Passkey: Anmelden ohne Passwort – einfach erklärt
Kurz erklärt
Ein Passkey ist ein kryptografischer Anmeldeschlüssel, der das Passwort ersetzt. Er besteht aus einem privaten Schlüssel, der das Gerät des Nutzers nie verlässt, und einem öffentlichen Schlüssel beim Onlinedienst. Angemeldet wird per Fingerabdruck, Gesichtserkennung oder Geräte-PIN – ein geheimes Passwort, das gestohlen oder erraten werden könnte, gibt es nicht mehr.
- Passkeys basieren auf den offenen Standards FIDO2 und WebAuthn und sind von Natur aus phishing-resistent, weil kein geheimes Passwort übertragen wird.
- Anders als ein Passwort mit zusätzlicher MFA vereint ein Passkey Besitz (das Gerät) und Merkmal (Biometrie) in einem einzigen, nicht abgreifbaren Schritt.
- In Microsoft Entra ID lassen sich Passkeys als unternehmensweite Anmeldemethode ausrollen und schrittweise an die Stelle von Passwörtern setzen.
Was ein Passkey ist
Ein Passkey ist der Versuch, das Passwort dort abzuschaffen, wo es am meisten Schaden anrichtet: bei der Anmeldung. Statt einer Zeichenkette, die man sich merken, eintippen und vor allem geheim halten muss, tritt ein kryptografisches Schlüsselpaar. Der private Teil bleibt sicher auf dem Gerät des Nutzers, der öffentliche Teil liegt beim Onlinedienst. Beim Anmelden beweist das Gerät den Besitz des privaten Schlüssels, ohne ihn preiszugeben – freigegeben durch Fingerabdruck, Gesichtserkennung oder die Geräte-PIN.
Der entscheidende Unterschied zum Passwort: Es gibt kein gemeinsames Geheimnis mehr, das auf dem Weg zwischen Nutzer und Dienst abgefangen werden könnte. Genau deshalb gelten Passkeys als phishing-resistent.
Passkey, Passwort und MFA im Vergleich
Bislang lautete die Empfehlung: ein starkes Passwort plus ein zweiter Faktor (MFA). Das ist wirksam, aber umständlich – und die Multi-Faktor-Authentifizierung per SMS oder App lässt sich mit genügend Aufwand austricksen. Ein Passkey vereint beide Sicherheitsprinzipien in einem einzigen Schritt: den Besitz des registrierten Geräts und das Merkmal (Biometrie) oder Wissen (PIN), das den Schlüssel freigibt. Das Ergebnis ist zugleich sicherer und bequemer als die Kombination, die es ablöst. Der Umstieg gelingt am besten schrittweise – begleitet von einer sauberen Sicherheits- und Compliance-Basis.
Wie ein Passkey funktioniert: FIDO2 und WebAuthn
Technisch stehen hinter Passkeys die offenen Standards FIDO2 und WebAuthn, getragen von der FIDO Alliance und den großen Plattformanbietern. Bei der Registrierung erzeugt das Gerät ein Schlüsselpaar. Der öffentliche Schlüssel wird beim Dienst hinterlegt, der private Schlüssel bleibt im sicheren Bereich des Geräts. Bei jeder Anmeldung schickt der Dienst eine zufällige Aufgabe, die das Gerät mit dem privaten Schlüssel signiert – ein Vorgang, der an die richtige Domain gebunden ist. Eine gefälschte Phishing-Seite kann diese Bindung nicht nachahmen, und genau daran scheitert der Angriff.
Passkeys im Unternehmen einführen
Für Unternehmen sind Passkeys kein reines Komfortthema, sondern ein Sicherheitsgewinn: Sie eliminieren Passwort-Diebstahl, Wiederverwendung und einen Großteil der Phishing-Angriffe. In der Microsoft-Welt lassen sie sich über Microsoft Entra ID als Anmeldemethode aktivieren und schrittweise ausrollen – zunächst als zusätzliche Option, später als bevorzugter oder einziger Weg für sensible Zugänge.
