Passkeys statt Passwörter: Anmelden mit dem Finger – sicherer und mit weniger Nerven

Wie viele Passwörter hast du heute schon eingetippt? Und wie viele davon sind eigentlich dasselbe mit einer anderen Zahl am Ende?

Passwörter sind das Lieblingsproblem der IT. Zu kurz, zu oft benutzt, auf Zetteln am Bildschirm oder in einer Tabelle namens „Passwörter_neu_final“. Und selbst ein gutes Passwort hilft wenig, wenn jemand es auf einer gefälschten Anmeldeseite eintippt. Genau dafür gibt es Passkeys.

Was ein Passkey ist

Ein Passkey ersetzt das Passwort für ein bestimmtes Konto. Statt etwas einzutippen, bestätigst du die Anmeldung auf deinem Gerät – mit Fingerabdruck, Gesichtserkennung oder der Geräte-PIN. Im Hintergrund arbeitet Kryptografie: Dein Gerät hat einen geheimen Schlüssel, der Dienst kennt nur das passende öffentliche Gegenstück. Der geheime Schlüssel verlässt dein Gerät nicht.

Warum das sicherer ist

Das BSI nennt die Vorteile klar: Passkeys können nicht zu kurz oder zu einfach sein, und man kann sie nicht vergessen. Phishing wird deutlich weniger wirksam, weil der geheime Schlüssel nie herausgegeben wird. Jeder Passkey gilt nur für ein Konto, ein Missbrauch gefährdet also nicht gleich alle anderen. Und weil beim Anbieter kein Passwort liegt, kann bei einem Datenleck auch keins gestohlen werden.

Passkey, Passwortmanager, Zwei-Faktor – was ist was?

Die Begriffe gehen oft durcheinander. Ein kurzer Sortierversuch:

• Passwort: etwas, das du weisst. Kann erraten, gestohlen oder auf einer falschen Seite eingetippt werden.
• Zwei-Faktor-Anmeldung: Passwort plus etwas, das du hast, etwa ein Code aus einer App. Deutlich sicherer, aber ein geschickter Betrüger kann dich auch nach dem Code fragen.
• Passkey: ersetzt Passwort und Code durch einen Schlüssel auf deinem Gerät, den du mit Finger, Gesicht oder PIN freigibst. Abfragen lässt er sich nicht – er funktioniert nur auf der echten Seite.
• Passwortmanager: ein sicherer Tresor für alle Zugänge. Er erzeugt starke Passwörter, kann Passkeys speichern und über Geräte hinweg verfügbar machen.

Im Alltag ergänzen sich die vier. Passkeys überall, wo es sie gibt. Zwei-Faktor-Anmeldung überall sonst. Und ein Passwortmanager, damit nichts mehr auf Zetteln oder in Tabellen landet.

Wo es (noch) hakt

Passkeys sind kein Allheilmittel, und das sagt auch das BSI:

• Gerät weg? Dann brauchst du eine Sicherung: eine Synchronisierung über die Cloud, ein zweites Gerät oder einen zweiten Sicherheitsschlüssel. Ohne Sicherung bleibt nur der Weg über den Anbieter.
• Nicht jeder Dienst bietet Passkeys an. Bei vielen kleineren Programmen und Portalen bleibt das Passwort – dann bitte mit Zwei-Faktor-Anmeldung.
• Fremde Rechner: Dort meldest du dich mit dem Handy an, per QR-Code und Bluetooth. Das klappt gut, ist anfangs aber ungewohnt.
• Geteilte Konten im Team, also der eine Zugang für alle, passen schlecht zu Passkeys. Ehrlich gesagt passen sie auch schlecht zu Sicherheit.

So startest du im Team

Ein guter Start dauert keinen ganzen Tag. Schau, welche eurer wichtigsten Dienste Passkeys schon anbieten – grosse Mail-, Cloud- und Bürodienste tun das häufig. Richte für jede Person einen Passkey ein und gleich eine Sicherung dazu. Und schreib auf, was passiert, wenn ein Handy verloren geht: Wer sperrt, wer hilft, wie kommt man wieder hinein?

Für Firmenkonten lohnt sich ein Passwortmanager, der Passkeys verwalten und im Team sicher teilen kann. Der Vorteil: Wenn jemand das Unternehmen verlässt, nimmt er keine Zugänge mit – und niemand muss drei Tage suchen, wer das Passwort zum Domain-Konto hatte. Das Lost-Monster kennt diese Suche nur zu gut.

Übrigens: Auch das Bundeslagebild Cybercrime empfiehlt Unternehmen, Mehr-Faktor-Anmeldung vor allem für E-Mail, Cloud, Online-Banking, Buchhaltung und Admin-Zugänge einzuschalten. Passkeys sind die bequemste Form davon.

Zugänge weg, verstreut oder nur im Kopf eines Ex-Kollegen? Das Lost-Monster sucht sie zusammen, ordnet sie und richtet Passkeys mit dir ein.