Passkeys: Anmelden ohne Passwort

Ergänzende Ressource zur Lektion „Passkeys: Anmelden ohne Passwort“ – Kurs Online-Sicherheit

Ein Passkey (Zugangsschlüssel) lässt Sie mit derselben Geste anmelden, mit der Sie Ihr Smartphone oder Ihren Computer entsperren: mit Ihrem Gesicht, Ihrem Fingerabdruck oder Ihrer PIN. Es gibt kein Passwort, das Sie sich merken müssen, und keinen Code zum Abtippen. Diese Ressource erklärt, wie das Anmelden ohne Passwort funktioniert, warum ein Passkey schwerer abzufischen ist als alles, was Sie eintippen, wo Sie ihn bedenkenlos anlegen können und wie Sie Ihren ersten Passkey einrichten, ohne sich den Rückweg ins Konto zu verbauen.

Zuerst ein Hinweis zum Vokabular. Das BSI, die Polizei, Google und Apple schreiben auf Deutsch einfach „Passkey“; dieser Kurs ergänzt beim ersten Mal „Zugangsschlüssel“ als deutsche Erklärung. Microsoft übersetzt auf einer seiner deutschen Hilfeseiten auch mit „Hauptschlüssel“ – gemeint ist dasselbe. Nicht verwechseln sollten Sie den Passkey mit zwei anderen Dingen: mit dem Masterpasswort Ihres Passwort-Managers und mit dem Entsperren des Smartphones per Fingerabdruck. Das BSI stellt klar: Wenn Sie das Gerätedisplay schon per Fingerabdruck oder Gesichtsscan entsperren, „bedeutet das nicht, dass Sie bereits Passkeys nutzen“.

A. Warum das wichtig ist

Passwörter haben zwei Schwächen, die sich auch mit viel Sorgfalt nicht ganz beseitigen lassen: Sie können bei den Diensten gestohlen werden, die sie speichern, und sie können auf einer Seite eingegeben werden, die nur echt aussieht. Das BSI fasst das Problem so zusammen: „Passwörter sind schwer zu merken, jeder Account sollte ein individuelles Kennwort erhalten. Bei Datenleaks oder durch Phishing können sie dann doch gestohlen werden.“ Ein zweiter Faktor hilft sehr – aber auch ein Code lässt sich auf der falschen Seite eintippen.

Ein Passkey beseitigt beide Schwächen. Der Dienst hält nichts in der Hand, was sich zu stehlen lohnt, und Ihr Gerät antwortet nur der Website, für die der Passkey angelegt wurde. Das BSI schreibt dazu: „Passkeys sind immun gegen die breite Masse bekannter Phishing-Angriffe.“ Selbst wenn eine Phishing-E-Mail Sie auf eine gefälschte Seite gelockt hat, „wird der geheime Schlüssel niemals preisgegeben“.

Was sich ändert, ist der Ort, an dem der Schutz sitzt. Das Geheimnis liegt nicht mehr in Ihrem Kopf, sondern auf Ihren Geräten, und die Sperre jedes einzelnen Geräts wird zu dem, was es bewacht.

Was die deutschen Stellen empfehlen

Anders als in manchen Nachbarländern gibt es in Deutschland eine klare Empfehlung für Verbraucherinnen und Verbraucher. Das BSI schreibt: „Wenn Ihnen also von einem vertrauten Diensteanbieter vorgeschlagen wird, Passkey einzurichten, können Sie die Technologie ohne weiteres verwenden und Ihr Passwort ersetzen.“ Und weiter: „Falls Ihnen ein Onlinedienst die Anmeldung mit Passkey anbietet, stellt das für Sie einen Gewinn an Sicherheit und Komfort dar.“ Das BSI ist zudem seit 2015 Mitglied der FIDO-Allianz, die den Standard entwickelt.

Die Polizeiliche Kriminalprävention sieht es ähnlich, setzt aber einen realistischen Akzent: „Da Passkeys noch nicht flächendeckend zur Verfügung stehen, ist die Verwaltung starker Passwörter weiterhin notwendig.“ Passkeys ersetzen Ihre Passwörter also Schritt für Schritt, nicht auf einen Schlag.

