Die Ära des klassischen Passworts neigt sich dem Ende zu. Was jahrelang als ungeschriebenes Gesetz der Cybersicherheit galt – Sonderzeichen, Zahlen, Großbuchstaben und regelmäßige Wechsel –, erweist sich in der modernen Bedrohungslandschaft als veraltet und für den Nutzer oft frustrierend. Im Jahr 2026 erleben wir den finalen Wendepunkt: Der Passkey verdrängt das klassische Passwort immer stärker.
Technologie-Riesen wie Microsoft treiben diese Entwicklung massiv voran. Microsoft bewirbt passwortlose Anmeldungen zunehmend als bevorzugte Methode und stellt Passkeys in Windows 11 sowie in Microsoft-Konten deutlich in den Vordergrund.
Kurz gesagt: Passkeys ersetzen klassische Passwörter durch kryptografische Schlüsselpaare. Sie sind resistent gegen klassisches Login-Phishing, komfortabler in der Nutzung und werden von Microsoft, Google und Apple als bevorzugte Anmeldemethode vorangetrieben.
Was sind Passkeys überhaupt?
Ein Passkey ist ein digitales Zugangsdaten-Paar, das auf modernen kryptografischen Verfahren (WebAuthn-Standard) basiert. Statt einer geheimen Zeichenkette (wie einem Passwort), die du dir merken musst, nutzt ein Passkey das Prinzip der Asymmetrischen Kryptografie:
- Der öffentliche Schlüssel (Public Key): Liegt auf dem Server des jeweiligen Dienstes (z. B. Google). Er ist für Angreifer wertlos, da er keine Geheimnisse enthält.
- Der private Schlüssel (Private Key): Bleibt sicher auf deinem lokalen Gerät (Smartphone, PC, Security-Key) und wird niemals mit dem Internet geteilt.
Die Anmeldung erfolgt über ein mathematisches Prüfverfahren. Als Nutzer musst du dich lediglich lokal an deinem Gerät verifizieren – per Biometrie (Fingerabdruck, Gesichtserkennung via Windows Hello / Face ID) oder über eine lokale PIN.
Die Kernunterschiede: Passkeys vs. Passwörter
| Merkmal | Klassisches Passwort | Moderner Passkey |
|---|---|---|
| Speicherort | Im Kopf des Nutzers oder Passwort-Manager | Sicher verschlüsselt auf dem Endgerät / im Tresor |
| Übertragung | Wird an den Server gesendet (Abfangrisiko) | Verlässt das eigene Gerät niemals |
| Schutz bei Server-Hacks | Passwörter können gestohlen und entschlüsselt werden | Deutlich besser geschützt: Server speichert keine Passwörter |
| Zwei-Faktor-Authentifizierung (2FA) | Dringend notwendig als zusätzliche Ebene | Bereits integriert (Das Gerät + Biometrie = 2 Faktoren) |
Warum Passkeys Phishing nahezu wirkungslos machen (und wo die Grenzen liegen)
Klassische Passwörter haben eine fundamentale Schwachstelle: den Faktor Mensch. Bei einer Phishing-Attacke wirst du auf eine gefälschte Website gelockt, die täuschend echt aussieht (z. B. micros0ft.com statt microsoft.com). Tippst du dort dein Passwort ein, haben die Angreifer gewonnen.
Bei Passkeys läuft dieses klassische Login-Phishing komplett ins Leere. Ein Passkey ist kryptografisch fest an die exakte, echte Domain des Dienstes gebunden. Wenn du eine gefälschte Website aufrufst, merkt dein Browser sofort, dass die Domain nicht mit dem hinterlegten Passkey übereinstimmt. Das Gerät verweigert die Freigabe des Schlüssels. Es gibt schlichtweg keine Daten, die ein Angreifer durch Social Engineering erbeuten könnte. Auch automatisierte Angriffe wie Credential Stuffing (das massenhafte Durchprobieren gestohlener Passwörter auf anderen Plattformen) sind damit unmöglich.
Wichtig zu wissen: Passkeys beseitigen nicht jede Form von Cyberkriminalität. Sie schützen dich nicht vor Schadsoftware (Malware) direkt auf deinem PC oder vor Session-Hijacking (dem Diebstahl bereits aktiver Login-Cookies). Sie reduzieren jedoch die mit Abstand erfolgreichste Angriffsart – das Abgreifen von Logindaten – erheblich. Für einen umfassenden Internet Schutz bleiben aber professionelle Tools wie Bitdefender Premium Security, Avast Premium Security oder Norton 360, je nach eigener Vorliebe aber unverzichtbar.
Welche Webseiten unterstützen Passkeys bereits?
Die Liste der Plattformen, die den neuen Standard unterstützen, wächst täglich. Zu den bekanntesten Vorreitern gehören:
- Technologie & Ökosysteme: Google, Microsoft, Apple, GitHub, Adobe
- E-Commerce & Payment: Amazon, PayPal, eBay, Shopify
- Unterhaltung & Streaming: Netflix, Nintendo, PlayStation, TikTok
Bei den meisten dieser Dienste lässt sich der Passkey in den jeweiligen Konto- oder Sicherheitseinstellungen mit wenigen Klicks aktivieren.
