Glossar · einfach erklärt

Passkeys & FIDO2

Passkeys ersetzen Passwörter durch Kryptografie: phishing-resistent, ohne Geheimnisse auf Servern — der neue Anmeldestandard.

Passkeys sind der passwortlose Anmeldestandard auf Basis von FIDO2/WebAuthn: Statt eines Passworts besitzt das Endgerät ein kryptografisches Schlüsselpaar. Der private Schlüssel verlässt das Gerät nie; der Dienst kennt nur den öffentlichen Teil — es gibt kein Geheimnis mehr, das man stehlen oder abphishen könnte.

Der entscheidende Fortschritt ist die Phishing-Resistenz: Ein Passkey funktioniert nur bei exakt der Domain, für die er erstellt wurde. Gefälschte Anmeldeseiten laufen ins Leere — die häufigste Angriffsart verliert ihren Hebel.

Wie funktionieren Passkeys?

Bei der Registrierung erzeugt das Gerät ein Schlüsselpaar je Dienst; der öffentliche Schlüssel wird beim Dienst hinterlegt. Zur Anmeldung signiert das Gerät eine Challenge des Dienstes — freigegeben per Fingerabdruck, Gesicht oder Geräte-PIN. Die Biometrie bleibt dabei lokal; übertragen wird nur die Signatur.

Synchronisierte Passkeys wandern über die Konto-Ökosysteme (etwa Apple, Google, Passwort-Manager) verschlüsselt auf weitere Geräte; gerätegebundene Passkeys auf Hardware-Token wie YubiKeys bleiben bewusst auf einem Stück Hardware — die strengere Variante für hohe Schutzbedarfe.

Warum Unternehmen umstellen

Phishing-resistent per Design: Kein Geheimnis, das Nutzer preisgeben könnten.
Keine Passwort-Datenbanken mehr, die gestohlen und geknackt werden können.
Schnellere Anmeldung, weniger Helpdesk-Aufwand für Resets.
Kombinierbar mit SSO und Conditional Access zum durchgängigen Zero-Trust-Login.

Häufige Fragen zu Passkeys & FIDO2

Sind Passkeys sicherer als Passwort plus MFA?

Ja — klassische MFA-Codes lassen sich phishen oder per Ermüdungsangriff erschleichen. Passkeys sind an die echte Domain gebunden und geben nichts preis, was ein Angreifer wiederverwenden könnte. FIDO2 gilt deshalb als phishing-resistente MFA der stärksten Klasse.

Was passiert, wenn das Gerät verloren geht?

Synchronisierte Passkeys sind über das Konto-Ökosystem auf anderen Geräten verfügbar beziehungsweise wiederherstellbar. Für gerätegebundene Token gilt: Zweitschlüssel registrieren und sichere Wiederherstellungswege definieren — wie bei jedem physischen Schlüssel.

Worin unterscheiden sich FIDO2, WebAuthn und Passkey?

FIDO2 ist das Standard-Paket, WebAuthn dessen Browser-Schnittstelle, CTAP das Protokoll zu externen Token — und Passkey der nutzerfreundliche Name für die darauf aufbauenden, meist synchronisierten Anmeldedaten. Praktisch meint heute alles dasselbe Anmeldeverfahren.

Wie führt ein Unternehmen Passkeys ein?

Am wirksamsten über den Identity Provider: Passkeys als Anmeldemethode aktivieren, mit SSO kombinieren und priorisiert bei exponierten Gruppen ausrollen — Administratoren, Führungskräfte, Finanzen. Passwörter bleiben übergangsweise als Rückfallebene und werden schrittweise entwertet.

Funktionieren Passkeys auch für interne Anwendungen?

Ja — sobald die Anmeldung über einen zentralen IdP oder eine ZTNA-Plattform läuft, profitieren auch interne und ältere Anwendungen: Die phishing-resistente Anmeldung findet am Zugangspunkt statt, dahinter ändert sich für die Anwendung nichts.