Kurz erklärt
Ein Passkey ist eine Anmeldemethode ohne Passwort. Statt ein Passwort einzutippen, bestätigen Sie die Anmeldung auf Ihrem Gerät mit Fingerabdruck, Gesichtserkennung oder PIN. Technisch steckt ein Schlüsselpaar nach dem FIDO2-Standard dahinter: Der geheime Schlüssel verlässt nie Ihr Gerät, der Dienst kennt nur den öffentlichen Schlüssel. Weil jeder Passkey fest an die echte Internetadresse gebunden ist, laufen Phishing-Seiten ins Leere. Das BSI empfiehlt Passkeys überall dort, wo vertrauenswürdige Anbieter sie anbieten.
Was ist ein Passkey?
Das Bundesamt für Sicherheit in der Informationstechnik bringt es auf den Punkt: „Wenn von Passkey die Rede ist, ist ein passwortloses Anmelden gemeint.“ (BSI). Ein Passkey ersetzt also nicht nur den zweiten Faktor, sondern das Passwort selbst.
Ein einfaches Beispiel: Sie melden sich bei Ihrem Microsoft-Konto an. Statt Passwort und anschließendem Code aus einer App erscheint auf Ihrem Laptop die Windows-Hello-Abfrage. Sie legen den Finger auf den Sensor – und sind angemeldet. Im Hintergrund hat Ihr Gerät mit einem geheimen Schlüssel bewiesen, dass es zu Ihrem Konto gehört.
Passkeys basieren auf offenen Standards der FIDO Alliance und des W3C (FIDO2 und WebAuthn). Sie funktionieren deshalb herstellerübergreifend in allen aktuellen Browsern und Betriebssystemen.
So funktioniert die Anmeldung mit Passkey
Der Ablauf in vier Schritten – vereinfacht, aber technisch korrekt:
Einrichten
Sie wählen beim Dienst „Passkey erstellen“. Ihr Gerät erzeugt ein Schlüsselpaar – den privaten Schlüssel behält es, den öffentlichen bekommt der Dienst.
Anmelden
Beim nächsten Login schickt der Dienst eine zufällige Aufgabe (Challenge) an Ihr Gerät.
Bestätigen
Sie entsperren mit Fingerabdruck, Gesicht oder PIN. Diese Daten verlassen Ihr Gerät nicht.
Prüfen
Das Gerät signiert die Challenge, der Dienst prüft die Signatur mit dem öffentlichen Schlüssel – fertig.
Wichtig für das Verständnis: Fingerabdruck oder Gesichtsbild werden nicht an den Dienst geschickt. Sie entsperren nur den Schlüssel auf Ihrem eigenen Gerät – ähnlich wie beim Entsperren des Smartphones.
Warum Passkeys sicherer sind als Passwörter und SMS-Codes
Die meisten Kontoübernahmen beginnen nicht mit einem raffinierten Hack, sondern mit einer gefälschten Anmeldeseite. Moderne Phishing-Kits fangen dabei nicht nur das Passwort ab, sondern leiten auch SMS-Codes und App-Bestätigungen in Echtzeit weiter. Passkeys stoppen genau das: Der Browser gibt den Passkey nur für die exakte Adresse frei, für die er erstellt wurde. Auf micros0ft-login.com gibt es schlicht nichts zu holen.
| Kriterium | Passwort | Passwort + SMS-Code | Authenticator-App (Code/Push) | Passkey |
|---|---|---|---|---|
| Schutz vor Phishing-Seiten | eingeschränkt | |||
| Nutzlos nach Datenleck beim Anbieter | ||||
| Kein Merken nötig | ||||
| Schutz vor Passwort-Wiederverwendung | teilweise | teilweise | ||
| Anmeldung in einem Schritt |
Hinzu kommt: Wird ein Online-Dienst gehackt, erbeuten Angreifer bei Passkeys nur öffentliche Schlüssel. Damit lässt sich niemand anmelden. Das macht Passkeys auch zur wirksamsten Antwort auf Angriffe wie CEO Fraud, die oft mit einem übernommenen E-Mail-Konto beginnen.
Synchronisierte oder gerätegebundene Passkeys?
Passkeys gibt es in zwei Varianten. Für Privatnutzer ist die Unterscheidung kaum relevant, für Unternehmen sehr wohl:
Synchronisierte Passkeys
Liegen verschlüsselt im Konto bei Apple (iCloud-Schlüsselbund), Google, Microsoft oder einem Passwortmanager und stehen auf allen Geräten des Nutzers bereit. Vorteil: komfortabel, bei Geräteverlust nicht weg. Nachteil: Die Sicherheit hängt auch am privaten Cloud-Konto des Mitarbeitenden.
Gerätegebundene Passkeys
Verlassen das Gerät nie – etwa auf einem FIDO2-Sicherheitsschlüssel (USB/NFC) oder in der Microsoft-Authenticator-App. Vorteil: höchste Kontrolle, die IT weiß genau, wo der Schlüssel liegt. Nachteil: Bei Verlust muss ein neuer Passkey eingerichtet werden.
