Passkey einrichten statt Passwörter eintippen: Google, Apple und Microsoft ermöglichen die Anmeldung inzwischen über Fingerabdruck, Gesichtserkennung, Geräte-PIN oder einen physischen Sicherheitsschlüssel, berichtet die Techify. Dabei wird kein gemeinsam genutztes Passwort an den Onlinedienst übertragen.
Der private kryptografische Schlüssel bleibt auf dem Gerät oder im geschützten Passwortmanager, während der Dienst nur den dazugehörigen öffentlichen Schlüssel speichert.
Passkeys reduzieren damit vor allem das Risiko durch gefälschte Login-Seiten, gestohlene Passwortdatenbanken und mehrfach verwendete Kennwörter. Sie ersetzen jedoch nicht automatisch alle bisherigen Wiederherstellungswege: Vor der Umstellung müssen Nutzer prüfen, wo der Passkey gespeichert wird, welche Geräte synchronisiert werden und wie der Zugang nach Verlust oder Defekt eines Smartphones wiederhergestellt werden kann.
Was ein Passkey ist und warum er ein Passwort ersetzen kann
Ein Passkey besteht technisch aus einem kryptografischen Schlüsselpaar. Der öffentliche Schlüssel wird beim Anbieter hinterlegt, der private Schlüssel verbleibt dagegen im geschützten Speicher des Geräts oder eines synchronisierten Anmeldedaten-Managers. Beim Login sendet der Dienst eine digitale Herausforderung, die nur mit dem passenden privaten Schlüssel signiert werden kann.
Der Nutzer muss diesen Vorgang nicht selbst verwalten. Er bestätigt die Anmeldung mit Face ID, Touch ID, Windows Hello, einem Fingerabdrucksensor oder der lokalen Geräte-PIN. Die biometrischen Daten werden dabei nicht an Google, Apple, Microsoft oder die besuchte Website übertragen.
Ein Passkey ist außerdem an die echte Domain des Dienstes gebunden. Eine nachgebaute Phishing-Seite kann deshalb normalerweise keine gültige Passkey-Anmeldung für die Originalseite auslösen. Das ist ein entscheidender Unterschied zu Passwörtern und Einmalcodes, die Nutzer versehentlich auf einer gefälschten Website eingeben können.
„Passkeys are a simple and secure way to sign in … without a password.“
— Google zur Passkey-Anmeldung in Chrome.
Trotz der Bezeichnung „passwortlos“ entfernen viele Anbieter das bisherige Passwort nicht sofort aus dem Konto. Es bleibt häufig als alternative Anmelde- oder Wiederherstellungsmethode bestehen. Nutzer sollten daher auch nach der Passkey-Einrichtung alte Passwörter prüfen, Wiederherstellungsdaten aktualisieren und unbekannte Geräte aus dem Konto entfernen.
Der Passkey ersetzt die Eingabe des Kontopassworts. Die Bildschirmsperre des Smartphones oder Computers bleibt jedoch erforderlich, weil sie den lokalen Zugriff auf den privaten Schlüssel schützt.
Passkey, Passwort und Zwei-Faktor-Authentifizierung im Vergleich
| Methode | Was der Nutzer benötigt | Phishing-Risiko | Risiko bei Datenleck | Typischer Schwachpunkt |
|---|---|---|---|---|
| Passwort | Zeichenfolge | hoch | hoch | Wiederverwendung, schwache Kennwörter |
| Passwort plus SMS | Passwort und Mobilfunknummer | mittel | mittel | Phishing, SIM-Swapping |
| Authenticator-App | Passwort und Einmalcode | mittel | geringer | Echtzeit-Phishing, Geräteverlust |
| Passkey | Gerät und lokale Entsperrung | sehr gering | sehr gering | fehlender Wiederherstellungsweg |
| Sicherheitsschlüssel | physischer Schlüssel und PIN | sehr gering | sehr gering | Verlust des Schlüssels |
Wer noch keine passwortlose Anmeldung verwenden kann, sollte mindestens eine zweite Anmeldekomponente aktivieren. Der Ratgeber zur Einrichtung der Zwei-Faktor-Authentifizierung mit App, Passkey oder Sicherheitsschlüssel zeigt, welche Methode sich für private Konten, häufige Gerätewechsel und besonders sensible Zugänge eignet.
