Passkey statt Passwort 2026: So sicherst du deine Konten mit dem neuen Login-Standard
Lesezeit: ca. 10 Minuten
Das klassische Passwort ist 2026 kein zuverlässiger Türsteher mehr. Datenlecks kippen regelmäßig Millionen Zugangsdaten ins Netz, Phishing-Mails sind dank KI grammatikalisch sauber und optisch überzeugend, und ein achtstelliges Passwort knackt moderne Hardware in überschaubarer Zeit.
Genau hier setzt der Passkey an — der Login-Standard, den Apple, Google und Microsoft ausrollen und den auch das Bundesamt für Sicherheit in der Informationstechnik ausdrücklich empfiehlt. Statt einer Zeichenkette, die du dir merken und die jemand stehlen kann, erzeugt dein Gerät ein kryptografisches Schlüsselpaar. Der private Teil verlässt dein Smartphone oder deinen Laptop nie.
Die Bewegung hat 2026 Fahrt aufgenommen: Bei Microsoft sind Passkeys bereits seit Mai 2024 der Standard-Login für neue Konten, und die passwortlose Anmeldung soll dort im Herbst 2026 zum Regelfall werden.
Dieser Ratgeber für test-und-preis.de sortiert die Faktenlage: was ein Passkey technisch ist, welcher Speicherort zu deinem Geräte-Mix passt, wie Sync und Backup den Geräteverlust abfedern — und wo der Standard im Alltag noch hakt.
Was Passkeys sind und warum sie das Passwort ablösen
Ein Passkey ist ein kryptografisches Schlüsselpaar, das dein Gerät beim Einrichten für genau einen Account erzeugt. Der öffentliche Schlüssel liegt beim Dienst. Der private Schlüssel bleibt auf deinem Gerät und verlässt es nie.
Beim Login schickt der Dienst eine Aufgabe, die nur der private Schlüssel lösen kann; freigegeben wird sie per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Technisch steckt dahinter der offene Standard FIDO2/WebAuthn, den die großen Plattformen gemeinsam tragen.
Kein Geheimnis, das unterwegs sein kann
Der entscheidende Unterschied zum Passwort: Es gibt nichts, was übertragen wird und was jemand abfangen könnte. Ein Passwort tippst du ein, es wandert über die Leitung, wird beim Dienst gespeichert — und kann an jeder dieser Stationen abhandenkommen.
Der private Schlüssel tut das nie. Er signiert nur lokal und schickt das Ergebnis. Selbst wenn ein Dienst gehackt wird, erbeuten Angreifer bloß öffentliche Schlüssel, mit denen sich niemand anmelden kann.
Warum Phishing ins Leere läuft
Passkeys sind an die Domain gebunden, für die sie erstellt wurden. Eine gefälschte Login-Seite bekommt schlicht keine gültige Signatur — der Phishing-Klassiker funktioniert nicht mehr. Auch Brute-Force-Angriffe verpuffen, weil es kein erratbares Geheimnis gibt.
Das BSI hebt einen weiteren Punkt hervor: Jeder Passkey schützt immer nur genau einen Account. Wird ein Schlüssel kompromittiert, sind nie mehrere Konten gleichzeitig in Gefahr — anders als beim mehrfach verwendeten Lieblingspasswort, das nach einem einzigen Leak reihenweise Zugänge öffnet.
Der Punkt, der oft übersehen wird: Zwei Faktoren sind schon drin
Ein Passkey vereint beides, was sonst zwei getrennte Schritte sind: Besitz (dein Gerät mit dem privaten Schlüssel) und Wissen oder Biometrie (PIN, Fingerabdruck, Gesicht). Deshalb brauchst du bei einem Passkey-Login keine zusätzliche Zwei-Faktor-Abfrage — der zweite Faktor steckt bereits im Verfahren.
Das erklärt auch, warum die Umstellung sich schneller anfühlt, obwohl die Sicherheit steigt. Und es erklärt, warum du bei Diensten ohne Passkey die Zwei-Faktor-Authentifizierung unbedingt aktiviert lassen solltest.
