Passkey: anmelden ohne Passwort

Passwörter sind das schwächste Glied in fast jedem Online-Konto. Sie werden wiederverwendet, auf gefälschten Seiten eingetippt und tauchen nach jedem größeren Datenleck in Listen wieder auf, die man für kleines Geld kaufen kann. Der Passkey ist der Versuch, dieses Problem an der Wurzel zu lösen, statt es mit immer längeren Passwörtern und immer mehr Zusatzcodes zu übertünchen. Und anders als viele Ansätze davor funktioniert er im Alltag tatsächlich einfacher als das, was er ersetzt.

Dieser Ratgeber erklärt zuerst kurz, was ein Passkey ist und warum er sich nicht stehlen lässt. Der größere Teil danach behandelt das, woran es in der Praxis hakt: wo dein Passkey eigentlich gespeichert wird, wie du ihn in Chrome, Edge, Firefox und Safari findest und löschst, und was passiert, wenn das Gerät weg ist.

Was ist ein Passkey?

Ein Passkey ist ein Paar aus zwei zusammengehörenden Schlüsseln, das dein Gerät bei der Einrichtung erzeugt. Der private Schlüssel bleibt auf dem Gerät oder in deinem Passwortmanager und wird nie übertragen. Der öffentliche Schlüssel geht an den Dienst, bei dem du dich anmelden willst, und wird dort in deinem Konto hinterlegt. Aus dem öffentlichen Teil lässt sich der private nicht berechnen, das ist der ganze Trick dabei.

Beim Anmelden schickt der Dienst eine zufällige Aufgabe an deinen Browser. Dein Gerät löst sie mit dem privaten Schlüssel und schickt nur das Ergebnis zurück, eine Signatur. Der Dienst prüft diese Signatur gegen den öffentlichen Schlüssel und weiß damit, dass die Anfrage von deinem Gerät kommt. Übertragen wird dabei zu keinem Zeitpunkt etwas, das ein Angreifer später wiederverwenden könnte. Genau das unterscheidet den Passkey vom Passwort, das bei jeder Anmeldung als Geheimnis über die Leitung geht.

Was du dabei siehst, ist erheblich weniger Technik: Die Seite fragt nach deinem Fingerabdruck, deinem Gesicht oder der PIN deines Geräts, und danach bist du drin. Fingerabdruck und Gesichtsscan verlassen dein Gerät übrigens ebenfalls nicht, sie entsperren nur lokal den Schlüssel. Der Dienst bekommt niemals biometrische Daten von dir zu sehen, ein weit verbreitetes Missverständnis.

Hinter der Technik steht der offene Standard WebAuthn, entwickelt von der FIDO Alliance und dem W3C. Alle großen Browser und Betriebssysteme unterstützen ihn, deshalb funktioniert ein Passkey bei Amazon genauso wie bei Google oder GitHub. Auch das BSI empfiehlt Passkeys ausdrücklich als sichereren Ersatz für das Passwort.

Warum Phishing bei Passkeys nicht funktioniert

Das ist der Punkt, an dem der Passkey seinen eigentlichen Wert entfaltet, und er wird in den meisten Erklärungen zu knapp abgehandelt. Ein Passkey ist bei der Erstellung fest mit der Domain des Dienstes verknüpft. Ein Passkey für amazon.de gilt ausschließlich für amazon.de. Landest du über eine gefälschte E-Mail auf amazon-sicherheit-login.de, bietet dein Browser den Passkey gar nicht erst an. Er kann es nicht, weil die Domain nicht passt.

Vergleiche das mit einem Passwort: Das tippst du auf jeder Seite ein, die überzeugend genug aussieht, und viele Fälschungen sind heute nicht mehr an Rechtschreibfehlern zu erkennen. Auch der SMS-Code oder die Sechs-Ziffern-App hilft dagegen nur bedingt, denn eine gute Phishing-Seite fragt einfach beides ab und reicht es in Echtzeit an den echten Dienst weiter. Diese Angriffe laufen längst automatisiert. Beim Passkey scheitert dieser Weg, weil der Browser die Prüfung übernimmt und nicht dein Auge.