Welche Voraussetzungen für Passkeys erfüllt sein müssen
Passkeys funktionieren nur, wenn sowohl der verwendete Dienst als auch das Gerät, das Betriebssystem und der Browser die Technik unterstützen. Zusätzlich muss eine sichere Bildschirmsperre eingerichtet sein. Ohne PIN, Fingerabdruck, Gesichtserkennung oder ein vergleichbares Verfahren kann das Gerät den privaten Schlüssel nicht zuverlässig schützen.
Auf Android werden Passkeys üblicherweise über den Google Passwortmanager oder einen kompatiblen Drittanbieter verwaltet. Auf Apple-Geräten übernimmt diese Aufgabe die Passwörter-App beziehungsweise der iCloud-Schlüsselbund. Windows kann Passkeys lokal über Windows Hello speichern oder einen synchronisierten Anmeldedaten-Manager verwenden.
Für die Nutzung auf mehreren Geräten ist die Synchronisation besonders relevant. Ein lokal gespeicherter Windows-Passkey befindet sich nicht automatisch auf einem anderen Computer. Ein über Google oder Apple synchronisierter Passkey kann dagegen auf weiteren autorisierten Geräten desselben Kontos verfügbar werden.
Vor der Einrichtung sollten folgende Punkte geprüft werden:
- Das Betriebssystem ist aktuell.
- Das Gerät besitzt eine aktive Bildschirmsperre.
- Fingerabdruck, Gesichtserkennung oder Geräte-PIN funktionieren.
- Der Browser wurde aktualisiert.
- Die Zwei-Faktor-Authentifizierung des Plattformkontos ist aktiv.
- Wiederherstellungs-E-Mail und Telefonnummer sind erreichbar.
- Es existiert mindestens ein zweites vertrauenswürdiges Gerät oder ein alternativer Zugang.
- Der Passkey wird nicht auf einem fremden oder öffentlich genutzten Gerät erstellt.
Google warnt ausdrücklich davor, einen Passkey auf gemeinsam verwendeten Geräten anzulegen. Wer das Gerät entsperren kann, könnte sonst auch auf das damit verknüpfte Google-Konto zugreifen.
Passkey bei Google einrichten
Ein Passkey bei Google kann für das Google-Konto selbst sowie für unterstützte Websites und Apps erstellt werden. Auf Android und in Chrome wird er meist im Google Passwortmanager gespeichert. Google kann Passkeys über Geräte hinweg synchronisieren, wenn auf den Geräten dasselbe Google-Konto verwendet wird.
Die Einrichtung sollte auf einem persönlichen Smartphone oder Computer erfolgen. Nutzer melden sich zunächst regulär im Google-Konto an und bestätigen gegebenenfalls erneut ihre Identität. Anschließend lässt sich im Sicherheitsbereich ein neuer Passkey erzeugen.
Passkey für das Google-Konto erstellen
- Das persönliche Google-Konto öffnen.
- Den Bereich „Sicherheit“ aufrufen.
- „Passkeys und Sicherheitsschlüssel“ auswählen.
- „Passkey erstellen“ anklicken oder antippen.
- Die lokale Sicherheitsabfrage bestätigen.
- Fingerabdruck, Gesichtserkennung oder Geräte-PIN verwenden.
- Die Einrichtung abschließen.
- Den Passkey durch eine neue Anmeldung testen.
Je nach Gerät kann Google anbieten, den Passkey im Google Passwortmanager, auf dem lokalen Computer oder auf einem physischen Sicherheitsschlüssel zu speichern. Die Auswahl sollte nicht beiläufig bestätigt werden. Sie entscheidet darüber, auf welchen Geräten der Passkey später verfügbar ist.
In Chrome kann beim ersten gespeicherten Passkey zusätzlich ein Google-Passwortmanager-PIN angefordert werden.
Dieser PIN schützt den Zugriff auf synchronisierte Passkeys in Situationen, in denen eine zusätzliche Bestätigung notwendig ist.
„Only create passkeys on devices you personally own and use.“
— Google zur sicheren Einrichtung eines Passkeys.
Nach der Erstellung bevorzugt Google bei unterstützten Anmeldungen häufig den Passkey. Das Passwort bleibt dennoch verfügbar, sofern der Nutzer die bisherige Anmeldemethode nicht ausdrücklich deaktiviert oder das Konto vollständig auf passwortlose Nutzung umgestellt wurde.
