Was ist ein Passkey?

Ein Passkey ist ein digitaler Anmeldeschlüssel für ein Benutzerkonto. Er kann ein klassisches Passwort ersetzen und wird auf einem Smartphone, Computer, Tablet, Sicherheitsschlüssel oder in einer dafür vorgesehenen Anwendung gespeichert.

Der Benutzer muss sich den eigentlichen Passkey weder merken noch aufschreiben. Er bestätigt die Anmeldung mit einer Methode, die er bereits vom Entsperren seines Geräts kennt.

Das kann beispielsweise sein:

• ein Fingerabdruck
• eine Gesichtserkennung
• Windows Hello
• die Geräte-PIN
• das Entsperrmuster eines Smartphones
• ein externer FIDO2-Sicherheitsschlüssel

Der Fingerabdruck oder die Gesichtserkennung wird dabei nicht an die aufgerufene Website übertragen. Die biometrische Erkennung dient lediglich dazu, den auf dem Gerät gespeicherten Schlüssel lokal freizugeben.

Für den Benutzer fühlt sich die Anmeldung dadurch häufig so an, als würde er lediglich sein Smartphone oder seinen Computer entsperren. Im Hintergrund bestätigt das Gerät jedoch mit einem kryptografischen Verfahren, dass der richtige Passkey vorhanden ist.

Passkey bedeutet nicht einfach nur „Anmeldung mit Fingerabdruck“

Passkeys werden häufig mit Fingerabdruck oder Gesichtserkennung gleichgesetzt. Das ist technisch nicht ganz richtig.

Der Fingerabdruck ist nicht der Passkey. Auch das Gesicht des Benutzers ist nicht der Passkey.

Der Passkey ist eine kryptografische Anmeldeinformation, die auf dem Gerät gespeichert wird. Fingerabdruck, Gesichtserkennung oder Geräte-PIN dienen lediglich dazu, diesen Schlüssel auf dem Gerät freizugeben.

Vereinfacht dargestellt:

• Der Passkey weist den Zugang zum Benutzerkonto nach.
• Das Gerät bewahrt den Passkey auf.
• Die lokale Entsperrmethode bestätigt, dass der Benutzer das Gerät verwenden darf.

Der Fingerabdruck öffnet nicht direkt das Onlinekonto. Er erlaubt dem Gerät lediglich, den dort gespeicherten digitalen Anmeldeschlüssel zu verwenden.

Warum sollen Passkeys klassische Passwörter ersetzen?

Passwörter sind seit Jahrzehnten ein grundlegendes Sicherheitsproblem. Viele Benutzer verwenden kurze oder leicht zu erratende Passwörter. Andere nutzen dasselbe Passwort für mehrere Dienste.

Wird eines dieser Passwörter gestohlen, kann es möglicherweise auch für weitere Benutzerkonten verwendet werden.

Typische Probleme klassischer Passwörter sind:

• leicht zu erratende Begriffe und Zahlenfolgen
• Wiederverwendung bei mehreren Diensten
• Weitergabe an andere Personen
• Speicherung in ungeschützten Dateien oder Notizen
• Eingabe auf gefälschten Anmeldeseiten
• Diebstahl durch Schadsoftware
• Abfluss aus kompromittierten Datenbanken
• hoher Aufwand für Zurücksetzung und Verwaltung

Ein Passkey soll diese gemeinsame Schwachstelle beseitigen. Es existiert kein klassisches Geheimnis mehr, das der Benutzer bei jeder Anmeldung eingeben und an einen Onlinedienst übermitteln muss.

Wie läuft die Einrichtung eines Passkeys ab?

Bevor ein Passkey verwendet werden kann, muss er für das jeweilige Benutzerkonto registriert werden.

Der genaue Ablauf unterscheidet sich je nach Anbieter und Gerät. Grundsätzlich sieht die Einrichtung häufig folgendermaßen aus:

1. Der Benutzer meldet sich zunächst bei seinem bestehenden Konto an.
2. Er öffnet die Einstellungen für Sicherheit oder Anmeldemethoden.
3. Er wählt die Einrichtung eines Passkeys aus.
4. Das Gerät erzeugt ein neues kryptografisches Schlüsselpaar.
5. Der Benutzer bestätigt die Erstellung über seine lokale Entsperrmethode.
6. Der öffentliche Teil des Schlüssels wird beim Anbieter hinterlegt.
7. Der private Teil verbleibt geschützt auf dem Gerät oder in einem vorgesehenen Passkey-Speicher.

Nach der Einrichtung kann sich der Benutzer bei diesem Konto mit dem registrierten Passkey anmelden.

Gerade der Einrichtungsprozess ist sicherheitsrelevant. Wird eine neue Anmeldemethode registriert, erhält sie langfristig Zugriff auf das betreffende Benutzerkonto.