Unsere Empfehlung
Gerätegebundene Passkeys für Administratoren, Geschäftsführung, Buchhaltung und Notfallkonten. Für die übrigen Mitarbeitenden sind synchronisierte Passkeys ein großer Fortschritt gegenüber Passwort plus SMS – wenn das Unternehmen bewusst entscheidet, welche Anbieter zulässig sind.
Passkey-Nachteile: Wo die Grenzen liegen
Passkeys sind kein Allheilmittel. Diese Punkte sollten Sie kennen, bevor Sie umstellen:
Noch nicht überall verfügbar
Viele große Dienste unterstützen Passkeys, viele Branchenlösungen und ältere Fachanwendungen aber noch nicht. Passwörter verschwinden deshalb nicht über Nacht.
Bindung an ein Ökosystem
Synchronisierte Passkeys liegen bei Apple, Google, Microsoft oder einem Passwortmanager. Wer zwischen iPhone und Windows-PC wechselt, sollte bewusst festlegen, wo die Passkeys verwaltet werden.
Geräteverlust
Laut BSI kann es in seltenen Fällen vorkommen, dass man sich nach dem Verlust des Geräts nicht mehr anmelden kann – etwa ohne Synchronisierung oder Backup. Für Hardware-Schlüssel empfiehlt das BSI einen zweiten Schlüssel als Reserve.
Schwachstelle Wiederherstellung
Ein Passkey ist nur so stark wie der Weg, auf dem man ihn zurücksetzt. Bleibt SMS-Code oder Passwort als Notfallweg aktiv, nutzen Angreifer genau diesen.
Geteilte Konten
Sammelpostfächer oder gemeinsam genutzte Logins passen schlecht zu Passkeys. In Microsoft 365 lassen sie sich meist durch freigegebene Postfächer und eigene Konten ersetzen.
Unterm Strich überwiegen die Vorteile deutlich. Die Nachteile betreffen vor allem die Organisation rund um Passkeys – und genau die lässt sich in Unternehmen zentral regeln.
Passkeys im Unternehmen: Microsoft 365 und Entra ID
Für die meisten kleinen und mittleren Unternehmen ist Microsoft 365 der wichtigste Ort für Passkeys: Wer das E-Mail-Konto übernimmt, kommt an Teams, SharePoint und OneDrive – und über die Funktion „Passwort vergessen“ an jedes weitere Konto, dessen Zurücksetzen-Mails in diesem Postfach landen. Microsoft Entra ID unterstützt Passkeys nach FIDO2 in der Microsoft-Authenticator-App, auf Sicherheitsschlüsseln und über Windows Hello for Business.
Seit dem Frühjahr 2026 sind in Entra ID außerdem Passkey-Profile und synchronisierte Passkeys allgemein verfügbar. Administratoren legen pro Gruppe fest, ob nur gerätegebundene, nur synchronisierte oder beide Arten erlaubt sind (Help Net Security, Microsoft Learn). Prüfen Sie deshalb jetzt, welche Einstellungen in Ihrem Tenant aktiv sind – auch wenn Sie selbst noch nichts umgestellt haben.
Lizenz-Hinweis: Passkeys selbst funktionieren mit allen Microsoft-365-Plänen. Um sie per Conditional Access verpflichtend zu machen, brauchen Sie Entra ID P1 – enthalten zum Beispiel in Microsoft 365 Business Premium.
Microsoft-Passkey erstellen – so geht's für Mitarbeitende: Unter mysignins.microsoft.com die Seite „Sicherheitsinformationen“ öffnen, „Anmeldemethode hinzufügen“ wählen und „Passkey“ auswählen. Danach führt der Assistent durch die Einrichtung in der Authenticator-App oder auf dem Sicherheitsschlüssel. Voraussetzung ist, dass die Methode vom Administrator freigeschaltet wurde.
Phishing-resistente Anmeldung zahlt außerdem direkt auf Anforderungen von NIS2 und vieler Cyberversicherungen ein, die starke Authentifizierung für privilegierte Zugänge verlangen.
Passkeys einführen in 5 Schritten
So gehen wir bei unseren Kunden vor – ohne dass jemand am Montagmorgen vor einem gesperrten Konto sitzt:
Admins zuerst
Alle Administratoren und Notfallkonten bekommen FIDO2-Sicherheitsschlüssel oder gerätegebundene Passkeys – je zwei pro Person.
Methoden festlegen
In Entra ID die Methode „Passkeys (FIDO2)“ aktivieren und entscheiden, ob synchronisierte Passkeys erlaubt sind oder nur gerätegebundene.
Pilotgruppe
Mit Geschäftsführung, Buchhaltung und IT-affinen Kollegen starten, Fragen sammeln und eine kurze Anleitung schreiben.