Wer den Zugang zum Google-Konto bereits verloren hat, sollte nicht zuerst neue Passkeys auf unbekannten Geräten erstellen. Der Leitfaden zur Wiederherstellung eines gesperrten Google-Kontos ohne alte Telefonnummer erklärt, wie bekannte Geräte, Wiederherstellungsadressen und frühere Anmeldedaten in der richtigen Reihenfolge eingesetzt werden.
Passkeys im Google Passwortmanager kontrollieren
Gespeicherte Zugangsdaten lassen sich auf Android über die Systemeinstellungen oder direkt im Google Passwortmanager anzeigen. In Chrome befindet sich die Verwaltung unter „Passwörter und Autofill“ beziehungsweise „Google Passwortmanager“.
Dort können Nutzer:
- gespeicherte Passkeys anzeigen;
- prüfen, welchem Konto sie zugeordnet sind;
- automatisch erstellte Passkeys kontrollieren;
- nicht mehr benötigte Zugangsdaten löschen;
- die Synchronisation überprüfen;
- den Passwortmanager-PIN verwalten;
- gespeicherte Kennwörter auf Sicherheitsprobleme prüfen.
Das Löschen im Passwortmanager und das Entfernen im jeweiligen Onlinekonto sind nicht immer derselbe Vorgang. Bei sensiblen Konten sollte der Passkey sowohl auf dem Gerät als auch in den Sicherheitseinstellungen des Dienstes entfernt werden.
Google kann für Websites mit bereits gespeichertem Passwort automatisch einen Passkey erzeugen, sofern diese Funktion aktiviert ist und die Website sie unterstützt. Diese Automatisierung lässt sich in den Einstellungen des Google Passwortmanagers ein- oder ausschalten.
Passkey auf iPhone, iPad und Mac einrichten
Apple speichert Passkeys auf dem iPhone und anderen Apple-Geräten verschlüsselt im iCloud-Schlüsselbund. Voraussetzung sind ein aktivierter iCloud-Schlüsselbund, eine eingerichtete Zwei-Faktor-Authentifizierung für den Apple Account sowie eine funktionierende Gerätesperre.
Die Erstellung erfolgt normalerweise direkt auf der Website oder in der App, für die der Passkey angelegt werden soll. Safari oder die Anwendung zeigt eine Schaltfläche wie „Passkey erstellen“, „Mit Passkey anmelden“ oder „Passwort durch Passkey ersetzen“. Anschließend bestätigt der Nutzer den Vorgang mit Face ID, Touch ID oder dem Gerätecode.
Passkeys erscheinen in der Passwörter-App zusammen mit den Daten des jeweiligen Dienstes. Auf älteren Systemversionen kann sich die Verwaltung noch unter „Einstellungen“ und „Passwörter“ befinden. Auf aktuellen Apple-Systemen bündelt die eigenständige Passwörter-App Passwörter, Passkeys, WLAN-Zugänge und Verifizierungscodes.
Passkey auf dem iPhone erstellen
- Die Website oder App des unterstützten Dienstes öffnen.
- Mit dem vorhandenen Konto anmelden.
- Den Bereich „Sicherheit“ oder „Anmeldeoptionen“ aufrufen.
- „Passkey erstellen“ auswählen.
- Den vorgeschlagenen Kontonamen prüfen.
- Die Speicherung im iCloud-Schlüsselbund bestätigen.
- Face ID, Touch ID oder den Gerätecode verwenden.
- Die Passwörter-App öffnen und den neuen Eintrag kontrollieren.
- Eine Testanmeldung durchführen.
Apple beschreibt Passkeys als eindeutig für das jeweilige Konto erzeugte Zugangsdaten, die weniger anfällig für Phishing sind. Sie werden verschlüsselt im iCloud-Schlüsselbund gespeichert und auf autorisierten Geräten desselben Apple Accounts bereitgestellt.
„Passkeys are a replacement for passwords … resistant to phishing.“
— Apple zur Sicherheit von Passkeys.
Bei Apple wird nicht das Gesicht oder der Fingerabdruck in die Cloud übertragen. Face ID und Touch ID bestätigen lokal, dass die berechtigte Person den geschützten Passkey verwenden darf.
Passkey auf einem Mac nutzen
Auf einem Mac kann die Anmeldung mit Touch ID, der Benutzerkonto-Sperre oder einem nahegelegenen iPhone beziehungsweise iPad bestätigt werden. Besitzt der Mac keinen Fingerabdrucksensor, lässt sich die lokale Anmeldung häufig über das Gerätekennwort freigeben.