Unternehmen sollten deshalb eindeutig regeln, wann und durch wen Passkeys eingerichtet werden dürfen. Eine unerwartete telefonische Aufforderung zur Registrierung sollte niemals ungeprüft befolgt werden.

Wie funktioniert die Anmeldung mit einem Passkey?

Nach der Registrierung öffnet der Benutzer die Website oder Anwendung, bei der er sich anmelden möchte.

Der Dienst fordert eine kryptografische Bestätigung an. Das Gerät prüft, ob für genau diesen Dienst ein passender Passkey vorhanden ist.

Anschließend bestätigt der Benutzer die Anmeldung beispielsweise mit Fingerabdruck, Gesichtserkennung oder PIN.

Das Gerät beantwortet die Anfrage des Dienstes mit dem privaten Schlüssel. Der private Schlüssel selbst wird dabei nicht übertragen.

Der Anbieter kann die Antwort mithilfe des gespeicherten öffentlichen Schlüssels überprüfen. Ist die Prüfung erfolgreich, wird der Benutzer angemeldet.

Der Ablauf lässt sich vereinfacht so zusammenfassen:

1. Der Onlinedienst sendet eine einmalige Anfrage an das Gerät.
2. Der Benutzer gibt den Passkey lokal frei.
3. Das Gerät erzeugt eine kryptografische Antwort.
4. Der Onlinedienst prüft die Antwort.
5. Der Zugang wird freigegeben.

Das technische Verfahren hinter diesem Ablauf betrachten wir ausführlich im zweiten Teil unserer Passkey-Serie.

Wo wird ein Passkey gespeichert?

Ein Passkey kann je nach System und betrieblicher Konfiguration unterschiedlich gespeichert werden.

Mögliche Speicherorte sind beispielsweise:

• ein Smartphone
• ein Windows-Computer
• ein Tablet
• ein Passwort- oder Passkey-Manager
• eine Authenticator-Anwendung
• ein externer FIDO2-Sicherheitsschlüssel
• ein gerätegebundener Sicherheitsbereich

Manche Passkeys sind fest an ein bestimmtes Gerät gebunden. Andere können über einen geschützten Cloud-Dienst zwischen mehreren Geräten desselben Benutzers synchronisiert werden.

Ein synchronisierter Passkey kann beispielsweise auf dem Smartphone eingerichtet und später auch auf einem anderen Gerät desselben Benutzerkontos verwendet werden.

Ein gerätegebundener Passkey verbleibt dagegen auf dem Gerät oder Sicherheitsschlüssel, auf dem er erstellt wurde.

Welche Variante sinnvoll ist, hängt vom jeweiligen Einsatz ab. Für private Benutzer steht häufig die einfache Nutzung über mehrere Geräte im Vordergrund. Unternehmen benötigen zusätzlich klare Vorgaben für Geräteverwaltung, Zugriffsrechte, Verlustfälle und das Ausscheiden von Beschäftigten.

Kann ein Passkey auf einem anderen Gerät verwendet werden?

Ja. Je nach eingesetzter Plattform gibt es dafür unterschiedliche Möglichkeiten.

Ein Benutzer kann einen synchronisierten Passkey auf mehreren eigenen Geräten verwenden. Alternativ kann ein Smartphone die Anmeldung an einem Computer bestätigen.

Dabei wird auf dem Computer häufig ein QR-Code angezeigt. Der Benutzer scannt diesen Code mit dem Smartphone und bestätigt die Anmeldung dort.

Moderne Verfahren überprüfen dabei zusätzlich, ob sich die beteiligten Geräte tatsächlich in räumlicher Nähe befinden. Dadurch soll verhindert werden, dass eine beliebige Person aus großer Entfernung eine Anmeldung bestätigt.

Das Smartphone überträgt den privaten Schlüssel nicht einfach an den Computer. Es bestätigt vielmehr die konkrete Anmeldeanfrage.

Was passiert, wenn das Smartphone verloren geht?

Der Verlust eines Geräts bedeutet nicht automatisch, dass ein Fremder Zugriff auf alle damit verbundenen Konten erhält.

Der Passkey ist normalerweise durch die Gerätesperre geschützt. Ohne PIN, Fingerabdruck oder Gesichtserkennung kann er nicht ohne Weiteres verwendet werden.

Trotzdem muss ein verlorenes geschäftliches Gerät unverzüglich gemeldet werden. Unternehmen sollten in diesem Fall prüfen:

• Welche Benutzerkonten waren mit dem Gerät verbunden?
• Welche Passkeys wurden darauf gespeichert?
• Kann das Gerät zentral gesperrt oder gelöscht werden?
• Müssen registrierte Anmeldemethoden entfernt werden?
• Existieren sichere alternative Zugangswege?
• Wurden nach dem Verlust ungewöhnliche Anmeldungen festgestellt?

