Ein Passkey ist kein neues Passwort, sondern ein kryptografischer Anmeldenachweis. Der Online-Dienst speichert den öffentlichen Teil, der private Teil bleibt auf deinem Gerät, in einem geschützten Synchronisationssystem, in einem Passwortmanager oder auf einem Sicherheitsschlüssel. Beim Anmelden gibst du nicht den privaten Schlüssel preis, sondern bestätigst lokal per Gerätesperre, PIN, Muster, Fingerabdruck, Gesichtserkennung oder Sicherheitsschlüssel.
Passkeys sind gegen viele klassische Passwort- und Einmalcode-Phishing-Angriffe robuster, aber sie sind kein Zauberstab. Schwache Wiederherstellung, ein kompromittiertes Gerät, weitergegebene Gerätecodes, falsche Supportanrufe oder verlorene Hauptkonten können weiterhin gefährlich werden. Richte Passkeys deshalb nie ohne Ersatzweg ein.
Was ist ein Passkey?
Ein Passkey ist ein moderner Anmeldenachweis für Websites und Apps. Die FIDO Alliance beschreibt passkeys als FIDO-Anmeldedaten, mit denen Nutzer sich bei unterstützten Diensten ähnlich anmelden können, wie sie ihr eigenes Gerät entsperren: etwa mit PIN, Muster, Fingerabdruck oder Gesichtserkennung. Der Begriff ist bewusst herstellerübergreifend. Er gehört nicht nur zu Apple, Google oder Microsoft.
Für dich sieht das oft so aus: Du öffnest eine Website, klickst auf Anmelden mit Passkey, dein Smartphone oder Computer fragt nach Freigabe, du bestätigst lokal und bist angemeldet. Hinter den Kulissen arbeitet WebAuthn, ein Webstandard für öffentliche Schlüssel. Das klingt technisch, ist aber im Alltag vor allem wichtig, weil nicht mehr ein eintippbares Geheimnis im Mittelpunkt steht.
Passkeys können ein Passwort ersetzen oder neben einem Passwort bestehen. Manche Dienste lassen das Passwort weiterhin aktiv, andere bieten passwortlose Anmeldung an. Deshalb solltest du immer die Sicherheitseinstellungen des einzelnen Dienstes prüfen: Welche Passkeys sind registriert, welche Geräte sind angemeldet, welche Wiederherstellungswege bleiben aktiv und wie wird ein verlorenes Gerät entfernt?
Was ein Passkey nicht ist
Viele Missverständnisse entstehen, weil Passkeys bei der Anmeldung mit Fingerabdruck, Gesichtserkennung oder Gerätecode freigegeben werden. Diese lokale Freigabe ist aber nicht der Passkey selbst. Sie entsperrt nur den geschützten Bereich, in dem der private Schlüssel liegt oder verwendet werden darf.
| Begriff | Was es ist | Wichtig für den Alltag |
|---|---|---|
| Passwort | Ein Geheimnis, das du eintippst und der Dienst prüfen muss. | Kann wiederverwendet, geleakt oder auf Phishing-Seiten abgefragt werden. |
| Geräte-PIN oder Code | Die lokale Sperre deines Smartphones, Computers oder Sicherheitsschlüssels. | Sie darf niemals an Webseiten, Supportanrufer oder fremde Personen weitergegeben werden. |
| Fingerabdruck oder Gesichtserkennung | Eine lokale Entsperrmethode auf deinem Gerät. | Biometrische Daten bleiben bei üblichen Passkey-Verfahren auf dem Gerät. |
| Authenticator-App | Eine App, die zeitlich begrenzte Einmalcodes erzeugt. | Codes können auf gefälschten Seiten abgefragt und in Echtzeit missbraucht werden. |
| Sicherheitsschlüssel | Ein physischer Schlüssel, häufig per USB, NFC oder Bluetooth. | Kann selbst Passkeys speichern oder als separater FIDO-Faktor dienen. |
| Passwortmanager | Ein Tresor für Passwörter, sichere Notizen und teils Passkeys. | Er kann Passkeys plattformübergreifend nutzbar machen, aber Wiederherstellung und Export unterscheiden sich. |
Wenn du diese Begriffe trennst, wird die Einrichtung viel ruhiger. Der Passkey ist der Anmeldenachweis für den Dienst. Die PIN oder Biometrie ist nur die lokale Freigabe. Der Passwortmanager oder das Betriebssystem ist der Ort, an dem der Passkey gespeichert und verwaltet wird.
Der einfache Schlüsselgedanke: öffentlich und privat
Bei einem Passwort kennen du und der Dienst dasselbe Geheimnis oder der Dienst speichert zumindest einen daraus berechneten Prüfwert. Wird dieses Geheimnis gestohlen oder auf einer falschen Website eingegeben, kann es weiterverwendet werden. Passkeys funktionieren anders: Für ein bestimmtes Konto entsteht ein Schlüsselpaar.
Der öffentliche Schlüssel darf beim Dienst liegen. Mit ihm kann der Dienst später prüfen, ob die Anmeldung von deinem passenden privaten Schlüssel bestätigt wurde. Der private Schlüssel bleibt geschützt auf deinem Gerät, in einem Synchronisationsdienst, einem Passwortmanager oder auf einem Hardware-Sicherheitsschlüssel. Er wird nicht wie ein Passwort an die Website übertragen.
Beim Anmelden schickt der Dienst eine einmalige technische Herausforderung. Dein Gerät signiert diese Herausforderung mit dem privaten Schlüssel, nachdem du lokal freigegeben hast. Der Dienst prüft die Signatur mit dem öffentlichen Schlüssel. Für Nutzer ist davon nur die Bestätigung sichtbar, aber genau dieser Mechanismus macht Passkeys anders als Passwörter und Einmalcodes.
Warum Passkeys gegen viele Phishing-Angriffe helfen
Passkeys sind an den echten Dienst gebunden. WebAuthn arbeitet mit dem sogenannten Relying-Party-Kontext, also vereinfacht mit der passenden Website oder App. Eine gefälschte Seite kann deshalb nicht einfach einen Passkey wie ein Passwort abfragen und später bei der echten Website eintippen.
Das hilft besonders gegen klassische Login-Phishing-Seiten. Bei Passwörtern und Einmalcodes kann eine falsche Seite dich zur Eingabe verleiten und die Daten direkt weiterreichen. Bei einem korrekt implementierten Passkey passt die technische Anfrage nicht zur falschen Domain. Der private Schlüssel gibt nicht einfach ein wiederverwendbares Geheimnis heraus.
Trotzdem bleibt Wachsamkeit wichtig. Angreifer können dich zu einer echten Anmeldung auf dem echten Dienst drängen, dich zu einer falschen Wiederherstellung führen, einen Supportanruf vortäuschen, Gerätecodes erfragen, Fernwartung installieren lassen oder ein bereits kompromittiertes Gerät ausnutzen. Mehr dazu findest du in den Ratgebern Phishing-Mails erkennen und Falsche Supportanrufe erkennen.
Was mit biometrischen Daten passiert
Viele Passkey-Dialoge zeigen Fingerabdruck, Gesichtserkennung oder Gerätecode. Das heißt nicht, dass dein Gesicht oder Fingerabdruck an den Online-Dienst gesendet wird. Bei den üblichen Plattformverfahren bleiben biometrische Daten lokal auf dem Gerät. Der Dienst erhält eine technische Bestätigung, dass die lokale Freigabe erfolgreich war.
Biometrie ist außerdem nicht zwingend. Viele Geräte erlauben die Freigabe mit Gerätecode, PIN, Muster oder einem Sicherheitsschlüssel. Das ist wichtig für Menschen, die Biometrie nicht nutzen möchten oder können. Prüfe allerdings, wie stark dein Gerätecode ist. Ein vierstelliger Code, den jemand beim Entsperren beobachtet, kann zum Problem werden.
Gerätecode-Diebstahl ist ein unterschätztes Risiko. Wer deinen Code kennt und kurz Zugriff auf dein entsperrtes oder entsperrbares Gerät bekommt, kann je nach System Konten, Passwortmanager, Wiederherstellung und Passkeys gefährden. Gib Gerätecodes nie am Telefon weiter und tippe sie nicht ein, wenn eine fremde Person dich dazu anleitet.
