Passkeys einrichten: Anleitung und die drei typischen Fehler

Die schnelle Antwort: Ein Passkey ist ein kryptografisches Schlüsselpaar, das Ihr Gerät für genau eine Webseite erzeugt. Der geheime Teil verlässt das Gerät nie, deshalb laufen Phishing-Seiten ins Leere. Wirksam wird der Schutz aber erst, wenn Sie im selben Konto das alte Passwort und die SMS-Wiederherstellung abschalten, sonst bleibt die Hintertür offen.

Was ein Passkey technisch ist, ohne Fachchinesisch

Beim klassischen Login schicken Sie ein Geheimnis über die Leitung: Ihr Passwort. Wer es abfängt, nachbaut oder aus einer Datenbank erbeutet, kann es überall dort einsetzen, wo Sie es verwendet haben. Ein Passkey dreht das Prinzip um. Ihr Gerät erzeugt bei der Einrichtung zwei zusammengehörige Schlüssel: einen öffentlichen, den der Dienst bekommt und ruhig speichern darf, und einen privaten, der das Gerät nie verlässt.

Stellen Sie sich das wie einen Siegelring vor. Der Dienst kennt Ihr Wappen und kann jeden Abdruck damit vergleichen. Den Ring selbst hat er nie gesehen. Beim Anmelden schickt der Dienst eine zufällige Aufgabe, Ihr Gerät siegelt sie mit dem privaten Schlüssel, und der Dienst prüft den Abdruck. Selbst wenn morgen die komplette Nutzerdatenbank des Anbieters im Netz landet, liegt darin kein einziges verwertbares Geheimnis über Sie. Genau das ist der Bruch mit vierzig Jahren Passwortlogik.

Der Fingerabdruck oder Gesichtsscan, den Sie dabei abgeben, geht nirgendwohin. Er ist nur der lokale Türöffner, damit das Gerät den privaten Schlüssel freigibt. Fachlich heißt dieser Schritt User Verification, und er ist der Grund, warum ein gestohlenes, entsperrtes Handy gefährlicher ist als ein gestohlenes gesperrtes. Technisch stehen hinter Passkeys die offenen Standards FIDO2 und WebAuthn, weshalb sie herstellerübergreifend funktionieren und kein einzelnes Unternehmen die Kontrolle über das Verfahren hat.

Warum Phishing an Passkeys abprallt

Der eigentliche Sicherheitsgewinn liegt nicht in der Kryptografie, sondern in einer unscheinbaren Regel: Ein Passkey ist fest mit der Domain verknüpft, für die er erzeugt wurde. Der Browser bietet den Schlüssel für Ihre Bank ausschließlich auf der echten Bankdomain an. Landen Sie auf einer täuschend echten Kopie mit minimal abgewandelter Adresse, erscheint schlicht kein Passkey. Nicht, weil Sie aufmerksam waren, sondern weil die technische Voraussetzung fehlt.

Das ist ein grundsätzlicher Unterschied zu jeder Form von Code-Eingabe. Ein SMS-Code, eine TAN oder ein Zahlencode aus einer Authenticator-App lassen sich weiterreichen: Der Angreifer betreibt eine Zwischenstation, Sie tippen den Code auf der Fälschung ein, er reicht ihn in Echtzeit an die echte Seite weiter. Wie professionell diese Nachbauten inzwischen aussehen und wie systematisch passende Domains registriert werden, haben wir in der Analyse zu Phishing-Domains im Bankenumfeld aufgeschlüsselt. Gegen diese Masche hilft kein Code, sondern nur ein Verfahren, das die Adresszeile selbst prüft.

Diese Einschätzung ist keine Herstellerwerbung, sondern inzwischen offizielle Linie. Das Bundesamt für Sicherheit in der Informationstechnik hat am 30. Juni 2026 die Technische Richtlinie TR-03188 Passkey Server in Version 1.0 veröffentlicht und hält darin fest, dass Passkeys eine sichere Alternative zu Passwörtern sind und wirksamen Schutz vor Phishing-Angriffen bieten. Die Richtlinie richtet sich an Betreiber von Webseiten und Online-Diensten und soll Passkeys als gängiges Zwei-Faktor-Verfahren etablieren. Für Sie als Nutzer heißt das vor allem eines: Wenn ein Anbieter 2026 noch keinen Passkey anbietet, hinkt er dem Stand der Technik hinterher.

