Denken Sie an das letzte Mal, als Sie ein Passwort vergessen haben. Sie tippten auf „Passwort vergessen?“, warteten auf eine E-Mail, dachten sich ein neues aus und vergaßen auch das. Passwörter sind eine Idee aus den 1960er-Jahren, und sie lassen uns auf zwei Arten im Stich: Sie nerven uns, und sie nützen Kriminellen. Ein Passkey löst beides.
Die Kurzantwort: Mit einem Passkey melden Sie sich mit demselben Fingerabdruck, Gesichtsscan oder derselben PIN an, mit der Sie Ihr Handy entsperren. Es gibt nichts zu tippen oder zu merken und nichts, was ein Betrüger Ihnen entlocken könnte. Die Einrichtung dauert etwa eine Minute pro Konto.
Warum Passwörter immer wieder scheitern
Ein Passwort ist ein Geheimnis, das Sie mit einer Website teilen. Dieser eine Satz erklärt den Großteil des Problems, denn alles, was geteilt wird, kann kopiert, erraten oder gestohlen werden. So geht es schief:
- Wir verwenden sie mehrfach. Sich für jedes Konto ein anderes Passwort zu merken, ist nahezu unmöglich, also nutzen wir dasselbe an vielen Stellen. Wird eine Website gehackt, probieren Kriminelle dieses Passwort bei Ihrer E-Mail und Ihrer Bank aus.
- Wir wählen sie schwach. Kurze, vertraute Passwörter (ein Name, ein Geburtstag, „123456“) sind für Software leicht zu erraten.
- Websites werden gehackt. Ein Unternehmen kann Ihr Passwort sorgfältig schützen und es trotzdem verlieren. Gestohlene Passwörter werden oft verkauft und auf anderen Websites ausprobiert.
- Wir werden getäuscht. Phishing ist eine gefälschte E-Mail, SMS oder Website, die echt aussieht und Sie zur Anmeldung auffordert. Tippen Sie Ihr Passwort dort ein, hat es der Kriminelle. Auch vorsichtige Menschen fallen darauf herein, denn die Fälschungen können perfekt aussehen.
Das Kernproblem: Bei einem Passwort reist das Geheimnis. Sie tippen es ein, es überquert das Internet, und die Website prüft es. Jeder Schritt ist eine Gelegenheit, es abzugreifen. Ein Passkey ist so gebaut, dass das Geheimnis überhaupt nie reist.
Was ein Passkey ist
Ein Passkey ist eine Möglichkeit, Ihre Identität zu beweisen, ohne ein Geheimnis zu teilen. Er wird auf Ihrem Gerät (Handy, Laptop oder Tablet) gespeichert und mit dem entsperrt, womit Sie dieses Gerät ohnehin entsperren.
Denken Sie an ein Vorhängeschloss und seinen Schlüssel. Wenn Sie einen Passkey erstellen, erzeugt Ihr Gerät ein passendes Paar:
- Das Vorhängeschloss (öffentlicher Schlüssel) geht an die Website. Jeder kann es sehen, aber es kann nur Ihren Nachweis prüfen. Ihr Konto öffnen kann es nicht.
- Der Schlüssel (privater Schlüssel) bleibt auf Ihrem Gerät und verlässt es nie. Nur er kann beweisen, dass wirklich Sie es sind.
Die Website sieht Ihren Schlüssel nie, also gibt es bei der Website nichts, was sich zu stehlen lohnt.
Wie die Anmeldung funktioniert
Einen Passkey richten Sie nur einmal ein. Danach läuft jede Anmeldung so ab:
- Sie rufen die Website auf und wählen „Anmelden“. Ihr Gerät bietet Ihren Passkey an.
- Die Website sendet ein zufälliges Rätsel für den einmaligen Gebrauch.
- Sie bestätigen per Fingerabdruck, Gesicht oder PIN. Damit darf Ihr Gerät den Schlüssel benutzen.
- Ihr Gerät löst das Rätsel mit dem Schlüssel und sendet nur die Antwort zurück.