Wo Passkeys gespeichert werden können
Es gibt nicht den einen Passkey-Speicher. Im Alltag begegnen dir mehrere Modelle. Ein Passkey kann auf dem Smartphone liegen, auf dem Computer, in einem Betriebssystemkonto, in einem Browser, in einem Passwortmanager, auf einem Hardware-Sicherheitsschlüssel oder in einer verwalteten Unternehmensumgebung.
| Speicherort | Typischer Nutzen | Wichtige Grenze |
|---|---|---|
| iPhone, iPad oder Mac | Bequeme Anmeldung über Apple-Geräte und iCloud-Schlüsselbund. | Apple-Konto, iCloud-Schlüsselbund, Gerätecode und Wiederherstellung müssen stimmen. |
| Android und Google Passwortmanager | Nutzung auf Android-Geräten und unterstützten Browsern. | Google-Konto, Gerätesperre, Passwortmanager-PIN und Plattformunterstützung prüfen. |
| Windows Hello | Lokale Anmeldung am Windows-Gerät mit PIN oder Biometrie. | Manche lokalen Passkeys sind nicht automatisch wiederherstellbar. |
| Externer Passwortmanager | Mehrere Betriebssysteme, Familien- oder Teamnutzung. | Import, Export, Notfallzugriff und Anbieterwechsel sind produktabhängig. |
| Hardware-Sicherheitsschlüssel | Separater, physischer Ersatzweg für wichtige Konten. | Der Schlüssel muss vorher registriert und sicher verwahrt werden. |
| Unternehmensgerät | Zentral verwaltete Anmeldung für Arbeit oder Schule. | Richtlinien, Löschung und Wiederherstellung liegen oft bei der Organisation. |
Für Verbraucher ist die wichtigste Frage: Wird dieser Passkey synchronisiert oder bleibt er an genau dieses Gerät gebunden? Die Antwort entscheidet, was bei Gerätewechsel, Diebstahl, Reparatur, Neuinstallation oder Plattformwechsel passiert.
Synchronisierte und gerätegebundene Passkeys
Synchronisierte Passkeys können über ein geschütztes Konto oder einen Passwortmanager auf mehreren eigenen Geräten verfügbar sein. Beispiel: Du richtest einen Passkey auf dem iPhone ein und nutzt ihn später auf einem anderen Apple-Gerät mit demselben Apple Account und aktiviertem iCloud-Schlüsselbund. Ähnliche Konzepte gibt es bei Google oder externen Passwortmanagern, wenn die jeweilige Umgebung das unterstützt.
Gerätegebundene Passkeys bleiben dagegen auf einem bestimmten Gerät oder Sicherheitsschlüssel. Das kann für Unternehmen, Admin-Konten oder sehr hohe Sicherheitsanforderungen sinnvoll sein. Der Preis ist weniger Bequemlichkeit: Wenn genau dieses Gerät verloren geht, defekt ist oder zurückgesetzt wird, brauchst du einen vorher eingerichteten Ersatzweg.
Beide Modelle sind legitim. Synchronisierung erleichtert den Alltag und Gerätewechsel, verlangt aber ein stark geschütztes Hauptkonto. Gerätebindung reduziert bestimmte Weitergabe- und Sync-Risiken, verlangt aber ein gutes Ersatzkonzept. Wer nur die bequemste Schaltfläche anklickt, merkt den Unterschied oft erst im Notfall.
Apple, Google, Microsoft und Passwortmanager: Stand Juli 2026
Apple beschreibt Passkeys für iPhone, iPad und Mac über die Passwörter-App und den iCloud-Schlüsselbund. Voraussetzung sind geeignete Systeme, aktivierter iCloud-Schlüsselbund und ein geschützter Apple Account. Die Anmeldung kann mit Face ID, Touch ID oder Gerätecode bestätigt werden. Für die Anmeldung auf einem anderen Gerät beschreibt Apple außerdem QR-Code-Verfahren und Näheprüfung, je nach Gerät und System.
Google unterstützt Passkeys für Google-Konten und über den Google Passwortmanager auf geeigneten Android- und Chrome-Umgebungen. In den Hilfeseiten weist Google zugleich darauf hin, dass ein Passkey nicht automatisch alle bisherigen Anmelde- und Wiederherstellungswege entfernt. Für neue Geräte können zusätzliche Freigaben oder eine Google-Passwortmanager-PIN eine Rolle spielen.
Microsoft beschreibt Passkeys auf Windows über Windows Hello und Konto-Sicherheitseinstellungen. Passkeys können lokal verwaltet und gelöscht werden. Für Arbeits- und Schulkonten oder Microsoft Entra gibt es zusätzlich verwaltete Szenarien, teils mit Vorschau- oder Richtliniencharakter. Wichtig ist: Aussagen zu Windows, Arbeitskonten und Companion-Device-Verfahren hängen stark von Version, Kontoart und Organisation ab.
Externe Passwortmanager können Passkeys ebenfalls speichern. Das kann besonders praktisch sein, wenn du Apple, Android, Windows und verschiedene Browser mischst. Prüfe aber genau, ob dein Manager Passkeys auf allen gewünschten Geräten unterstützt, wie Notfallzugriff funktioniert und ob ein späterer Wechsel des Managers deine Passkeys wirklich mitnimmt.
So meldest du dich mit Passkey an
Auf demselben Gerät ist die Anmeldung meist einfach. Du öffnest Website oder App, wählst Passkey-Anmeldung, bestätigst mit Gerätesperre oder Sicherheitsschlüssel und bist angemeldet. Der Dienst prüft im Hintergrund die Signatur. Du musst kein Passwort eintippen und keinen Einmalcode übertragen.
Bei der Anmeldung am Computer mit einem Smartphone läuft es häufig anders. Die Website zeigt eine Option wie mit einem anderen Gerät anmelden. Dann kann ein QR-Code erscheinen, den du mit deinem Smartphone scannst. Das Smartphone und der Computer prüfen je nach Verfahren, dass sie wirklich zueinander gehören und in räumlicher Nähe sind. Moderne FIDO-Verfahren nutzen dafür unter anderem hybride CTAP-Mechanismen und häufig Bluetooth als Näheprüfung.
Wichtig: Scanne solche QR-Codes nur, wenn du selbst auf der echten Website bist und die Anmeldung bewusst gestartet hast. Ein QR-Code ist nicht automatisch böse, aber er ist auch kein Freifahrtschein. Prüfe Domain, Browserfenster und den Text auf deinem Smartphone. Bestätige keine Anmeldung, die du nicht selbst begonnen hast.
Passkeys richtig einrichten: Schritt für Schritt
- Starte mit einem wichtigen, aber gut wiederherstellbaren Konto, zum Beispiel Haupt-E-Mail, Apple, Google, Microsoft oder Passwortmanager.
- Prüfe vorab, welche Geräte du nutzt: Smartphone, Computer, Tablet, Passwortmanager oder Sicherheitsschlüssel.
- Aktualisiere Betriebssystem, Browser und Passwortmanager.
- Aktiviere eine starke Gerätesperre. Verwende keinen leicht beobachtbaren Kurzcode.
- Öffne die offizielle Sicherheitsseite des Dienstes, nicht einen Link aus einer unbekannten Nachricht.
- Erstelle den Passkey und gib ihm, falls möglich, einen verständlichen Namen wie iPhone privat oder Sicherheitsschlüssel zuhause.
- Melde dich einmal ab und teste die Anmeldung bewusst.
- Richte einen zweiten Zugang ein: zweites Gerät, Sicherheitsschlüssel, Backupcode oder offizielle Wiederherstellung.
- Prüfe, ob alte Passwörter, SMS-Codes oder Sicherheitsfragen weiterhin aktiv sind.
- Notiere in deiner Notfallübersicht nicht den Gerätecode, sondern wo Passkeys und Ersatzwege verwaltet werden.