Ein Detail aus der Richtlinie ist auch für Privatnutzer aufschlussreich. Das BSI unterscheidet nach Vertrauensniveau und verlangt bei höheren Anforderungen ausdrücklich die lokale Nutzerprüfung oder sogar gerätegebundene Passkeys, also Schlüssel, die nicht in eine Cloud synchronisiert werden. Wer sich fragt, ob synchronisierte Passkeys „gut genug“ sind: Für Shop, Streaming und soziale Netzwerke ja, für das Konto, an dem Ihre gesamte digitale Identität hängt, ist ein zusätzlicher gerätegebundener Schlüssel die deutlich stabilere Wahl.

Fehler 1: Der Passkey kommt dazu, das Passwort bleibt liegen

Hier scheitert der Großteil aller Umstiege, und zwar unbemerkt. Sie legen bei einem Dienst einen Passkey an, melden sich fortan mit Fingerabdruck an und haben das Gefühl, ein Problem gelöst zu haben. Im Hintergrund existiert Ihr altes Passwort aber weiter, unverändert gültig, oft seit Jahren dasselbe wie bei drei anderen Diensten. Ein Angreifer wird sich nicht an Ihrem Passkey abarbeiten. Er wird auf „Anmeldung mit Passwort“ klicken.

Die nüchterne Konsequenz: Solange ein Passwort im Konto aktiv ist, ist der Passkey eine Bequemlichkeitsfunktion und keine Sicherheitsmaßnahme. Die Angriffsfläche ist exakt so groß wie vorher, sie hat nur eine zweite, komfortablere Tür danebenbekommen. Sicherheitsniveau eines Kontos heißt immer: das schwächste erlaubte Anmelde- oder Wiederherstellungsverfahren, nicht das stärkste.

Die gute Nachricht ist, dass einige große Anbieter das inzwischen zulassen. Microsoft bietet in den erweiterten Sicherheitsoptionen des Kontos die Umstellung auf ein passwortloses Konto an, bei der das Kennwort tatsächlich entfernt wird. Google hat in den Sicherheitseinstellungen einen Schalter, der die Passwortabfrage überspringt, wo immer ein Passkey verfügbar ist. Viele Shops und Zahlungsdienste dagegen halten das Passwort dauerhaft aktiv und bieten keine Möglichkeit, es zu löschen. Bei diesen Diensten gilt die zweitbeste Regel: ein langes, einzigartiges, nirgends wiederverwendetes Passwort im Manager, damit die Hintertür wenigstens kein Serienschloss hat. Warum die Wiederverwendung derselben Kombination der teuerste Fehler überhaupt ist, zeigt unser Beitrag zu Identitätsdiebstahl und Passwortmanagern.

Wer wissen will, welche seiner alten Kennwörter längst öffentlich zirkulieren, prüft das besser vor dem Umstieg als danach.

Fehler 2: Die falsche Reihenfolge

Die meisten Anleitungen empfehlen, „einfach anzufangen“, gern beim Shop oder beim sozialen Netzwerk. Das ist gut gemeint und sicherheitstechnisch die falsche Richtung. Ihr E-Mail-Konto ist der Generalschlüssel: Über die Funktion „Passwort vergessen“ lassen sich fast alle anderen Konten darüber zurücksetzen. Wer das Zweitkonto panzert und das E-Mail-Postfach mit einem 2019 vergebenen Passwort betreibt, hat eine Stahltür in eine Rigipswand gesetzt.

Sortieren Sie Ihre Konten deshalb nach Hebelwirkung, nicht nach Nutzungshäufigkeit. Die Reihenfolge, die sich in der Praxis bewährt hat:

• Stufe 1, das E-Mail-Konto: Zuerst das Postfach, an dem die Wiederherstellung aller anderen Dienste hängt. Bei mehreren Adressen zählt die, die Sie bei Banken und Behörden hinterlegt haben.
• Stufe 2, das Plattformkonto: Apple-ID, Google- oder Microsoft-Konto. Diese Konten steuern Gerätesperren, Ortungsdienste, Cloudspeicher und in vielen Fällen den Schlüsselbund selbst.
• Stufe 3, Geld und Zahlung: Zahlungsdienste, Handelsplattformen mit hinterlegter Bankverbindung, Krypto-Börsen. Hier ist der unmittelbare Schaden am größten.
• Stufe 4, Identität und Reichweite: Soziale Netzwerke und Messenger. Der Schaden ist hier selten finanziell, dafür sozial: Von Ihrem übernommenen Konto aus wirkt jede Betrugsnachricht glaubwürdig.
• Stufe 5, der Rest: Shops, Foren, Streamingdienste. Wichtig nur, weil dort oft Adresse und Zahlungsdaten liegen, und weil ein dort erbeutetes Passwort andernorts durchprobiert wird.