Bei synchronisierten Passkeys kann der Benutzer häufig über ein anderes vertrauenswürdiges Gerät weiter auf seine Konten zugreifen.

In Unternehmen sollte die Wiederherstellung jedoch nicht dem Zufall überlassen werden. Es müssen vorab klare Verfahren für Geräteverlust und Kontowiederherstellung festgelegt werden.

Ist ein Passkey dasselbe wie eine Zwei-Faktor-Authentifizierung?

Passkeys und klassische Zwei-Faktor-Authentifizierung sind nicht identisch, können aber ähnliche Sicherheitsziele verfolgen.

Bei einer klassischen Anmeldung werden häufig zwei getrennte Schritte verwendet:

1. Der Benutzer gibt sein Passwort ein.
2. Er bestätigt zusätzlich einen Einmalcode oder eine App-Benachrichtigung.

Ein Passkey kann mehrere Sicherheitsmerkmale in einem Verfahren miteinander verbinden:

• Besitz des registrierten Geräts
• lokale Entsperrung durch PIN oder Biometrie
• kryptografische Bindung an den richtigen Onlinedienst

Deshalb können Passkeys abhängig von der jeweiligen Plattform und Konfiguration als starke oder mehrstufige Authentifizierung eingesetzt werden.

Entscheidend ist jedoch die konkrete technische und organisatorische Umsetzung. Nicht jede Anmeldung, die als „passwortlos“ bezeichnet wird, ist automatisch gleich aufgebaut oder gleich sicher.

Warum schützen Passkeys besser vor Phishing?

Ein klassisches Passwort kann auf praktisch jeder Eingabeseite eingegeben werden. Sieht eine gefälschte Seite glaubwürdig aus, kann der Benutzer sein Passwort versehentlich direkt an einen Angreifer übermitteln.

Ein Passkey ist dagegen für einen bestimmten Dienst beziehungsweise dessen Internetadresse erzeugt worden.

Ruft der Benutzer eine gefälschte Website auf, passt deren Adresse nicht zu dem gespeicherten Passkey. Der vorgesehene Schlüssel kann deshalb nicht einfach für die gefälschte Seite verwendet werden.

Zusätzlich kann der Benutzer den Passkey nicht auslesen und einem angeblichen Supportmitarbeiter telefonisch mitteilen.

Passkeys reduzieren damit insbesondere Risiken durch:

• gefälschte Anmeldeseiten
• gestohlene Passwortdatenbanken
• Wiederverwendung von Zugangsdaten
• automatisiertes Erraten von Passwörtern
• Weitergabe eines Passworts am Telefon
• Abfangen einfacher Einmalcodes

Warum Passkeys technisch an den richtigen Dienst gebunden sind, erläutern wir genauer im zweiten Beitrag dieser Serie.

Sind Passkeys vollständig unangreifbar?

Nein. Passkeys sind eine deutlich stärkere Anmeldemethode, aber kein vollständiger Ersatz für einen geregelten Sicherheitsbetrieb.

Angreifer konzentrieren sich zunehmend auf die Bereiche rund um die eigentliche Anmeldung.

Dazu gehören beispielsweise:

• die Registrierung eines neuen Passkeys
• die Wiederherstellung eines Benutzerkontos
• das Hinzufügen eines neuen Geräts
• die Manipulation von Supportmitarbeitern
• schwächere alternative Anmeldemethoden
• gestohlene oder ungeschützte Endgeräte
• bereits aktive Benutzersitzungen
• Fehler in Anwendungen oder Verwaltungsprozessen

Der Angreifer muss die kryptografische Technik nicht unbedingt brechen. Es kann genügen, einen Benutzer oder den IT-Support dazu zu bringen, einen neuen Zugang zu registrieren oder eine fremde Aktion zu bestätigen.

Passkeys erschweren den Diebstahl einer Anmeldung erheblich. Sie verhindern jedoch nicht automatisch, dass ein falscher Vorgang durch einen berechtigten Benutzer freigegeben wird.

Passkeys im Unternehmen

Für Unternehmen sind Passkeys interessant, weil sie sowohl die Sicherheit als auch die Benutzerfreundlichkeit verbessern können.

Beschäftigte müssen weniger Passwörter verwalten und können sich über bekannte Gerätefunktionen anmelden. Gleichzeitig sinkt das Risiko klassischer Passwort- und Phishing-Angriffe.

Eine Einführung sollte jedoch vorbereitet und dokumentiert werden.