Wenn du unsicher bist, beginne nicht mit dem einzigen Zugang zu deinem wichtigsten Konto. Starte mit einem Dienst, bei dem du die Wiederherstellung verstehst. Danach gehst du zu E-Mail, Passwortmanager, Cloud, Mobilfunkkonto, Bank, Domain, Hosting und geschäftlichen Konten weiter. Der Ratgeber Zwei-Faktor-Authentifizierung hilft beim Einordnen von SMS, Authenticator-App, Push, Passkeys und Sicherheitsschlüssel.
Service, Gerät und Backup: die einfache Drei-Punkte-Regel
Bei jedem Passkey solltest du drei Dinge trennen. Erstens: Für welchen Dienst gilt der Passkey? Zweitens: Auf welchem Gerät, in welchem Passwortmanager oder auf welchem Sicherheitsschlüssel liegt er? Drittens: Wie kommst du wieder ins Konto, wenn dieser Weg ausfällt?
- Dienst: Google-Konto, Apple Account, Microsoft-Konto, E-Mail, Bank, Cloud, Passwortmanager oder Hosting.
- Gerät: iPhone, Android-Smartphone, Windows-Laptop, Mac, Passwortmanager, Hardware-Schlüssel oder Unternehmensgerät.
- Backup: zweiter Passkey, Sicherheitsschlüssel, Backupcode, Wiederherstellungs-E-Mail, Ersatztelefon oder offizieller Supportprozess.
Diese Regel verhindert viele Pannen. Ein Passkey auf dem einzigen Smartphone ist bequem, aber riskant, wenn auch E-Mail, Passwortmanager und Banking von diesem Smartphone abhängen. Ein zweiter, getesteter Weg ist keine Paranoia, sondern normale Kontopflege.
Gerätewechsel und Plattformwechsel
Ein Wechsel innerhalb derselben Plattform kann einfach sein, wenn Passkeys synchronisiert werden und das Hauptkonto funktioniert. Ein neues iPhone kann passende Passkeys über iCloud-Schlüsselbund erhalten, ein neues Android-Gerät über Google Passwortmanager oder einen externen Passwortmanager. Trotzdem solltest du den alten Zugang nicht löschen oder das alte Gerät zurücksetzen, bevor die Anmeldung auf dem neuen Gerät getestet ist.
Schwieriger wird es beim Plattformwechsel: von Apple zu Android, von Android zu iPhone, von einem Browser-Passwortmanager zu einem externen Manager oder von einem privaten Gerät zu einem Unternehmensgerät. Einige Passkeys lassen sich möglicherweise nicht so übertragen wie klassische Passwörter. Manche Plattformen bieten Import oder Export für Passkeys in bestimmten Situationen, andere noch nicht oder nur eingeschränkt.
Die FIDO Alliance arbeitet an Credential-Exchange-Spezifikationen, damit Zugangsdaten sicherer zwischen Anbietern übertragen werden können. Das ist ein wichtiger Schritt, aber im Juli 2026 solltest du keine universelle Portabilität voraussetzen. Vor einem großen Wechsel gilt: bei wichtigen Konten zusätzliche Passkeys oder Sicherheitsschlüssel registrieren, Backupcodes prüfen und erst danach alte Geräte löschen.
Wenn ein Gerät verloren geht
Bei einem verlorenen Smartphone oder Laptop zählt zuerst Schadensbegrenzung. Sperre oder orte das Gerät über die offiziellen Funktionen, ändere gefährdete Wiederherstellungswege, entferne das Gerät aus Apple-, Google-, Microsoft- oder Passwortmanager-Konten und lösche Passkeys beim jeweiligen Dienst, wenn du nicht sicher bist, ob das Gerät geschützt blieb.
Wenn die SIM oder eSIM betroffen ist, sperre sie beim Mobilfunkanbieter. Das ist nicht nur für Telefonate wichtig. Telefonnummern werden noch häufig für SMS-Codes, Wiederherstellung, Messenger und Bankhinweise genutzt. Der Ratgeber Smartphone verloren zeigt die Reihenfolge für Ortung, Sperre, SIM, Wallet, Banking und Konten. Der Ratgeber SIM-Swapping erkennen erklärt, warum SMS als alleiniger Ersatzweg riskant sein kann.
Ist ein Hardware-Sicherheitsschlüssel verloren, entferne ihn sofort in den Sicherheitseinstellungen der betroffenen Dienste. Wenn du keinen Ersatzschlüssel und keine Backupcodes hast, bleibt nur die offizielle Wiederherstellung des Dienstes. Genau deshalb sollten Ersatzschlüssel vor dem Notfall eingerichtet werden.
Wenn plötzlich ein unbekannter Passkey auftaucht
Viele Dienste zeigen registrierte Passkeys in den Kontosicherheitseinstellungen. Prüfe diese Liste regelmäßig. Wenn dort ein Gerät, Browserprofil, Passwortmanager oder Sicherheitsschlüssel auftaucht, den du nicht erkennst, entferne den Eintrag nicht blind und geh weiter zum nächsten Punkt. Prüfe auch aktive Sitzungen, Wiederherstellungs-E-Mail, Telefonnummer, 2FA-Methoden und kürzliche Kontoaktivität.
Ein unbekannter Passkey kann harmlos sein, etwa ein altes Gerät mit unklarem Namen. Er kann aber auch auf fremden Zugriff, eine vergessene Freigabe oder einen falsch eingerichteten Familiencomputer hinweisen. Wenn du Missbrauch vermutest, sichere zuerst den Zugang: Passwort ändern, zweite Faktoren erneuern, unbekannte Geräte abmelden, Backupcodes neu erzeugen und bei wichtigen Konten den Anbieter kontaktieren.
Bei einem Datenleck reicht es nicht, nur Passkeys anzusehen. Öffentliche Schlüssel sind nicht wie Passwörter wiederverwendbar, aber Fallbacks, E-Mail-Adressen, Telefonnummern, Wiederherstellungswege und aktive Sitzungen können betroffen sein. Die passenden Schritte erklärt der Ratgeber Datenleck: Was tun?.
Öffentliche Computer und geteilte Geräte
Auf öffentlichen Computern, Hotelrechnern, fremden Laptops oder Geräten im Vereinsraum solltest du keine Passkeys speichern. Nutze nach Möglichkeit dein eigenes Smartphone zur einmaligen Bestätigung und melde dich vollständig ab. Speichere keine Passkeys, keine Passwörter und keine Geräte als vertrauenswürdig, wenn du das Gerät nicht kontrollierst.
Bei geteilten Familiengeräten sind getrennte Nutzerprofile wichtig. Ein gemeinsames Tablet für Küche, Kinder und Gäste ist kein guter Ort für private Passkeys zu Bank, E-Mail, Passwortmanager oder Unternehmensdiensten. Jede Person sollte eigene Konten und eigene Freigaben verwenden. Haushaltskonten können geteilt werden, persönliche Hauptkonten nicht nebenbei.
Für ältere Menschen können Passkeys sehr hilfreich sein, weil weniger Passwörter eingetippt werden müssen. Gleichzeitig muss die Einrichtung verständlich bleiben: Welches Gerät wird benutzt, wie wird es entsperrt, was passiert bei neuem Smartphone, wer darf helfen und welche Codes werden niemals weitergegeben? Mehr alltagstaugliche Grundregeln stehen im Ratgeber Datenschutz für Senioren.
Passkeys für Selbstständige, Admins und Unternehmen
Bei selbstständiger Arbeit und kleinen Unternehmen sind Passkeys besonders interessant für E-Mail, Domain, Hosting, Buchhaltung, Cloud, Passwortmanager, Zahlungsdienste, Social Media und Admin-Zugänge. Ein einzelnes kompromittiertes Admin-Konto kann Website, Kundenkommunikation und Rechnungsdaten betreffen. Gleichzeitig darf ein Passkey nicht an einer einzigen Person oder einem einzigen Gerät hängen.
Unternehmen brauchen ein Inventar: Welche Konten nutzen Passkeys, wo liegen sie, wer darf sie verwenden, welche Ersatzschlüssel existieren, wie läuft Offboarding und wie wird ein verlorenes Gerät entfernt? Für Arbeits- und Schulkonten können Organisationen Richtlinien setzen. Microsoft Entra, Windows Hello, Sicherheitsschlüssel und verwaltete Geräte haben eigene Voraussetzungen und teils andere Regeln als private Konten.
