Passkey

Ein Passkey, deutsch sinngemäß passwortloser Anmeldeschlüssel, ermöglicht die Anmeldung bei Websites und Apps ohne ein vom Nutzer eingegebenes Passwort. Technisch basiert das Verfahren auf Public-Key-Kryptografie sowie den Standards WebAuthn und FIDO2. Jeder Dienst erhält ein eigenes Schlüsselpaar, sodass derselbe geheime Anmeldewert nicht bei mehreren Anbietern verwendet wird.

Wie funktioniert ein Passkey?

Bei der Einrichtung erzeugt das Gerät ein kryptografisches Schlüsselpaar. Der Onlinedienst speichert den öffentlichen Schlüssel und eine Kennung des Zugangsschlüssels. Der private Schlüssel bleibt im geschützten Speicher des Geräts oder wird verschlüsselt über das Konto eines Plattformanbieters mit weiteren Geräten synchronisiert.

Beim Login sendet der Onlinedienst eine einmalig verwendbare kryptografische Herausforderung an das Gerät. Nach der lokalen Freigabe signiert der private Schlüssel diese Herausforderung. Der Server prüft die Signatur mit dem gespeicherten öffentlichen Schlüssel. Ein Angreifer kann aus dem öffentlichen Schlüssel weder den privaten Schlüssel berechnen noch eine gültige Anmeldung erzeugen.

• Registrierung: Das Gerät erzeugt einen öffentlichen und einen privaten Schlüssel.
• Speicherung: Der Dienst erhält nur den öffentlichen Schlüssel und die zugehörige Kennung.
• Freigabe: Der Nutzer bestätigt die Anmeldung lokal mit PIN, Fingerabdruck oder Gesichtserkennung.
• Prüfung: Der Server validiert die signierte Herausforderung und gewährt anschließend den Zugriff.

Biometrische Merkmale werden bei einer Passkey-Anmeldung nicht an die Website übertragen. Fingerabdruck oder Gesichtserkennung entsperren lediglich den privaten Schlüssel auf dem Gerät. Der Onlinedienst erhält die kryptografische Bestätigung, aber weder ein Bild des Gesichts noch Daten des Fingerabdrucks.

Warum sind Passkeys sicherer?

Ein verbreiteter Denkfehler besteht darin, einen Passkey lediglich als automatisch ausgefülltes Passwort zu betrachten. Ein Passwort ist ein gemeinsames Geheimnis, das Nutzer und Anbieter kennen. Ein Passkey arbeitet dagegen mit zwei getrennten Schlüsseln. Selbst wenn die Datenbank eines Dienstes offengelegt wird, enthält sie nur den öffentlichen Schlüssel, der keine Anmeldung ermöglicht.

Ein Passkey ist zudem an den jeweiligen Onlinedienst gebunden. Browser und Betriebssystem prüfen dabei die Domain beziehungsweise die sogenannte Relying Party ID. Eine gefälschte Loginseite unter einer anderen Domain kann die Signatur für den echten Dienst deshalb nicht anfordern. Diese Bindung macht Passkeys widerstandsfähig gegen klassische Phishing-Seiten, die Passwörter oder Einmalcodes abfragen.

Passkey-Arten im Vergleich

Passkeys lassen sich vor allem danach unterscheiden, ob der private Schlüssel auf einem einzelnen Gerät verbleibt oder verschlüsselt zwischen mehreren Geräten synchronisiert wird. Die kryptografische Anmeldung funktioniert in beiden Fällen gleich. Unterschiede bestehen bei Bedienkomfort, Gerätewechsel, Wiederherstellung und organisatorischer Kontrolle.

Synchronisierung bedeutet nicht, dass der Onlinedienst den privaten Schlüssel erhält. Der Anbieter der Website speichert weiterhin nur den öffentlichen Schlüssel. Für Unternehmen ist dennoch zu prüfen, über welches Plattformkonto die Synchronisierung erfolgt, wie verlorene Geräte entfernt werden und ob dienstliche Zugangsdaten auf private Geräte gelangen dürfen.

Passkey, Passwort und 2FA

Der Unterschied zwischen Passkey und Passwort liegt im Nachweis gegenüber dem Dienst. Ein Passwort wird an den Server übermittelt und dort mit einem gespeicherten Vergleichswert geprüft. Bei einem Passkey verlässt der private Schlüssel das Gerät nicht. Der Server prüft stattdessen eine digitale Signatur, die nur für die aktuelle Anfrage und den vorgesehenen Dienst gültig ist.