Der zweite Vorteil ist ebenso wichtig, fällt aber weniger auf: Bei einem Datenleck beim Anbieter gibt es nichts Verwertbares zu erbeuten. In der Datenbank liegen nur öffentliche Schlüssel, und mit denen kann sich niemand anmelden. Passwort-Hashes dagegen lassen sich offline knacken, und schwache oder mehrfach genutzte Passwörter fallen dabei zuerst. Wie groß diese Sammlungen inzwischen sind, zeigt ein Fund vom Frühjahr 2026: 184 Millionen Zugangsdaten lagen ungeschützt auf einem Server. Ein Passkey kann in so einer Liste gar nicht auftauchen. Das Grundproblem des Umgangs mit Zugangsdaten verschwindet damit für dieses Konto komplett.

Passkey einrichten: so läuft es ab

Der Ablauf ist bei allen Diensten fast identisch, weil er dem gleichen Standard folgt. Du meldest dich zunächst ganz normal mit deinem bisherigen Passwort an und rufst dann die Sicherheitseinstellungen deines Kontos auf. Dort findest du einen Eintrag mit Passkey oder Anmeldung ohne Passwort. Ein Klick darauf, eine Bestätigung mit Fingerabdruck, Gesicht oder Geräte-PIN, und der Passkey ist fertig. Länger als eine halbe Minute dauert das nicht, und ein Passwort musst du dir für den Vorgang nicht ausdenken.

Ein Punkt, der viele überrascht: Der Passkey gilt zunächst nur für den Speicherort, auf dem du ihn erstellt hast. Legst du ihn am Windows-Rechner mit Windows Hello an, ist er auf dem iPhone nicht automatisch da. Speicherst du ihn dagegen im Google Passwortmanager oder im iCloud-Schlüsselbund, taucht er auf allen Geräten auf, die an demselben Konto hängen. Wo dein Passkey landet, entscheidest du deshalb besser bewusst, und zwar bevor du den ersten anlegst.

Bei den meisten Diensten kannst du mehrere Passkeys für dasselbe Konto hinterlegen, etwa einen im Passwortmanager und einen auf dem Smartphone. Das ist der einfachste Schutz gegen ein ausgesperrtes Konto und lohnt sich überall dort, wo dir der Zugang wirklich wichtig ist.

Die Liste wächst schnell. Neben den genannten unterstützen unter anderem LinkedIn, TikTok, Discord, X, Adobe, Shopify, Nintendo und Sony inzwischen Passkeys. Zurückhaltend ist bislang der deutsche Bankensektor: Sparkassen setzen weiterhin auf die S-pushTAN-App und chipTAN, Volksbanken und Raiffeisenbanken auf VR-NetKey zusammen mit VR SecureGo plus. Ein echter Passkey-Login fürs Online-Banking ist dort bisher nicht in Sicht.

Wo dein Passkey wirklich liegt

Hier entsteht die meiste Verwirrung, und zwar nicht ohne Grund. Ein Passkey gehört nicht dem Browser, sondern dem Schlüsseldienst dahinter. Vier davon konkurrieren derzeit auf denselben Geräten, und jeder verwaltet seinen eigenen getrennten Vorrat. Wer nicht weiß, welcher gerade zuständig war, sucht seinen Passkey später an der falschen Stelle.

Der Google Passwortmanager synchronisiert Passkeys über Android-Geräte, Chrome unter Windows, macOS, Linux, iOS und iPadOS sowie ChromeOS. Der Microsoft Passwortmanager speichert und synchronisiert Passkeys für Edge und schützt sie mit einer eigenen PIN, die beim ersten Speichern abgefragt wird. Der iCloud-Schlüsselbund verteilt Passkeys über iPhone, iPad und Mac. Und Windows Hello legt Passkeys direkt auf dem jeweiligen Rechner ab, ohne jede Synchronisierung.

Dazu kommen die unabhängigen Passwortmanager wie 1Password, Bitwarden oder Dashlane. Sie sind die einzige Variante, die nicht an ein Ökosystem gebunden ist, und deshalb die pragmatischste Wahl, wenn du Windows, Android und Apple gemischt nutzt. Windows 11 lässt sie seit dem Sicherheitsupdate vom November 2025 offiziell als Passkey-Anbieter zu, den Anfang machten 1Password und Bitwarden.