Für kritische Admin-Konten sind zusätzliche Hardware-Sicherheitsschlüssel oft sinnvoll. Mindestens zwei sollten sicher getrennt verwahrt werden. Ein Schlüssel bei der verantwortlichen Person, ein zweiter in einer geregelten Notfallaufbewahrung. Diese Aufbewahrung ersetzt keine Vollmacht, keine Rollenvergabe und keine saubere Dokumentation.
Fallbacks: Der schwächste Weg entscheidet mit
Ein Passkey schützt nur den Weg, auf dem er verwendet wird. Viele Konten behalten zusätzlich Passwort, SMS-Code, E-Mail-Code, Sicherheitsfragen, Wiederherstellungsadresse, Telefonnummer oder Supportprozess. Das ist praktisch, damit du dich nicht aussperrst. Es kann aber den Gesamtschutz schwächen, wenn diese Ersatzwege schlechter geschützt sind.
Prüfe deshalb nach jeder Passkey-Einrichtung: Gibt es weiterhin ein altes Passwort? Ist es einzigartig und stark? Sind SMS-Codes noch aktiv? Ist die Wiederherstellungs-E-Mail geschützt? Liegen Backupcodes offline? Gibt es unbekannte Geräte? Wird bei Kontowiederherstellung ein leicht erratbares Geburtsdatum oder eine alte Telefonnummer genutzt?
Das Haupt-E-Mail-Konto verdient besondere Aufmerksamkeit. Viele Dienste lassen sich darüber zurücksetzen. Der Ratgeber E-Mail sicherer machen zeigt, wie Passwort, 2FA, Wiederherstellung, Geräteübersicht und Phishing-Schutz zusammenspielen.
Die wichtigsten Restrisiken
- Kompromittiertes Gerät: Schadsoftware, manipulierte Browser-Erweiterungen oder ein entsperrtes Gerät können auch starke Anmeldeverfahren gefährden.
- Gerätecode-Diebstahl: Beobachtete oder weitergegebene Gerätecodes können Zugriff auf lokale Schlüssel, Passwortmanager und Konten erleichtern.
- Schwache Wiederherstellung: SMS, alte E-Mail-Adressen, unsichere Sicherheitsfragen oder schlecht verwahrte Backupcodes können den Passkey-Schutz unterlaufen.
- Social Engineering: Angreifer können dich dazu bringen, eine echte Anmeldung, Fernwartung, Zahlungsfreigabe oder Kontowiederherstellung selbst auszulösen.
- Plattformbindung: Manche Passkeys lassen sich nicht einfach exportieren, importieren oder auf neue Systeme übertragen.
- Organisation und Nachlass: Wenn niemand weiß, wo Ersatzwege liegen oder wer handeln darf, kann ein gutes Sicherheitsverfahren im Notfall blockieren.
Die Lösung ist nicht, Passkeys zu vermeiden. Die Lösung ist, sie mit Geräteschutz, Passwortmanager, 2FA-Plan, Cloud- und Backupstrategie sowie digitaler Vorsorge zusammenzudenken. Für Smartphone-Einstellungen lohnt der Ratgeber Handy-Datenschutz. Für Cloud- und Backupfragen hilft der Ratgeber Cloud-Speicher vergleichen.
Passkeys löschen, widerrufen und aufräumen
Wenn du ein Gerät verkaufst, weitergibst, verlierst oder nicht mehr nutzt, reicht ein Zurücksetzen allein nicht immer als gedanklicher Abschluss. Entferne den Passkey auch beim jeweiligen Dienst. Viele Dienste zeigen registrierte Passkeys auf einer Sicherheitsseite. Dort kannst du alte Geräte, Passwortmanager oder Sicherheitsschlüssel entfernen.
Zusätzlich solltest du aktive Sitzungen prüfen. Ein Passkey schützt die Anmeldung, aber eine bereits aktive Sitzung kann je nach Dienst weiter bestehen. Melde unbekannte Sitzungen ab, erneuere Backupcodes und überprüfe Wiederherstellungswege. Bei einem verkauften Smartphone gehören außerdem Geräteortung, Wallet, eSIM, Cloudkonto und Passwortmanager in die Checkliste.
Die praktische Reihenfolge für Backup, Kontentrennung, eSIM-Prüfung und Werksreset vor einer Übergabe steht im Ratgeber Smartphone sicher verkaufen.
Passkeys und digitale Vorsorge
Passkeys gehören in die digitale Vorsorge, aber nicht als offene Liste geheimer Codes. Dokumentiere, welche wichtigen Konten passkeygeschützt sind, wo die Passkeys verwaltet werden und welche offiziellen Ersatzwege existieren. Schreibe nicht Gerätecodes, Master-Passwörter oder Backupcodes ungeschützt in eine allgemeine Mappe.
Für Angehörige oder Vertrauenspersonen ist oft nicht der direkte Login entscheidend, sondern die Information: Welches Konto gibt es? Wofür ist es wichtig? Wer darf handeln? Wo liegt eine Vollmacht? Welche Anbieterprozesse sollen genutzt werden? Was soll mit privaten Nachrichten, Fotos, Cloud-Daten, Domains, Hosting oder geschäftlichen Konten passieren?
Der Ratgeber Digitale Vorsorge ordnet genau diese Fragen. Er trennt technische Zugriffsmöglichkeit von rechtlicher Befugnis. Das ist bei Passkeys besonders wichtig, weil ein entsperrbares Gerät nicht automatisch bedeutet, dass jemand alles lesen oder ändern darf.
Der 10-Minuten-Passkey-Check
- Öffne die Sicherheitsseite deines Haupt-E-Mail-Kontos.
- Prüfe, ob ein Passkey vorhanden ist und ob du den Namen erkennst.
- Prüfe, ob ein zweiter Zugang existiert.
- Entferne alte Geräte, die du nicht mehr besitzt.
- Prüfe, ob Telefonnummer und Wiederherstellungs-E-Mail aktuell sind.
- Lege Backupcodes offline und geschützt ab, falls der Dienst sie anbietet.
- Wiederhole die Prüfung für Passwortmanager, Apple-, Google- oder Microsoft-Konto.
- Teste eine Anmeldung mit dem neuen Passkey bewusst, ohne Zeitdruck.
- Notiere in deiner Notfallübersicht den Speicherort des Ersatzwegs, nicht den geheimen Code.
- Setze dir eine Erinnerung, diese Liste nach Gerätewechseln zu prüfen.
Wenn du nur eine Sache tust: Richte nicht bloß einen Passkey ein, sondern auch den zweiten Weg zurück ins Konto. Sicherheit, die dich im Notfall aussperrt, wird im Alltag schnell wieder umgangen.
Welche Konten zuerst?
| Priorität | Konto | Warum zuerst? | Zusätzlicher Hinweis |
|---|---|---|---|
| Sehr hoch | Haupt-E-Mail | Setzt viele andere Konten zurück. | 2FA, Wiederherstellung und aktive Geräte prüfen. |
| Sehr hoch | Apple, Google, Microsoft | Steuern Smartphone, Cloud, Passkeys und Geräte. | Backupcodes und Konto-Wiederherstellung dokumentieren. |
| Sehr hoch | Passwortmanager | Enthält viele Zugangsdaten und teils Passkeys. | Master-Passwort, 2FA und Notfallzugriff klären. |
| Hoch | Bank, Zahlungsdienste, Mobilfunk | Finanzen, SMS-Codes und Vertragskonten sind sensibel. | Banking-Freigaben und SIM-Schutz getrennt betrachten. |
| Hoch | Cloud, Hosting, Domains | Daten, Website und E-Mail-Zustellung hängen daran. | Für Selbstständige Ersatzperson und Rollen festlegen. |
| Mittel | Shops, Streaming, Social Media | Missbrauch ist ärgerlich, aber meist leichter zu begrenzen. | Starke Passwörter und 2FA bleiben sinnvoll. |
Wenn ein Dienst keine Passkeys unterstützt, ist das kein Grund für schwache Passwörter. Nutze dort ein einzigartiges Passwort aus einem Passwortmanager und aktiviere eine passende Zwei-Faktor-Methode.
