Eine App öffnen, das eigene Konto auswählen, Face ID oder den Fingerabdruck bestätigen – fertig. Wo früher E-Mail-Adresse, Passwort und möglicherweise noch ein SMS-Code nötig waren, dauert die Anmeldung heute oft nur wenige Sekunden. Auf den ersten Blick wirkt der Passkey deshalb wie eine bequemere Variante des Passworts, technisch verändert sich im Hintergrund jedoch deutlich mehr.
Besonders relevant wird das bei Konten, über die persönliche Daten, Identitätsinformationen oder Zahlungen erreichbar sind. Das betrifft Banking-Apps und Bezahldienste ebenso wie Onlineshops, Aboplattformen oder Angebote aus dem Umfeld von Top casino Schweiz. Wird dort ein klassisches, wiederverwendetes Passwort gestohlen, kann der Schaden wesentlich größer sein als bei einem unwichtigen Forenkonto. Passkeys setzen genau an diesem Problem an: Der Nutzer muss dem Dienst kein Geheimnis mehr übermitteln, das später erneut eingegeben und dadurch auch abgefangen werden könnte.
Warum das Passwort zum Sicherheitsproblem geworden ist
Das größte Problem klassischer Passwörter ist weniger das Passwort an sich als unser Umgang damit. Menschen müssen heute Zugangsdaten für zahlreiche Dienste verwalten, verwenden deshalb Passwörter mehrfach oder wählen Kombinationen, die sich leichter merken lassen.
Hinzu kommt Phishing. Selbst ein sehr langes und kompliziertes Passwort hilft wenig, wenn es auf einer überzeugend nachgebauten Login-Seite eingegeben wird. Gelangen Zugangsdaten aus einem Datenleck in falsche Hände, probieren Angreifer dieselben Kombinationen häufig auch bei anderen Diensten aus – sogenanntes Credential Stuffing.
Passwortmanager und Zwei-Faktor-Authentifizierung reduzieren viele dieser Risiken. Sie ändern aber nichts daran, dass ein klassisches Passwort weiterhin ein Geheimnis ist, das bei der Anmeldung übertragen und deshalb grundsätzlich gestohlen werden kann.
Was ist ein Passkey eigentlich?
Ein Passkey ersetzt dieses gemeinsam bekannte Geheimnis durch ein Schlüsselpaar. Vereinfacht gesagt erhält der Dienst einen öffentlichen Schlüssel, während der dazugehörige private Schlüssel geschützt auf dem Gerät oder innerhalb des verwendeten Passkey-Systems verbleibt.
Eine typische Anmeldung läuft so ab:
- Der Nutzer wählt sein Konto aus.
- Der Dienst fordert einen kryptografischen Nachweis an.
- Das Smartphone oder der Computer verlangt eine lokale Bestätigung.
- Fingerabdruck, Gesichtserkennung oder Geräte-PIN geben den Passkey frei.
- Das Gerät bestätigt mit dem privaten Schlüssel, dass der richtige Zugang vorhanden ist.
- Der Dienst prüft diesen Nachweis und erlaubt die Anmeldung.
Der entscheidende Unterschied: Niemand muss sich ein neues Geheimnis merken oder es von Hand in ein Login-Feld schreiben.
Der Fingerabdruck ist nicht der Passkey
Hier entsteht häufig ein Missverständnis. Wenn eine Anmeldung über Fingerabdruck oder Gesichtserkennung bestätigt wird, bedeutet das nicht, dass der Fingerabdruck selbst beim jeweiligen Onlinedienst gespeichert wird.
Die biometrische Prüfung dient normalerweise dazu, den auf dem Gerät geschützten Zugang freizugeben. Das Smartphone stellt also lokal fest: Die Person darf diesen Passkey verwenden.
Die Website erhält anschließend den kryptografischen Nachweis – nicht das Gesichtsfoto oder den Fingerabdruck. Alternativ kann häufig auch der Geräte-PIN verwendet werden. Passkey und Biometrie sind deshalb zwei unterschiedliche Dinge, auch wenn sie sich für den Nutzer wie ein einziger Anmeldeschritt anfühlen.
Warum Passkeys Phishing deutlich schwerer machen
Ein Passwort lässt sich auf einer gefälschten Website eintippen. Ein Passkey funktioniert anders: Er ist an den legitimen Dienst beziehungsweise dessen Domain gebunden.
Eine Phishing-Seite kann daher nicht einfach nach dem Passkey fragen und ihn wie ein Passwort übernehmen. Das beseitigt nicht jede Form von Betrug, macht jedoch den klassischen Angriff mit nachgebauter Login-Seite wesentlich schwieriger.
Angreifer können ihre Aufmerksamkeit stattdessen auf andere Schwachstellen verlagern. Dazu gehören kompromittierte Geräte, manipulierte Support-Nachrichten, unsichere Cloud-Konten oder schlecht geschützte Wiederherstellungsverfahren.
Passkeys machen also einen wichtigen Angriffsweg deutlich unattraktiver, ersetzen aber keine umfassende Kontosicherheit.
Was passiert beim Wechsel auf ein neues Smartphone?
Die wahrscheinlich wichtigste Alltagsfrage lautet: Was geschieht mit den Passkeys, wenn das Telefon ersetzt wird?
Je nach Anbieter und Plattform können Passkeys verschlüsselt zwischen Geräten synchronisiert werden. Wer beispielsweise ein neues Smartphone mit demselben Plattformkonto einrichtet, kann dadurch häufig auf bereits gespeicherte Zugangsdaten zugreifen, ohne jeden Dienst komplett neu konfigurieren zu müssen.