Bei einer Anmeldung auf einem fremden Computer kann das iPhone einen QR-Code scannen. Danach bestätigt der Nutzer den Zugriff auf dem Smartphone. Die Geräte müssen sich in unmittelbarer Nähe befinden; die Kommunikation wird gewöhnlich über Bluetooth abgesichert.
Diese Möglichkeit ist für gelegentliche Logins hilfreich, sollte aber nicht mit einer dauerhaften Speicherung auf dem fremden Rechner verwechselt werden. Auf öffentlichen Computern darf kein neuer lokaler Passkey gespeichert werden.
In der Passwörter-App auf dem Mac lassen sich Einträge öffnen, bearbeiten und löschen. Apple weist darauf hin, dass das Löschen eines Passkeys aus der App nicht zwingend den Zugangsschlüssel aus dem Konto des jeweiligen Dienstes entfernt. Deshalb müssen zusätzlich die Sicherheitseinstellungen der betreffenden Website geprüft werden.
Passkey für das Microsoft-Konto und Windows 11 einrichten
Ein Passkey bei Microsoft kann für ein persönliches Microsoft-Konto, ein Arbeits- oder Schulkonto sowie für unterstützte Drittanbieter-Websites verwendet werden. Unter Windows 11 erfolgt die Bestätigung meist über Windows Hello, also Gesichtserkennung, Fingerabdruck oder PIN.
Microsoft unterscheidet zwischen lokal in Windows gespeicherten Passkeys und Zugangsdaten, die ein synchronisierter Passwortmanager verwaltet. Diese Unterscheidung ist für den Gerätewechsel entscheidend.
Ein lokaler Passkey kann nach einem Defekt oder einer Neuinstallation nicht automatisch auf einem anderen PC erscheinen.
Für persönliche Microsoft-Konten lässt sich der Zugang über die erweiterten Sicherheitsoptionen hinzufügen. Dort wird eine neue Methode zur Anmeldung oder Identitätsprüfung ausgewählt. Als Speicherort können Windows Hello, ein Smartphone, ein kompatibler Passwortmanager oder ein Sicherheitsschlüssel angeboten werden.
Passkey für ein persönliches Microsoft-Konto erstellen
- Das Microsoft-Konto auf einem vertrauenswürdigen Gerät öffnen.
- Zu den erweiterten Sicherheitsoptionen wechseln.
- „Neue Anmelde- oder Verifizierungsmethode hinzufügen“ auswählen.
- Gesicht, Fingerabdruck, PIN oder Sicherheitsschlüssel wählen.
- Den vorgesehenen Speicherort prüfen.
- Die Windows-Hello-Abfrage bestätigen.
- Dem Passkey einen nachvollziehbaren Namen geben, sofern angeboten.
- Das Konto abmelden.
- Die erneute Anmeldung mit dem Passkey testen.
Microsoft nennt für persönliche Konten ausdrücklich die Auswahl „Face, Fingerprint, PIN, or Security Key“. Der Passkey kann anschließend zur Anmeldung genutzt werden, ohne das Microsoft-Passwort einzugeben.
„Instead of typing a password, you use your phone or device to confirm it’s really you.“
— Microsoft zur Funktionsweise von Passkeys.
Windows-Hello-PIN und Microsoft-Kontopasswort erfüllen unterschiedliche Aufgaben. Die PIN entsperrt den kryptografischen Schlüssel auf dem konkreten Gerät. Sie wird nicht wie ein gewöhnliches Onlinepasswort an Microsoft übertragen.
Nutzer, die zwischen Windows-Versionen wechseln, sollten vor Änderungen prüfen, ob alle Sicherheitsfunktionen und Passkey-Optionen unterstützt werden. Der Vergleich Windows 12 versus Windows 11 und die relevanten Unterschiede beim Upgrade hilft bei der Einordnung von Geräteanforderungen, Updatewegen und Sicherheitsfunktionen.
In Windows gespeicherte Passkeys anzeigen und löschen
Windows 11 besitzt in den Einstellungen einen eigenen Bereich für Passkeys. Der genaue Pfad lautet üblicherweise:
- Einstellungen öffnen;
- „Konten“ auswählen;
- „Passkeys“ öffnen;
- den gewünschten Eintrag suchen;
- über das Menü die Detailansicht oder Löschfunktion wählen;
- die Aktion mit Windows Hello bestätigen.
