, das BSI rät deshalb zu einem zweiten Exemplar.
• Für Administratorkonten eignen sich solche Sicherheitsschlüssel besonders, weil der Passkey das Gerät nie verlässt.

Ihr IT-Dienstleister kann Passkeys im Firmenkonto freischalten und die Schlüssel verteilen.

Gut zu wissen: Ein Passkey auf dem Smartphone funktioniert auch am Laptop. Der Laptop zeigt einen QR-Code, das Smartphone scannt ihn und prüft über Bluetooth, dass es in der Nähe ist.

Was Passkeys nicht können

Bietet ein Dienst neben dem Passkey weiterhin Passwort und SMS-Code an, bleibt dieser schwächere Weg offen. Außerdem kann sich anmelden, wer Ihr entsperrtes Gerät in der Hand hat. Bildschirmsperre und Updates bleiben deshalb wichtig.

Funktionsweise

Ein Passkey ist ein FIDO2-Credential nach W3C Web Authentication (WebAuthn, Level 3 ist seit August 2026 W3C Recommendation) und dem Client to Authenticator Protocol (CTAP) der FIDO Alliance. Bei der Registrierung erzeugt der Authenticator ein Schlüsselpaar je Relying Party. Der Dienst speichert nur den öffentlichen Schlüssel. Bei der Anmeldung signiert der Authenticator eine Challenge des Servers.

Das Credential ist an die RP ID gebunden, eine Domain wie ihre-firma.de. Browser und Authenticator geben es nur für Origins dieser Relying Party heraus. Darauf beruht die Phishing-Resistenz: Eine Seite unter ihre-flrma.de bekommt keine Signatur.

await navigator.credentials.create({ publicKey: {
  rp: { id: "ihre-firma.de", name: "Ihre Firma" },
  user: { id: userIdBytes, name: "anna@ihre-firma.de", displayName: "Anna" },
  challenge: serverChallenge,
  pubKeyCredParams: [{ type: "public-key", alg: -7 }],   // ES256
  authenticatorSelection: { residentKey: "required", userVerification: "required" }
}});

residentKey: "required" legt ein Discoverable Credential an, das ohne vorherige Eingabe des Benutzernamens funktioniert.

Synchronisiert oder gerätegebunden

• Synced Passkeys liegen im Schlüsselbund des Betriebssystems oder in einem Passwortmanager und werden zwischen Geräten synchronisiert. Komfortabel, die Sicherheit hängt aber am Konto des Synchronisationsdienstes. Diesen Teil hat das BSI in seiner Bewertung ausdrücklich nicht betrachtet.
• Device-bound Passkeys liegen etwa auf einem FIDO2-Sicherheitsschlüssel und verlassen ihn nicht. Wiederherstellung nur über einen zweiten Schlüssel.

Für Notfallkonten in Microsoft Entra ID empfiehlt Microsoft Passkeys (FIDO2) oder zertifikatbasierte Anmeldung.

Typische Fehler

• Schwache Ausweichwege. Passwort plus SMS bleibt als Alternative aktiv. In Entra ID erzwingt eine Authentifizierungsstärke im bedingten Zugriff phishing-resistente Verfahren.
• RP ID zu eng. Ein Passkey mit RP ID login.ihre-firma.de funktioniert nicht unter www.ihre-firma.de. Wer mehrere Subdomains bedient, wählt die registrierbare Domain.
• Nur ein Authenticator. Ohne zweiten Schlüssel oder Synchronisierung sperrt ein Verlust den Zugang.
• User Verification nicht verlangt. Ohne userVerification: "required" kann eine bloße Berührung des Schlüssels genügen, PIN oder Biometrie werden dann nicht geprüft.

Prüfen

Registrierung und Anmeldung lassen sich in Chrome ohne echten Schlüssel testen: Entwicklertools öffnen, im Befehlsmenü „Show WebAuthn“ wählen und einen virtuellen Authenticator mit CTAP2, Resident Keys und User Verification anlegen. Der Bereich zeigt jedes registrierte Credential mit ID und Sign Count.