Passkeys im Browser finden, prüfen und löschen

Irgendwann willst du wissen, welche Passkeys du überhaupt angelegt hast, oder du willst einen loswerden, weil du das Gerät verkauft hast. Jeder Browser versteckt diese Liste woanders, und in manchen Fällen führt der Weg am Browser vorbei direkt ins Betriebssystem.

Unter Windows 11 gibt es zusätzlich eine zentrale Übersicht, die unabhängig vom Browser funktioniert. Du findest sie in den Einstellungen unter Konten › Passkeys. Dort stehen alle Passkeys mit dem zugehörigen Dienst, und dort löschst du sie auch. Unter Erweiterte Optionen legst du außerdem fest, welche Schlüsseldienste überhaupt aktiv sein dürfen, also ob etwa dein Passwortmanager Passkeys anbieten darf oder nur Windows Hello.

Wichtig beim Löschen: Ein Passkey lokal zu entfernen, löscht ihn nicht im Konto beim Anbieter. Dort bleibt der öffentliche Schlüssel als registriertes Anmeldeverfahren stehen. Wenn du wirklich aufräumen willst, etwa nach dem Verkauf eines Geräts, musst du den Passkey in den Sicherheitseinstellungen des jeweiligen Dienstes zusätzlich entfernen.

Gerät verloren: kommst du noch in dein Konto?

Diese Sorge hält viele vom Umstieg ab, und sie ist berechtigt, solange man nur einen einzigen Passkey auf einem einzigen Gerät hat. In der Praxis liegt der Passkey aber meistens im Google Passwortmanager, im iCloud-Schlüsselbund oder in einem Passwortmanager. Dann ist er nach der Anmeldung an einem neuen Gerät sofort wieder da, denn er hängt am Konto und nicht am Blech.

Die Ausnahme sind Passkeys, die bewusst nur lokal gespeichert wurden, allen voran die in Windows Hello. Geht dieser Rechner verloren, sind sie unwiederbringlich weg. Deshalb lohnen sich drei einfache Vorkehrungen: Lege für wichtige Konten einen zweiten Passkey auf einem anderen Gerät an, halte einen alternativen Anmeldeweg bereit, und bewahre die Wiederherstellungscodes auf, die viele Dienste bei der Einrichtung anbieten. Diese Codes sind der Notausgang, wenn sonst nichts mehr greift, und gehören an einen sicheren Ort außerhalb des Rechners.

Erwarte dabei kein einheitliches Verfahren. Einen standardisierten Weg, verlorene Passkeys wiederherzustellen, gibt es bis heute nicht, jeder Dienst kocht seine eigene Suppe. Genau das ist die derzeit größte offene Baustelle des ganzen Verfahrens, und es ist der Grund, warum die Vorsorge bei dir liegt und nicht beim Anbieter.

Was du nicht tun solltest, ist der beliebte Kompromiss, das alte Passwort einfach schwach zu lassen, weil man ja jetzt einen Passkey hat. Solange das Passwort als Anmeldeweg aktiv ist, ist es weiterhin die Schwachstelle deines Kontos, und Angreifer suchen sich immer den einfachsten Weg hinein.

Passkeys umziehen: seit 2026 möglich

Lange war die Wahl des Speicherorts eine Einbahnstraße. Wer seine Passkeys im Google Passwortmanager hatte und zu Bitwarden wechseln wollte, musste jeden einzelnen beim jeweiligen Dienst neu anlegen. Ein Export war technisch nicht vorgesehen, und das aus gutem Grund: Eine Datei mit privaten Schlüsseln im Klartext wäre genau die Art von Datei, die man niemals auf einer Festplatte liegen haben will.

Die FIDO Alliance hat dafür zwei Spezifikationen entwickelt, die dieses Problem sauber lösen. Das Credential Exchange Format legt fest, wie die Daten aufgebaut sind, und liegt seit August 2025 als verabschiedeter Standardentwurf vor. Das Credential Exchange Protocol regelt den Transfer selbst und verschlüsselt ihn durchgehend, sodass die Schlüssel den geschützten Bereich nie im Klartext verlassen. Formal ist es noch ein Arbeitsentwurf, in der Praxis wird es trotzdem bereits ausgeliefert.