Diese Staffelung hat einen zweiten Effekt, den Sie sofort merken: Nach Stufe 1 und 2 haben Sie den Großteil des realen Risikos abgeräumt, obwohl Sie erst zwei Konten angefasst haben. Der Rest darf über Wochen nebenher laufen, immer dann, wenn Sie sich bei einem Dienst ohnehin anmelden.

Fehler 3: Nur ein einziger Passkey

Ein Passkey liegt auf einem Gerät. Fällt das Gerät ins Wasser, wird gestohlen oder gibt nach vier Jahren den Geist auf, hängt Ihr Zugang an dem, was Sie vorher eingerichtet haben. Die Verbraucherzentrale beschreibt diesen Punkt in ihrer Übersicht zu Passkeys als Alternative zu Passwörtern treffend als Haustürschlüssel-Problem: Ohne alternativen Weg stehen Sie vor der eigenen Tür.

Synchronisierte Passkeys entschärfen das erheblich. Apple, Google und die gängigen Passwortmanager legen die Schlüssel verschlüsselt in Ihrem Konto ab, sodass ein neues Gerät nach der Anmeldung sofort alles wieder zur Verfügung hat. Der Preis dafür ist eine Bindung an dieses Ökosystem und daran, dass Sie ins Synchronisationskonto überhaupt hineinkommen. Wer sein Google-Konto nur mit einem Passkey auf genau dem Handy schützt, das gerade verschwunden ist, hat einen sauberen Zirkelschluss gebaut.

Halten Sie es deshalb bei jedem Konto der Stufen 1 bis 3 wie mit dem Wohnungsschlüssel beim Nachbarn:

Anleitung: Passkeys bei den wichtigsten Diensten anlegen

Die Menüs ändern sich mit jeder Version, die Einstiegspunkte sind seit Jahren stabil. Suchen Sie im Zweifel in den Sicherheitseinstellungen des jeweiligen Kontos nach dem Stichwort „Passkey“, unter Umständen auch nach „Sicherheitsschlüssel“ oder „passwortlose Anmeldung“.

• Google-Konto: Über g.co/passkeys direkt in den Bereich Passkeys und Sicherheitsschlüssel. Passkey anlegen, anschließend im selben Bereich die Option aktivieren, die die Passwortabfrage überspringt, wo ein Passkey vorhanden ist. Backup-Codes finden Sie unter Sicherheit, Zwei-Faktor-Authentifizierung.
• Apple-Konto: Über appleid.apple.com im Bereich Anmelden und Sicherheit. Passkeys für Drittanbieter landen im iCloud-Schlüsselbund, der dafür in den Systemeinstellungen unter Ihrem Namen, iCloud, Passwörter und Schlüsselbund aktiv sein muss. Ohne diesen Schalter bleiben Passkeys auf ein Gerät beschränkt.
• Microsoft-Konto: Über account.microsoft.com, dann Sicherheit und erweiterte Sicherheitsoptionen. Dort legen Sie den Passkey an und finden anschließend die Umstellung auf ein passwortloses Konto, mit der das Kennwort tatsächlich entfernt wird.
• Handel und Zahlung: Bei Amazon unter Konto, Anmeldung und Sicherheit, bei PayPal in den Einstellungen im Bereich Sicherheit, bei eBay in den Kontoeinstellungen. Rechnen Sie hier damit, dass das Passwort bestehen bleibt, und behandeln Sie es entsprechend.
• Passwortmanager als Speicher: Wer nicht an ein Ökosystem gebunden sein will, lässt den Passwortmanager die Passkeys verwalten. Vorteil: Die Schlüssel stehen auf Windows, Android, iOS und Linux gleichermaßen bereit. Nachteil: Der Manager wird damit zum Generalschlüssel und braucht selbst den härtesten Schutz, den er anbietet.

Ein praktischer Hinweis für den Alltag, der oft für Verwirrung sorgt: Wenn Sie sich am Rechner anmelden und der Browser einen QR-Code anzeigt, ist das kein Fehler. Sie scannen ihn mit dem Handy, auf dem der Passkey liegt, und bestätigen dort. Diese geräteübergreifende Anmeldung nutzt eine Bluetooth-Nahbereichsprüfung, damit ein Angreifer den Code nicht aus der Ferne von einer Phishing-Seite abfotografieren lassen kann. Deshalb muss Bluetooth an beiden Geräten kurz aktiv sein.