FAQ: 66 Fragen zu Passkeys
Was ist ein Passkey?
Ein Passkey ist ein moderner Anmeldenachweis für Websites und Apps. Du tippst kein klassisches Passwort ein, sondern bestätigst die Anmeldung mit einem eingerichteten Gerät, Passwortmanager oder Sicherheitsschlüssel. Technisch basiert das auf einem Schlüsselpaar: Der öffentliche Teil liegt beim Dienst, der private Teil bleibt geschützt bei dir.
Wie funktioniert eine Passkey-Anmeldung?
Der Dienst fragt dein Gerät nach einer Bestätigung. Dein Gerät nutzt den passenden privaten Schlüssel und bestätigt die Anfrage erst nach lokaler Freigabe, zum Beispiel per Gerätesperre, PIN, Muster, Fingerabdruck, Gesichtserkennung oder Sicherheitsschlüssel. Der Dienst prüft diese Bestätigung mit dem öffentlichen Schlüssel, ohne dein eigentliches Geheimnis zu erhalten.
Ist ein Passkey ein Passwort?
Nein. Ein Passwort ist ein Geheimnis, das du eintippst und das bei falscher Nutzung abgefangen oder wiederverwendet werden kann. Ein Passkey besteht aus kryptografischen Schlüsseln. Der private Schlüssel wird nicht an den Dienst übertragen. Deshalb kann eine falsche Website ihn nicht einfach wie ein Passwort einsammeln.
Ist ein Passkey dasselbe wie eine PIN?
Nein. Die PIN oder der Gerätecode entsperrt nur dein Smartphone, deinen Computer oder deinen Sicherheitsschlüssel. Der Passkey ist der eigentliche Anmeldenachweis für den Online-Dienst. Du solltest deine PIN niemals in eine Website eingeben, am Telefon nennen oder einer angeblichen Supportperson zeigen.
Ist ein Passkey dasselbe wie Fingerabdruck oder Gesichtserkennung?
Nein. Fingerabdruck oder Gesichtserkennung sind lokale Freigabemethoden. Sie können den Zugriff auf den Passkey erlauben, sind aber nicht der Passkey selbst. Viele Systeme erlauben stattdessen auch Gerätecode oder PIN. Entscheidend ist, dass die Freigabe auf deinem Gerät passiert und nicht beim Online-Dienst.
Werden biometrische Daten an den Dienst übertragen?
Bei den üblichen Passkey-Verfahren bleiben biometrische Daten lokal auf dem Gerät. Der Dienst erhält keine Kopie deines Fingerabdrucks und kein Gesichtsfoto. Er bekommt nur eine technische Bestätigung, dass dein Gerät die Anmeldung freigegeben hat. Trotzdem solltest du die Gerätesperre stark halten und Geräte nicht unbeaufsichtigt entsperrt lassen.
Brauche ich für Passkeys zwingend Biometrie?
Nein. Viele Geräte erlauben Passkey-Freigaben mit Gerätecode, PIN, Muster oder Hardware-Sicherheitsschlüssel. Biometrie ist oft nur die bequemste Variante. Wenn du Fingerabdruck oder Gesichtserkennung nicht nutzen möchtest, prüfe in den Geräte- und Kontoeinstellungen, welche lokalen Freigaben verfügbar sind.
Ist ein Passkey Zwei-Faktor-Authentifizierung?
Nicht automatisch im klassischen Sinn. Ein Passkey kann Besitz des Geräts und lokale Freigabe verbinden und damit sehr stark sein. Manche Dienste sehen ihn als passwortlosen Anmeldeweg, andere als zusätzlichen Faktor. Entscheidend ist, wie der konkrete Dienst Passkeys, Passwort, Wiederherstellung und weitere Sicherheitsmethoden kombiniert.
Was ist der Unterschied zu einem Sicherheitsschlüssel?
Ein Sicherheitsschlüssel ist ein separates physisches Gerät, häufig per USB, NFC oder Bluetooth. Er kann FIDO-Anmeldungen und je nach Modell Passkeys speichern. Ein Passkey kann aber auch in einem Smartphone, Computer oder Passwortmanager liegen. Für wichtige Konten ist ein zusätzlicher Hardware-Schlüssel oft ein guter Ersatzweg.
Was ist der Unterschied zu einer Authenticator-App?
Eine Authenticator-App erzeugt Einmalcodes, die du eintippst oder kopierst. Diese Codes können auf gefälschten Seiten abgefragt und sofort weiterverwendet werden. Passkeys signieren dagegen eine Anfrage, die zur echten Website oder App passt. Darum sind sie gegen viele klassische Login-Phishing-Angriffe robuster.
Ersetzt ein Passkey den Passwortmanager?
Noch nicht. Viele Dienste unterstützen weiterhin nur Passwörter oder behalten Passwörter parallel. Moderne Passwortmanager können Passwörter und Passkeys gemeinsam verwalten. Besonders bei mehreren Geräten, Familienkonten oder Plattformwechseln bleibt ein Passwortmanager praktisch. Prüfe aber, ob Passkeys importiert, exportiert und im Notfall wiederhergestellt werden können.
Wo liegt der private Schlüssel?
Der private Schlüssel bleibt auf deinem Gerät, in einem geschützten Synchronisationssystem, in einem Passwortmanager oder auf einem Sicherheitsschlüssel. Der Online-Dienst bekommt ihn nicht. Wenn ein Passkey synchronisiert wird, hängt seine Verfügbarkeit vom jeweiligen Konto, Passwortmanager, Gerät und Wiederherstellungsmodell ab.
Was sieht der Online-Dienst?
Der Online-Dienst speichert den öffentlichen Schlüssel und weitere Kontoinformationen, die für die Anmeldung notwendig sind. Er bekommt nicht den privaten Schlüssel und normalerweise keine biometrischen Daten. Bei einem Datenleck ist ein öffentlicher Schlüssel nicht wie ein Passwort wiederverwendbar. Trotzdem können andere Kontodaten oder Fallbacks betroffen sein.
Warum helfen Passkeys gegen Phishing?
Passkeys sind an den echten Dienst gebunden. Eine gefälschte Domain kann den privaten Schlüssel nicht einfach abfragen und später bei der echten Seite verwenden. Das schützt besonders gegen klassische Login-Seiten, die Passwörter oder Einmalcodes einsammeln. Prüfe trotzdem Aufforderungen, Domain, Browser und Freigaben.
Sind Passkeys vollständig phishing-sicher?
Nein, diese Zuspitzung wäre zu stark. Passkeys reduzieren viele typische Passwort- und Einmalcode-Phishing-Risiken. Sie schützen aber nicht vor jeder Form von Täuschung, schwacher Wiederherstellung, kompromittierten Geräten, falschen Supportanrufen, Fernwartungsbetrug oder Zahlungsfreigaben, die du selbst bestätigst.
Kann Schadsoftware einen Passkey missbrauchen?
Ein kompromittiertes Gerät bleibt gefährlich. Schadsoftware kann Browser, Sitzungen, Zwischenablage, Erweiterungen oder Eingaben angreifen und dich zu Freigaben verleiten. Passkeys machen den Login robuster, ersetzen aber keine Geräteupdates, offizielle Apps, vorsichtige Erweiterungen, Gerätesperre und automatische Sperre bei Nichtbenutzung.
Was ist ein synchronisierter Passkey?
Ein synchronisierter Passkey wird über ein geschütztes Konto oder einen Passwortmanager auf mehrere eigene Geräte übertragen. Das ist bequem für Alltag und Gerätewechsel. Gleichzeitig wird das Hauptkonto besonders wichtig. Wenn Apple-, Google-, Microsoft- oder Passwortmanager-Konto verloren gehen, können auch Passkeys und Wiederherstellung betroffen sein.
Was ist ein gerätegebundener Passkey?
Ein gerätegebundener Passkey bleibt auf einem bestimmten Gerät oder Sicherheitsschlüssel. Das kann für Unternehmen, Admin-Konten oder hohe Sicherheitsanforderungen sinnvoll sein. Du brauchst dann aber unbedingt einen Ersatzweg. Wenn das einzige Gerät verloren geht oder zurückgesetzt wird, kann sonst die Wiederherstellung schwierig werden.