Wie weit Passkeys schon verbreitet sind, hat das BSI 2024 in einer eigenen Verbraucherbefragung untersucht: „38 % der Befragten kennen Passkeys vom Begriff her; 18 % nutzen es bereits.“ Und: „72 % der Nutzenden haben ein hohes oder sehr hohes Vertrauen in das Verfahren.“ Die Befragung hält außerdem fest: „Passkeys ist für Verbraucherinnen und Verbraucher schwer zu erkennen und wird deshalb oft mit anderen Verfahren verwechselt.“ Das ist ein Grund mehr für den Vokabelhinweis oben.

Andere Erhebungen kommen zu ähnlichen Größenordnungen, auch wenn sie anders fragen und sich deshalb nicht direkt vergleichen lassen. Laut Cybersicherheitsmonitor von BSI und Polizei, den das BSI im August 2024 zitierte, kannten 23 % der Nutzenden die Möglichkeit, sich passwortlos anzumelden; „nur knapp 11 Prozent der Befragten nutzen sie aber“. Eine Umfrage der Initiative Sicher Handeln, die die Polizeiliche Kriminalprävention im Juni 2025 veröffentlicht hat (2.050 Befragte ab 18 Jahren), kommt auf 32 %, die einen Passkey verwenden – und: „15 Prozent der Befragten wissen nicht einmal, was ein Passkey ist.“ Die Polizei fasst zusammen: „Noch sicherer ist der Einsatz von Passkeys“. Kurz: Passkeys sind bekannt, aber noch längst nicht Alltag.

B. Die wichtigsten Begriffe

Sechs Gedanken dazu, was ein Passkey ist und was ihn schützt.

Passkey

Ein Anmeldeverfahren aus zwei zusammengehörigen digitalen Schlüsseln, die Ihr Gerät für eine bestimmte Website oder App erzeugt. Das BSI nennt es kurz „ein passwortloses Anmelden“. Dahinter steht die FIDO-Allianz – FIDO steht für „Fast Identity Online“ –, ein Zusammenschluss, der offene Industriestandards entwickelt. Das BSI beschreibt Passkey als „eine offene und herstellerunabhängige Möglichkeit zur Nutzerauthentisierung“; deshalb funktioniert er auf den großen Betriebssystemen und in den gängigen Browsern.

Warum das für Sie wichtig ist: Sie entsperren den Passkey so, wie Sie Ihr Gerät entsperren. Es gibt nichts zu erfinden, zu merken oder wiederzuverwenden. Das BSI zählt auf: „Passkeys können nicht zu simpel oder zu kurz sein – Passwörter dagegen schon.“ Und: „Passkeys können im Gegensatz zu Passwörtern nicht vergessen werden.“

Die öffentliche und die private Hälfte

Die öffentliche Hälfte bekommt der Dienst. Allein ist sie wertlos; Apple schreibt auf seiner deutschen Hilfeseite: „Dieser öffentliche Schlüssel ist nicht geheim.“ Die private Hälfte bleibt bei Ihnen, auf dem Gerät oder im Passwort-Manager, und der Dienst erfährt sie nie. Die Polizeiliche Kriminalprävention formuliert es so: Ein privater Schlüssel „verbleibt lokal auf Ihrem Gerät“, während der öffentliche „beim jeweiligen Dienst hinterlegt“ wird. Bei der Anmeldung schickt die Website eine Aufgabe – das BSI spricht von einer „kryptografischen Challenge (eine Zufallszahl)“ –, und Ihr Gerät beantwortet sie mit der privaten Hälfte.

Warum das für Sie wichtig ist: Wird der Dienst Opfer eines Datenleaks, liegt dort kein Passwort, das sich stehlen ließe, und nichts, womit sich jemand als Sie anmelden könnte. Das BSI: Weil Sie Ihr Passwort durch Passkey ersetzen, „gibt es keine Information mehr, die man Ihnen stehlen könnte, die Sie eventuell verlieren oder die Unbefugte vielleicht erraten“.

