Aktualisiert 29. Oktober 2026

Passkeys: Was sie sind, wie sie funktionieren und wo sie gespeichert werden

Passkeys sind Anmeldedaten, die das Passwort durch ein Schlüsselpaar ersetzen: Der private Schlüssel bleibt im Gerät oder im Passwortmanager, der öffentliche liegt beim Dienst. Bestätigt wird die Anmeldung mit Fingerabdruck, Gesichtsscan oder PIN, zum Server gelangt nur eine Signatur. Ein Passkey gilt nur für die Adresse des Dienstes, für den er erstellt wurde, und lässt sich deshalb auf einer gefälschten Seite nicht abgreifen. Nutzbar ist er nur bei Diensten, die ihn anbieten, und bei Geräteverlust zählt der Speicherort.

Das Bundesamt für Sicherheit in der Informationstechnik hält Passkeys laut seiner Verbraucherinformation zu Passkeys der Anmeldung mit Benutzername und Passwort in vielerlei Hinsicht für überlegen und nennt sie immun gegen die breite Masse bekannter Phishing-Angriffe. Technisch beruhen sie auf den FIDO2-Standards, die Browserschnittstelle WebAuthn liegt seit dem 25. August 2026 in Level 3 als W3C-Empfehlung vor.

So läuft eine Anmeldung mit Passkey ab

Eingerichtet wird ein Passkey laut BSI einmalig in den Sicherheitseinstellungen der Webseite oder App. Das Gerät legt dabei einen geheimen Schlüssel im internen Speicher ab, der passende öffentliche Schlüssel landet beim Dienst. Jeder Dienst bekommt ein eigenes Paar, ein Passkey schützt also immer genau ein Konto. Danach läuft die Anmeldung so ab:

1. Konto wählen. Der Dienst fragt in der Regel, ob Passwort oder Passkey genutzt werden soll.
2. Gerät entsperren. Fingerabdruck, Gesichtsscan oder PIN bestätigen die Wahl. Biometrische Daten bleiben laut Google und FIDO Alliance auf dem Gerät, der Dienst erfährt nur, dass die Prüfung erfolgreich war.
3. Gerät signiert. Laut Microsoft signiert es eine Aufgabe (Challenge) des Dienstes mit dem privaten Schlüssel.
4. Dienst prüft. Mit dem öffentlichen Schlüssel verifiziert er die Signatur und gewährt Zugang.

Auf dem Server liegt nur der öffentliche Schlüssel, der laut Apple nicht geheim ist. Angriffe auf Passwortdatenbanken stellen laut FIDO Alliance deshalb keine Bedrohung mehr dar: Es gibt keine Passwörter zu stehlen. Liegt der Passkey auf dem Smartphone, die Anmeldung erfolgt aber am PC, wählen Sie das Smartphone als Anmeldegerät und scannen einen QR-Code. Laut BSI braucht es dafür Bluetooth auf beiden Geräten.

Warum Phishing bei Passkeys ins Leere läuft

Laut Microsoft ist ein Passkey mit der Domain verknüpft, bei der er erstellt wurde: Auf einer täuschend ähnlichen Seite legt das Gerät ihn nicht vor. Nach der WebAuthn-Spezifikation setzen Browser und Authentifizierer gemeinsam durch, dass nur Seiten des Dienstes auf den Passkey zugreifen. Das BSI beschreibt die Folge: Der Login auf der gefälschten Seite scheitert, die Täter erfahren nichts über das Ziel oder dessen Daten.

Das US-Institut NIST definiert Phishing-Resistenz (SP 800-63B-4, Juli 2025) als Fähigkeit, Geheimnisse und gültige Ausgaben nicht an einen falschen Prüfer preiszugeben, ohne auf die Wachsamkeit des Nutzers zu bauen. Auf AAL3, der höchsten von drei Vertrauensstufen, ist sie vorgeschrieben.

Vollständigen Schutz bieten Passkeys trotzdem nicht: Laut Google kann nach der Erstellung jeder, der das Gerät entsperren kann, auf das Konto zugreifen, auch nach dem Abmelden. Passkeys gehören daher nur auf eigene Geräte.

Wo Passkeys gespeichert werden

Für die Speicherung ist der Passkey-Anbieter zuständig. Laut FIDO Alliance ist das der Verwalter im Betriebssystem oder Browser, etwa iCloud-Schlüsselbund oder Google Passwortmanager, oder die App eines Drittanbieters, etwa ein Passwortmanager. Synchronisierte Passkeys werden über ein Cloud-Konto auf alle Geräte desselben Anbieters übertragen, gerätegebundene verlassen ein einziges Gerät nie.

Die FIDO Alliance warnt, dass durch Passwörter gesicherte oder synchronisierte Passkeys diebstahlgefährdet sind, und sieht bei geringer Risikotoleranz einen Vorteil für gerätegebundene. Das NIST lässt synchronisierbare Authentifizierer auf AAL2 unter Auflagen zu, auf AAL3 nicht, weil der private Schlüssel exportierbar sein muss. Das BSI wertet synchronisierte Passkeys bei funktionierendem Backup positiv.

Was bei Geräteverlust oder Gerätewechsel gilt

• Synchronisierter Passkey. Beim selben Anbieter auf dem neuen Gerät angemeldet, sind die Passkeys laut FIDO Alliance synchronisiert und stehen für die Anmeldung bereit. Apple bietet zusätzlich eine Wiederherstellung über den Schlüsselbund-Escrow, auch wenn alle Geräte weg sind: Nötig sind das Passwort des iCloud-Accounts, eine SMS an die hinterlegte Nummer und der Gerätecode. Nach dem zehnten Fehlversuch wird der Escrow-Datensatz gelöscht.
• Gerätegebundener Passkey. Laut Microsoft ist er weg, wenn das Gerät verloren geht und keine andere Wiederherstellung besteht. Das BSI rät bei FIDO2-Sticks zu einem zweiten Stick, das W3C empfiehlt Diensten, mehrere Anmeldedaten pro Konto zuzulassen.
• Verlust oder Diebstahl. Google rät, den Passkey des Geräts auf einem anderen Gerät aus dem Konto zu entfernen.

Wie gut der Zugang zurückkehrt, hängt laut BSI meist vom Anbieter ab, nicht vom Verfahren. Kritisch ist ein einstufiger Wiederherstellungsweg, denn dort können Angreifer ansetzen.

Passkey oder Zwei-Faktor-Authentisierung

Ein Passkey ersetzt Passwort und zweiten Schritt in einem. Laut Microsoft zählt er zu den Multifaktor-Verfahren: Das Gerät ist der Besitz, Fingerabdruck, Gesicht oder PIN sind Merkmal oder Wissen. Die FIDO Alliance hält ihn allein für sicherer als Passwort plus Einmalcode oder App-Bestätigung, weil diese Faktoren weiter phishbar seien. Die BSI-Einschätzung zum Echtzeit-Phishing:

Der zweite Schritt entfällt nicht überall: PayPal führt trotz Passkey weiterhin zusätzliche Authentifizierungsschritte durch, Google überspringt ihn bei aktivierter 2-Faktor-Authentifizierung. Das BSI empfiehlt, ein Passwort durch einen Passkey zu ersetzen oder durch einen zweiten Faktor zu ergänzen, und rät, zu prüfen, bei welchen Konten der Umstieg schon möglich ist.

Wo sich Passkeys heute nutzen lassen

Die FIDO Alliance nennt Unterstützung in allen großen Betriebssystemen und Browsern, doch der Dienst muss Passkeys anbieten. Die Angaben der Anbieter, Stand 29. Oktober 2026: