Auch genannt: Passkeys; im technischen Umfeld auch synchronisierte oder gerätegebundene Passkeys
Ein Passkey ist ein kryptografischer Anmeldenachweis für ein bestimmtes Konto bei einer Website oder App. Er ersetzt dort typischerweise das Passwort: Die Anmeldung wird auf dem eigenen Gerät oder mit einem Sicherheitsschlüssel bestätigt, etwa durch dessen PIN oder die lokale Geräteentsperrung. Passkeys beruhen auf FIDO-Standards und verwenden Public-Key-Kryptografie. Dadurch muss die Website kein gemeinsames Passwortgeheimnis entgegennehmen oder speichern.FIDO Alliance
Bei einem Passwort kennt die Nutzerin das Geheimnis; ein Dienst sollte zur Prüfung nur eine geeignete kryptografische Prüfinformation, etwa einen Passwort-Hash, speichern. Wer dieses Geheimnis durch Phishing, ein Datenleck oder Wiederverwendung erlangt, kann es häufig auch auf der echten Website einsetzen. Ein Passkey funktioniert anders: Beim Einrichten entsteht ein Schlüsselpaar. Der private Teil bleibt beim Authenticator, also beispielsweise auf dem Gerät oder in einem Hardware-Sicherheitsschlüssel. Die Website erhält den öffentlichen Teil und kann später prüfen, ob eine Anmeldung korrekt signiert wurde. Die WebAuthn-Spezifikation beschreibt solche Zugangsdaten als starke, bereichsgebundene Public-Key-Credentials für Webanwendungen.W3C WebAuthn Level 3
Für Nutzerinnen und Nutzer wirkt der Ablauf oft vertraut: Auf der Anmeldeseite wird ein Passkey ausgewählt; das Betriebssystem oder der Browser fordert anschließend die lokale Bestätigung an. Das kann ein Geräte-PIN, ein Muster, ein Fingerabdruck oder ein anderes bereits eingerichtetes Entsperrverfahren sein. Die Website erhält dabei nicht einfach den Fingerabdruck oder den PIN. Sie bekommt eine kryptografische Antwort auf die Anmeldeanfrage; die lokale Prüfung dient dazu, den Einsatz des privaten Schlüssels freizugeben.
Die technische Grundlage im Web ist meist WebAuthn. Bei der Registrierung bindet die Website, in der Fachsprache Relying Party, eine Public-Key-Zugangsdatenquelle an das Nutzerkonto. Der Authenticator erzeugt dazu ein asymmetrisches Schlüsselpaar. Der öffentliche Schlüssel wird beim Dienst hinterlegt; der private Schlüssel wird vom Authenticator geschützt. Bei einer späteren Anmeldung sendet der Dienst eine neue, nicht vorhersagbare Challenge. Der Authenticator signiert dabei die Authenticator-Daten zusammen mit dem Hash der Client-Daten nach erfolgreicher lokaler Nutzerprüfung. Der Dienst validiert die Signatur mit dem gespeicherten öffentlichen Schlüssel.
Wichtig ist die Bindung an die Website: WebAuthn-Zugangsdaten sind auf die jeweilige Relying Party beziehungsweise deren Kennung beschränkt. Eine täuschend ähnliche Phishing-Domain kann daher nicht dieselbe Anmeldung wie die echte Domain verwenden. Genau diese Herkunftsbindung macht Passkeys phishingresistent. Sie bedeutet aber nicht, dass jedes Risiko verschwindet: Schadsoftware auf einem bereits entsperrten Gerät, gestohlene aktive Sitzungen, schlechte Kontowiederherstellung oder ein kompromittierter Dienst können weiterhin zu einer Kontoübernahme beitragen.
Passkeys können unterschiedlich gespeichert sein. Ein Plattform-Authenticator ist etwa in Telefon, Computer oder Betriebssystem integriert. Ein externer, mitnehmbarer Authenticator kann ein USB-, NFC- oder Bluetooth-Sicherheitsschlüssel sein. Die W3C-Spezifikation unterscheidet außerdem Authenticatoren auf dem Gerät von roaming Authenticatoren, die über Transportwege wie USB, Bluetooth Low Energy oder NFC angebunden werden können.W3C WebAuthn Level 3
Eine Person richtet bei einem Onlinedienst auf ihrem Smartphone einen Passkey ein. Der Dienst speichert nur den öffentlichen Schlüssel für dieses Konto. Beim nächsten Besuch öffnet die Person die echte Anmeldeseite und bestätigt die Passkey-Anfrage auf dem Telefon mit der dort eingerichteten Entsperrmethode. Das Telefon signiert die Challenge; der Dienst prüft die Signatur und meldet die Person an.