An eine Website gebunden

Jeder Passkey ist an die Adresse der Website gebunden, für die er angelegt wurde. Browser und Betriebssystem sorgen dafür, dass er nur dort funktioniert. Das BSI erklärt: „Ein Passkey funktioniert nur für den einen, korrekten Zugang, für den er generiert wurde.“

Warum das für Sie wichtig ist: Eine täuschend echte Kopie der Website bekommt nichts, weil Ihr Gerät sie nicht erkennt. Genau das bedeutet „phishing-resistent“: Das Gerät prüft die Adresse für Sie, und es macht diese Prüfung zuverlässiger als ein Mensch in Eile. Laut BSI bieten Passkeys hohen Schutz, „da Passkeys auf Phishing-Webseiten nicht funktionieren und der private Schlüssel nicht versendet wird“. Wie Sie solche Seiten sonst erkennen, zeigt die Ressource „Phishing erkennen, auch wenn es überzeugend gemacht ist“.

Ihre Bildschirmsperre

Um einen Passkey zu nutzen, entsperren Sie Ihr Gerät mit Gesicht, Fingerabdruck, PIN oder Muster. Das biometrische Merkmal geht nie an den Dienst; es öffnet nur das Gerät. Das BSI nennt den Grund für diesen zusätzlichen Sicherheitsfaktor: Er ist wichtig, „damit Diebe oder Finder Ihres Geräts keinen Zugang zu Ihren Passkeys bzw. Onlinekonten erhalten“. Google setzt voraus, dass die Displaysperre eingeschaltet ist: „Aktivieren Sie die Displaysperre auf Ihrem Smartphone“.

Warum das für Sie wichtig ist: Ein Passkey ist so sicher wie die Sperre, die ihn öffnet. Ein kurzer oder leicht zu erratender Code, oder ein Gerät, das andere Menschen entsperren können, schwächt jeden Passkey darauf. Google warnt ausdrücklich, dass nach dem Anlegen „jede Person, die Ihr Gerät entsperren kann, auf Ihr Google-Konto zugreifen kann“. Welche Sperre sich eignet, zeigt die Ressource „Den Entsperrcode wählen: die richtige Methode für Ihr Smartphone“.

Synchronisierte und gerätegebundene Passkeys

Passkeys, die Sie auf Smartphone oder Computer anlegen, werden meist synchronisiert: verschlüsselt gesichert über Ihr Apple- oder Google-Konto oder Ihren Passwort-Manager und auf einem neuen Gerät wiederhergestellt. Apple synchronisiert sie über den iCloud-Schlüsselbund, der „Ende-zu-Ende mit starken kryptografischen Schlüsseln verschlüsselt“ ist, „die Apple nicht bekannt sind“. Manche Passkeys verlassen dagegen nie ein einzelnes Gerät, etwa solche auf einem physischen Sicherheitsschlüssel. Für diesen Fall rät das BSI, „einen zweiten FIDO2-Stick anzuschaffen, um eine Notfalllösung bereitzuhalten“, denn solche Sticks „können nicht kopiert werden“.

Warum das für Sie wichtig ist: Ein synchronisierter Passkey übersteht ein verlorenes Smartphone – vorausgesetzt, Sie kommen noch in das Konto, das ihn synchronisiert. Das BSI bestätigt: Sie können Ihre Zugänge wiederherstellen, „wenn Sie entweder lokale Backups angelegt haben oder wenn Ihre Passkeys in einer Cloud synchronisiert werden“. Dieses Konto verdient deshalb Ihren stärksten Schutz.

Die Verbraucherzentrale weist auf eine Kehrseite hin: Passkeys, die über die Cloud des Herstellers gesichert werden, „sind dann aber meist an das jeweilige Betriebssystem gebunden“. Wechseln Sie etwa von Android zu iOS oder umgekehrt, „könnte das Übertragen umständlich bis unmöglich werden“. Das ist kein Grund gegen Passkeys, denn im schlimmsten Fall legen Sie beim jeweiligen Dienst einfach einen neuen an. Es ist aber ein Grund, den Rückweg über Passwort und Wiederherstellungsdaten nicht aufzugeben. Passwort-Manager, die auf mehreren Betriebssystemen laufen, gelten laut Verbraucherzentrale hier als flexibler.

