Passkeys sind die moderne Alternative zu Passwörtern: Statt eines gemeinsam genutzten Geheimnisses kommt ein kryptografisches Schlüsselpaar zum Einsatz. Ein Passkey besteht aus einem privaten Schlüssel, der sicher auf dem Gerät oder im Passwortmanager des Nutzers liegt, und einem öffentlichen Schlüssel, den der jeweilige Online-Dienst speichert. Die Technik basiert auf den Standards WebAuthn und FIDO2 und wird von Apple, Google und Microsoft seit 2022/2023 unterstützt.
So funktioniert die Anmeldung
Bei der Registrierung erzeugt das Gerät ein Schlüsselpaar. Der private Schlüssel verlässt das Gerät nie — er wird in einer sicheren Hardware-Komponente (Secure Enclave, TPM) oder verschlüsselt im Passwortmanager verwahrt. Beim Login fordert die Website eine kryptografische Signatur an, die nur der private Schlüssel erzeugen kann; die Prüfung übernimmt der öffentliche Schlüssel. Zusätzlich wird die Anmeldung durch biometrische Merkmale (Fingerabdruck, Gesichtserkennung) oder eine PIN freigeschaltet. Es wird also kein Passwort übertragen, sondern ein einmaliger kryptografischer Nachweis.
Phishing-Resistenz und Gerätebindung
Passkeys sind an die Domain des Dienstes gebunden, für die sie erzeugt wurden. Eine gefälschte Phishing-Seite mit ähnlicher Adresse kann die Signaturanfrage nicht auslösen, weil der Schlüssel nur zur korrekten Domain gehört — das ist der zentrale Sicherheitsvorteil gegenüber Passwörtern und Einmalcodes. Gerätegebundene Passkeys liegen dauerhaft auf dem Gerät (höchste Sicherheit, aber Umzug nötig). Synchronisierte Passkeys werden über Plattform-Ökosysteme wie iCloud, Google-Konto oder einen Passwortmanager verteilt und ermöglichen die Anmeldung auf mehreren Geräten.
Abgrenzung zu anderen Verfahren
Während Zwei-Faktor-Authentifizierung ein zusätzliches Geheimnis neben dem Passwort verlangt, ersetzt der Passkey das Passwort komplett. Gegenüber Single Sign-On ist der Passkey ein reines Authentifizierungsverfahren, kein Föderationsprotokoll: Er beantwortet nur „Wer bist du?“, nicht „Was darf die Anwendung tun?“. Die zugrunde liegende Public-Key-Kryptografie wird auch in TLS-Handshakes und bei digitalen Signaturen genutzt.
Verwandte Grundlagen: Zwei-Faktor-Authentifizierung, OpenID Connect, SAML, OAuth, JWT, Phishing, Verschlüsselung.