Passkeys erklärt: Sicherer Login ohne Passwort

Noch ein Passwort? Noch ein Reset-Link? Viele von uns kennen das Problem. Passkeys versprechen eine angenehmere Anmeldung und können bestimmte Phishing-Angriffe deutlich erschweren. Doch wie funktioniert ein Login ohne klassisches Kennwort eigentlich? Und was passiert, wenn das Smartphone verloren geht? Wir schauen uns die Technik ohne unnötiges Fachchinesisch an.

Warum klassische Passwörter zum Problem werden

Kennst du das? Für jedes Tool soll ein eigenes, langes Passwort verwendet werden. In der Praxis entstehen dadurch wiederverwendete Kennwörter, unsichere Notizen oder zusätzliche Passwort-Reset-Mails. Selbst gute Passwörter können auf gefälschten Loginseiten preisgegeben werden, wenn jemand auf eine überzeugende Phishing-Nachricht hereinfällt.

Passkeys setzen an diesem Problem an. Sie ermöglichen die Anmeldung mit einem kryptografischen Schlüsselpaar. Vereinfacht gesagt verbleibt der private Schlüssel auf einem Gerät oder in einem geeigneten sicheren Speicher; der Dienst erhält den passenden öffentlichen Schlüssel. Bei der Anmeldung wird eine Anfrage bestätigt, häufig mit Geräte-PIN oder Biometrie.

Was Passkeys besser können – und was nicht

Ein wesentlicher Vorteil liegt in der Bindung an den jeweiligen Dienst. Ein Passkey für eine Website lässt sich nicht einfach auf einer gefälschten Domain verwenden. Das hilft gegen verbreitete Phishing-Angriffe. Nutzer müssen außerdem kein Geheimnis eintippen, das jemand über die Schulter mitlesen könnte.

Allerdings löst die Methode nicht jedes Sicherheitsproblem. Ein kompromittiertes Gerät, unsichere Wiederherstellungswege oder schlecht geschützte Sitzungen können weiterhin Risiken darstellen. Zudem unterstützen nicht alle Dienste Passkeys gleich gut. Deshalb bleiben Gerätesperre, aktuelle Software und ein durchdachter Wiederherstellungsprozess wichtig.

So führst du Passkeys im Unternehmen ein

Beginne mit wenigen Diensten und einer kleinen Nutzergruppe. Prüfe, ob Passkeys als Haupt-Login oder zusätzlich angeboten werden. Lege fest, wie sich neue Geräte einrichten lassen und was passiert, wenn jemand sein Gerät verliert. Ein Konto ohne sicher geklärten Wiederherstellungsweg kann im Notfall schwer zugänglich sein.

Für Administratoren ist es sinnvoll, besonders wichtige Zugänge zusätzlich abzusichern und Recovery-Verfahren zu testen. Bei Diensten ohne Passkeys verwendest du weiterhin einen Passwortmanager mit einzigartigen Passwörtern und nach Möglichkeit einer zusätzlichen Anmeldebestätigung.

Praxisbeispiel: Anmeldung im Redaktionssystem

Ein Magazin hat einen administrativen Zugang und mehrere reguläre Nutzerkonten. Die Redaktion möchte Passkeys zunächst optional testen. Mitarbeitende registrieren einen Passkey auf ihrem Arbeitsgerät und prüfen den Login. Parallel bleibt ein sicherer Wiederherstellungsweg bestehen. Nach erfolgreichem Test dokumentiert das Team, wie ein neues Gerät hinzugefügt oder ein verlorenes Gerät gesperrt wird.

Für Leser kann man Passkeys später freiwillig anbieten. Entscheidend ist eine verständliche Oberfläche: „Mit Passkey anmelden“ sollte erklären, was zu tun ist, statt technische Begriffe vorauszusetzen.

Fazit

Passkeys können Anmeldungen angenehmer und robuster gegen typische Phishing-Angriffe machen. Eine gute Einführung besteht aber nicht nur aus einem neuen Button. Achte auf sichere Geräte, einen getesteten Wiederherstellungsweg und klare Erklärungen für Nutzer. Dann wird aus moderner Technik eine echte Erleichterung.

Quellen und weiterführende Informationen

Die folgenden Originalquellen und offiziellen Dokumentationen helfen bei der fachlichen Vertiefung. Prüfe bei rechtlichen und sich ändernden Themen stets den aktuellen Stand.