Das Smartphone als Brücke

Auf einem Computer, auf dem Ihr Passkey nicht liegt, kann die Anmeldeseite einen QR-Code anzeigen. Sie scannen ihn mit dem Smartphone, bestätigen dort mit Fingerabdruck, Gesicht oder PIN, und Sie sind angemeldet. Das BSI beschreibt den Ablauf und nennt eine Voraussetzung: „Gleichzeitig müssen beide Geräte über eine eingeschaltete Bluetooth-Verbindung verfügen.“ Über Bluetooth wird geprüft, dass die beiden Geräte nah beieinander sind.

Warum das für Sie wichtig ist: Sie können einen Passkey auf einem fremden Computer nutzen, ohne dort einen neuen anzulegen. Legen Sie Passkeys nicht auf Computern an, die nicht Ihnen gehören.

C. Ein praktisches Beispiel: der Laptop bei der Freundin

Katrin übernachtet ein paar Tage bei einer Freundin in Hamburg und muss auf deren Laptop kurz ihre E-Mails lesen. Bei der Anmeldung bietet der E-Mail-Dienst an, einen Passkey anzulegen, „damit es beim nächsten Mal schneller geht“. Es ist spät, und sie hätte fast auf „Ja“ getippt.

Sie hält inne, weil ihr einfällt, was einen Passkey bewacht: die Sperre des Geräts. Auf diesem Laptop ist das das Passwort der Freundin – und jede Person im Haushalt, die es kennt, könnte Katrins Postfach öffnen, ohne je Katrins Passwort gesehen zu haben. Google sagt es ohne Umschweife: „Erstellen Sie Passkeys nur auf Geräten, die Sie selbst besitzen und verwenden.“

Was den Ausgang verändert hat

• Katrin wählte auf dem Laptop der Freundin „Nicht jetzt“ und meldete sich mit Passwort und zweitem Faktor an.
• Sie meldete sich ab, bevor sie den Laptop zurückgab. Warum dieser Schritt zählt, zeigt die Ressource „Von Konten abmelden: der letzte Schritt, der zählt“.
• Zu Hause legte sie den Passkey auf ihrem eigenen Smartphone an, das mit einer sechsstelligen PIN gesperrt ist, die nur sie kennt.
• Als sie ihre E-Mails das nächste Mal an einem anderen Computer brauchte, nutzte sie den QR-Code und ihr Smartphone, statt dort einen neuen Passkey anzulegen.

Nichts ist schiefgegangen. Den Unterschied machte eine einzige Frage: Wessen Sperre würde den Schlüssel bewachen?

D. Probieren Sie es aus: Ihr erster Passkey (20 Minuten)

Vier kurze Schritte, in dieser Reihenfolge. Der erste entscheidet, wie sicher der Rest ist.

Schritt 1 – Die Bildschirmsperre prüfen

• Prüfen Sie auf dem Smartphone oder Computer, den Sie verwenden wollen, ob eine Bildschirmsperre eingeschaltet ist.
• Auf dem Smartphone: am besten eine PIN mit mindestens sechs Stellen, die niemand mit Ihnen in Verbindung bringen kann. Das ist die Empfehlung R5 von Cyber Welfare – und diese PIN öffnet jetzt auch Ihre Passkeys.
• Wenn noch jemand anderes dieses Gerät entsperren kann, wählen Sie ein anderes.

Schritt 2 – Einen Passkey für Ihr wichtigstes E-Mail-Postfach anlegen

• Melden Sie sich bei Ihrem wichtigsten E-Mail-Konto an und öffnen Sie die Sicherheitseinstellungen. Laut BSI richten Sie einen Passkey „einmalig und mit wenigen Klicks in den Sicherheitseinstellungen der Webseite oder App ein“.
• Suchen Sie nach einer Option wie „Passkeys“ oder „Passkeys und Sicherheitsschlüssel“ (so bei Google). Bei Microsoft heißt der Weg „Neue Methode zum Anmelden oder Überprüfen hinzufügen“ und dann „Gesicht, Fingerabdruck, PIN oder Sicherheitsschlüssel“. Noch bietet nicht jeder Dienst Passkeys an.
• Folgen Sie den Anweisungen und bestätigen Sie mit Gesicht, Fingerabdruck oder PIN.