Microsoft erklärt, dass lokal gespeicherte Passkeys unter „Konten > Passkeys“ verwaltet werden können. Passkeys eines Microsoft-Kontos können zusätzlich im persönlichen oder geschäftlichen Sicherheits-Dashboard erscheinen.
Ein lokal gelöschter Passkey sollte auch aus dem Microsoft-Konto entfernt werden, wenn das Gerät verkauft, weitergegeben oder dauerhaft außer Betrieb genommen wird. Bei einem Firmenrechner können darüber hinaus Vorgaben der IT-Abteilung gelten.
Welcher Passkey-Speicher für welche Geräte geeignet ist
Die Wahl des Speichers beeinflusst Komfort, Wiederherstellung und Plattformwechsel. Nutzer, die ausschließlich Android und Chrome verwenden, profitieren häufig von der Synchronisation über den Google Passwortmanager.
In einem vollständig auf Apple-Geräte ausgerichteten Haushalt ist der iCloud-Schlüsselbund meist die naheliegende Lösung.
Wer Windows, Android, iPhone und mehrere Browser parallel nutzt, sollte vor der Umstellung prüfen, welcher Passwortmanager auf allen benötigten Plattformen verfügbar ist. Andernfalls entstehen mehrere voneinander getrennte Passkey-Sammlungen.
| Nutzungssituation | Geeigneter Speicher | Vorteil | Zu beachten |
|---|---|---|---|
| Android und Chrome | Google Passwortmanager | Synchronisation im Google-Konto | Schutz des Google-Kontos entscheidend |
| iPhone, iPad und Mac | iCloud-Schlüsselbund | tiefe Systemintegration | Apple Account und Wiederherstellung absichern |
| Einzelner Windows-PC | Windows Hello | lokale Kontrolle | kein automatischer Zugriff auf anderem PC |
| Gemischte Geräte | plattformübergreifender Passwortmanager | zentrale Verwaltung | Browser- und Systemunterstützung prüfen |
| Besonders sensibles Konto | Hardware-Sicherheitsschlüssel | vom Cloudkonto unabhängiger Faktor | mindestens einen Ersatzschlüssel einrichten |
| Öffentlicher oder fremder PC | Passkey vom Smartphone per QR-Code | keine dauerhafte lokale Speicherung | Sitzung danach vollständig abmelden |
Ein Konto sollte möglichst nicht von einem einzigen physischen Gerät abhängen. Sinnvoll sind mindestens zwei voneinander unabhängige Zugangswege, beispielsweise ein synchronisierter Passkey auf Smartphone und Notebook sowie ein sicher verwahrter Hardware-Schlüssel.
Gerätewechsel, Verlust und Wiederherstellung richtig vorbereiten
Der häufigste Fehler bei der Umstellung besteht darin, das Passwort zu ersetzen, ohne einen Notfallzugang zu planen. Geht anschließend das einzige Smartphone verloren, können Nutzer trotz moderner Anmeldung vor einem erheblichen Wiederherstellungsproblem stehen.
Vor dem vollständigen Wechsel sollten daher mindestens zwei Passkeys oder alternative Anmeldeoptionen eingerichtet werden. Ein zweites persönliches Gerät, ein Hardware-Sicherheitsschlüssel oder geprüfte Wiederherstellungscodes reduzieren die Abhängigkeit von einem einzelnen Smartphone.
Empfohlene Reihenfolge:
- Passkey auf dem Hauptgerät erstellen.
- Anmeldung vollständig testen.
- Zweiten Passkey auf einem weiteren Gerät anlegen.
- Wiederherstellungs-E-Mail kontrollieren.
- Telefonnummer aktualisieren.
- Backup-Codes neu erzeugen.
- Codes außerhalb des Hauptgeräts speichern.
- Alte und unbekannte Geräte entfernen.
- Erst danach schwache oder mehrfach verwendete Passwörter ersetzen.
- Beim Geräteverkauf alle Passkeys und Kontositzungen löschen.
Beim Wechsel auf ein neues Smartphone sollte zuerst die Synchronisation oder Übertragung abgeschlossen werden. Danach wird getestet, ob Google-, Apple- und Microsoft-Konten erreichbar sind. Erst wenn der Login auf dem neuen Gerät funktioniert, sollte das alte Smartphone aus den Konten entfernt und zurückgesetzt werden.