Öffnet dieselbe Person stattdessen eine gefälschte Seite, deren Adresse nur ähnlich aussieht, passt die Herkunftsbindung nicht. Der Passkey für den echten Dienst soll dort nicht für eine Anmeldung verfügbar sein. Das ist ein praktischer Unterschied zu einem Passwort, das sich in ein nachgebautes Formular eingeben lässt. Gegen eine gefälschte Seite hilft ein Passkey jedoch nicht dabei, bereits preisgegebene andere Daten oder eine schon entführte Sitzung wieder zurückzuholen.
Passkeys werden für die Anmeldung an Verbraucher-, Arbeits- und Administrationskonten eingesetzt. Sie können eine passwortlose Anmeldung ermöglichen oder zunächst zusätzlich zu vorhandenen Verfahren angeboten werden. Für Organisationen ist der Ansatz besonders dort interessant, wo Passwortzurücksetzungen, wiederverwendete Kennwörter oder Phishing ein relevantes Risiko sind. Die FIDO Alliance beschreibt Passkeys als auf Geräten oder Hardware-Sicherheitsschlüsseln speicherbare FIDO-Anmeldenachweise für Apps und Websites.FIDO Alliance
Für den Zugang zu wichtigen Konten sollte trotzdem ein nachvollziehbarer Wiederherstellungsweg festgelegt sein. Synchronisierte Passkeys können über einen Passkey-Anbieter auf weiteren eigenen Geräten verfügbar werden. Gerätegebundene Passkeys, etwa auf einem Sicherheitsschlüssel, folgen einem anderen Modell: Der konkrete Authenticator bleibt erforderlich. Bei Verlust aller verfügbaren Geräte ist die Kontowiederherstellung eine Aufgabe des jeweiligen Dienstes; sie ist nicht automatisch durch die Passkey-Technik gelöst.
Passkeys können mit Multi-Faktor-Authentifizierung zusammenhängen, sind aber nicht mit jeder MFA-Konfiguration gleichzusetzen. Ob eine konkrete Anmeldung regulatorisch oder organisatorisch als mehrfaktorig gilt, hängt vom eingesetzten Authenticator, der lokalen Nutzerprüfung und den Regeln des Dienstes ab. Für Schutz gegen betrügerische Login-Seiten sind Passkeys häufig stärker als ein Passwort plus per Nachricht übermittelter Code, weil der Nachweis an die richtige Website gebunden ist.
Ein Passkey ist kein universeller Schutz gegen jede Kontoübernahme. Die Qualität der Gerätesperre, die Sicherheit des Passkey-Anbieterkontos, die Wiederherstellungsregeln und die Sitzungsverwaltung des Dienstes bleiben wichtig. Auch eine sichere Anmeldung ersetzt keine vorsichtige Behandlung von E-Mails, keine Updates und keine Prüfung ungewöhnlicher Kontoaktivitäten. Gegen Phishing schützt die Herkunftsbindung vor allem beim eigentlichen Anmeldevorgang; sie verhindert nicht jede Form von Täuschung.
Ein zweites Missverständnis betrifft Biometrie. Fingerabdruck oder Gesichtserkennung können auf einem Gerät eine lokale Methode zur Nutzerprüfung sein. Daraus folgt nicht, dass die Website die biometrischen Rohdaten erhält. Der Passkey-Prozess übermittelt eine signierte kryptografische Antwort, nicht das lokale biometrische Merkmal.
Auch „passwortlos“ bedeutet nicht zwingend, dass ein Passwort sofort aus jedem Konto verschwindet. Manche Dienste führen Passkeys parallel ein, behalten Passwort- oder Recovery-Wege bei oder verlangen für sensible Änderungen eine zusätzliche Prüfung. Deshalb sollte vor einer Umstellung geprüft werden, welche Passkeys verfügbar sind, wie sie synchronisiert oder gesichert werden und wie ein Verlustfall behandelt wird.
Ein Passkey ist kein Passwort: Ein Passwort wird erinnert und eingegeben, während ein Passkey ein geschützter kryptografischer Nachweis auf einem Authenticator ist. Ein Passkey ist auch nicht einfach ein Einmalcode aus einer Authenticator-App. Solche Codes werden bei vielen MFA-Verfahren als zusätzlicher Faktor genutzt, sind aber nicht an die Webherkunft gebunden. Ein Hardware-Sicherheitsschlüssel wiederum ist ein mögliches Gerät, auf dem ein gerätegebundener Passkey liegen kann; nicht jeder Passkey benötigt einen separaten physischen Schlüssel.