Der Weg dorthin gehört in eine saubere Identitätsverwaltung: Wer welche Passkeys registriert hat, wie Ersatzgeräte eingerichtet werden und was beim Verlust passiert, will geregelt sein. Bei kjello ist die Verwaltung von Konten und Anmeldeverfahren Teil des Identity- und Account-Managements im Portal und in Sicherheit & Compliance eingebettet. Passkeys sind dabei der nächste logische Schritt nach der Multi-Faktor-Authentifizierung – weg vom Passwort, hin zu einer Anmeldung, die man nicht mehr stehlen kann.
Passend dazu bei kjello
Häufige Fragen zu Passkey
Was ist ein Passkey einfach erklärt?
Ein Passkey ist ein digitaler Schlüssel, der auf Ihrem Gerät gespeichert ist und ein Passwort ersetzt. Statt ein Kennwort einzutippen, bestätigen Sie die Anmeldung mit Fingerabdruck, Gesicht oder PIN. Der eigentliche Schlüssel verlässt das Gerät nie – es gibt also kein Passwort, das abgefangen oder erraten werden kann.
Sind Passkeys sicherer als Passwörter?
Deutlich. Passkeys sind phishing-resistent, weil bei der Anmeldung kein Geheimnis übertragen wird, das man abgreifen könnte. Sie können nicht erraten, wiederverwendet oder bei einem Datenleck des Anbieters gestohlen werden. Damit entfallen die häufigsten Angriffswege gegen Passwörter auf einen Schlag.
Was passiert, wenn ich mein Gerät verliere?
Moderne Passkeys lassen sich über die Plattform des Anbieters (etwa über das Konto oder einen Passwortmanager) auf ein neues Gerät synchronisieren oder neu einrichten. Im Unternehmen wird zusätzlich ein Wiederherstellungsweg festgelegt – etwa über einen zweiten registrierten Passkey oder die IT, die eine neue Registrierung freigibt.
Brauche ich mit Passkeys noch eine zusätzliche MFA?
Ein Passkey erfüllt die Anforderung an eine starke Authentifizierung bereits selbst, weil er Besitz und Merkmal kombiniert. Er ersetzt damit die klassische Kombination aus Passwort plus zweitem Faktor, statt sie zu ergänzen – die Anmeldung wird also gleichzeitig sicherer und einfacher.
Verwandte Begriffe
Multi-Faktor-Authentifizierung (MFA)
Multi-Faktor-Authentifizierung (MFA) verlangt beim Anmelden mindestens zwei unabhängige Nachweise aus verschiedenen Kategorien: etwas, das man weiß (Passwort), etwas, das man besitzt (Smartphone oder Token), und etwas, das man ist (Fingerabdruck oder Gesicht). Ein gestohlenes Passwort allein genügt dann nicht mehr für den Zugriff.
CloudIAM (Identity & Access Management)
Identity & Access Management (IAM) umfasst alle Prozesse und Werkzeuge, mit denen ein Unternehmen digitale Identitäten verwaltet und steuert, wer auf welche Systeme, Anwendungen und Daten zugreifen darf. Der Kern ist das Prinzip: Die richtige Person bekommt die richtigen Rechte – und verliert sie wieder, sobald sie sie nicht mehr braucht.
SicherheitZero Trust
Zero Trust ist ein IT-Sicherheitsmodell nach dem Grundsatz „niemandem vertrauen, alles prüfen": Kein Nutzer und kein Gerät gilt automatisch als vertrauenswürdig – auch nicht innerhalb des eigenen Firmennetzes. Jeder Zugriff wird einzeln geprüft und nur so weit erlaubt, wie er nötig ist.
Diese Themen lieber abgeben?
kjello übernimmt Passkey und den Rest Ihrer IT als Service – betrieben von einem echten Systemhaus, ab 29 € pro Arbeitsplatz.