Auch die Verwendung auf Smartphone, Tablet und Computer kann möglich sein. Allerdings funktionieren nicht alle Passkey-Systeme und Ökosysteme identisch. Wer regelmäßig mehrere Plattformen verwendet, sollte deshalb wissen, wo seine Passkeys gespeichert werden und wie der Zugriff auf einem neuen Gerät hergestellt wird.
Und wenn das Smartphone verloren geht?
Ein verlorenes Telefon bedeutet nicht automatisch, dass alle darauf gespeicherten Konten offenstehen. Der Zugriff auf Passkeys ist normalerweise zusätzlich durch Bildschirmsperre, PIN oder Biometrie geschützt.
Trotzdem braucht jeder Nutzer einen Plan für diesen Fall. Je nach Dienst können ein zweites vertrauenswürdiges Gerät, synchronisierte Passkeys, zuvor gespeicherte Wiederherstellungscodes oder andere Anmeldeverfahren helfen.
Manche Anbieter verlangen bei einer Kontowiederherstellung zusätzlich einen Identitätsnachweis. Das ist etwas anderes als die normale Authentifizierung: Beim Login wird geprüft, ob jemand über den richtigen Zugang verfügt; bei einer Identitätsprüfung kann es darum gehen, tatsächlich die Person hinter einem Konto festzustellen.
Das größte Risiko wandert Richtung Kontowiederherstellung
Je schwieriger es wird, den eigentlichen Login zu stehlen, desto interessanter wird für Angreifer der Weg drum herum.
Kann ein Passwort über „Passwort vergessen“ zurückgesetzt werden? Reicht dafür der Zugriff auf eine E-Mail-Adresse? Gibt es einen SMS-Code? Liegen Recovery-Codes ungeschützt auf dem verlorenen Smartphone?
Ein gut geschützter Passkey bringt wenig, wenn sich das Konto über ein schwaches Backup-Verfahren übernehmen lässt. Deshalb gehört die Wiederherstellung zur Sicherheitsarchitektur und darf nicht erst dann betrachtet werden, wenn ein Gerät bereits verloren wurde.
Passkey, Passwort und Zwei-Faktor-Login – was ist der Unterschied?
| Methode | Was braucht der Nutzer? | Phishing-Risiko | Komfort |
|---|---|---|---|
| Passwort | Ein gemerktes oder gespeichertes Geheimnis | Relativ hoch, wenn es eingegeben wird | Einfach, aber verwaltungsintensiv |
| Passwort + 2FA | Passwort plus zweiten Faktor | Deutlich besser geschützt, je nach 2FA-Methode aber weiterhin angreifbar | Zusätzlicher Schritt |
| Passkey | Zugriff auf einen geschützten Schlüssel und ein entsperrbares Gerät | Gegen klassisches Credential-Phishing deutlich widerstandsfähiger | Meist sehr bequem |
Keine der Methoden existiert völlig losgelöst vom restlichen Konto. Geräte-, Cloud- und Recovery-Sicherheit bleiben immer relevant.
Wann sollte man einen Passkey 2026 aktivieren?
Vor der Umstellung lohnt sich ein kurzer Sicherheitscheck:
- Das Gerät sollte mit einer starken Bildschirmsperre geschützt sein.
- Das zentrale Cloud- oder Plattformkonto braucht ebenfalls eine robuste Anmeldung.
- Mindestens eine funktionierende Wiederherstellungsmethode sollte vorhanden sein.
- Es sollte klar sein, wo der Passkey gespeichert oder synchronisiert wird.
- Alte, verkaufte oder nicht mehr genutzte Geräte sollten aus den Konten entfernt werden.
- Bevor das Passwort vollständig deaktiviert wird, sollten die Recovery-Optionen geprüft werden.
Gerade der letzte Punkt verhindert, dass ein komfortabler Login später zu einem komplizierten Wiederherstellungsproblem wird.
Werden Passwörter jetzt verschwinden?
Kurzfristig eher nicht. Viele ältere Websites und Unternehmenssysteme unterstützen Passkeys noch nicht, andere bieten sie nur zusätzlich zum Passwort an.
Auch Kompatibilität zwischen verschiedenen Geräten und Plattformen spielt eine Rolle. Hinzu kommen Unternehmen mit älterer IT-Infrastruktur sowie Recovery-Prozesse, die weiterhin auf klassische Zugangsdaten setzen.
2026 ist deshalb eher eine Übergangsphase als das Jahr, in dem das Passwort plötzlich verschwindet. Für viele Nutzer wird es eine Zeit lang nebeneinander existieren: Passkey hier, Passwort plus 2FA dort.
Der wichtigste Fortschritt ist nicht der bequemere Login
Dass eine Anmeldung mit Gesichtserkennung oder Fingerabdruck schneller wirkt, ist nur der sichtbarste Teil der Veränderung. Entscheidender ist, dass der Nutzer nicht mehr ständig dasselbe wiederverwendbare Geheimnis an unterschiedliche Websites übermitteln muss.
Damit können Passkeys einige besonders häufige Angriffswege erheblich erschweren, vor allem klassischen Passwortdiebstahl und Credential-Phishing. Sicher bleibt ein Konto aber nur, wenn auch das Gerät, das zentrale Cloud-Konto und die Wiederherstellungswege geschützt sind.
Die passwortlose Zukunft wird damit 2026 zunehmend alltagstauglich. Gute Sicherheit hängt trotzdem weiterhin vom gesamten Konto-Ökosystem ab – nicht von einer einzelnen Login-Technologie.