Microsoft empfiehlt bei einem neuen Gerät, zunächst neue Passkeys einzurichten und anschließend nicht mehr benötigte alte Passkeys aus dem Konto zu löschen.
Warum Passkeys besser gegen Phishing und SIM-Swapping schützen
Passwörter können auf gefälschten Anmeldeseiten eingegeben, durch Schadsoftware ausgelesen oder aus Datenlecks übernommen werden. Passkeys funktionieren anders: Der Browser oder das Betriebssystem prüft, für welche Domain der Zugangsschlüssel erstellt wurde.
Eine Phishing-Seite mit ähnlich aussehender Adresse besitzt nicht den passenden öffentlichen Schlüssel. Der Passkey wird deshalb für diese Domain nicht angeboten oder kann die gestellte kryptografische Herausforderung nicht korrekt beantworten.
Auch gegen SIM-Swapping bieten Passkeys einen Vorteil. Der Login hängt nicht von einem per SMS versendeten Code ab. Ein Angreifer, der die Mobilfunknummer übernimmt, erhält dadurch nicht automatisch Zugriff auf den privaten Schlüssel.
Die Telefonnummer kann dennoch als Kontowiederherstellungsmethode hinterlegt sein. Wird sie kompromittiert, könnten Angreifer versuchen, andere Zugangswege zurückzusetzen. Der ausführliche Beitrag zum Schutz vor SIM-Swapping, fremden eSIM-Profilen und gestohlenen SMS-Codes erklärt, warum Provider-PIN, getrennte Wiederherstellungswege und Passkeys gemeinsam eingesetzt werden sollten.
Was Passkeys nicht verhindern
Passkeys schützen nicht vor jedem Angriff. Wird ein entsperrtes Gerät gestohlen, kann eine fremde Person unter Umständen bereits geöffnete Konten nutzen. Auch betrügerische Freigabeanfragen, Fernzugriffssoftware und manipulierte Geräte bleiben ein Risiko.
Passkeys verhindern ebenfalls nicht:
- Schadsoftware auf einem bereits entsperrten System;
- Diebstahl aktiver Sitzungscookies;
- unberechtigten Zugriff durch Personen mit Geräte-PIN;
- Betrug innerhalb eines bereits geöffneten Kontos;
- gefälschte Supportanrufe;
- unsichere Wiederherstellungs-E-Mails;
- fehlende Gerätesperren;
- versehentlich bestätigte Kontoänderungen.
Bei einem Verdacht auf Kontoübernahme müssen deshalb nicht nur Passkeys, sondern auch aktive Sitzungen, Wiederherstellungswege und verbundene Apps geprüft werden. Der Leitfaden zum Zurückholen eines gehackten Instagram-Kontos zeigt dieses Prinzip anhand von Fremdgeräten, geänderten Kontaktdaten und kompromittierten E-Mail-Zugängen.
Häufige Fehler bei der Passkey-Einrichtung
Ein Passkey darf nicht auf einem gemeinsam genutzten Familiencomputer, einem Firmenrechner ohne persönliche Kontrolle oder einem öffentlich zugänglichen Gerät gespeichert werden. Wer das Gerät entsperren kann, könnte den damit verbundenen Zugang verwenden.
Problematisch ist auch die Annahme, ein biometrisches Merkmal ersetze automatisch alle anderen Sicherheitsmaßnahmen. Der Fingerabdruck gibt lediglich die lokale Verwendung des Schlüssels frei. Wiederherstellungs-E-Mail, Gerätesperre und Plattformkonto müssen weiterhin geschützt werden.
Typische Fehler sind:
- nur einen Passkey auf einem einzigen Gerät speichern;
- den Speicherort während der Einrichtung nicht prüfen;
- alte Geräte im Konto angemeldet lassen;
- die Geräte-PIN mit anderen Personen teilen;
- keine Wiederherstellungscodes sichern;
- Passkeys auf Arbeits- oder Leihgeräten erstellen;
- das alte Smartphone vor dem Test des neuen Geräts löschen;
- den Passkey nur lokal speichern und eine Cloud-Synchronisation annehmen;
- nach einem Geräteverlust lediglich das Passwort ändern;
- den Passkey auf dem Gerät löschen, aber nicht aus dem Onlinekonto entfernen.
