Warum Passkeys wichtig sind (auch wenn Sie schon ein Passwort haben)

Die meisten Bestandsanmeldungen beginnen noch immer so wie vor zwanzig Jahren: eine E-Mail und ein Passwort. Das ist ein geteiltes Geheimnis. Sie tippen es, die Website prüft es, und jeder, der es erfährt, kann sich als Sie ausgeben. Phishing-Seiten, wiederverwendete Logins aus anderen Leaks und Infostealer-Malware funktionieren, weil das Geheimnis Ihren Kopf verlassen und über das Netzwerk reisen kann.

Der Data Breach Investigations Report 2026 von Verizon findet die Nutzung gestohlener Anmeldedaten noch immer in etwa 36 % der Vorfälle. Die Anmeldedaten selbst tauchen als gestohlene Daten in mehr als einem Viertel davon auf. Das „menschliche Element“ (Phishing, Fehler, Social Engineering) steckt in rund drei von fünf Vorfällen. Passwörter sind nicht der einzige Weg hinein, aber sie bleiben ein zuverlässiger.

Was ein Passkey wirklich ist

Ein Passkey ist eine FIDO2-/WebAuthn-Anmeldeinformation: ein öffentliches/privates Schlüsselpaar, erzeugt auf Ihrem Gerät (oder in einem Passwortmanager oder Hardware-Sicherheitsschlüssel) für eine bestimmte Website. Die Website speichert den öffentlichen Schlüssel. Der private Schlüssel verlässt den Authenticator nie. Wenn Sie sich anmelden, sendet die Website eine einmalige Challenge. Ihr Gerät entsperrt den privaten Schlüssel so, wie Sie das Telefon oder den Laptop entsperren (Windows Hello, Face ID, eine PIN, eine Berührung des Sicherheitsschlüssels) und signiert die Challenge. Die Website prüft die Signatur. Fertig.

Es gibt kein Passwort zum Merken, Wiederverwenden oder Einfügen. Es sitzt auch kein Geheimnis in unserer Datenbank, das nützlich wäre, wenn es jemand kopiert. Ein abgezogener öffentlicher Schlüssel kann niemanden anmelden.

Die FIDO Alliance behandelt „Passkey“ als Gattungsname, wie „Passwort“. Synchronisierte Passkeys reisen mit Ihrem Apple-, Google- oder Manager-Konto. Gerätegebundene Passkeys (einschließlich FIDO- Sicherheitsschlüssel) bleiben auf einem Authenticator. Beides sind Passkeys. Die synchronisierte Variante ist die, die die meisten Menschen im Alltag nutzen werden. Die gerätegebundene Variante ist die strengere Option, wenn der private Schlüssel ein Stück Hardware nie verlassen soll.

Warum Phishing abprallt

Die wichtige Eigenschaft ist nicht die Biometrie. Es ist die Ursprungsbindung. Wenn der Passkey erzeugt wird, zeichnet der Browser die echte Website auf (die Relying-Party-ID, im Kern die Domain). Bei der Anmeldung verwendet der Authenticator diesen Passkey nur, wenn die Anfrage von derselben Domain kommt. Eine Nachahmung unter simpleinventorymanagement.example kann einen Passkey, der für simpleinventorymanagement.com registriert ist, nicht ausüben. Das Gerät verweigert. Sie bekommen keine Gelegenheit, auf der falschen Seite zu „bestätigen“.

Das meint „phishing-resistent“ in der Sprache von CISA und NIST: Der Authenticator händigt einer Website, die sich als die Ihre ausgibt, kein brauchbares Geheimnis aus. Das britische National Cyber Security Centre hat FIDO2-Anmeldeinformationen mit Passwörtern und mit klassischer MFA (Passwort plus SMS, App-Code oder Push) verglichen. Gegen Adversary-in-the-Middle-Phishing bleibt klassische MFA verwundbar. FIDO2 nicht. SMS-Codes und „diese Anmeldung bestätigen“-Aufforderungen lassen sich in Echtzeit weiterleiten. Ein Passkey nicht, weil die Signatur an den echten Ursprung gebunden ist.

Die Digital Identity Guidelines des NIST (SP 800-63B-4) verlangen jetzt, dass Dienste auf Assurance-Level 2 eine phishing-resistente Option anbieten, und sie verlangen Phishing-Resistenz auf Level 3. CISA nennt FIDO/WebAuthn (Sicherheitsschlüssel und Passkeys) und PKI-Smartcards die Methoden, die tatsächlich qualifizieren. Push- Benachrichtigungen, E-Mail-Codes und SMS tun es nicht.

