Passwörter haben eine Schwäche: Sie lassen sich auf gefälschten Anmeldeseiten abfragen, denn wer sein Passwort kennt, kann es auch an der falschen Stelle eintippen. Passkeys setzen an dieser Stelle an. Sie ersetzen das Passwort durch ein Schlüsselpaar, von dem der geheime Teil Ihr Gerät nicht verlässt. Dieser Beitrag erklärt, wie die Anmeldung mit Passkeys funktioniert, warum sie besser gegen Phishing schützt und was Unternehmen bei der Einführung beachten sollten.
Was ist ein Passkey?
Ein Passkey ist ein Anmeldeverfahren ohne Passwort. Grundlage sind die Standards der FIDO Alliance, eines Industrieverbands für Anmeldestandards. Die FIDO Alliance beschreibt einen Passkey als Zugangsnachweis, der auf dem Smartphone, dem Computer oder einem Hardware-Sicherheitsschlüssel gespeichert sein kann (FIDO Alliance: Passkeys).
Technisch steckt hinter der Bezeichnung FIDO2 zweierlei: WebAuthn, die Schnittstelle im Browser, über die Webseiten Passkeys anlegen und abfragen, und CTAP, das Protokoll zwischen Browser oder Betriebssystem und dem Authentifikator. Ein Authentifikator ist der Baustein, der den Schlüssel verwahrt, etwa das Smartphone oder ein Sicherheitsschlüssel. WebAuthn ist eine Empfehlung des W3C, des Gremiums für Webstandards (W3C: Web Authentication Level 3).
Wie funktioniert die Anmeldung mit einem Passkey?
Ein Passkey besteht aus zwei Schlüsseln, die mathematisch zusammengehören: einem privaten Schlüssel und einem öffentlichen Schlüssel. Der Ablauf hat zwei Phasen.
Einrichten
- Sie melden sich wie bisher beim Dienst an und wählen in den Sicherheitseinstellungen „Passkey erstellen“.
- Ihr Gerät erzeugt ein neues Schlüsselpaar, eigens für diesen Dienst und dieses Konto.
- Der private Schlüssel bleibt auf Ihrem Gerät oder Sicherheitsschlüssel. Der Dienst erhält nur den öffentlichen Schlüssel.
Anmelden
- Der Dienst schickt eine Anfrage, im Fachjargon Challenge. Das ist eine ausreichend große Zufallszahl.
- Sie bestätigen die Anmeldung auf Ihrem Gerät, so wie Sie es entsperren: mit Fingerabdruck, Gesichtserkennung, PIN oder Muster.
- Das Gerät signiert die Anfrage mit dem privaten Schlüssel und schickt die Signatur zurück.
- Der Dienst prüft die Signatur mit dem hinterlegten öffentlichen Schlüssel. Passt sie, sind Sie angemeldet.
Entscheidend ist: Es wird nichts ver- oder entschlüsselt, und kein Geheimnis wird übertragen. Der private Schlüssel verlässt das Gerät nicht. Das BSI beschreibt diesen Ablauf ausführlich auf seiner Seite zur Kryptografie hinter Passkeys.
Auch der Fingerabdruck oder das Gesichtsbild bleiben lokal. Laut FIDO Alliance werden biometrische Daten auf dem Gerät verarbeitet und nicht an einen Server gesendet. Sie dienen nur dazu, den Schlüssel auf dem Gerät freizugeben.
Für den Dienst hat das einen weiteren Vorteil: Er speichert keine Passwörter mehr, sondern nur öffentliche Schlüssel. Wird seine Datenbank gestohlen, lässt sich daraus nach Angaben der FIDO Alliance kein privater Schlüssel ableiten.
Warum Passkeys besser vor Phishing schützen
Phishing bedeutet, dass Angreifer Sie auf eine gefälschte Anmeldeseite locken und dort Ihre Zugangsdaten abgreifen. Bei Passwörtern funktioniert das, weil Sie das Passwort selbst eintippen, auch auf der falschen Seite.
Bei Passkeys prüft der Browser oder die App bei jeder Anmeldung, ob die Seite wirklich der Dienst ist, für den der Passkey erstellt wurde. Auf einer gefälschten Adresse steht der Passkey deshalb nicht zur Verfügung. Das BSI fasst zusammen, dass Passkeys auf Phishing-Webseiten nicht funktionieren. In seiner Bewertung von Anmeldeverfahren stuft es Passkeys als resistent gegen übliche Phishing-Angriffe ein.
Zum Vergleich: Einmalcodes per SMS, per E-Mail oder aus einer App mit zeitbasierten Codes (TOTP) schützen laut BSI nicht vor Phishing in Echtzeit. Dabei leitet eine gefälschte Seite Ihre Eingaben sofort an den echten Dienst weiter und fängt so auch den zweiten Faktor ab (BSI: Bewertung von Zwei-Faktor-Verfahren). Diese Verfahren sind trotzdem deutlich besser als ein Passwort allein. Mehr dazu lesen Sie in unserem Ratgeber zur Multi-Faktor-Authentifizierung.
Phishing-resistent heißt nicht, dass jedes Risiko verschwindet. Passkeys schützen die Anmeldung. Gegen Schadsoftware auf dem Gerät, gegen Betrugsmails, die zu Überweisungen verleiten, oder gegen unsichere Wiederherstellungswege eines Dienstes helfen andere Maßnahmen.