Schritt 3 – Sich einmal damit anmelden

• Melden Sie sich vom Konto ab und wieder an, und wählen Sie dabei den Passkey.
• Tun Sie das jetzt, nicht erst an dem Tag, an dem Sie es eilig haben.

Schritt 4 – Den Rückweg prüfen

• Prüfen Sie in denselben Sicherheitseinstellungen, ob Ihre Wiederherstellungs-E-Mail-Adresse und Telefonnummer aktuell sind.
• Wenn der Dienst Wiederherstellungscodes anbietet – bei Google heißen sie „Back-up-Codes“ –, bewahren Sie einen Satz an einem Ort auf, den Sie auch ohne Ihr Smartphone erreichen. Die Verbraucherzentrale ergänzt: „natürlich nicht auf dem Gerät, das Ihre Passkeys enthält.“
• Wenn Sie ein zweites eigenes Gerät haben, können Sie dort ebenfalls einen Passkey für das Konto hinterlegen. Die Verbraucherzentrale rät dazu: „Verlieren Sie eines der Geräte, kommen Sie mit dem anderen noch in Ihren Account.“
• Behalten Sie das Passwort in Ihrem Passwort-Manager. Viele Dienste akzeptieren es weiterhin als zweiten Weg hinein; Google schreibt: „Sie können sich aber auch weiterhin mit Ihrem Passwort in Ihrem Konto anmelden.“ Sie brauchen es womöglich auf einem Gerät, auf dem der Passkey nicht verfügbar ist.

Wenn das beim E-Mail-Postfach funktioniert, wiederholen Sie Schritt 2 beim nächsten Konto, das Ihnen wichtig ist – sobald es einen Passkey anbietet.

E. Videos, Artikel und weitere Ressourcen

Zu Passkeys gibt es in Deutschland eine eigene Verbraucherseite des BSI mit klarer Empfehlung, eine Befragung des BSI, eine Einordnung der Polizei mit aktuellen Umfragezahlen und einen Ratgeber der Verbraucherzentrale. Für die Menübezeichnungen kommen die deutschen Hilfeseiten der Hersteller dazu. Aus der englischen Fassung bleibt nur die FIDO Alliance, die den Standard verantwortet.

Deutsche Quellen

BSI – Passkeys – anmelden ohne Passwort
Die Referenzseite des BSI: wie Passkeys funktionieren, warum sie „immun gegen die breite Masse bekannter Phishing-Angriffe“ sind, die Anmeldung am PC mit dem Smartphone und was bei Verlust des Geräts hilft.
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Passkeys/passkeys-anmelden-ohne-passwort_node.html

BSI – Die Kryptografie hinter Passkey
Für alle, die genauer wissen wollen, wie Schlüsselpaar, Challenge und Signatur zusammenspielen und warum ein Passkey nur für den einen, korrekten Zugang funktioniert.
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Passkeys/Kryptografie-hinter-Passkey/kryptografie-hinter-passkey_node.html

BSI – Verbraucherbefragung zur passwortlosen Authentisierung mit Passkeys
Die Befragung von 2024: wie bekannt Passkeys sind, wie viele sie nutzen und wie sehr die Nutzenden ihnen vertrauen.
https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/DVS-Berichte/passwortlose-authentisierung-bericht.html

Polizeiliche Kriminalprävention – Passwörter vs. Passkeys: Strategien für Ihre digitale Sicherheit
Die Meldung vom 2. Februar 2026: wie Passkeys funktionieren und warum starke Passwörter trotzdem vorerst nötig bleiben.
https://www.polizei-beratung.de/aktuelles/detailansicht/passwoerter-vs-passkeys/

Polizeiliche Kriminalprävention – Neue Umfrage zu Passwortsicherheit: Viele fürchten KI – aber schützen sich nicht
Die Meldung vom Juni 2025 zur Umfrage der Initiative Sicher Handeln: wie viele Menschen Passkeys, Mehr-Faktor-Authentifizierung und Passwort-Manager nutzen.
https://www.polizei-beratung.de/presse/detailseite/neue-umfrage-zu-passwortsicherheit-viele-fuerchten-ki-aber-schuetzen-sich-nicht/

