Passkeys: Der nächste Schritt zur sicheren Anmeldung?
Kevin Hofius | 16.10.2025
Lesedauer: 7 min
Seit Jahrzehnten sind Passwörter der Standard für digitale Anmeldungen. Und gleichzeitig ein großes Sicherheitsrisiko. Sie werden vergessen, wiederverwendet, gestohlen oder erraten. Auch starke Passwörter schützen nicht, wenn sie in Datenlecks auftauchen oder durch Phishing abgegriffen werden.
Passkeys versprechen eine Lösung: Eine passwortlose Anmeldung, die einfacher, sicherer und phishingresistent sein soll. Große Anbieter wie Apple, Google und Microsoft unterstützen sie bereits. Doch was bedeutet das konkret und was heißt das für kleine und mittlere Unternehmen?
Was sind Passkeys?
Ein Passkey ist ein digitales Schlüsselpaar:
Ein privater Schlüssel bleibt sicher auf Ihrem Gerät gespeichert (z. B. Smartphone, Laptop, Hardware-Token) oder in einem Passwortmanager (siehe unten).
Ein öffentlicher Schlüssel liegt beim Online-Dienst.
Wenn Sie sich anmelden, bestätigt Ihr Gerät mit einem digitalen Schlüssel seine Identität gegenüber dem Dienst. Der eigentliche Schlüssel verlässt Ihr Gerät dabei nie. Im Gegensatz zu einem Passwort, das elektronisch übermittelt wird.
Die Anmeldung erfolgt per Fingerabdruck, Gesichtserkennung oder PIN am eigenen Gerät. Das ist nicht nur komfortabel, sondern erschwert es Kriminellen auch, Ihre Zugangsdaten abzugreifen.
Passkeys im Passwortmanager
Passkeys sind in der Regel an das bestimmte Gerät oder Ökosystem gebunden, auf dem sie erstellt wurden. Moderne Passwortmanager wie können Passkeys aber inzwischen häufig auch sicher speichern und somit zwischen Geräten synchronisieren. Das macht sie besonders interessant für Unternehmen, die plattformübergreifend arbeiten oder keine zentralen Geräteverwaltungen nutzen.
Technisch funktioniert das wie gewohnt: Der private Schlüssel bleibt verschlüsselt im Passwortmanager, der öffentliche Schlüssel liegt beim jeweiligen Dienst. Nichts davon verlässt unverschlüsselt Ihr System. So lassen sich Passkeys auch auf unterschiedlichen Geräten verwenden – ob Windows, Android oder iOS.
Der Vorteil: Passwörter und Passkeys werden an einem Ort verwaltet. Backups, Wiederherstellung und Zugriffsrechte bleiben kontrollierbar, ohne zusätzliche Tools oder komplizierte Synchronisation. Voraussetzung ist, dass der Anbieter eine Zero-Knowledge-Verschlüsselung nutzt, also selbst keinen Zugriff auf gespeicherte Daten hat.
Warum Passkeys sicherer sind
| Risiko klassischer Passwörter | Mit Passkeys ausgeschlossen |
| Phishing: Passwort wird auf gefälschter Seite eingegeben | Keine Eingabe nötig; Authentifizierung nur auf echten Domains |
| Datenlecks: Passwörter werden gestohlen | Kein Passwort vorhanden, das gestohlen werden kann |
| Wiederverwendung auf mehreren Diensten | Jeder Passkey ist einzigartig |
| Erraten oder Brute Force | Kryptographisch unmöglich |
| Unsichere Passwortweitergabe im Team | Zugriff nur über Gerätefreigabe oder Passwortmanager |
Ein Passkey kann nicht gestohlen oder erraten werden. Selbst wenn ein Server kompromittiert wird, ist der Passkey wertlos für Angreifer.
Was ändert sich für Unternehmen?
Für Unternehmen heißt das: Login-Prozesse werden einfacher, aber auch technischer. Die Verwaltung von Zugangsdaten verschiebt sich von „wer weiß das Passwort?“ hin zu „welche Geräte sind autorisiert?“.
Das bedeutet:
IT-Administratoren müssen Gerätezugriffe verwalten, nicht mehr Passwörter.
Shared Accounts werden schwieriger umzusetzen (Was aus Sicherheitssicht ein echter Vorteil ist!).