Stuffing, Leaks und „ich habe ein einzigartiges Passwort verwendet“

Selbst ein einzigartiges, langes Passwort scheitert, wenn es auf der falschen Website getippt wird, oder wenn Malware auf dem Laptop es mitliest, während Sie tippen. Credential Stuffing funktioniert, weil Menschen Passwörter über Websites hinweg wiederverwenden; ein Leak anderswo wird zur Anmeldung hier. Infostealer-Protokolle in den jüngsten Verizon-Berichten zeigen immer wieder Firmen-E-Mails vermischt mit privaten auf nicht verwalteten Geräten. Keiner dieser Angriffe erzeugt einen privaten Schlüssel, den sie auf unserer Domain nutzen können.

Eine Verbraucherumfrage der FIDO Alliance zum World Passkey Day 2025 fand, dass 36 % der Menschen mindestens ein Konto wegen Passwörtern kompromittiert hatten. Das ist kein Grund zur Panik. Es ist ein Grund, das Anmeldegeheimnis nicht länger etwas sein zu lassen, zu dessen Eintippen man jemanden verleiten kann.

Was das nicht ist

• Kein Zauber gegen ein vollständig übernommenes Notebook. Wenn Malware bereits unter Ihrer Identität läuft, kann sie missbrauchen, was Sie entsperren können, einschließlich mancher synchronisierter Passkey-Speicher. Passkeys heben die Hürde gegen Remote-Phishing. Sie ersetzen keine Gerätehygiene.
• Kein Grund, SSO aufzugeben. Wenn Ihr Unternehmen SAML verlangt, gilt das weiterhin. Passkeys sind für Konten, die sich direkt hier anmelden. Sie umgehen nicht die SSO-Pflicht auf einer verifizierten Domain.
• Kein zweiter Faktor obendrauf auf das Passwort. Ein Passkey ist eine primäre Anmeldung. Behalten Sie die Authenticator-App-2FA, die wir bereits unterstützen, wenn Sie einen zweiten Schritt bei der Passwortanmeldung wollen. Behandeln Sie einen Passkey nicht als diesen zweiten Schritt.
• Nicht unwiederbringlich. Behalten Sie ein Passwort (und, für ein Unternehmen, SSO), damit ein verlorenes Telefon unbequem ist, kein Ausschluss. Registrieren Sie mehr als einen Passkey, wenn Sie können: Laptop plus Telefon, oder ein Hardware-Schlüssel als Reserve.

Wo Passkeys neben SSO stehen

SAML Single Sign-on bleibt der richtige Schritt, wenn ein Unternehmen bereits in Okta, Entra ID oder Google Workspace lebt. Der IdP wird zur Haustür: Offboarding ist ein Schalter, und die MFA-Richtlinie lebt an einem Ort. Passkeys helfen allen anderen, und sie helfen dem Inhaber, der noch nicht hinter einem IdP steht: der Person, die sonst ein Passwort in der Bestands-App wiederverwenden würde, die Lieferantenkosten, Bestandspositionen und Bestellhistorie hält.

Bestand ist Betriebsdaten. Ein gestohlener Login ist nicht nur „jemand hat eine Zählung gesehen“. Es ist jemand, der Bestand anpassen, Bestellungen abschließen oder still lesen kann, was Sie kaufen und was Sie zahlen. Diese Anmeldung phishing-resistent zu machen, ist derselbe Instinkt wie das Abschließen des Lagerraums. Der Unterschied: der falsche Lagerraum im Internet kann das Schloss nicht knacken.

So fangen Sie an

1. Melden Sie sich wie gewohnt an und öffnen Sie Passkeys in den Kontoeinstellungen.
2. Fügen Sie einen Passkey auf dem Gerät hinzu, das Sie tatsächlich nutzen. Geben Sie ihm einen Namen, den Sie später erkennen.
3. Fügen Sie einen zweiten hinzu, wenn Sie können (Telefon und Laptop, oder ein Hardware-Schlüssel).
4. Beim nächsten Besuch nutzen Sie „Mit einem Passkey anmelden“, oder lassen Sie den Browser einen im E-Mail-Feld anbieten.

Sie haben weiterhin Ihr Passwort. Das ist eine extra Tür, keine Demolierung der alten. Wie wir Konten und KI-Verbindungen darüber hinaus schützen, steht auf der Sicherheitsseite.

Erstellen Sie ein Konto und fügen Sie dann einen Passkey hinzu