Die Vorreiter: Passkeys bei Google, Apple und Microsoft
Das „Big Tech“-Trio hat sich in der FIDO-Allianz zusammengeschlossen, um Passkeys plattformübergreifend zu etablieren.
- Apple: Synchronisiert Passkeys nahtlos über die iCloud-Schlüsselkette zwischen iPhone, iPad und Mac.
- Google: Hat Passkeys als Standard-Anmeldeoption für alle privaten Konten eingerichtet. Android-Geräte dienen bei Bedarf als drahtlose Schlüssel für Logins auf fremden PCs.
- Microsoft: Drängt Nutzer aktiv zu passwortlosen Konten. In Windows 11 ist die Verwaltung stark vereinfacht worden, um Windows Hello direkt mit Passkeys zu verknüpfen.
Praxis-Guide: Passkeys unter Windows 11 verwalten
- Öffne die Einstellungen (Win + I).
- Navigiere zu Konten → Passkeys.
- Hier siehst du eine Übersicht aller auf dem PC in Windows Hello gesicherten Passkeys und kannst diese bei Bedarf löschen.
- Um einen neuen Passkey zu erstellen, gehst du einfach in die Sicherheitseinstellungen deines jeweiligen Kontos im Browser und wählst dort „Passkey erstellen“. Windows 11 klinkt sich automatisch ein und speichert ihn ab.
Lohnt sich der Umstieg für Blogger und Selbstständige?
Für Blogger, Freelancer und Solopreneure ist die Antwort ein klares: Ja, der Umstieg lohnt sich jetzt. Als Selbstständiger bist du deine eigene IT-Abteilung. Ein gehackter Account kann hier schnell existenzbedrohend werden.
Die drei größten Business-Vorteile:
- Schutz vor Server-Datenlecks: Wenn ein von dir genutzter Dienst gehackt wird, können keine Passwörter von dir im Darknet landen. Selbst bei einem Server-Hack deines Dienstleisters bleibt dein Zugang geschützt, da der Dienst lediglich den öffentlichen Schlüssel speichert.
- Zeitersparnis & Komfort: Kein Suchen nach dem richtigen Passwort, kein lästiges Eintippen von 2FA-Codes auf dem Smartphone. Ein Blick in die Kamera oder der Finger auf dem Sensor genügt, um dich in Tools wie Canva, deiner Buchhaltungssoftware oder bei deinem Hoster einzuloggen.
- WordPress-Zukunft: Das eigentliche WordPress-Core-System unterstützt Passkeys bisher zwar noch nicht standardmäßig ab Werk, aber es stehen inzwischen zahlreiche etablierte Plugins und WebAuthn-Erweiterungen zur Verfügung, mit denen du dein WordPress-Dashboard im Handumdrehen passwortlos machen kannst.
Auch wenn das klassische Passwort aufgrund älterer Systeme und mancher Banken-Anwendungen so schnell nicht völlig verschwinden wird: Die Zukunft gehört eindeutig den Passkeys.
FAQ: Häufige Fragen zu Passkeys
Was passiert, wenn ich mein Smartphone verliere?
Bei den meisten privaten Anwendern werden Passkeys heute über Dienste wie iCloud, den Google Password Manager oder plattformübergreifende Passwort-Manager synchronisiert. Ob dies der Fall ist, hängt jedoch vom jeweiligen Anbieter und der gewählten Speicheroption ab. Wenn die Synchronisation aktiv ist, meldest du dich auf einem neuen Gerät einfach mit deinem Cloud-Konto an und hast deine Passkeys wieder. Zudem bieten viele Dienste die Möglichkeit, physische USB-Sicherheitskeys (wie einen YubiKey) als Hardware-Backup zu hinterlegen.
Kann ich Passkeys sichern?
Ja. Wenn du deine Passkeys in einem modernen Passwort-Manager (wie Bitwarden oder 1Password) statt rein lokal im Betriebssystem speicherst, sind sie über das verschlüsselte Backup des Managers gesichert. Bei rein lokalen Passkeys oder Hardware-Keys ohne Cloud-Anbindung empfiehlt es sich, immer mindestens einen zweiten Schlüssel (z. B. ein Zweitgerät) beim jeweiligen Dienst als Backup zu registrieren.
Funktionieren Passkeys ohne Internet?
Für den reinen Authentifizierungsvorgang zwischen deinen Geräten (z. B. wenn du dein Smartphone per Bluetooth nutzt, um dich am Laptop anzumelden) ist keine Internetverbindung erforderlich. Allerdings muss der Zieldienst, bei dem du dich einloggen möchtest, online erreichbar sein.
Sind Passkeys sicherer als ein Passwort-Manager?
Passkeys gelten für die Anmeldung als sicherer als klassische Passwörter – selbst wenn diese in einem Passwort-Manager gespeichert werden. Ein Passwort-Manager schützt dich zwar vor schwachen Passwörtern, aber die Passwörter müssen beim Login dennoch an den Server übertragen werden. Ein Passkey hingegen verlässt dein Gerät niemals. Er schützt dich somit prinzipbedingt vor Phishing und Server-Datenlecks, während ein Passwort-Manager ein reines Werkzeug zur Verwaltung bleibt.