Wo deine Passkeys liegen: die Speicherorte
Damit ein Passkey auf all deinen Geräten funktioniert, braucht er einen Speicherort, der synchronisiert. Die Wahl entscheidet weniger über die Sicherheit — die ist durch den Standard weitgehend gleich — als über den Komfort im Alltag.
| Speicherort | Wo die Schlüssel liegen | Stärke | Was er nicht kann |
|---|---|---|---|
| Apple iCloud-Schlüsselbund | iCloud, Ende-zu-Ende-verschlüsselt | nahtlos im Apple-Ökosystem | kein komfortabler Sync zu Windows oder Android |
| Google Passwortmanager | Google-Konto | Android und Chrome plattformübergreifend | auf iOS nur eingeschränkt integriert |
| Microsoft-Konto / Windows Hello | Microsoft-Konto | tiefe Windows-Integration | auf dem Smartphone weniger komfortabel |
| Passwortmanager von Drittanbietern | eigener verschlüsselter Tresor | plattformneutral, ein Tresor für alles | meist Abo nötig, zusätzliche Einrichtung |
| Physischer Sicherheitsschlüssel | auf dem Stick selbst | geräteunabhängig, kein Cloud-Konto nötig | kein Sync – bei Verlust ist der Schlüssel weg |
Der Haken zwischen den Ökosystemen: Ein im Apple-Schlüsselbund erzeugter Passkey wandert nicht automatisch zu Google. Ein plattformübergreifender Login klappt über den QR-Code-Umweg — bequem ist etwas anderes.
Wer Android-Handy und Windows-Laptop mischt, fährt deshalb mit einem plattformneutralen Passwortmanager besser. Quelloffene Optionen mit kostenlosem Basistarif stehen dabei neben abobasierten Anbietern; die Monatspreise ändern sich häufig, ein Blick auf die aktuelle Konditionsseite lohnt vor dem Abschluss.
Schritt für Schritt: dein erstes Passkey-Konto
Der Umstieg dauert pro Dienst oft weniger als eine Minute. Das Prinzip ist überall ähnlich:
- Konto-Sicherheitseinstellungen öffnen. Bei den meisten Diensten findest du den Punkt unter „Sicherheit" oder „Anmeldung" — dort taucht „Passkey erstellen" auf.
- Speicherort wählen. Das Gerät fragt, wo der Schlüssel liegen soll: auf diesem Gerät, im Passwortmanager oder auf einem physischen Sicherheitsschlüssel.
- Biometrie bestätigen. Ein Fingerabdruck oder ein Blick in die Kamera gibt die Erstellung frei.
- Passwort vorerst behalten. Lass es als Rückfallebene bestehen, bis der Passkey auf allen deinen Geräten getestet ist.
Ein beruhigender Hinweis zur Biometrie: Fingerabdruck und Gesichtsscan verlassen dein Gerät nicht. Sie werden nirgends beim Dienst gespeichert, sondern schalten lokal nur den privaten Schlüssel frei.
Ob einzelne Anbieter — etwa deutsche Mail-Dienste — Passkeys bereits vollständig unterstützen, prüfst du am besten direkt in deren Sicherheitseinstellungen; der Rollout verschiebt sich laufend.
Sync und Backup: der Geräteverlust
Der häufigste Vorbehalt lautet: „Und wenn mein Handy weg ist, komme ich nirgends mehr rein?" Die Sorge ist berechtigt — und lösbar, wenn du Sync und Backup von Anfang an mitdenkst.
Wie die Synchronisation funktioniert
Speicherst du Passkeys im iCloud-Schlüsselbund, im Google-Passwortmanager oder in einem Drittanbieter-Tresor, synchronisieren sie automatisch verschlüsselt auf alle angemeldeten Geräte. Ein auf dem iPhone erstellter Passkey liegt so auch auf dem iPad und dem Mac.
Genau deshalb ist die Wahl des Speicherorts wichtiger als die Wahl des einzelnen Dienstes: Sie entscheidet, wo deine Schlüssel im Ernstfall wieder auftauchen.
Zugriff nach Geräteverlust wiederherstellen
Verlierst du dein einziges Gerät, hängt die Wiederherstellung am Cloud-Konto, das die Passkeys hält. Daraus folgen zwei Regeln:
- Sichere zuerst dieses zentrale Konto besonders gut ab — mit einem starken Wiederherstellungscode an einem sicheren Ort.
- Richte Passkeys auf mindestens zwei Geräten ein oder ergänze einen physischen Sicherheitsschlüssel, damit ein einzelner Verlust dich nicht aussperrt.