- Die Website prüft die Antwort mit dem Schloss. Passt sie, sind Sie drin.
Das Rätsel ist jedes Mal anders, daher ist die Kopie einer alten Antwort nutzlos. Ein Dieb, der Ihre letzte Anmeldung aufgezeichnet hat, kann sie nicht erneut abspielen.
Für Neugierige: Die offenen Standards dahinter heißen FIDO2 und WebAuthn. Deshalb funktionieren Passkeys auf Geräten von Apple, Google und Microsoft auf dieselbe Weise. Sie müssen sie nicht kennen, um einen Passkey zu nutzen.
Warum er sicherer ist
1. Eine gefälschte Website kann Sie nicht austricksen
Das ist der größte Gewinn. Ein Passkey ist an die genaue Adresse der Website gebunden, für die er erstellt wurde. Landen Sie auf einer gefälschten Kopie Ihrer Bank, bietet Ihr Gerät den Passkey schlicht nicht an, weil die Adresse nicht stimmt. Auf der gefälschten Seite gibt es kein Passwort einzutippen, also nichts zu stehlen. Das funktioniert auch, wenn Sie müde oder in Eile sind, weil es nicht davon abhängt, dass Sie den Betrug erkennen.
2. Eine gehackte Website gibt Dieben nichts Brauchbares
Wird eine Website gehackt, die Passwörter speichert, erbeuten Kriminelle Geheimnisse, die sie anderswo ausprobieren können. Wird eine Website gehackt, die Passkeys speichert, erbeuten sie nur Vorhängeschlösser, und ein Schloss kann niemanden anmelden.
3. Man kann ihn nicht wiederverwenden oder abschwächen
Jeder Passkey gehört zu genau einer Website und wird von Ihrem Gerät erzeugt, ist also immer lang und zufällig. Eine „123456“-Version gibt es nicht, und der Ärger einer Website kann sich nicht auf eine andere ausbreiten.
4. Er ist schneller
Die Anmeldung dauert eine Berührung oder einen Blick. Kein Tippen, keine Zurücksetzen-E-Mail und kein Code zum Abtippen. Sicherer und einfacher zugleich ist in der Sicherheit selten.
Merken Sie es sich so: Ein Passwort sagt „Hier ist mein Geheimnis, bitte prüfen Sie es.“ Ein Passkey sagt „Hier ist der Beweis, dass ich das Geheimnis besitze, und ich zeige es Ihnen nicht.“
Ihre zwei größten Sorgen
„Wird mein Fingerabdruck hochgeladen?“
Nein. Ihr Fingerabdruck oder Gesichtsscan entsperrt nur den Schlüssel auf Ihrem eigenen Gerät, genau wie er Ihr Handy entsperrt. Die Website erhält ihn nie. Keine Biometrie? Ihre Bildschirm-PIN oder Ihr Muster funktioniert ebenfalls.
„Was, wenn ich mein Handy verliere?“
Die meisten Passkeys werden verschlüsselt gesichert, sodass nur Sie sie öffnen können. Besorgen Sie sich ein neues Gerät, melden Sie sich im selben Konto an, und sie kommen zurück.
| Wo der Passkey gespeichert ist | Wenn Sie Ihr Gerät verlieren |
|---|---|
| Apple (iCloud-Schlüsselbund) | Auf einem neuen Apple-Gerät anmelden, und Ihre Passkeys kehren zurück |
| Google Passwortmanager | Auf einem neuen Gerät im Google-Konto anmelden |
| Ein Passwortmanager (z. B. 1Password oder Bitwarden) | Ihren Tresor auf einem neuen Gerät entsperren |
| Ein physischer Sicherheitsschlüssel | Den Ersatzschlüssel nutzen, kaufen Sie also zwei |
Auch ein Laptop, der Ihren Passkey nicht enthält, ist kein Problem. Der Laptop zeigt einen QR-Code, Sie scannen ihn mit dem Handy, und das Handy bestätigt. Das Handy muss in der Nähe sein, was verhindert, dass weit entfernte Angreifer diesen Weg nutzen.