Sind Passkeys eine Einbahnstraße in ein Ökosystem?

Das war lange der berechtigtste Einwand gegen den Umstieg: Wer seine Schlüssel im Apple-Schlüsselbund anlegt, kommt dort nicht wieder heraus, ohne bei jedem Dienst einzeln von vorn zu beginnen. Dieser Vorbehalt ist inzwischen weitgehend ausgeräumt. Die FIDO Alliance hat mit dem Credential Exchange Format ein herstellerneutrales Umzugsformat verabschiedet, das zugehörige Übertragungsprotokoll schützt die Schlüssel während des Transfers durchgehend verschlüsselt. Apple, Google, Microsoft und die großen Passwortmanager haben daran mitgeschrieben und die Umsetzung angeschoben.

Für Sie heißt das konkret: Prüfen Sie vor der Festlegung auf einen Anbieter, ob dieser Export und Import bereits unterstützt. Ist die Funktion vorhanden, ist die Entscheidung reversibel und Sie können ohne Reue starten. Fehlt sie, ist das ein Argument, die Passkeys der wichtigen Konten in einem Speicher zu halten, den Sie wechseln können. Der Umzugsstandard ist der Grund, warum das Argument „ich warte noch ab“ 2026 nicht mehr trägt.

Wogegen Passkeys nichts ausrichten

Ein Passkey sichert den Vorgang der Anmeldung. Er sagt nichts darüber aus, was ein Unternehmen mit den Daten macht, die Sie dort hinterlassen haben, und er holt nichts zurück, was bereits abgeflossen ist. Drei Lücken bleiben nach dem Umstieg offen, und keine davon lässt sich mit Kryptografie schließen.

Erstens der Datenbestand hinter dem Login. Adresse, Geburtsdatum, Bestellhistorie und Telefonnummer liegen weiterhin in der Datenbank des Anbieters. Wird diese kompromittiert, ist Ihr Passkey unbeschädigt, Ihre Stammdaten sind es nicht. Genau diese Datensätze tauchen später in Leak-Sammlungen auf und bilden die Grundlage für gezielte Betrugsanrufe.

Zweitens die Altbestände bei Werbe- und Adressbrokern. Unternehmen wie Acxiom, AZ Direct, Schober, Deutsche Post Direkt, LiveRamp oder The Trade Desk führen Profile, die nie über ein Login von Ihnen entstanden sind, sondern aus Gewinnspielen, Bestellungen, App-Meldungen und zugekauften Listen. Kein Anmeldeverfahren der Welt berührt diese Bestände. Sie verschwinden nur, wenn ihre Löschung eingefordert wird.

Drittens der Mensch. Ein Passkey verhindert, dass Sie ein Geheimnis auf einer falschen Seite eingeben. Er verhindert nicht, dass Sie einer überzeugend klingenden Stimme am Telefon eine Überweisung zusagen. Social Engineering verschiebt sich, sobald der technische Weg dicht ist, und zwar zuverlässig in Richtung Telefon und Messenger.

Für die ersten beiden Punkte gibt es einen praktischen Ansatz. Unser Passwort-Checker gleicht Ihre Zugangsdaten anonym über das k-Anonymity-Verfahren mit bekannten Leak-Datenbanken ab, ohne dass das Kennwort selbst je unser System verlässt. Das Darknet-Radar arbeitet danach dauerhaft weiter und meldet sich, sobald Ihre Adresse in einer neu veröffentlichten Sammlung auftaucht. Ein Passkey schützt den nächsten Login, ein Frühwarnsystem schützt die Zeit danach.

Für die Altbestände bei den Brokern greift ein anderer Hebel, nämlich Art. 17 DSGVO. Wo für die weitere Speicherung keine tragfähige Rechtsgrundlage mehr besteht, und bei reinem Werbeprofiling ist das regelmäßig der Fall, muss gelöscht werden. Datenputzer versendet diese Löschanfragen gebündelt an über 100 Werbe- und Adressbroker und verfolgt die Antworten nach. Was am Ende in fremden Systemen geschieht, liegt nicht in unserer Hand. Was wir tun, ist konsequent einzufordern, worauf Sie einen Anspruch haben. Bonitätsdaten von Auskunfteien gehören ausdrücklich nicht dazu, denn die stehen auf einer eigenen gesetzlichen Grundlage.

Häufige Fragen zu Passkeys