Synchronisierter Passkey oder Sicherheitsschlüssel?
Passkeys und Sicherheitsschlüssel sind nicht dasselbe. Ein Sicherheitsschlüssel ist ein Gerät, etwa ein USB- oder NFC-Stick, auf dem Passkeys gespeichert werden können. Passkeys gibt es in zwei Arten:
| Art | Wo liegt der private Schlüssel? | Was das bedeutet |
|---|---|---|
| Synchronisierter Passkey | verschlüsselt in einem Kennungsanbieter, zum Beispiel Apple iCloud-Schlüsselbund, Google Passwortmanager oder ein anderer Passwortmanager | steht auf allen Geräten zur Verfügung, die mit diesem Anbieter verbunden sind; nach dem Verlust eines Geräts lässt er sich über den Anbieter wiederherstellen |
| Gerätegebundener Passkey | auf genau einem Gerät, zum Beispiel einem FIDO2-Sicherheitsschlüssel oder in Microsoft Authenticator | verlässt dieses Gerät nicht; für jedes weitere Gerät oder jeden weiteren Stick richten Sie einen eigenen Passkey ein |
Ein synchronisierter Passkey bleibt also nicht auf einem einzigen Gerät. Wir empfehlen deshalb, auch das Konto beim Synchronisationsanbieter gut abzusichern. Microsoft empfiehlt Unternehmen, synchronisierte Passkeys als phishing-resistent zu behandeln, aber mit demselben Sicherheitsstatus wie andere Authentifikatoren, deren Herkunft nicht bestätigt ist (Microsoft Learn: Passkeys in Microsoft Entra ID). Für besonders berechtigte Konten, etwa Administratoren, nennt Microsoft gerätegebundene Passkeys als Beispiel.
Was passiert, wenn das Gerät verloren geht?
Das hängt von der Art des Passkeys ab. Das BSI nennt drei Wege (BSI: Passkeys – anmelden ohne Passwort):
- Synchronisierte Passkeys lassen sich wiederherstellen, wenn sie in einer Cloud synchronisiert werden oder lokale Sicherungen bestehen.
- Wer Passkeys auf einem FIDO2-Stick nutzt, sollte einen zweiten Stick als Ersatz einrichten.
- Fehlt beides, müssen Sie sich an den Anbieter wenden und das Konto wiederherstellen lassen.
Wir empfehlen, den Wiederherstellungsweg vor dem Ernstfall festzulegen und für wichtige Konten mindestens zwei Passkeys einzurichten.
Passkeys im Unternehmen: Beispiel Microsoft 365
Viele kleine und mittlere Unternehmen melden sich bei Microsoft 365 über Microsoft Entra ID an, den Anmeldedienst von Microsoft. Dort stehen Passkeys nach Angaben von Microsoft in allen Editionen zur Verfügung, auch in Entra ID Free, ohne zusätzliche Lizenz. Für die Einführung sind einige Punkte wichtig:
- Richtlinie: Administratoren aktivieren Passkeys in den Richtlinien für Authentifizierungsmethoden. Mit Passkey-Profilen legen sie je Benutzergruppe fest, ob gerätegebundene, synchronisierte oder beide Arten erlaubt sind.
- Registrierung: Vor dem Einrichten eines Passkeys müssen Benutzer innerhalb der letzten fünf Minuten eine mehrstufige Anmeldung abgeschlossen haben.
- Durchsetzen: Über bedingten Zugriff lässt sich für sensible Anwendungen eine phishing-resistente Anmeldung verlangen.
- Grenzen: Gastbenutzer können keine Passkeys registrieren. Ändert sich der Anmeldename eines Benutzers, muss er seinen Passkey neu anlegen.
Wir empfehlen eine schrittweise Einführung: zuerst die IT und Administratorkonten, dann eine Pilotgruppe, danach alle Mitarbeitenden. Parallel klären Sie den Wiederherstellungsweg und schulen kurz, wie die Anmeldung aussieht.
Brauchen Unternehmen dann noch Passwörter?
Vorerst ja. Nicht jeder Dienst und nicht jede Fachanwendung unterstützt Passkeys. Wo noch Passwörter im Einsatz sind, bleiben klare Regeln und ein zweiter Faktor wichtig. Wie gute Regeln aussehen, beschreibt unser Ratgeber zu Passwort-Richtlinien. Das BSI rät, regelmäßig zu prüfen, ob ein Dienst inzwischen Passkeys anbietet, und empfiehlt bis dahin eine Zwei-Faktor-Authentisierung.
Die Umstellung gehört in ein Gesamtbild: Welche Konten sind besonders wichtig, welche Anwendungen unterstützen Passkeys, wer darf welche Art nutzen? Diese Fragen klären wir gemeinsam mit Ihnen im Rahmen unserer Leistungen zur IT-Sicherheit und bei der Einrichtung von Microsoft 365 und weiteren Cloud-Lösungen. Im Rahmen unserer Managed Services übernehmen wir auch den laufenden Betrieb.
Passkeys einführen: Sprechen Sie mit uns
Sie möchten wissen, ob und wie Passkeys in Ihrem Unternehmen funktionieren? Die GSL Groß GmbH betreut Unternehmen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt mit uns auf, und wir besprechen Ihre Ausgangslage.