Passkey — einfach erklärt
Ein Passkey ist ein digitales Schlüsselpaar, das die Anmeldung an einem Dienst ohne klassisches Passwort ermöglicht — freigegeben durch Biometrie oder Geräte-PIN direkt auf dem eigenen Gerät.
Was ist ein Passkey?
Ein Passkey ist eine passwortlose Methode, um sich sicher an einem Online-Dienst oder System anzumelden. Statt eines Passworts, das man sich merken und eingeben muss, nutzt ein Passkey ein digitales Schlüsselpaar: einen privaten Schlüssel, der ausschließlich auf dem eigenen Gerät gespeichert bleibt, und einen öffentlichen Schlüssel, der beim jeweiligen Dienst hinterlegt ist.
Freigegeben wird der Passkey lokal — per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Diese biometrischen Daten oder die PIN verlassen dabei nie das eigene Gerät und werden auch nicht an den Online-Dienst übertragen. Sie entsperren lediglich den lokal gespeicherten Schlüssel.
Wie funktioniert ein Passkey?
Die Anmeldung mit einem Passkey läuft in wenigen Schritten ab:
- Einrichtung — Beim erstmaligen Anlegen erzeugt das Gerät ein Schlüsselpaar. Der private Schlüssel bleibt sicher auf dem Gerät (oder in einem Passwort-Manager), der öffentliche Schlüssel wird beim Dienst hinterlegt.
- Anmeldeversuch — Möchte man sich anmelden, schickt der Dienst eine Art digitale Prüfaufgabe an das Gerät.
- Lokale Freigabe — Das Gerät fragt Fingerabdruck, Gesicht oder PIN ab, um den privaten Schlüssel freizugeben.
- Signierte Antwort — Das Gerät beantwortet die Prüfaufgabe mit dem privaten Schlüssel, der Dienst prüft die Antwort mit dem öffentlichen Schlüssel und lässt bei Übereinstimmung die Anmeldung zu.
Ein Passwort wird an keiner Stelle dieses Ablaufs übertragen oder eingegeben — dadurch entfällt auch das größte Einfallstor für Phishing.
Vorteile und Grenzen von Passkeys
- Phishing-resistent — Da kein Geheimnis eingegeben wird und der Passkey fest an die richtige Internetadresse gebunden ist, funktioniert er auf einer gefälschten Anmeldeseite gar nicht erst.
- Kein Passwort zum Merken oder Verwalten — Weniger schwache, wiederverwendete oder vergessene Passwörter, weniger Aufwand für Passwort-Rücksetzungen.
- Geräteübergreifend nutzbar — Über Passwort-Manager oder Cloud-Synchronisation lassen sich Passkeys oft auf mehreren Geräten verwenden.
- Noch nicht überall verfügbar — Viele Fachanwendungen, Branchensoftware und ältere Systeme unterstützen Passkeys noch nicht. Eine vollständige Ablösung von Passwörtern ist deshalb aktuell in den meisten Unternehmen noch nicht möglich.
- Geräteverlust will durchdacht sein — Ohne funktionierende Wiederherstellungswege (Backup-Geräte, alternative Anmeldemethoden) kann der Verlust des Geräts zum Problem werden. Ein sauberes Konzept für diesen Fall gehört zur Einführung dazu.
Passkey in der Praxis
Ein Mitarbeiter meldet sich morgens an seinem Firmenlaptop an einem Cloud-Dienst an. Statt ein Passwort einzutippen und danach noch einen Code aus einer App abzutippen, hält er kurz den Finger auf den Sensor — die Anmeldung ist erledigt. Kommt später eine gut gemachte Phishing-Mail mit einem Link auf eine täuschend echte Nachbildung der Anmeldeseite, passiert nichts: Der Passkey erkennt, dass die Adresse nicht zur hinterlegten passt, und verweigert die Anmeldung.
Für Unternehmen im Mittelstand lohnt sich meist ein schrittweiser Weg: dort mit Passkeys beginnen, wo die genutzten Systeme sie bereits unterstützen, und für alles andere zunächst bei einer sauber eingerichteten Multi-Faktor-Authentifizierung bleiben. Bei IT-Sicherheit von LNIT prüfen wir, wo sich passwortlose Anmeldung im eigenen Betrieb schon sinnvoll einführen lässt und wo klassische Verfahren noch die bessere Wahl sind.
Häufige Fragen zu Passkey
Was ist ein Passkey einfach erklärt?
Ein Passkey ersetzt das klassische Passwort durch ein digitales Schlüsselpaar. Ein Teil davon bleibt sicher auf dem eigenen Gerät gespeichert, der andere liegt beim jeweiligen Online-Dienst. Zum Anmelden entsperrt man den Passkey mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN — ein Passwort muss dabei nicht mehr eingegeben oder gemerkt werden.
Ist ein Passkey sicherer als ein Passwort mit MFA?
In der Regel ja. Ein Passkey lässt sich nicht durch Phishing abgreifen, weil kein Geheimnis eingegeben wird, das jemand abfangen könnte, und weil er fest an die richtige Internetadresse gebunden ist. Passwort plus MFA bleibt sinnvoll, wo Passkeys noch nicht angeboten werden, ist aber grundsätzlich anfälliger für gut gemachte Phishing-Seiten.
Können Unternehmen schon flächendeckend auf Passkeys umstellen?
Noch nicht überall. Große Plattformen wie Microsoft und Google unterstützen Passkeys bereits gut, viele Fachanwendungen im Mittelstand jedoch noch nicht oder nur teilweise. Sinnvoll ist deshalb meist eine schrittweise Einführung dort, wo sie bereits unterstützt wird, statt eine plötzliche Komplett-Umstellung.
Fragen zu Passkey im eigenen Betrieb?
Wir beraten Sie verständlich und auf Augenhöhe — direkt mit dem Inhaber, aus Diekholzen bei Hildesheim.