Ein Passkey ist nicht automatisch dasselbe wie eine Zwei-Faktor-Authentifizierung, kurz 2FA. Ein lokal per PIN oder Biometrie freigegebener Passkey kann den Besitz des Geräts und die Verifikation des Nutzers verbinden. Ob diese Anmeldung als mehrere Faktoren anerkannt wird, hängt jedoch von der Sicherheitsrichtlinie und der technischen Umsetzung des jeweiligen Dienstes ab.

Ein Einmalcode aus einer Authenticator-App bleibt ein übertragbarer Wert. Wer den Code innerhalb seiner kurzen Gültigkeitsdauer erhält, kann ihn unter Umständen auf einer gefälschten Seite abfangen und weiterverwenden. Eine Passkey-Signatur ist an den Zielservice und die konkrete Herausforderung gebunden. Prüfe bei sensiblen Konten deshalb, ob der Anbieter Passkeys als primären Login erlaubt und welche Ausweichverfahren aktiv bleiben.

Passkey-Einsatz 2026: Anforderungen

Eine Website benötigt für Passkeys eine serverseitige Registrierung und Anmeldung über WebAuthn. Der Browser darf diese Schnittstelle grundsätzlich nur in einem sicheren Kontext verwenden, weshalb die Website über HTTPS erreichbar sein muss. Der Server muss Herausforderungen sicher erzeugen, nur einmal akzeptieren und öffentliche Schlüssel eindeutig dem richtigen Benutzerkonto zuordnen.

• Der Nutzer muss mehrere Zugangsschlüssel pro Konto hinterlegen können, etwa für Smartphone, Notebook und Sicherheitsschlüssel.
• Verlorene oder verkaufte Geräte müssen sich aus der Kontoverwaltung entfernen lassen.
• Die Kontowiederherstellung muss mindestens so sorgfältig geschützt sein wie die reguläre Anmeldung.
• Die Oberfläche muss verständlich erklären, wo der Passkey gespeichert wird und wie ein weiteres Gerät ergänzt wird.
• Bestehende Sitzungen und Änderungen an Sicherheitsdaten sollten in der Kontoverwaltung sichtbar und widerrufbar sein.

Für einen schrittweisen Start eignet sich ein optionales Modell: Bestehende Nutzer melden sich zunächst wie gewohnt an und richten anschließend einen Passkey ein. Erst nach erfolgreicher Registrierung kann der Dienst den Zugangsschlüssel bevorzugt anbieten. Bei einem technisch geplanten Website-Relaunch sollte diese Loginlogik früh berücksichtigt werden, weil Registrierung, Kontoverwaltung und Wiederherstellung zusammengehören.

Relevanz für SEO und Marketing

Ein Passkey ist kein direkter Google-Ranking-Faktor. Der indirekte Nutzen entsteht bei Websites mit Kundenkonten, Portalen oder geschützten Inhalten. Ein kürzerer Anmeldeprozess kann Loginabbrüche reduzieren und wiederkehrenden Nutzern den Zugang erleichtern. Ob dieser Effekt tatsächlich eintritt, muss anhand von Login-Start, erfolgreicher Anmeldung, Abbruchquote und benötigter Zeit gemessen werden.

Messbar ist das zum Beispiel so: Vergleiche für Passwort und Passkey jeweils den Anteil erfolgreicher Anmeldungen an allen gestarteten Loginvorgängen. Trenne neue und wiederkehrende Nutzer sowie mobile und stationäre Geräte. Die Kennzahlen zeigen, ob die neue Methode die Nutzerführung und Abschlussprozesse verbessert oder ob unklare Hinweise neue Abbrüche verursachen.

Für SEA-Landingpages wird ein Passkey relevant, wenn die gewünschte Conversion erst nach Anmeldung oder Kontoerstellung abgeschlossen ist. Für SEO und GEO, also Generative Engine Optimization, bleibt der öffentlich zugängliche Inhalt ausschlaggebend. Produktinformationen, Leistungsbeschreibungen und zitierfähige Antworten sollten nicht unnötig hinter einem Login liegen, weil Suchmaschinen und KI-Systeme geschützte Inhalte gewöhnlich nicht abrufen können.

Häufige Fragen zu Passkeys

Wenn ein Login, Kundenportal oder Relaunch technisch und aus Nutzersicht bewertet werden soll, kann ein unverbindlicher Potenzialcheck die nächsten Schritte einordnen.

Kostenlosen Potenzialcheck anfragen