Wo speichert Apple Passkeys?
Apple beschreibt Passkeys als verschlüsselt im iCloud-Schlüsselbund gespeicherte Anmeldedaten, die auf geeigneten Geräten mit demselben Apple Account verfügbar sein können. Nutzung und Wiederherstellung hängen von Systemversion, iCloud-Schlüsselbund, Zwei-Faktor-Schutz, Gerätecode und Kontowiederherstellung ab. Prüfe alte Geräte vor dem Verkauf oder Zurücksetzen.
Wo speichert Android oder Google Passkeys?
Google unterstützt Passkeys unter anderem über geeignete Android-Geräte, Chrome und den Google Passwortmanager. Je nach Gerät, Browser, Konto und Einstellungen können Passkeys synchronisiert oder anders verwaltet werden. Bei neuen Geräten können zusätzliche Freigaben oder eine Passwortmanager-PIN nötig sein. Teste wichtige Konten vor dem Wechsel.
Wo speichert Windows Passkeys?
Windows kann Passkeys mit Windows Hello verwalten. Freigabe erfolgt häufig per PIN, Gesichtserkennung oder Fingerabdruck. Je nach Dienst und Konto können Passkeys lokal bleiben. Lokal gespeicherte Windows-Hello-Passkeys solltest du nicht als einzigen Zugang verwenden, wenn du keine Ersatzmethode hast.
Funktionieren Passkeys auf dem Mac?
Ja, mit geeigneten macOS-Versionen, Browsern und Apps. Apple beschreibt die Nutzung über die Passwörter-App und den iCloud-Schlüsselbund. Die Freigabe kann über Touch ID, Gerätecode oder ein anderes Gerät laufen. Wie immer gilt: Anmeldung auf neuem Gerät testen, bevor das alte Gerät gelöscht wird.
Kann ein Passwortmanager Passkeys speichern?
Ja, einige moderne Passwortmanager unterstützen Passkeys. Das ist hilfreich, wenn du mehrere Betriebssysteme und Browser nutzt. Prüfe aber konkret, ob der Manager Passkeys auf allen Geräten unterstützt, ob Familien- oder Notfallzugriff gilt und ob Passkeys bei einem Anbieterwechsel exportiert oder importiert werden können.
Kann ein Hardware-Sicherheitsschlüssel Passkeys speichern?
Ja, geeignete FIDO2-Sicherheitsschlüssel können Passkeys speichern oder als Sicherheitsschlüssel für Konten dienen. Sie sind nützlich als separater Ersatzweg, besonders für E-Mail, Passwortmanager, Cloud, Domain und Admin-Konten. Bewahre Ersatzschlüssel getrennt auf und entferne verlorene Schlüssel sofort beim Dienst.
Wie melde ich mich auf demselben Gerät an?
Du öffnest die Website oder App, wählst die Passkey-Anmeldung und bestätigst lokal am Gerät. Danach prüft der Dienst die technische Signatur. Für dich fühlt es sich an wie eine Gerätefreigabe. Wichtig ist, dass du auf der echten Website bist und die Freigabe bewusst gestartet hast.
Wie melde ich mich mit dem Smartphone am Computer an?
Viele Dienste bieten die Anmeldung mit einem anderen Gerät an. Dann kann ein QR-Code erscheinen, den du mit deinem Smartphone scannst. Smartphone und Computer prüfen je nach Verfahren die Verbindung und Nähe. Bestätige nur, wenn du die Anmeldung selbst gestartet hast und die Domain stimmt.
Ist ein QR-Code bei Passkeys gefährlich?
Ein QR-Code ist bei legitimer Cross-Device-Anmeldung nicht automatisch gefährlich. Er startet die Verbindung zwischen Computer und Smartphone. Gefährlich wird es, wenn du QR-Codes aus unbekannten Nachrichten scannst oder eine Anmeldung bestätigst, die du nicht selbst begonnen hast. Prüfe immer Website, Aufforderung und Gerät.
Brauche ich Bluetooth für Cross-Device-Anmeldung?
Bei vielen aktuellen Passkey-Verfahren wird Bluetooth oder eine vergleichbare Näheprüfung genutzt, damit Smartphone und Computer wirklich beieinander sind. Die genaue Umsetzung hängt von Browser, Betriebssystem und Dienst ab. Wenn es nicht funktioniert, prüfe Bluetooth, Kamera, Browserprofil und Plattformunterstützung.
Funktioniert Passkey-Anmeldung ohne Internet am Smartphone?
Das hängt vom Anmeldeweg ab. Für Cross-Device-Anmeldung müssen Smartphone und Computer kommunizieren können, und der Dienst selbst ist online. Für Synchronisierung, neue Geräte, Wiederherstellung und Kontoprüfung ist in der Regel eine Internetverbindung nötig. Verlasse dich daher nicht auf einen ungeprüften Offline-Notfallweg.
Kann ich mehrere Passkeys für ein Konto haben?
Bei vielen Diensten ja, und für wichtige Konten ist das sinnvoll. Du kannst zum Beispiel Smartphone und Sicherheitsschlüssel oder Smartphone und Passwortmanager registrieren. Benenne Passkeys eindeutig, damit du später erkennst, welches Gerät gemeint ist. Entferne alte oder unbekannte Einträge regelmäßig.
Sollte ich immer zwei Passkeys einrichten?
Für wichtige Konten solltest du mindestens einen zweiten Zugang haben. Das muss nicht immer ein zweiter Passkey sein, kann aber einer sein. Möglich sind zweites eigenes Gerät, Hardware-Sicherheitsschlüssel, Backupcodes oder offizielle Wiederherstellung. Wichtig ist, dass der Ersatzweg getestet und sicher dokumentiert ist.
Soll ich alte Passkeys löschen?
Ja, wenn du das Gerät nicht mehr besitzt, verkauft hast, es verloren ging oder du den Eintrag nicht erkennst. Lösche den Passkey möglichst nicht nur lokal, sondern auch in den Sicherheitseinstellungen des Dienstes. Prüfe danach aktive Sitzungen und Wiederherstellungswege.
Was passiert beim Wechsel auf ein neues iPhone?
Wenn iCloud-Schlüsselbund und Apple Account korrekt eingerichtet sind, können passende Passkeys auf dem neuen Apple-Gerät verfügbar werden. Teste trotzdem jedes wichtige Konto, bevor du das alte iPhone zurücksetzt. Behalte Backupcodes, Passwortmanager-Zugang und Wiederherstellung getrennt erreichbar.
Was passiert beim Wechsel auf ein neues Android-Gerät?
Bei Google und Android hängt der Wechsel von Gerät, Konto, Passwortmanager und Einstellungen ab. Synchronisierte Passkeys können verfügbar werden, wenn das Hauptkonto sauber wiederhergestellt ist. Teste die Anmeldung auf dem neuen Gerät und lösche das alte erst, wenn E-Mail, Passwortmanager, Bank, Cloud und wichtige Dienste funktionieren.
Kann ich von Apple zu Android wechseln?
Ja, aber Passkeys können dabei mehr Planung verlangen als Passwörter. Lege vor dem Wechsel zusätzliche Passkeys, einen Sicherheitsschlüssel oder andere Ersatzmethoden an. Prüfe, ob dein Passwortmanager Passkeys plattformübergreifend unterstützt. Setze das alte Gerät erst zurück, wenn du dich auf der neuen Plattform anmelden kannst.
Sind Windows-Hello-Passkeys wiederherstellbar?
Nicht immer. Je nach Dienst und Speicherung können Windows-Hello-Passkeys lokal an das Gerät gebunden sein. Wenn der Computer verloren geht, Windows neu installiert wird oder das Profil beschädigt ist, kann ein lokaler Passkey weg sein. Richte deshalb weitere Passkeys, Backupcodes oder Sicherheitsschlüssel ein.
Kann ich Passkeys exportieren oder importieren?
Teilweise, aber nicht überall. Manche Plattformen und Passwortmanager unterstützen Import oder Export in bestimmten Umgebungen, andere nicht. Die FIDO Alliance arbeitet an Credential Exchange, doch eine universelle Portabilität solltest du im Juli 2026 nicht voraussetzen. Vor einem Wechsel immer Ersatzwege einrichten.