Sechs Fehler, die den Umstieg sabotieren
Die Technik hinter Passkeys ist robust. Die Fehler passieren fast immer beim Einrichten und beim Backup — und sie fallen erst auf, wenn das Gerät schon weg ist.
| Fehler | Warum er dich trifft |
|---|---|
| Passkey nur auf einem einzigen Gerät | Ohne Sync und ohne zweites Gerät sperrt dich der Verlust komplett aus |
| Das Passwort sofort löschen | Solange nicht jeder Zugang sauber per Passkey läuft, ist es dein Sicherheitsnetz |
| Das zentrale Cloud-Konto schwach absichern | Deine Passkeys sind nur so sicher wie das Konto, das sie synchronisiert |
| Den Wiederherstellungscode nicht sichern | Er gehört ausgedruckt oder offline gespeichert – nicht als Screenshot in dieselbe Cloud |
| Displaysperre und Updates vernachlässigen | Ein Passkey schützt den Login, nicht das Gerät – ein entsperrtes Handy wird selbst zur Schwachstelle |
| Bei Diensten ohne Passkey die 2FA abschalten | Dort bleiben starkes Passwort plus zweiter Faktor Pflicht |
| Physischen Sicherheitsschlüssel als einzige Kopie nutzen | Er synchronisiert nicht – bei Verlust ist der Zugang weg |
Wo der Standard 2026 noch hakt
Nicht jeder Dienst zieht mit
Große Plattformen unterstützen Passkeys, viele kleinere Dienste und Shops noch nicht. Du wirst also eine Weile im Mischbetrieb leben: Passkey, wo möglich, Passwort plus Zwei-Faktor, wo nötig. Ein Passwortmanager ist in dieser Phase praktisch, weil er beide Welten in einem Tresor hält.
Das ist kein Übergangsmakel, sondern für 2026 der Normalfall.
Kein Allheilmittel
Sicherheitsforscher haben im Sommer 2026 Angriffe beschrieben, die auch den Passwort-Nachfolger ins Visier nehmen. Die Kernbotschaft ist dabei keine Entwarnung fürs Passwort, sondern eine Erinnerung: Auch Passkeys ersetzen kein umsichtiges Verhalten.
Ein kompromittiertes, entsperrtes Gerät bleibt ein Einfallstor. Gerätesicherheit mit aktuellen Updates, Displaysperre und Verschlüsselung gehört damit zwingend dazu — der Passkey sichert die Tür, nicht das Haus.
Praktische Handlungsempfehlungen August 2026
- Mit dem wichtigsten Konto anfangen — dem Cloud-Konto, das später die Passkeys synchronisiert. Es ist der Schlüssel zu allem anderen.
- Wiederherstellungscode ausdrucken und offline verwahren, bevor du umstellst.
- Passkeys auf mindestens zwei Geräten einrichten, oder einen physischen Schlüssel als Backup ergänzen.
- Passwörter erst löschen, wenn der Passkey auf allen Geräten getestet ist — inklusive einem Login von einem fremden Rechner.
- Bei Diensten ohne Passkey die 2FA aktiv lassen. Der Mischbetrieb ist der Normalzustand.
- Bei gemischter Hardware einen plattformneutralen Manager wählen, statt zwischen zwei Ökosystemen zu pendeln.
- Displaysperre und Systemupdates prüfen — sie sind die Basis, auf der der ganze Vorteil steht.
Fazit: Für wen sich der Umstieg lohnt
Für die meisten Konten ist der Passkey 2026 die beste Mischung aus Sicherheit und Bequemlichkeit. Der Gewinn gegen Phishing und Datenlecks ist real, und der Komfort im Alltag spürbar: kein Tippen, kein Vergessen, ein Fingerabdruck genügt.
Einsteiger:innen starten am einfachsten im Ökosystem ihres Smartphones und behalten das Passwort vorerst als Rückfallebene. Wer gemischte Hardware nutzt, fährt mit einem plattformneutralen Passwortmanager besser, weil ein einziger Tresor über alle Geräte greift. Wer maximale Absicherung will, ergänzt einen physischen Sicherheitsschlüssel als geräteunabhängiges Backup.
Und der Satz, der am meisten Ärger erspart: Kümmere dich zuerst um die Wiederherstellung, dann um die Bequemlichkeit. Ein Passkey, den du im Ernstfall nicht zurückbekommst, ist schlechter als das Passwort, das du ersetzen wolltest.
Quellen und weiterführende Informationen
- Bundesamt für Sicherheit in der Informationstechnik (bsi.bund.de) — Erklärungen zur Anmeldung ohne Passwort, zum Schutzumfang eines Passkeys und zur Empfehlung des Verfahrens.
- Verbraucherzentrale NRW (verbraucherzentrale.nrw) — verbraucherorientierte Einordnung von Passkeys als Alternative zum Passwort.
- FIDO Alliance (fidoalliance.org) und W3C (w3.org) — Spezifikationen zu FIDO2 und WebAuthn als technische Grundlage.
