Vergessene Passwörter, wiederverwendete Zugangsdaten, gestohlene Anmeldeinformationen aus Datenlecks — Passwörter sind seit Jahrzehnten das dominierende Sicherheitsmerkmal der digitalen Welt. Und seit ebenso langer Zeit sind sie eine der häufigsten Schwachstellen in der IT-Sicherheit von Unternehmen. Mit Passkeys steht eine Technologie bereit, die das klassische Passwort ersetzen kann — ohne dabei Komfort einzubüßen. In diesem Artikel erfahren Sie, wie Passkeys technisch funktionieren, warum sie klassisches Passwort-Phishing erheblich erschweren und worauf Sie bei der Einführung in Ihrem Unternehmen achten sollten. Dabei werden auch die Grenzen der Technologie realistisch eingeordnet — denn Passkeys sind ein wirkungsvolles Werkzeug, aber kein Allheilmittel.
Warum Passwörter zum Risiko werden
Ein Passwort ist im Kern ein geteiltes Geheimnis: Sowohl der Benutzer als auch der Dienst, bei dem er sich anmeldet, müssen das Passwort kennen. Genau darin liegt das grundlegende Problem. Wird das Passwort auf dem Server des Dienstanbieters gestohlen, kann ein Angreifer es direkt verwenden. Wird es durch eine gefälschte Website abgegriffen, ist das Konto kompromittiert — ohne dass der Benutzer es sofort bemerkt. Hinzu kommt menschliches Verhalten: Passwörter werden wiederverwendet, zu einfach gewählt oder auf unsicheren Wegen notiert. Der administrative Aufwand durch Rücksetzungen und Kontosperren ist in vielen Unternehmen erheblich.
Phishing
Gefälschte Websites und E-Mails verleiten Benutzer dazu, ihre Zugangsdaten auf nachgeahmten Anmeldeseiten einzugeben. Das Passwort wird dabei direkt an Angreifer übermittelt.
Wiederverwendete Passwörter
Viele Benutzer verwenden dasselbe Passwort für mehrere Dienste. Wird ein Konto kompromittiert, sind häufig weitere Konten mit identischen Zugangsdaten gefährdet.
Gestohlene Zugangsdaten
Datenlecks bei Onlinediensten legen Millionen von Passwort-Hashes oder Klartextpasswörtern offen. Diese werden in automatisierten Angriffen auf andere Dienste eingesetzt.
Rücksetzungen und Sperren
Vergessene Passwörter verursachen Helpdesk-Aufwand. Kontosperren nach Fehleingaben unterbrechen Arbeitsprozesse und binden IT-Ressourcen.
Was ist ein Passkey?
Ein Passkey ist eine kryptografische Anmeldeinformation, die aus einem Schlüsselpaar besteht: einem privaten und einem öffentlichen Schlüssel. Beim Einrichten eines Passkeys erzeugt Ihr Gerät dieses Schlüsselpaar automatisch. Der öffentliche Schlüssel wird beim Onlinedienst gespeichert, der private Schlüssel verbleibt geschützt auf Ihrem Gerät oder bei Ihrem Passkey-Anbieter.
Um sich anzumelden, bestätigen Sie den Vorgang lokal — etwa durch Ihren Fingerabdruck, einen Gesichtsscan oder eine Geräte-PIN. Wichtig: Biometrische Daten sind nicht der Passkey selbst und werden zu keinem Zeitpunkt an den Onlinedienst übertragen. Sie dienen ausschließlich dazu, den geschützten privaten Schlüssel auf Ihrem Gerät freizugeben. Der Dienst erhält lediglich eine kryptografische Signatur — niemals den Schlüssel selbst oder biometrische Merkmale.
Der Durchlauf einer Passkey-Anmeldung — Schritt für Schritt
- Einrichtung: Bei der erstmaligen Registrierung erzeugt Ihr Gerät oder Ihr Passkey-Anbieter automatisch ein kryptografisches Schlüsselpaar — bestehend aus einem privaten und einem öffentlichen Schlüssel.
- Speicherung des öffentlichen Schlüssels: Der öffentliche Schlüssel wird beim Onlinedienst hinterlegt. Er ist für sich allein nicht geheimhaltungsbedürftig.
- Sicherer Verbleib des privaten Schlüssels: Der private Schlüssel verbleibt geschützt auf Ihrem Gerät, in einem Hardware-Sicherheitsmodul oder bei einem synchronisierenden Passkey-Anbieter. Er verlässt diesen Bereich nicht.
- Challenge beim Login: Bei jeder Anmeldung sendet der Onlinedienst eine einmalige, zufällig erzeugte Challenge an Ihr Gerät. Diese Challenge ist nur für diesen einen Anmeldevorgang gültig.
