Was sind Passkeys?
Passkeys sind eine moderne, passwortlose Authentifizierungsmethode auf Basis des FIDO2/WebAuthn-Standards. Anstatt auf frei wählbare Passwörter zu setzen, verwenden Passkeys kryptographische Schlüsselpaare. Das erhöht die Sicherheit deutlich und verbessert gleichzeitig die Benutzerfreundlichkeit, da sich Nutzer keine komplexen Passwörter mehr merken müssen, sondern sich z. B. per Fingerabdruck, Gesichtserkennung oder PIN anmelden.
Wie ist die Funktionsweise von Passkeys?
Bei der Registrierung erzeugt das Gerät ein kryptographisches Schlüsselpaar, bestehend aus einem privaten und einem öffentlichen Schlüssel. Der private Schlüssel bleibt sicher auf dem Gerät gespeichert – typischerweise in einer Hardware-geschützten Umgebung wie der Secure Enclave oder einem Trusted Platform Module (TPM) – und verlässt dieses nie. Der öffentliche Schlüssel wird beim Online-Dienst hinterlegt. Beim Login stellt der Dienst eine Challenge (eine Art einmalige Aufgabe), die vom Gerät mit dem privaten Schlüssel signiert wird. Der Dienst überprüft die Signatur anschließend mit dem gespeicherten öffentlichen Schlüssel und kann so sicherstellen, dass die Anmeldung legitim ist, ohne dass ein Passwort übertragen oder gespeichert werden muss.
Was sind die Vorteile gegenüber Passwörtern?
| Passwörter | Passkeys |
| Können erraten werden | Kryptographisch sicher |
| Phishin-anfällig | Phishin-resisten |
| Müssen gemerkt werden | Biometrie/PIN |
| Wiederverwendung | Unique pro Dienst |
| Können geleakt werden | Privater Key verlässt Gerät nie |
Synchronisation und Plattform-Support von Passkeys
Moderne Ökosysteme unterstützen die Synchronisation von Passkeys zwischen Geräten. Bei Apple erfolgt dies über die iCloud Keychain, bei Google über den Google Password Manager und bei Microsoft über Windows Hello und das Microsoft-Konto. Auch etablierte Passwort-Manager wie 1Password, Bitwarden oder Dashlane integrieren zunehmend Passkey-Support, sodass Nutzer Passkeys plattformübergreifend nutzen können. Auf Browserseite bieten alle großen aktuellen Browser – Chrome, Safari, Firefox und Edge – Unterstützung für WebAuthn und Passkeys. Plattformseitig werden Passkeys ab iOS 16+, Android 9+, Windows 10/11 und macOS Ventura+ breit unterstützt.
Implementierung in Web-Projekten
Für Webentwickler erfolgt die Integration von Passkeys über die WebAuthn-API im Browser. Im Frontend werden über JavaScript-Anfragen zur Registrierung (navigator.credentials.create) und zum Login (navigator.credentials.get) initiiert, wobei jeweils Public-Key-Optionen übergeben werden. Auf Serverseite stehen zahlreiche Backend-Libraries zur Verfügung, die das Handling der Public-Key-Credentials, die Validierung von Signaturen und die Verwaltung der Registrierungen übernehmen – etwa webauthn-lib oder lbuchs/WebAuthn für PHP, py_webauthn für Python oder @simplewebauthn/server für Node.js. So lassen sich Passkeys relativ schnell in bestehende Login- und Registrierungsprozesse integrieren.
Verbreitung und Relevanz von Passkeys
Große Anbieter wie Google, Apple, Microsoft, GitHub und Amazon unterstützen Passkeys bereits produktiv und treiben deren Nutzung aktiv voran. Die FIDO Alliance arbeitet kontinuierlich an der Weiterentwicklung und Standardisierung, sodass Passkeys zunehmend als primäre Authentifizierungsmethode empfohlen werden. Für Unternehmen bieten Passkeys eine attraktive Möglichkeit, Sicherheitsrisiken durch Passwörter zu reduzieren, Support-Aufwände (z. B. „Passwort vergessen“) zu senken und gleichzeitig eine moderne, komfortable Login-Erfahrung bereitzustellen.