Passwörter vs. Passkeys
| Frage | Passwort | Passkey |
|---|---|---|
| Muss ich ihn mir merken? | Ja | Nein |
| Wird ein Geheimnis an die Website gesendet? | Ja | Nein, nur eine Antwort |
| Kann eine gefälschte Seite ihn stehlen? | Ja, wenn Sie getäuscht werden | Nein, er funktioniert nur auf der echten Seite |
| Was verrät ein Hack der Website? | Passwörter zum Ausprobieren anderswo | Schlösser, die nichts öffnen |
| Funktioniert überall? | Ja | Noch nicht, aber schnell wachsend |
In fünf Minuten einrichten
Menünamen ändern sich von Zeit zu Zeit. Suchen Sie daher in den Sicherheitseinstellungen Ihres Kontos nach „Passkey“ oder „Anmeldeoptionen“.
- Beginnen Sie mit Ihrem wichtigsten E-Mail-Konto. Es ist der Schlüssel zum Zurücksetzen aller anderen Konten, schützen Sie es also zuerst.
- Suchen Sie „Passkey erstellen“ in den Sicherheitseinstellungen von Google, Apple, Microsoft oder einer anderen Website, die ihn anbietet.
- Bestätigen Sie per Fingerabdruck, Gesicht oder PIN, wenn Ihr Gerät danach fragt.
- Prüfen Sie, wo er gespeichert wurde. Sie möchten einen synchronisierten Ort, etwa den iCloud-Schlüsselbund, den Google Passwortmanager oder Ihren Passwortmanager, damit er gesichert ist.
- Testen Sie ihn. Melden Sie sich ab und dann mit dem Passkey wieder an.
Behalten Sie Ihr altes Passwort vorerst und achten Sie darauf, dass Ihre Wiederherstellungs-E-Mail und Telefonnummer aktuell sind. Fügen Sie dann nach und nach weitere Konten hinzu: Ihre Bank, Shops und soziale Netzwerke sind gute nächste Schritte.
Was Passkeys nicht lösen
Passkeys sind eine große Verbesserung, keine Magie.
- Noch nicht jede Website bietet sie an. Behalten Sie einen Passwortmanager und einzigartige Passwörter für den Rest.
- Die Kontowiederherstellung ist die Schwachstelle. Erlaubt eine Website, ein Konto allein per E-Mail oder SMS zurückzusetzen, kann ein Krimineller den Passkey umgehen. Halten Sie Ihre Wiederherstellungs-E-Mail und Telefonnummer sicher.
- Ihre Handysperre zählt. Ein Passkey ist nur so sicher wie die Art, wie Sie Ihr Gerät entsperren. Nutzen Sie eine starke PIN und geben Sie sie nie weiter.
- Schadsoftware auf Ihrem Gerät bleibt ein Risiko. Halten Sie Handy und Computer aktuell.
- Öffentliche oder geteilte Computer. Speichern Sie nie einen Passkey auf einem Computer, den andere nutzen.
Die Kurzfassung
- Passwörter scheitern, weil sie geteilte Geheimnisse sind, die wiederverwendet, geleakt und per Phishing abgegriffen werden.
- Ein Passkey ist ein Vorhängeschloss für die Website und ein Schlüssel, der auf Ihrem Gerät bleibt.
- Ihr Fingerabdruck oder Gesicht verlässt nie Ihr Gerät.
- Synchronisierte Passkeys überstehen ein verlorenes Handy.
- Beginnen Sie mit Ihrer E-Mail, dann ein Konto nach dem anderen.
Ein Passkey verlangt nicht, dass Sie vorsichtiger sind, sich mehr merken oder jeden Betrug erkennen. Er beseitigt still das schwächste Glied der Online-Sicherheit: einen Menschen, der ein Geheimnis in ein Feld tippt. Beginnen Sie heute mit dem Konto, dessen Verlust Sie am meisten hassen würden.