- Signatur und Prüfung: Ihr Gerät signiert die Challenge mit dem privaten Schlüssel. Der Dienst prüft die Signatur anhand des gespeicherten öffentlichen Schlüssels. Stimmt die Signatur, ist die Anmeldung erfolgreich — ohne dass ein Passwort ausgetauscht wurde.
FIDO2, WebAuthn und CTAP — die technischen Standards
Passkeys basieren auf offenen, herstellerunabhängigen Standards, die gemeinsam von der FIDO Alliance und dem World Wide Web Consortium (W3C) entwickelt wurden. Das BSI ist seit 2015 Mitglied der FIDO Alliance.
- WebAuthn (Web Authentication API): Verbindet den Onlinedienst (Relying Party) über den Browser oder das Betriebssystem mit dem Authentikator. WebAuthn definiert, wie Challenge und Signatur ausgetauscht werden.
- CTAP (Client to Authenticator Protocol): Ermöglicht die Kommunikation zwischen dem Gerät oder Browser und einem externen Authentikator — etwa einem Smartphone oder einem Hardware-Sicherheitsschlüssel.
- FIDO2: Der übergeordnete Standard, der WebAuthn und CTAP zusammenführt und die Basis für passwortlose sowie Zwei-Faktor-Anmeldeverfahren bildet.
- Der Authentikator — also Ihr Gerät oder ein Hardware-Token — erzeugt die kryptografischen Schlüssel, verwahrt den privaten Schlüssel sicher und führt die Signatur durch.
Passkeys sind eine sichere Alternative zu Passwörtern und bieten wirksamen Schutz vor Phishing. Die Technologie gilt als zuverlässige Authentisierungsmethode und eignet sich sowohl für Verbraucherinnen und Verbraucher als auch für den Unternehmenseinsatz.
— Sinngemäß nach Bundesamt für Sicherheit in der Informationstechnik (BSI)
Warum Passkeys vor Phishing schützen — und wo Grenzen bestehen
Der Schutz vor Phishing ist einer der bedeutendsten Vorteile von Passkeys. Das liegt an mehreren zusammenwirkenden Eigenschaften:
- Kein Passwort, das abgegriffen werden kann: Da kein gemeinsames Geheimnis eingegeben oder übertragen wird, gibt es für Angreifer nichts abzufangen.
- Domain-Bindung: Ein Passkey ist an den exakten Onlinedienst gebunden, für den er erstellt wurde — einschließlich der Domain. Eine gefälschte Website kann den Passkey des echten Dienstes nicht nutzen, weil die Domain nicht übereinstimmt.
- Einmalige Challenge: Jede Anmeldung verwendet eine neue, zufällige Challenge. Abgefangene Signaturen früherer Anmeldungen sind wertlos.
- Kein serverseitiges Geheimnis: Beim Onlinedienst wird nur der öffentliche Schlüssel gespeichert. Selbst bei einem Serverangriff erhalten Angreifer keinen direkt verwertbaren Zugang.
Sind Passkeys eine Zwei-Faktor-Authentisierung?
Diese Frage lässt sich nicht pauschal mit Ja oder Nein beantworten — sie hängt von der konkreten technischen Umsetzung ab.
Ein Passkey kann zwei Faktoren miteinander verbinden:
Besitz: Das Gerät oder der Hardware-Sicherheitsschlüssel, auf dem der private Schlüssel liegt.
Wissen oder Biometrie: Die PIN, der Fingerabdruck oder der Gesichtsscan, mit dem der Authentikator vor der Verwendung entsperrt wird.
Entscheidend ist, ob die lokale Benutzerprüfung technisch erzwungen wird. Ist sie verpflichtend vorgeschrieben, kombiniert ein Passkey tatsächlich Besitz mit einem weiteren Faktor. Ist sie optional oder abschaltbar, kann dieser Sicherheitsgewinn entfallen. Für unternehmenskritische Anwendungen empfiehlt es sich, die genaue Implementierung zu prüfen und bei hohen Sicherheitsanforderungen ggf. zusätzliche Maßnahmen vorzusehen.
Synchronisierte oder gerätegebundene Passkeys?
Vergleich: Passwort, Zwei-Faktor-Authentisierung und Passkey
Nur Passwort
Einfach einzurichten, aber anfällig für Phishing, Datenlecks, Wiederverwendung und automatisierte Angriffe. Kein zweiter Faktor schützt das Konto.
Passwort + Einmalcode
Deutlich sicherer als ein Passwort allein. Einmalcodes per App sind empfehlenswert. SMS-basierte Codes gelten als weniger sicher. Phishing-Angriffe können unter Umständen auch Einmalcodes abgreifen.
Passkey mit Gerätefreigabe
Phishing-resistente Anmeldung ohne eingegebenes Passwort. Komfortabel und auf Sicherheit ausgelegt. Sicherheitsniveau abhängig von Implementierung, Gerätesicherheit und Wiederherstellungsverfahren.