Verbraucherzentrale – Passkeys als Alternative zu Passwörtern
Der Ratgeber erklärt Vorteile und Grenzen: Wiederherstellung bei Geräteverlust, Back-up-Codes, zweite Sicherheitsschlüssel und was beim Wechsel des Betriebssystems passieren kann.
https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/passkeys-als-alternative-zu-passwoertern-94842

Google – Für die Anmeldung Passkeys statt Passwörter verwenden
Die Hilfeseite in deutscher Sprache: Displaysperre als Voraussetzung, Anmeldung per QR-Code auf einem anderen Computer, verlorene Geräte und die Regel, Passkeys nur auf eigenen Geräten anzulegen. Herstellerdokumentation, keine unabhängige Beratung.
https://support.google.com/accounts/answer/13548313?hl=de

Apple – Informationen zur Sicherheit von Passkeys
Wie das Schlüsselpaar funktioniert, wie der iCloud-Schlüsselbund Passkeys Ende-zu-Ende-verschlüsselt synchronisiert und wie sie sich wiederherstellen lassen.
https://support.apple.com/de-de/102195

Microsoft – Erstellen und Speichern eines Hauptschlüssels
Schritt für Schritt: einen Passkey für ein Microsoft-Konto anlegen und wählen, wo er gespeichert wird. Microsoft übersetzt Passkey hier mit „Hauptschlüssel“.
https://support.microsoft.com/de-de/accounts-billing/security/create-save-passkey

Internationale Referenzen

FIDO Alliance – Passkeys (auf Englisch)
Die Seite der Organisation, die den Standard entwickelt und der das BSI angehört: synchronisierte und gerätegebundene Passkeys, Anmeldung über mehrere Geräte. Sie bleibt, weil das BSI selbst auf sie verweist.
https://fidoalliance.org/passkeys/

Links geprüft am 26. September 2026, ergänzt am 9. Oktober 2026. Falls sich eine Adresse geändert hat, genügt meist die Suche nach dem Titel auf der Website der Einrichtung.

F. Das Cyber-Welfare-Framework: Kompetenzen, Bewusstsein, Sicheres Verhalten

Diese Lektion gehört zur Säule Kompetenzen, auf der Stufe FL2 – Einsteiger. Sie folgt auf die Lektionen zum zweiten Faktor und stellt das Anmeldeverfahren vor, das Phishing deutlich erschwert. Sie berührt aber auch das digitale Bewusstsein: Wer versteht, was einen Passkey schützt, legt ihn am richtigen Ort an.

Kompetenzen

• Einen Passkey bei einem Dienst anlegen, der ihn anbietet.
• Sich mit einem Passkey anmelden, auch auf einem anderen Computer über das Smartphone und den QR-Code.
• Die Wiederherstellungsoptionen prüfen, bevor Sie sich auf ein neues Anmeldeverfahren verlassen.

Für Fachleute und Organisationen

• Wissen, dass derselbe phishing-resistente Mechanismus in FIDO2-Sicherheitsschlüsseln steckt und dass der Passkey dessen Form ohne eigene Hardware ist.

Bewusstsein

• Verstehen, dass der Dienst nur die öffentliche Hälfte eines Passkeys speichert, die allein nichts nützt.
• Wissen, dass ein Passkey an eine einzige Website gebunden ist und eine gefälschte Seite deshalb nichts bekommt.
• Erkennen, dass jetzt die Bildschirmsperre und das synchronisierende Konto das Geheimnis bewachen.
• Einen Passkey nicht mit dem Entsperren des Geräts per Fingerabdruck oder mit dem Masterpasswort des Passwort-Managers verwechseln.

Für künftige Trainerinnen und Trainer sowie Botschafterinnen und Botschafter

• Mit der Frage aus dem Beispiel beginnen: Wessen Sperre bewacht den Schlüssel? Sie erklärt mehr als jede Beschreibung der Kryptografie.
• Auf die Verwechslungsgefahr eingehen, die auch die Befragung des BSI zeigt: Nicht jede Anmeldung per Fingerabdruck ist ein Passkey.