Pflicht per Richtlinie
Per Conditional Access die Authentifizierungsstärke „phishing-resistente MFA“ für Admin-Portale und sensible Anwendungen verlangen.
Altlasten entfernen
SMS und Sprachanruf als Methode abschalten, Wiederherstellung über einen geprüften Prozess mit Identitätsnachweis regeln.
Begleitend lohnt sich eine kurze Schulung: Mitarbeitende sollten wissen, dass nach der Umstellung eine unerwartete Passwortabfrage ein Warnsignal ist – und wohin sie verdächtige Anmeldeseiten melden. Wie wir das vermitteln, steht auf unserer Seite zur Security Awareness. Die übrigen Grundeinstellungen für Ihren Tenant finden Sie in Microsoft 365 sicher konfigurieren.
Phishing-resistente Anmeldung für Ihr Team
Wir richten Passkeys in Ihrem Microsoft-365-Tenant ein, stellen Sicherheitsschlüssel für Admins bereit und regeln den Notfallprozess – für Unternehmen in Norderstedt, Hamburg und Schleswig-Holstein.
Microsoft-365-Betreuung ansehenQuellen
- Passkeys – anmelden ohne Passwort — Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Passkeys — FIDO Alliance
- Aktivieren von Passkeys (FIDO2) für Ihre Organisation — Microsoft Learn
- Microsoft Entra ID will auto-enable passkey profiles, synced passkeys — Help Net Security, 26. Januar 2026
Häufige Fragen zu Passkeys
Was ist ein Passkey?
Ein Passkey ist ein digitaler Schlüssel, der das Passwort ersetzt. Er besteht aus einem Schlüsselpaar: Der öffentliche Teil liegt beim Dienst, der private Teil bleibt auf Ihrem Gerät oder in Ihrem Passwortmanager. Bei der Anmeldung bestätigen Sie nur mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN – ein Passwort wird nicht mehr eingetippt und nicht mehr übertragen.
Sind Passkeys sicherer als Passwörter?
Ja. Passkeys können nicht erraten, nicht wiederverwendet und nicht auf gefälschten Webseiten abgefangen werden, weil sie fest an die echte Internetadresse des Dienstes gebunden sind. Wird ein Dienst gehackt, erbeuten Angreifer nur öffentliche Schlüssel, mit denen sie sich nicht anmelden können. Das BSI bezeichnet Passkeys als immun gegen die breite Masse bekannter Phishing-Angriffe.
Was passiert mit meinem Passkey, wenn ich mein Handy verliere?
Synchronisierte Passkeys liegen zusätzlich in Ihrem Konto bei Apple, Google, Microsoft oder einem Passwortmanager und stehen auf einem neuen Gerät wieder zur Verfügung. Gerätegebundene Passkeys, etwa auf einem FIDO2-Sicherheitsschlüssel, sind mit dem Gerät weg. Deshalb sollten Sie immer eine zweite Anmeldemethode oder einen zweiten Sicherheitsschlüssel hinterlegen. In Unternehmen setzt die IT-Abteilung den Zugang zurück.
Kann man Passkey und Passwort gleichzeitig nutzen?
Ja, bei den meisten Diensten bleibt das Passwort zunächst als Ausweichmethode bestehen. Das ist bequem, schwächt aber den Schutz: Angreifer versuchen dann gezielt die schwächere Methode. In Unternehmen sollte man deshalb per Richtlinie festlegen, dass für sensible Zugänge nur phishing-resistente Methoden wie Passkeys zugelassen sind.
Kann ein Passkey gehackt werden?
Der Passkey selbst lässt sich praktisch nicht knacken oder abfangen. Angreifbar bleiben das Gerät, auf dem er liegt, das Konto, über das er synchronisiert wird, und der Wiederherstellungsprozess – etwa wenn sich jemand beim Support als Mitarbeiter ausgibt. Gerätesperre, Updates und ein sauberer Prozess für verlorene Geräte sind deshalb weiterhin wichtig.
Unterstützt Microsoft 365 Passkeys?
Ja. Microsoft Entra ID, die Anmeldung hinter Microsoft 365, unterstützt Passkeys nach dem FIDO2-Standard – gespeichert in der Microsoft-Authenticator-App, auf FIDO2-Sicherheitsschlüsseln oder seit 2026 auch als synchronisierte Passkeys. Administratoren legen fest, welche Arten erlaubt sind, und können sie per Conditional Access für bestimmte Anwendungen oder Rollen verpflichtend machen.
Brauche ich für Passkeys einen USB-Sicherheitsschlüssel?
Nein. Für die meisten Nutzer reicht das Smartphone oder der Laptop mit Fingerabdruck, Gesichtserkennung oder PIN. Hardware-Sicherheitsschlüssel nach FIDO2 empfehlen sich vor allem für Administratoren, Geschäftsführung und Buchhaltung sowie für Notfallkonten, weil der Schlüssel das Gerät nie verlässt.
Weiterlesen