Hardware-Sicherheitsschlüssel
Gerätegebundener Passkey auf einem separaten Hardware-Token. Besonders für Hochsicherheitsbereiche geeignet. Höchster Phishing-Schutz, aber aufwendigere Verwaltung und Wiederherstellung.
Passkeys im Unternehmen einführen — ein pragmatischer Weg
Die Einführung von Passkeys erfordert Vorbereitung. Folgende Schritte haben sich als sinnvolle Orientierung bewährt:
1. Unterstützte Anwendungen prüfen: Welche Dienste und Identitätsplattformen in Ihrer Umgebung unterstützen bereits Passkeys oder FIDO2?
2. Prioritäten setzen: Beginnen Sie mit besonders schützenswerten Konten — z. B. Administrator-Zugänge, Cloud-Dienste oder Fernzugänge.
3. Pilotgruppe festlegen: Testen Sie die Einführung mit einer kleinen Gruppe, bevor Sie ausrollen.
4. Regeln definieren: Klären Sie, welche Geräte, Synchronisierungsoptionen und Hardware-Schlüssel zugelassen sind.
5. Wiederherstellung planen: Legen Sie fest, wie bei Geräteverlust oder -defekt vorgegangen wird — bevor es zum Ernstfall kommt.
6. Fallbacks absichern: Alternative Anmeldewege (z. B. E-Mail-Wiederherstellung) können den Sicherheitsgewinn reduzieren. Sichern Sie diese gesondert ab.
7. Offboarding berücksichtigen: Passkeys scheidender Mitarbeitender müssen zuverlässig widerrufen werden.
8. Mitarbeitende informieren: Verständliche Kommunikation erhöht die Akzeptanz und reduziert Supportaufwand.
Passkeys ersetzen keine Geräteverwaltung, keine regelmäßigen Updates, keine Berechtigungskonzepte und kein geregeltes Identitätsmanagement. Sie sind eine sinnvolle Ergänzung einer ganzheitlichen IT-Sicherheitsstrategie.
Was passiert, wenn ein Anbieter gehackt wird?
Bei Passkeys liegt beim Anbieter kein Passwort, das gestohlen, geknackt oder bei anderen Diensten ausprobiert werden kann. Gespeichert wird nur der öffentliche Schlüssel. Dieser reicht allein nicht aus, um sich anzumelden. Andere personenbezogene Daten können bei einem Sicherheitsvorfall natürlich trotzdem betroffen sein — Passkeys reduzieren vor allem das Risiko durch gestohlene Zugangsdaten.
Fazit: Sicherer und einfacher anmelden
Passkeys beseitigen viele der grundlegenden Schwächen klassischer Passwörter: Sie können nicht vergessen werden, sind nicht durch Phishing auf gefälschten Websites verwendbar und erfordern keine gemeinsamen Geheimnisse zwischen Benutzer und Dienst. Gleichzeitig vereinfachen sie den Anmeldealltag — gerade für Unternehmen, in denen viele Mitarbeitende täglich auf mehrere Systeme zugreifen müssen. Der entscheidende Faktor für den Erfolg ist jedoch die sorgfältige technische und organisatorische Einführung: Welche Anwendungen werden unterstützt? Wie wird mit Geräteverlust umgegangen? Welche Fallback-Verfahren existieren, und wie sicher sind sie? Passkeys lösen diese Fragen nicht automatisch — sie bieten aber eine solide Grundlage, auf der ein strukturiertes Anmeldekonzept aufgebaut werden kann. Für kleine und mittelständische Unternehmen empfiehlt sich ein schrittweiser Einstieg: priorisierte Konten, klare Geräterichtlinien und verständliche Information für Mitarbeitende. So entfaltet die Technologie ihren vollen Nutzen.
Passkeys sind kein Allheilmittel — aber sie adressieren viele der häufigsten Schwachstellen im Umgang mit Passwörtern auf elegante Weise. Wer sie durchdacht einführt, verbessert Sicherheit und Benutzerkomfort gleichzeitig.
— opticom IT-Systemhaus GmbH
Wie sicher sind die Anmeldeverfahren in Ihrem Unternehmen?
Viele Unternehmen wissen nicht genau, welche Anmeldeverfahren in ihrer IT-Umgebung tatsächlich im Einsatz sind — und welche Risiken damit verbunden sind. Passwörter ohne zweiten Faktor, veraltete Konten oder fehlende Wiederherstellungskonzepte sind häufige Schwachstellen. Wir unterstützen Sie dabei, bestehende Anmeldeverfahren zu bewerten und geeignete nächste Schritte für Ihre IT-Umgebung zu identifizieren — von der technischen Analyse bis zur schrittweisen Einführung moderner Authentisierungsverfahren.