Mitarbeitende müssen verstehen, dass Anmeldungen künftig an Geräte (oder Passwortmanager) gebunden sind, nicht an Merkzettel oder nur sehr Passwortmanager.
Vorteile für KMU
Stärkerer Schutz mit weniger Aufwand
Keine Passwortrichtlinien, keine regelmäßigen Änderungen, kein Ärger mit „Passwort vergessen“.
Phishing-Resistenz
Selbst perfekt gefälschte Mails oder Webseiten führen ins Leere, weil Passkeys nur auf echten Domains funktionieren.
Einfache Nutzung
Biometrische Anmeldung statt Passworttippen spart Zeit und ist zuverlässig.
Zukunftssicher
Immer mehr Plattformen (Microsoft 365, Google Workspace, Shopify, WordPress etc.) führen Passkeys ein. Wer früh umsteigt, ist vorbereitet.
Herausforderungen in der Praxis
Kompatibilität: Noch unterstützen nicht alle Dienste Passkeys.
Mehrgeräteverwaltung: Passkeys müssen auf neuen Geräten synchronisiert oder neu erzeugt werden.
Unternehmensrichtlinien: Wer darf wo welche Geräte registrieren?
Bewusstsein: Mitarbeitende müssen verstehen, dass sich bei Passkeys nicht um „ein neues Passwort“ handelt, sondern um ein digitales Schlüsselpaar.
Einführung im Unternehmen – so geht’s
Analyse: Wo sind Passkeys möglich?
Prüfen Sie, welche Plattformen (z. B. Microsoft 365, Google Workspace, Dropbox, Passwortmanager) Passkeys bereits unterstützen.
Gerätekonzepte definieren
Welche Geräte gelten als vertrauenswürdig? Wer darf Passkeys speichern (z. B. Diensthandy, Firmenlaptop)? Wird ein Passwortmanager genutzt und ist die Synchronisation von Passkeys darüber gewünscht und gestattet?
Pilotphase starten
Beginnen Sie mit einzelnen Konten oder Teams. Testen Sie, wie sich Passkeys im Alltag verhalten – besonders bei Mobilität und Zugriff auf mehreren Geräten.
Schulungen & Kommunikation
Mitarbeitende sollten wissen, dass Passkeys nicht übertragbar sind und dass Geräteverlust (z. B. Handyverlust) besondere Schritte erfordert.
Backup-Strategie
Für Notfälle (z. B. Gerät defekt oder verloren) sollten Wiederherstellungsoptionen eingerichtet werden, z. B. über FIDO2-Sicherheitsschlüssel oder Adminfreigaben.
Werkzeuge, die helfen
Passwortmanager mit Passkey-Support (z. B. 1Password, Bitwarden, Dashlane): helfen, Übergangsphasen zu managen.
FIDO2-Sicherheitsschlüssel (z. B. YubiKey, SoloKey): besonders sicher für Admin- und Unternehmenszugänge.
Zentral verwaltete Geräteverwaltung (MDM): erlaubt Kontrolle, welche Geräte Passkeys nutzen dürfen.
KMU-Checkliste Passkeys
| Bereich | Maßnahme | Intervall |
| Plattformen prüfen | Welche Systeme Passkeys unterstützen | 1× jährlich |
| Geräteverwaltung | Autorisierte Geräte definieren und dokumentieren | fortlaufend |
| Backup-Zugänge | FIDO2-Schlüssel oder Zweitgeräte registrieren | fortlaufend |
| Schulung | Mitarbeitende zur Nutzung und Wiederherstellung informieren | bei Einführung / jährlich |
| Testumgebung | Pilotgruppe für Passkey-Login einrichten | einmalig |
| Richtlinien | Passkey-Nutzung in IT-Richtlinie aufnehmen | 1× jährlich prüfen |
Fazit
Passkeys markieren den nächsten logischen Schritt nach Passwortmanagern und 2-Faktor-Authentifizierung: sicher, komfortabel und phishingsicher.
Für KMU bieten sie eine reale Chance, Login-Sicherheit zu erhöhen und gleichzeitig Aufwand zu senken – vorausgesetzt, Einführung und Geräteverwaltung sind klar geregelt.
Die Digitalagentur Berlin unterstützt Sie dabei
In einem kostenfreien Orientierungsgespräch besprechen wir, ob Passkeys für Sie eine Lösung sein können, wie Sie den Umstieg planen und welche Prozesse dabei helfen, Sicherheit dauerhaft zu gewährleisten.