Den Anfang machte Apple: Seit iOS 26 im Juli 2026 lassen sich Passkeys erstmals direkt importieren und exportieren. Wenige Wochen später zog Android nach, ab Version 14 über die Google Play Services. Bitwarden war der erste unabhängige Passwortmanager mit Unterstützung, Dashlane bietet inzwischen einen Import unter anderem aus 1Password an. Der Umzug zwischen Passwortmanagern ist damit erstmals ohne Sicherheitsverlust möglich.

In der Praxis solltest du trotzdem nicht davon ausgehen, dass jeder Anbieter das schon anbietet. Prüfe vor einem Wechsel, ob dein Ziel-Manager den Import unterstützt, und lösche die alten Passkeys erst, wenn die neuen nachweislich funktionieren.

Was gegen Passkeys spricht

Der Passkey ist besser als das Passwort, aber er ist nicht ohne Schwächen, und ein ehrlicher Blick darauf gehört dazu. Der größte Kritikpunkt ist die Bindung an ein Ökosystem. Google, Apple und Microsoft haben ein offensichtliches Interesse daran, dass deine Schlüssel bei ihnen liegen, und die Voreinstellungen der Systeme schieben dich genau dorthin. Wer das nicht will, kommt an einem unabhängigen Passwortmanager kaum vorbei.

Dazu kommt die alltägliche Verwirrung durch die vielen parallelen Speicherorte. Ein Passkey, der am Windows-Rechner in Windows Hello landet statt im Passwortmanager, ist am Handy nicht verfügbar, und die Dialoge machen selten deutlich, wohin der Schlüssel gerade wandert. Das ist kein Sicherheitsproblem, aber die häufigste Ursache für Frust beim Einstieg.

Und schließlich: Solange ein Dienst das Passwort als Alternative offen lässt, ist die tatsächliche Sicherheit nur so gut wie dieses Passwort. Der Passkey wirkt erst voll, wenn der schwächere Weg verschwindet.

Der Umweg über die schwächere Methode

Genau hier setzt der Angriff an, der 2026 am häufigsten dokumentiert wurde, und er erklärt, warum offen gelassene Alternativen mehr kosten als sie nützen. Sicherheitsforscher nennen ihn Downgrade-Angriff. Die Angreifer greifen den Passkey nicht an, sondern sorgen dafür, dass er gar nicht erst zum Einsatz kommt. Über einen zwischengeschalteten Phishing-Server geben sie sich als ein Gerät oder ein Browser aus, für den der Dienst keine Passkey-Anmeldung anbietet. Der Anmeldedialog fällt daraufhin brav auf SMS-Code oder Passwort zurück, und die sind wieder abgreifbar wie eh und je. Anschließend übernehmen die Angreifer nicht die Zugangsdaten, sondern gleich die fertige Sitzung.

Für dich heißt das: Der Passkey nützt am meisten, wenn die schwachen Alternativen im Konto abgeschaltet sind. Praktikabel ist das erst, wenn du mindestens zwei Passkeys auf verschiedenen Geräten hast, sonst tauschst du ein Risiko gegen ein ausgesperrtes Konto. Für ein wichtiges Konto ist genau das aber der Weg.

Ein zweiter Fall, dokumentiert im August 2026, betrifft nicht das Verfahren, sondern das Gerät. Läuft auf einem Windows-Rechner bereits Schadsoftware, kann sie sich unter bestimmten Umständen als vertrauenswürdiges Gerät ausgeben und synchronisierte Passkeys ohne Fingerabdruck und ohne PIN nutzen. Das ist kein Phishing und trifft niemanden, dessen System sauber ist, zeigt aber die Grenze deutlich: Ein Passkey schützt die Anmeldung, nicht den Rechner. Wenn du den Verdacht hast, dass etwas auf dem System sitzt, gehört der Browservirus zuerst entfernt.

Unter dem Strich bleibt es dabei: Diese Angriffe brechen die Kryptografie nicht, sie umgehen sie. Bis der schwächere Weg überall verschwunden ist, gilt derselbe Rat wie bisher, nämlich starke und einmalige Passwörter dort zu nutzen, wo es noch keinen Passkey gibt, und einen Browser mit zügigen Sicherheitsupdates einzusetzen. Wer regelmäßig prüft, ob eine Seite überhaupt echt ist, sollte außerdem wissen, was ein SSL-Zertifikat aussagt und was nicht.

Häufige Fragen