Zu klären sind unter anderem:

• Welche Benutzer und Konten sollen Passkeys verwenden?
• Welche Geräte dürfen dafür eingesetzt werden?
• Sind private Geräte zugelassen?
• Wer darf neue Passkeys registrieren?
• Wie wird ein verlorenes Gerät behandelt?
• Welche Ersatz- und Wiederherstellungsverfahren bestehen?
• Wie werden Administratorkonten geschützt?
• Welche schwächeren Anmeldemethoden bleiben weiterhin aktiv?
• Wie werden Änderungen kontrolliert und protokolliert?

Passkeys sollten deshalb nicht lediglich als neue Schaltfläche im Anmeldefenster betrachtet werden. Ihre Einführung betrifft Identitäten, Geräte, Berechtigungen, Support und Notfallverfahren.

Passkeys bei Microsoft 365

Auch Microsoft unterstützt Passkeys innerhalb von Microsoft Entra ID. Je nach Umgebung können Passkeys beispielsweise auf einem Sicherheitsschlüssel, in Microsoft Authenticator oder in einem unterstützten Gerätespeicher registriert werden.

Für Unternehmen ist dabei wichtig, Passkeys nicht isoliert zu aktivieren. Die Richtlinien für Authentifizierungsmethoden, bedingten Zugriff, administrative Rollen und Kontowiederherstellung sollten gemeinsam betrachtet werden.

Besonders schützenswerte Konten können so gezielt auf phishingresistente Anmeldemethoden beschränkt werden.

Gleichzeitig muss geprüft werden, ob weiterhin schwächere Verfahren wie SMS-Codes, unsichere Wiederherstellungen oder unkontrollierte Supportausnahmen bestehen.

Passkeys für Unternehmen im Ruhrgebiet

Microsoft 365 und weitere Cloud-Dienste werden heute von zahlreichen Unternehmen, Arztpraxen, Kanzleien, Handwerksbetrieben und sozialen Einrichtungen im Ruhrgebiet eingesetzt.

Ob in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Castrop-Rauxel, Hattingen, Duisburg, Oberhausen oder Mülheim an der Ruhr: Sichere digitale Identitäten werden für kleine und mittlere Unternehmen zunehmend wichtiger.

Gerade kleinere Betriebe verfügen jedoch häufig nicht über eine eigene Abteilung für Identitäts- und Zugriffsmanagement. Anmeldemethoden, Benutzerkonten, Smartphones, Notebooks und Wiederherstellungsverfahren werden neben dem laufenden Geschäft verwaltet.

Die InoBit Datensysteme GmbH unterstützt Unternehmen im Ruhrgebiet dabei, bestehende Anmeldeverfahren zu bewerten und Passkeys kontrolliert in ein nachvollziehbares Sicherheitskonzept einzubinden.

Fazit: Ein Passkey ist ein digitaler Schlüssel statt eines klassischen Passworts

Ein Passkey ist eine moderne Anmeldeinformation, die auf einem Gerät oder Sicherheitsschlüssel gespeichert wird.

Der Benutzer muss kein Passwort mehr eingeben. Stattdessen bestätigt er die Anmeldung über eine lokale Entsperrmethode wie Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Der Passkey selbst basiert auf kryptografischen Schlüsseln. Der private Schlüssel verlässt das Gerät nicht und kann nicht wie ein Passwort auf einer gefälschten Website eingegeben werden.

Dadurch bieten Passkeys einen starken Schutz vor Phishing, gestohlenen Passwörtern und der Wiederverwendung kompromittierter Zugangsdaten.

Sie sind jedoch kein vollständiger Ersatz für klare Prozesse. Registrierung, Geräteverwaltung, Wiederherstellung, Support und Monitoring müssen ebenfalls sicher organisiert sein.

Ein Passkey ersetzt das Wissen um ein Passwort durch den Besitz eines geschützten digitalen Schlüssels und die lokale Freigabe auf einem vertrauenswürdigen Gerät.

Im zweiten Teil unserer Passkey-Serie erklären wir, welche Technologie hinter Passkeys steckt und wie FIDO2, WebAuthn sowie öffentliche und private Schlüssel zusammenarbeiten.

Wichtiger Hinweis

Dieser Beitrag vermittelt allgemeine Grundlagen zu Passkeys und modernen Anmeldeverfahren. Er ersetzt keine individuelle technische Prüfung oder Sicherheitsberatung.

Die konkrete Funktionsweise, Speicherung und Verfügbarkeit von Passkeys hängt von der verwendeten Plattform, dem Endgerät, der Anwendung, dem Identitätsanbieter und den jeweiligen Sicherheitseinstellungen ab.

Vor einer betrieblichen Einführung sollten insbesondere Geräteverwaltung, Benutzerkonten, Wiederherstellungsverfahren, administrative Rollen und weiterhin zugelassene alternative Anmeldemethoden geprüft werden.