Ein Passkey ist kein neues Passwort mit besserem Namen. Es ist ein Verfahren, das ganz ohne das Prinzip auskommt, das seit Jahrzehnten die Grundlage jeder Anmeldung war: ein Geheimnis, das man sich merkt, eintippt — und das jemand anderes stehlen kann, sobald man es eintippt.
Wie ein Passkey funktioniert
Bei der Einrichtung erzeugt das Gerät ein mathematisch zusammengehöriges Schlüsselpaar: einen privaten Schlüssel, der das Gerät nie verlässt, und einen öffentlichen Schlüssel, der beim Dienst — etwa Microsoft oder Google — hinterlegt wird. Bei der Anmeldung schickt der Dienst eine kryptografische Aufgabe, das Gerät entsperrt den privaten Schlüssel per Fingerabdruck, Gesichtserkennung oder PIN und beantwortet die Aufgabe damit. Der Dienst prüft die Antwort mit dem öffentlichen Schlüssel — fertig. Grundlage ist der offene Standard FIDO2, entwickelt von der FIDO Alliance und dem World Wide Web Consortium.
Warum dabei kein klassisches Passwort mehr nötig ist
Es gibt schlicht kein geteiltes Geheimnis mehr, das getippt, übertragen und irgendwo gespeichert werden müsste. Die Fingerabdruck- oder Gesichtserkennung entsperrt nur den privaten Schlüssel auf dem eigenen Gerät — sie wird nirgends an den Dienst übertragen und dort auch nicht gespeichert.
Warum das gegen Phishing wirkt, wo Passwort plus MFA versagt
Ein Passkey ist an die exakte Adresse gebunden, für die er erstellt wurde: Ein Passkey für login.microsoftonline.com funktioniert ausschließlich dort. Eine Phishing-Seite mit einer anderen Adresse — und sei sie optisch identisch — kann den Passkey technisch gar nicht abrufen; das Gerät verweigert die Nutzung. Bei Passwort plus SMS- oder App-Code funktioniert genau der Angriff, den wir im Beitrag zu MFA-Umgehung beschrieben haben: eine durchreichende Seite leitet Eingaben in Echtzeit an den echten Dienst weiter und fängt danach das gültige Sitzungstoken ab. Diese Angriffsklasse existiert bei einem Passkey nicht, weil die Antwort kryptografisch an die Zieladresse gebunden ist.
Passwort + MFA
- Ein geteiltes Geheimnis, das eingetippt und übertragen wird
- Anfällig für durchreichende Phishing-Seiten und Sitzungsdiebstahl
- Anmeldung dauert im Schnitt über eine Minute
- Zweiter Faktor per SMS gilt als schwächste verbreitete Methode
Passkey
- Ein Schlüsselpaar, dessen privater Teil das Gerät nie verlässt
- An die exakte Zieladresse gebunden, gegen Phishing-Relay wirkungslos
- Anmeldung dauert typischerweise wenige Sekunden
- Entsperrung per Biometrie oder Geräte-PIN, nichts davon wird übertragen
Passkeys bei Microsoft und bei Google
Microsoft unterstützt Passkeys in der Authenticator-App (gerätegebunden) sowie über FIDO2-Sicherheitsschlüssel in Microsoft Entra ID, verwaltbar über die Authentifizierungsmethoden-Richtlinien. Windows Hello dient dabei als Plattform-Authenticator; die native Passkey-Unterstützung direkt unter Windows befindet sich laut Microsoft noch in der Vorschau und ersetzt Windows Hello for Business nicht, sondern ergänzt es. Bei Google Workspace aktivieren Administratoren Passkeys zentral über die Admin-Konsole — standardmäßig ist die Option deaktiviert und erlaubt Nutzern danach, das Passwort bei der Anmeldung zu überspringen; ein erzwungenes vollständiges Abschalten des Passworts sieht Google aktuell nicht vor.
Was bei Verlust eines Geräts passiert
Hier unterscheiden sich zwei Varianten deutlich. Ein gerätegebundener Passkey — etwa auf einem Hardware-Sicherheitsschlüssel — ist nach Verlust des Geräts unwiederbringlich weg, sofern kein zweiter Passkey oder keine Ausweichmethode registriert war; es bleibt nur die reguläre Konto-Wiederherstellung. Ein synchronisierter Passkey dagegen liegt verschlüsselt in der Cloud des jeweiligen Kontos (etwa im Microsoft-Konto oder im Google-Passwortmanager) und steht nach der Anmeldung auf einem neuen Gerät wieder zur Verfügung. Ein Detail, das in der Praxis überrascht: Google-Passkeys synchronisieren nicht automatisch auf jedes verbundene Gerät — auf jedem neuen Gerät wird ein eigener Passkey angelegt.
Sollte man Passwörter jetzt vollständig abschaffen?
Nicht in einem Schritt. Sowohl bei Microsoft als auch bei Google bleibt das Passwort aktuell als Ausweichmethode bestehen, und der realistische Zustand 2026 ist ein Nebeneinander für zwölf bis vierundzwanzig Monate — auch bei den Anbietern selbst. Für ein KMU ist der Passkey die neue Hauptmethode, nicht die einzige.
Eine schrittweise Einführung im Betrieb
Administrative Konten zuerst
Die Konten mit den weitreichendsten Rechten bekommen den größten Sicherheitsgewinn und sind meist die geringste Anzahl — der kürzeste Weg zu spürbarer Wirkung.
Ein Pilotteam
Eine kleine Gruppe, die Rückfragen aushält, bevor der Rollout auf die ganze Belegschaft trifft. Zeigt auch, welche Geräte noch zu alt für Passkey-Unterstützung sind.
Ausweichmethode nicht sofort abschalten
MFA per Authenticator oder Sicherheitsschlüssel bleibt vorerst bestehen, für den Fall eines verlorenen Geräts während der Umstellung.
Rest der Belegschaft in Wellen
Mit kurzer Anleitung und einem Ansprechpartner für die ersten Tage — die Einrichtung selbst dauert pro Gerät wenige Minuten.
Diese Umstellung liegt technisch bei Protect; der konkrete Anlass, jetzt damit zu beginnen, ist die schrittweise Abschaltung von SMS und Anruf als Anmeldemethode, die wir im separaten Beitrag beschrieben haben. Wenn Sie klären möchten, welche Konten in Ihrem Betrieb sich für den Anfang eignen: Das ist eine gute Frage für ein kurzes Gespräch.