Sicheres Verhalten

• Passkeys nur auf eigenen Geräten anlegen, die nur Sie entsperren können.
• Einen funktionierenden Rückweg behalten: Wiederherstellungsdaten, Backup-Codes und den Passwort-Manager.

Für Organisationen

• Passkeys für Kundenkonten als Option anbieten, ohne den klassischen zweiten Faktor sofort abzuschaffen.

G. Fragen zum Nachdenken

1. Wenn Ihr wichtigstes E-Mail-Postfach Ihnen heute einen Passkey anböte: Auf welchem Gerät würden Sie ihn anlegen? Wer außer Ihnen kann dieses Gerät entsperren?
2. Welches Konto synchronisiert Ihre Passkeys, und wie gut ist es geschützt?
3. Wenn Sie alle Ihre Geräte auf einmal verlören: Auf welchem Weg kämen Sie wieder in Ihre Konten?
4. Wurde Ihnen schon einmal angeboten, einen Passkey auf einem Computer anzulegen, der nicht Ihnen gehört? Was haben Sie geantwortet?
5. Wenn Sie Ihr nächstes Smartphone mit einem anderen Betriebssystem kaufen würden: Wie kämen Sie dann in die Konten, die Sie heute mit einem Passkey öffnen?

H. Was Sie jetzt tun können

Die Empfehlungen (R) und Sicherheitsmaßnahmen (MS) aus der Cyber-Welfare-Datenbank, die hier am direktesten greifen.

1. Die Sperre bewachen

• R5 – Richten Sie eine sechsstellige PIN auf Ihren Mobilgeräten ein. Sie öffnet jetzt nicht nur Ihr Smartphone, sondern auch Ihre Passkeys.
• R7 – Sperren Sie den Bildschirm nach der kürzesten verfügbaren Zeit, damit sich ein unbeaufsichtigtes Gerät von selbst sperrt.
• MS4 – Wo möglich, ein alphanumerischer Code mit mindestens 8 Zeichen zum Entsperren.

Mindestschritt: Prüfen Sie, dass das Gerät, auf dem Sie Ihren ersten Passkey anlegen, eine Sperre hat, die nur Sie kennen.

2. Einen Rückweg behalten

• R2 – Nutzen Sie einen zuverlässigen Passwort-Manager. Sie brauchen Ihre Passwörter weiterhin für alle Dienste, die noch keine Passkeys anbieten – die Polizeiliche Kriminalprävention sagt es deutlich.
• R4 – Behalten Sie einen zweiten Faktor für Ihre Konten und bewahren Sie die Wiederherstellungscodes an einem Ort auf, den Sie ohne Ihr Smartphone erreichen.
• R8 – Aktivieren Sie Anmeldebenachrichtigungen für Ihre Konten, auch für das Konto, das Ihre Passkeys synchronisiert.

Mindestschritt: Legen Sie einen Passkey für Ihr wichtigstes E-Mail-Postfach an und prüfen Sie am selben Tag dessen Wiederherstellungsdaten.

Kurz gesagt

• Ein Passkey ist ein Schlüsselpaar. Der Dienst speichert nur die öffentliche Hälfte, die allein nichts nützt; die private Hälfte bleibt bei Ihnen.
• Er ist an eine einzige Website gebunden, deshalb bekommt eine gefälschte Seite nichts. Das BSI nennt Passkeys „immun gegen die breite Masse bekannter Phishing-Angriffe“ und empfiehlt, sie bei vertrauten Diensten zu nutzen.
• Er ist so sicher wie die Bildschirmsperre, die ihn öffnet. Legen Sie Passkeys nur auf eigenen Geräten an, die nur Sie entsperren können.
• Ein Passkey ist nicht dasselbe wie das Entsperren per Fingerabdruck und nicht dasselbe wie das Masterpasswort Ihres Passwort-Managers.
• Behalten Sie einen Rückweg: Wiederherstellungsdaten, Backup-Codes und Ihren Passwort-Manager.

Entdecken Sie weitere ergänzende Ressourcen aus den Kursen des Programms „Schützen Sie Ihre digitale Privatsphäre“.