Was ist FIDO Credential Exchange?
Credential Exchange ist ein FIDO-Vorhaben, das den sicheren Wechsel von Zugangsdaten zwischen Anbietern verbessern soll. Das ist wichtig, weil Passkeys bisher nicht überall so leicht wandern wie klassische Passwortexporte. Für Nutzer bleibt entscheidend, was der konkrete Passwortmanager, Browser oder Plattformanbieter tatsächlich unterstützt.
Was tun, wenn mein Smartphone verloren geht?
Sperre oder orte das Gerät über die offiziellen Funktionen, sperre SIM oder eSIM bei Bedarf und entferne das Gerät aus wichtigen Konten. Prüfe Passkeys, Passwortmanager, E-Mail, Banking, Wallet und aktive Sitzungen. Nutze einen vorbereiteten Ersatzweg und ändere Wiederherstellungsdaten, wenn du Missbrauch vermutest.
Was tun, wenn mein Laptop verloren geht?
Sperre den Laptop aus der Ferne, falls möglich, und entferne ihn aus Apple-, Google-, Microsoft- oder Passwortmanager-Konten. Prüfe lokal gespeicherte Windows-, macOS- oder Browser-Passkeys beim jeweiligen Dienst. Melde unbekannte Sitzungen ab und ersetze Backupcodes, wenn ein Zugriff nicht ausgeschlossen werden kann.
Was tun, wenn mein Sicherheitsschlüssel verloren geht?
Entferne den verlorenen Schlüssel sofort aus den Sicherheitseinstellungen aller betroffenen Dienste. Nutze einen vorher registrierten Ersatzschlüssel oder Backupcode. Wenn kein Ersatz existiert, bleibt nur der offizielle Wiederherstellungsprozess. Für wichtige Konten sollten deshalb mindestens zwei getrennt verwahrte Schlüssel vorbereitet sein.
Was bedeutet kein Passkey gefunden?
Der Passkey liegt möglicherweise in einem anderen Passwortmanager, Browserprofil, Betriebssystemkonto, auf einem anderen Gerät oder wurde gelöscht. Prüfe, ob du im richtigen Konto und Browser bist. Nutze die alternative Anmeldung und schaue danach in den Sicherheitseinstellungen nach, welche Passkeys registriert sind.
Kann ein Passkey unbemerkt erstellt worden sein?
Viele Dienste zeigen eine klare Bestätigung, aber im Alltag kann eine Einrichtung trotzdem übersehen werden. Prüfe regelmäßig die Sicherheitsseite wichtiger Konten. Wenn du einen Passkey nicht erkennst, entferne ihn erst, nachdem du sichergestellt hast, dass du weiterhin einen funktionierenden Zugang hast.
Was passiert, wenn ich mein Apple-, Google- oder Microsoft-Konto verliere?
Dann können synchronisierte Passkeys, Gerätefreigaben, Passwortmanager, Cloud-Backups und Wiederherstellung betroffen sein. Diese Hauptkonten verdienen deshalb besonders starken Schutz: einzigartiges Passwort, zweite Faktoren, aktuelle Wiederherstellungsdaten, bekannte Geräte und eine dokumentierte Notfallstrategie.
Brauche ich Backupcodes trotz Passkey?
Für wichtige Konten ja, wenn der Dienst sie anbietet. Backupcodes helfen, wenn Gerät, Passkey oder zweiter Faktor ausfallen. Sie gehören offline und geschützt aufbewahrt, nicht als Foto im ungeschützten Cloudordner. Wenn du vermutest, dass Codes bekannt wurden, erneuere sie.
Soll ich das alte Passwort behalten?
Viele Dienste behalten das Passwort zumindest als Fallback. Entferne es nicht vorschnell, wenn du Wiederherstellung und Ersatzwege noch nicht verstanden hast. Gleichzeitig sollte ein verbleibendes Passwort stark und einzigartig sein. Ein schwaches altes Passwort kann den Schutz eines Passkeys deutlich relativieren.
Warum ist ein schwacher Fallback gefährlich?
Ein Konto ist nur so robust wie seine nutzbaren Zugangs- und Wiederherstellungswege. Wenn Angreifer über alte SMS-Nummer, schwache Sicherheitsfragen, unsichere E-Mail oder schlecht geschützten Supportprozess zurücksetzen können, hilft ein starker Passkey nur begrenzt. Prüfe deshalb immer alle aktiven Methoden.
Soll ich Passkeys auf öffentlichen Computern nutzen?
Speichere keine Passkeys auf öffentlichen oder fremden Computern. Wenn eine Anmeldung nötig ist, nutze lieber dein eigenes Smartphone zur Bestätigung, melde dich danach vollständig ab und markiere das Gerät nicht als vertrauenswürdig. Auf Geräten, die du nicht kontrollierst, bleiben Browser, Erweiterungen und Sitzungen ein Risiko.
Sind Passkeys auf Familiengeräten sinnvoll?
Nur mit getrennten Nutzerprofilen und klaren Regeln. Ein gemeinsames Familien-Tablet sollte keine privaten Passkeys für E-Mail, Bank, Passwortmanager oder Arbeitskonten verschiedener Personen mischen. Für Haushaltskonten können gemeinsame Regeln sinnvoll sein. Persönliche Hauptkonten gehören in eigene Profile und auf eigene Geräte.
Sind Passkeys für Senioren geeignet?
Ja, wenn sie ruhig eingerichtet und dokumentiert werden. Passkeys können weniger Passworttippen bedeuten und Fehlanmeldungen reduzieren. Wichtig sind ein verständlicher Ersatzweg, aktuelle Wiederherstellungsdaten und klare Regeln: keine Gerätecodes nennen, keine fremde Fernwartung zulassen und unbekannte Anmeldeaufforderungen nicht bestätigen.
Wie nutze ich Passkeys in Familien?
Jede Person sollte eigene Passkeys für eigene Konten verwenden. Für geteilte Haushaltskonten braucht es klare Zuständigkeiten, getrennte private Bereiche und einen Ersatzweg, falls die verwaltende Person ausfällt. Vermeide ein gemeinsames Hauptkonto für alles. Familienfreigaben im Passwortmanager können helfen, müssen aber bewusst begrenzt werden.
Sind Passkeys für Selbstständige und Unternehmen geeignet?
Ja, vor allem für Admin-, E-Mail-, Domain-, Hosting-, Cloud-, Buchhaltungs- und Passwortmanager-Konten. Unternehmen brauchen aber Inventar, Rollen, Offboarding, Ersatzschlüssel und Notfallprozesse. Ein Passkey auf dem einzigen Gerät einer Person ist für geschäftskritische Konten keine ausreichende Planung.
Was gilt für Arbeits- und Schulkonten?
Arbeits- und Schulkonten können von der Organisation verwaltet werden. Dann entscheiden IT-Richtlinien, welche Passkeys erlaubt sind, wo sie gespeichert werden, ob sie synchronisieren und wie ein Gerät entfernt wird. Kläre private und geschäftliche Passkeys getrennt und speichere Firmenzugänge nicht unkontrolliert auf Familiengeräten.
Sind Passkeys fürs Onlinebanking geeignet?
Wenn die Bank Passkeys offiziell anbietet, können sie ein starker Anmeldeweg sein. Zahlungsfreigaben, TAN-Verfahren, Banking-App, Gerätebindung und Betrugsschutz bleiben aber eigene Themen. Bestätige nie eine Freigabe, deren Empfänger, Betrag oder Anlass du nicht selbst geprüft hast.
Sind Passkeys fürs E-Mail-Konto wichtig?
Ja, besonders beim Haupt-E-Mail-Konto. Es ist oft der zentrale Wiederherstellungsweg für viele andere Dienste. Ein Passkey kann helfen, sollte aber mit sicherem Passwort oder sauberem Fallback, zweitem Faktor, aktuellen Wiederherstellungsdaten und regelmäßiger Geräteprüfung kombiniert werden.
Soll ich den Passwortmanager selbst mit Passkey schützen?
