Was ist ein Passkey?
Ein Passkey ist eine Anmeldemethode auf Basis des WebAuthn-Standards, den die FIDO Alliance und das W3C entwickelt haben. Wenn Sie auf einer Website einen Passkey erstellen, erzeugt Ihr Gerät ein Schlüsselpaar nur für diese Website: Der private Schlüssel bleibt bei Ihnen (auf Ihrem Gerät oder in Ihrem Passwort-Manager), der öffentliche Schlüssel wird bei der Website hinterlegt.
Bei der Anmeldung tippen Sie kein Passwort ein. Ihr Gerät bestätigt per Face ID, Fingerabdruck, PIN oder Bildschirmsperre, dass Sie es sind, und signiert dann mit dem privaten Schlüssel eine einmalige „Challenge“, die die Website geschickt hat. Die Website prüft diese Signatur mit dem öffentlichen Schlüssel und meldet Sie an.
Im Deutschen ist manchmal auch von „Passkeys“ als passwortloser Anmeldung oder von FIDO2-Anmeldedaten die Rede. Unterstützt werden Passkeys von den Betriebssystemen von Apple, Google und Microsoft sowie von vielen Passwort-Managern.
Was unterscheidet einen Passkey von einem Passwort?
Ein Passwort ist ein Geheimnis, das sowohl Sie als auch die Website kennen. Die Website speichert eine Prüfsumme (Hash) Ihres Passworts, und Sie senden bei jeder Anmeldung das Geheimnis selbst. Beim Passkey verlässt das Geheimnis Ihr Gerät dagegen nie, und der bei der Website gespeicherte öffentliche Schlüssel nützt für sich allein niemandem.
- Geschützt bei Datenlecks: Selbst wenn die Datenbank einer Website erbeutet wird, enthält sie nur öffentliche Schlüssel. Damit kann sich niemand in Ihrem Konto anmelden.
- Geschützt vor Phishing: Ein Passkey ist an die Domain gebunden, für die er erstellt wurde. Auf einer gefälschten Seite wie „ihre-bank.de.login-pruefen.xyz“ wird er gar nicht erst angeboten; Sie können ihn also auch nicht versehentlich preisgeben.
- Keine Wiederverwendung: Für jede Website entsteht ein eigenes Schlüsselpaar. Das Problem mehrfach verwendeter Passwörter fällt damit weg.
- Nichts zu merken: Die Anmeldung geht so schnell wie das Entsperren Ihres Smartphones oder Computers.
Wie funktioniert ein Passkey technisch?
Hinter Passkeys steckt asymmetrische Kryptografie (Public-Key-Kryptografie). Der Ablauf besteht aus zwei Phasen:
Registrierung
Die Website fordert über Ihren Browser einen neuen Passkey an. Nachdem Ihr Gerät Sie bestätigt hat, erzeugt es ein Schlüsselpaar speziell für diese Website und Ihr Konto. Der öffentliche Schlüssel geht an die Website; der private Schlüssel bleibt auf Ihrem Gerät oder in dem Passwort-Manager, der Ihre Passkeys speichert.
Anmeldung
Die Website sendet einen Zufallswert (die Challenge). Der Browser prüft, ob die Anfrage tatsächlich von der registrierten Domain stammt. Sobald Sie per Biometrie oder PIN zustimmen, signiert der private Schlüssel diesen Wert, und die Website prüft die Signatur mit dem öffentlichen Schlüssel. Dabei wird kein Geheimnis über das Netz übertragen.
Wo werden Passkeys gespeichert?
Passkeys lassen sich auf zwei Arten aufbewahren:
- Synchronisierte Passkeys: Sie liegen in einem Passwort-Manager oder im Schlüsselbund des Betriebssystems und werden verschlüsselt auf alle Ihre Geräte synchronisiert. Selbst wenn Sie Ihr Smartphone verlieren, sind Ihre Passkeys nicht verloren.
- Gerätegebundene Passkeys: Sie bleiben auf einem Hardware-Sicherheitsschlüssel oder einem einzelnen Gerät und lassen sich nicht kopieren. Für Konten mit sehr hohem Schutzbedarf sind sie die erste Wahl; verlieren Sie das Gerät, brauchen Sie allerdings eine alternative Anmeldemethode.
Der Vorteil eines Passwort-Managers: Sie können Passkeys aus verschiedenen Ökosystemen (z. B. iPhone und Windows-PC) in einem Tresor zusammenführen.
Wo liegen die Grenzen von Passkeys?
Passkeys verbreiten sich schnell, sind aber noch nicht überall angekommen. Das sollten Sie wissen:
- Nicht jede Website unterstützt Passkeys. Bei den meisten Konten werden Sie noch eine Weile Passwörter und 2FA nutzen.
- Viele Websites behalten neben dem Passkey ein Passwort als Ausweichmethode für die Anmeldung. Auch dieses Passwort sollte stark und einzigartig sein.
- Passkeys lassen sich nicht in jedem Fall zwischen Produkten übertragen. Notfalls erstellen Sie in den Kontoeinstellungen der Website einfach einen neuen Passkey.
- Halten Sie Ihre Wiederherstellungsoptionen (Ersatz-E-Mail-Adresse, Wiederherstellungscodes) aktuell.
Wie nutzen Sie Passkeys mit KeyZula?
KeyZula speichert Ihre Passkeys im selben Tresor wie Ihre Passwörter, Ende-zu-Ende-verschlüsselt, und synchronisiert sie auf alle Ihre Geräte:
- Mit der Browser-Erweiterung (Chrome, Edge, Brave, Firefox, Safari) sowie den Apps für iOS und Android erstellen Sie Passkeys auf Websites und melden sich damit an.
- Wenn Sie auf einer Website „Passkey erstellen“ wählen, legt KeyZula den Eintrag in Ihrem Tresor an. Bei späteren Anmeldungen genügt die Bestätigung per Biometrie oder PIN.
- Auch bei KeyZula selbst können Sie sich per Passkey anmelden; auf vertrauenswürdigen Geräten müssen Sie Ihr Master-Passwort dann nicht eintippen.
Mehr dazu finden Sie bei den Passkey-Funktionen.
Häufige Fragen
Werden Passkeys Passwörter vollständig ersetzen?
Langfristig dürften sie Passwörter bei vielen Konten ablösen; heute unterstützt aber noch nicht jede Website Passkeys. Noch eine Weile werden Passwörter und 2FA-Codes neben Passkeys im Einsatz sein.
Sind meine Passkeys weg, wenn ich mein Smartphone verliere?
Nicht, wenn Sie sie in einem Passwort-Manager oder einem synchronisierten Schlüsselbund speichern: Sobald Sie sich auf dem neuen Gerät anmelden, stehen sie wieder zur Verfügung. Nur Passkeys, die an ein einzelnes Gerät gebunden sind, gehen mit diesem Gerät verloren.
Schickt ein Passkey meine biometrischen Daten an die Website?
Nein. Face ID oder Fingerabdruck werden nur auf Ihrem Gerät verwendet, um die Nutzung des Passkeys freizugeben. An die Website geht keine biometrische Information, sondern nur eine kryptografische Signatur.
Kostet das Speichern von Passkeys in KeyZula etwas?
Nein. Alle Funktionen von KeyZula sind kostenlos, einschließlich Speichern von Passkeys und Anmelden per Passkey.