- ZDFheute (zdfheute.de) — journalistische Aufbereitung zu Passkeys und Passwortmanagement.
- Notebookcheck (notebookcheck.com) — Berichterstattung zur Absicherung von Konten und zu aktuellen Angriffsszenarien auf Passkeys.
- Herstellerdokumentation von Apple, Google und Microsoft — maßgeblich für Speicherorte, Synchronisation und Wiederherstellungswege der jeweiligen Konten.
Haftungsausschluss
Allgemeiner Hinweis: Dieser Artikel auf test-und-preis.de dient der allgemeinen Information rund um Passkeys und ersetzt keine individuelle technische, rechtliche oder sicherheitsbezogene Beratung; jede Systemumgebung, jedes Gerät und jeder Anbieter-Account bringt Besonderheiten mit, die hier nicht im Detail berücksichtigt werden können. Alle Angaben beziehen sich auf den Stand der Technik und der Implementierung zum Zeitpunkt der Veröffentlichung. Da sich Passkey-Standards, Browser-Unterstützung und Cloud-Synchronisierung fortlaufend weiterentwickeln, können sich Details, Bezeichnungen oder Abläufe inzwischen geändert haben — prüf vor der Nutzung die aktuellen Angaben des jeweiligen Anbieters.
Zu Wiederherstellung und Gerätesicherheit: Passkeys sind technisch eng an Betriebssysteme, Browser und Cloud-Konten der jeweiligen Hersteller gekoppelt. Bei einem Anbieterwechsel, einer Kontosperrung oder dem Verlust eines Endgeräts kann es im Einzelfall zu Zugriffsproblemen kommen; richte deshalb eigene Wiederherstellungsoptionen und Backups ein, bevor du dich vollständig auf ein passwortloses Login verlässt. Ein Passkey sichert den Anmeldevorgang, nicht das Endgerät selbst — Displaysperre, Geräteverschlüsselung und aktuelle Sicherheitsupdates bleiben Voraussetzung. Auch passwortlose Verfahren sind nicht gegen jede Angriffsform immun; Berichte über Angriffsszenarien werden fortlaufend veröffentlicht und sollten bei der eigenen Sicherheitsplanung berücksichtigt werden.
Datenschutz: Biometrische Merkmale wie Fingerabdruck oder Gesichtsscan werden bei diesem Verfahren lokal auf dem Endgerät verarbeitet und nicht an den jeweiligen Dienst übertragen; maßgeblich für die Verarbeitung personenbezogener Daten bleiben DSGVO und Bundesdatenschutzgesetz. Prüf bei cloudbasierten Speicherorten, wo die synchronisierten Schlüssel liegen und ob eine Übermittlung außerhalb des Europäischen Wirtschaftsraums stattfindet.
Verbraucherrechte und Affiliate: Beim Kauf im Fernabsatz — etwa von physischen Sicherheitsschlüsseln — steht dir nach § 312g BGB ein vierzehntägiges Widerrufsrecht zu; seit dem 19. Juni 2026 müssen Unternehmen dafür nach § 356a BGB eine elektronische Widerrufsfunktion bereitstellen. § 312k BGB verpflichtet Anbieter kostenpflichtiger Verwaltungsdienste und Abonnements zu einem gut auffindbaren Kündigungsbutton. Bei Sachmängeln greifen §§ 437 und 438 BGB mit zweijähriger Frist, § 477 BGB kehrt in den ersten zwölf Monaten die Beweislast zugunsten der Käuferseite um; unionsrechtliche Grundlage ist die Verbrauchsgüterkauf-Richtlinie (EU) 2019/771. Für beworbene Preisermäßigungen gilt § 11 PAngV mit dem 30-Tage-Tiefstpreis; §§ 5, 5a und 5b UWG untersagen irreführende geschäftliche Handlungen und regeln die Kennzeichnung von Werbung sowie den Umgang mit Kundenbewertungen. Dieser Artikel enthält Affiliate-Links, unter anderem über das Amazon-Partnerprogramm und das Awin-Netzwerk; kaufst du darüber ein, erhält test-und-preis.de eine Provision, ohne dass dir zusätzliche Kosten entstehen. Alle genannten Markennamen sind eingetragene Warenzeichen der jeweiligen Inhaber.
👉 Windows-Laptop auf Amazon ansehen
Affiliate-Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * oder als Amazon-Partnerlink gekennzeichnet). Bei einem Kauf über diese Links erhalten wir eine kleine Provision – für dich entstehen dabei keine zusätzlichen Kosten. Wir empfehlen nur Produkte, die wir für sinnvoll halten.