Wenn dein Passwortmanager Passkeys unterstützt, kann das sinnvoll sein. Prüfe aber besonders genau, wie du den Tresor wiederherstellst, wenn das Passkey-Gerät verloren geht. Master-Passwort, Notfallzugriff, Backupcodes und zweite Faktoren müssen verständlich und getrennt vorbereitet sein.
Helfen Passkeys gegen SIM-Swapping?
Passkeys können helfen, weil sie nicht von SMS-Codes abhängen. Wenn Angreifer deine Rufnummer übernehmen, können sie SMS-basierte Logins und Wiederherstellungen missbrauchen. Trotzdem bleiben Telefonnummer, Mobilfunkkonto, Haupt-E-Mail und Bankprozesse wichtig. Entferne SMS als Hauptweg nur, wenn ein robuster Ersatz funktioniert.
Was ist gefährlich an Gerätecode-Diebstahl?
Wer deinen Gerätecode kennt und physischen Zugriff erhält, kann je nach System sensible Bereiche öffnen, Passwörter anzeigen, Passkeys verwenden oder Wiederherstellungen anstoßen. Nutze deshalb einen starken Code, verdecke die Eingabe und gib ihn niemals telefonisch, per Chat oder bei angeblicher Supporthilfe weiter.
Welche Phishing-Risiken bleiben?
Passkeys helfen vor allem gegen das Abgreifen von Passwörtern und Einmalcodes auf falschen Login-Seiten. Weiter möglich sind falsche Supportanrufe, Fernwartungsbetrug, gefälschte Wiederherstellung, Zahlungsfreigaben, Schadsoftware, manipulierte Apps und echte Logins, zu denen du unter Druck verleitet wirst.
Wie reagieren bei falschen Supportanrufen?
Lege auf oder beende den Chat. Gib keine Gerätecodes, Einmalcodes, Passwörter, Backupcodes oder Passkey-Freigaben weiter. Installiere keine Fernwartung und bestätige keine Anmeldung, die du nicht selbst begonnen hast. Nutze danach nur die offizielle Website oder die bekannte Telefonnummer des Anbieters.
Wie lösche oder widerrufe ich einen Passkey?
Öffne die Sicherheitseinstellungen des jeweiligen Dienstes und entferne den Passkey dort. Lösche ihn zusätzlich auf dem Gerät oder im Passwortmanager, wenn möglich. Prüfe danach aktive Sitzungen, alte Geräte und Wiederherstellungswege. Bei Verlust oder Diebstahl solltest du alle betroffenen Konten priorisiert prüfen.
Was passiert bei einem Datenleck des Dienstes?
Der Dienst speichert beim Passkey den öffentlichen Schlüssel, nicht deinen privaten Schlüssel. Das ist besser als ein wiederverwendbares Passwort. Trotzdem können E-Mail-Adresse, Geräteinformationen, Sitzungen, Supportdaten oder Fallbacks betroffen sein. Sicherheitsmeldungen ernst nehmen und Kontoaktivität prüfen bleibt sinnvoll.
Was, wenn ich Biometrie nicht nutzen möchte?
Nutze Gerätecode, PIN, Muster oder einen Hardware-Sicherheitsschlüssel, wenn deine Plattform das erlaubt. Achte dann besonders auf einen starken, nicht beobachtbaren Code. Biometrie ist Komfort, nicht Pflicht. Für besonders sensible Konten kann ein separater Sicherheitsschlüssel die bessere Lösung sein.
Wie passen Passkeys zur digitalen Vorsorge?
Dokumentiere, welche Konten Passkeys nutzen, wo die Passkeys verwaltet werden und welche offiziellen Ersatzwege existieren. Schreibe keine offenen Gerätecodes in eine allgemeine Mappe. Wichtig ist auch, wer im Notfall handeln darf und welche rechtlichen Befugnisse dafür vorgesehen sind.
Was ist der 10-Minuten-Passkey-Check?
Du prüfst bei Haupt-E-Mail, Passwortmanager, Apple-, Google- oder Microsoft-Konto, welche Passkeys aktiv sind, ob du die Geräte erkennst, ob ein Ersatzweg existiert und ob Wiederherstellungsdaten aktuell sind. Danach notierst du nur den Ort der Notfallinformationen, nicht die geheimen Codes selbst.
Soll ich Passkeys überall aktivieren?
Aktiviere Passkeys zuerst bei wichtigen und unterstützten Konten, wenn du Wiederherstellung und Gerätewechsel verstanden hast. Für Nebenkonten reicht oft ein einzigartiges starkes Passwort plus passender zweiter Faktor. Ziel ist nicht maximale Umstellung an einem Tag, sondern zuverlässiger Schutz ohne Aussperr-Risiko.
Fazit: Passkeys sind stark, aber Planung bleibt Pflicht
Passkeys sind ein großer Schritt weg vom klassischen Passwort. Sie vermeiden wiederverwendbare Geheimnisse und sind an den echten Dienst gebunden. Dadurch werden viele typische Passwort- und Einmalcode-Phishing-Szenarien deutlich erschwert.
Der Alltag entscheidet aber über die Sicherheit. Wer nicht weiß, ob ein Passkey synchronisiert oder gerätegebunden ist, kann beim Gerätewechsel überrascht werden. Wer nur einen einzigen Passkey ohne Ersatzweg hat, kann sich aussperren. Wer Gerätecode, E-Mail-Konto oder Wiederherstellung vernachlässigt, schwächt den Schutz.
Richte Passkeys zuerst für wichtige Konten ein, teste sie bewusst und plane Ersatzwege. Dann werden sie nicht nur moderner, sondern auch praktisch sicherer.
Informationsstand: Juli 2026. Dieser Ratgeber ist allgemeine Verbraucherinformation, keine Rechtsberatung und keine technische Implementierungsanleitung. Plattformfunktionen können sich ändern und hängen von Gerät, Betriebssystem, Browser, Kontoart, Region und Anbieter ab.
Informationen zur Datenverarbeitung auf dieser Website finden Sie in der Datenschutzerklärung. Details zur Finanzierung stehen im Affiliate-Hinweis. Für Hinweise oder Korrekturen nutzen Sie die Kontaktseite.
- Standards und Grundlagen: FIDO Alliance zu Passkeys, W3C WebAuthn Level 3, MDN Passkeys, MDN Web Authentication API
- Credential Exchange und Portabilität: FIDO Credential Exchange Specifications, FIDO Credential Exchange Downloads
- Apple: Apple Support: Passkeys auf dem iPhone, Apple Support: Passkeys auf dem Mac, Apple Platform Security zu Passkeys
- Google und Android: Google-Konto-Hilfe zu Passkeys, Android-Hilfe zu Passkeys, Chrome-Hilfe: Passkeys verwalten, Chrome-Hilfe zu Import und Export
- Microsoft und Windows: Microsoft Support: What are passkeys, Microsoft Support: Passkeys verwalten, Microsoft Learn: Passkeys in Windows
- Grundschutz im Alltag: BSI Cyber-Sicherheitsempfehlungen
Wenn du zuerst deine Hauptkonten absichern möchtest, beginne mit E-Mail sicherer machen, Passwortmanager einfach erklärt und Zwei-Faktor-Authentifizierung.
Für Risiken nach Geräteverlust, SIM-Missbrauch oder verdächtigen Nachrichten ergänzen Smartphone verloren, SIM-Swapping erkennen und Phishing-Mails erkennen die Passkey-Grundlagen.
Für Familien, Senioren und Notfälle helfen Datenschutz für Senioren und Digitale Vorsorge, Passkeys verständlich und ohne unnötige Vollzugriffe einzuordnen.
Wie ein physischer Schlüssel als zweiter Faktor oder Passkey-Speicher funktioniert, erklärt der Ratgeber Sicherheitsschlüssel einfach erklärt.
Wenn du statt Passkeys noch zeitbasierte Einmalcodes nutzt, zeigt Authenticator-App wechseln, wie du 2FA-Codes beim Smartphone- oder App-Wechsel sicher überträgst und testest.
Für Fotos, Dokumente, Passkeys, Passwortmanager und Gerätesicherung beim Wechsel ergänzt Cloud-Backup sicher einrichten den praktischen Wiederherstellungsplan.