Wer Passkeys unterwegs in öffentlichen Netzen verwendet, sollte zusätzlich auf aktive Sitzungen und die Echtheit des Netzwerks achten. Die Anleitung zum sicheren Einsatz öffentlicher WLAN-Netzwerke beschreibt, wie manipulierte Hotspots, automatische Verbindungen und ungeschützte Freigaben vermieden werden.
Checkliste nach der Einrichtung
Nach der Aktivierung sollte der neue Anmeldeweg nicht ungeprüft bleiben. Ein erfolgreicher Test zeigt, ob der Passkey tatsächlich am erwarteten Ort gespeichert wurde und ob alternative Geräte korrekt funktionieren.
Die abschließende Kontrolle umfasst:
- vom Konto abmelden;
- Browser vollständig schließen;
- neue Anmeldung mit Passkey starten;
- richtige E-Mail-Adresse und Domain prüfen;
- lokale Freigabe mit PIN oder Biometrie bestätigen;
- zweiten Passkey testen;
- Wiederherstellungsdaten kontrollieren;
- alte Passkeys eindeutig benennen oder löschen;
- unbekannte Geräte abmelden;
- Backup-Codes sicher verwahren;
- Passwort nur behalten, wenn es einzigartig und stark ist;
- Geräteverschlüsselung und automatische Updates aktivieren.
Passkeys sollten außerdem regelmäßig überprüft werden. Das gilt besonders nach Gerätewechsel, Reparatur, Verlust, Verkauf oder einer ungewöhnlichen Sicherheitsmeldung.
Fragen und Antworten zu Passkeys
Kann ein Passkey vollständig ohne Passwort verwendet werden?
Ja, wenn der Dienst eine vollständig passwortlose Anmeldung unterstützt. Bei vielen Konten bleibt das bisherige Passwort zunächst als alternative oder wiederherstellende Methode bestehen. Die konkrete Umsetzung unterscheidet sich zwischen Google, Apple, Microsoft und Drittanbietern.
Ist die Geräte-PIN dasselbe wie ein Passwort?
Nein. Die Geräte-PIN entsperrt den lokal gespeicherten privaten Schlüssel. Sie wird normalerweise nicht an den Onlinedienst übertragen und ist an das konkrete Gerät gebunden.
Werden Fingerabdruck oder Gesichtsdaten an die Website gesendet?
Nein. Biometrische Daten dienen nur dazu, den Passkey lokal freizugeben. Die Website erhält eine kryptografische Bestätigung, aber weder Fingerabdruckdaten noch ein Gesichtsbild.
Was passiert, wenn das Smartphone verloren geht?
Der Passkey muss über ein anderes autorisiertes Gerät, einen synchronisierten Passwortmanager, einen Sicherheitsschlüssel oder einen alternativen Wiederherstellungsweg genutzt werden. Das verlorene Gerät sollte sofort aus den Plattformkonten entfernt und gegebenenfalls aus der Ferne gesperrt oder gelöscht werden.
Kann ein Passkey auf Android und iPhone gleichzeitig genutzt werden?
Das hängt vom gewählten Passwortmanager und der Unterstützung des jeweiligen Dienstes ab. Alternativ können für dasselbe Konto mehrere Passkeys erstellt werden, beispielsweise einer im Google Passwortmanager und einer im iCloud-Schlüsselbund.
Kann ein Passkey gestohlen werden?
Der private Schlüssel lässt sich nicht wie ein gewöhnliches Passwort aus einer Anmeldemaske kopieren. Risiken bestehen dennoch bei kompromittierten Geräten, gestohlenen aktiven Sitzungen, unsicherer Gerätesperre oder unzureichend geschützten Cloudkonten.
Sollte das bisherige Passwort sofort gelöscht werden?
Erst nachdem mindestens zwei funktionierende Zugangs- oder Wiederherstellungswege getestet wurden. Unterstützt der Dienst noch keine vollständige Passwortentfernung, sollte das verbleibende Kennwort lang, einzigartig und ausschließlich für dieses Konto verwendet werden.
Sind Hardware-Sicherheitsschlüssel ebenfalls Passkeys?
Moderne FIDO2-Sicherheitsschlüssel können Passkeys speichern. Sie eignen sich besonders für wichtige Konten, Administratorzugänge oder Nutzer, die einen vom Smartphone unabhängigen Anmeldeweg benötigen. Ein Ersatzschlüssel sollte getrennt und sicher aufbewahrt werden.
Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: iPhone lädt nicht über 80 Prozent: Ladeoptimierung, Temperatur und Akku prüfen