Sicherheit · 18.08.2026
Passkeys verstehen: sicherer anmelden auf PC und Handy
Passkeys wirken technisch, sind im Alltag aber eine Entscheidung über Zugang und Wiederherstellung. Wer den zweiten Schritt zuerst plant, vermeidet später Stress.
01
Was ein Passkey eigentlich macht
Ein Passkey besteht aus einem öffentlichen und einem privaten Teil. Der Dienst speichert den öffentlichen Teil; der private bleibt auf einem Gerät oder in einem dafür vorgesehenen Speicher. Bei der Anmeldung bestätigt du lokal mit Gerätecode, Fingerabdruck oder Gesicht. Dein biometrisches Merkmal wird dabei nicht als Passwort an den Webdienst gesendet. Das macht den Ablauf bequem, sagt aber noch nichts darüber, wie du bei einem verlorenen Gerät wieder hineinkommst.
Passkeys sind deshalb keine magische Sicherheitsstufe, sondern eine andere Anmeldemethode. Sie schützen besonders gegen gefälschte Login-Seiten, weil der Schlüssel an die echte Website gebunden ist. Du solltest trotzdem prüfen, ob du auf der richtigen Domain bist und ob dein Konto weitere Schutzoptionen anbietet. Ein alter Browser oder ein fremdes Gerät kann noch ein normales Passwort verlangen; dafür brauchst du einen Plan.
02
Einrichtung mit einem Hauptgerät
Beginne mit dem Gerät, das du täglich verwendest und dessen Sperre du sicher beherrschst. Aktualisiere Betriebssystem und Browser, bevor du den Passkey anlegst. Öffne die Sicherheitseinstellungen des Kontos direkt über ein Lesezeichen oder die bekannte Adresse. Lies den Namen des Kontos und die Domain, bevor du bestätigst. Speichere nicht mehrere unbenannte Schlüssel, nur weil der Dialog das anbietet.
Vergib dem Passkey einen verständlichen Namen wie „Privates iPhone“ oder „Arbeitslaptop“. Der Name hilft später beim Aufräumen, ist aber kein Geheimnis. Prüfe nach der Einrichtung eine Abmeldung und eine erneute Anmeldung. Wenn beides funktioniert, hast du den normalen Weg getestet. Notiere außerdem, welche Wiederherstellungsoptionen das Konto anbietet, ohne Wiederherstellungscodes offen auf dem Schreibtisch liegen zu lassen.
03
Gerätewechsel und Synchronisierung
Je nach Plattform können Passkeys über einen verschlüsselten Passwortmanager oder einen Geräteschlüssel synchronisiert werden. Das ist praktisch, wenn mehrere Geräte vorhanden sind, erweitert aber die Verantwortung für dein Hauptkonto. Schütze den Manager mit einem einzigartigen Hauptpasswort und einer zusätzlichen Methode. Bei einem Familiengerät solltest du nicht automatisch persönliche Passkeys synchronisieren, nur weil der Browser angemeldet ist.
Beim Gerätewechsel richtest du zuerst die Kontowiederherstellung ein und testest dann den neuen Passkey. Lösche den alten Schlüssel nicht, solange das alte Gerät noch dein einziger Weg ist. Nach dem Verkauf oder Verlust entfernst du ihn von einem vertrauenswürdigen Gerät aus der Kontoliste. Diese Reihenfolge ist wichtiger als eine möglichst kurze Liste.
04
Wenn ein Passkey nicht angeboten wird
Nicht jeder Dienst und nicht jede Kontovariante unterstützt Passkeys gleich. Ein fehlender Dialog bedeutet nicht automatisch, dass das Gerät unsicher ist. Prüfe Browser, Betriebssystem und Kontoeinstellungen. Manche Anbieter verstecken den Menüpunkt unter „Anmeldemethoden“ oder „Sicherheit“. Wenn nur eine fremde Website nach einem Passkey fragt, halte inne und prüfe die Domain.
Nutze als Übergang ein starkes, einzigartiges Passwort und eine Mehrfaktor-Methode, die du verstehst. SMS ist nicht für jedes Bedrohungsbild ideal, aber ein zusätzlicher Faktor ist meist besser als ein wiederverwendetes Passwort. Entferne alte Authenticator-Geräte und Session-Token, wenn du ein Gerät verlierst. Der Sicherheitsgewinn kommt aus dem gesamten Kontoprozess, nicht aus einem einzelnen Begriff.
05
Die Wiederherstellung ist Teil der Einrichtung
Lege fest, wo du Hilfe findest, wenn alle eigenen Geräte ausfallen. Das kann ein zweiter vertrauenswürdiger Passkey, ein Passwortmanager, ein Wiederherstellungscode oder der offizielle Support sein. Teste den Weg, solange du noch angemeldet bist. Ein Wiederherstellungsweg, den du nie geprüft hast, ist nur eine Vermutung.
Win-Zeit empfiehlt, die Kontoliste zweimal im Jahr zu prüfen: aktuelle Geräte behalten, verlorene oder verkaufte entfernen, Wiederherstellungsoptionen aktualisieren. Passkeys reduzieren das Risiko von Phishing, aber nicht das Risiko eines ungeschützten Gerätecodes oder eines übernommenen Hauptkontos. Die ruhige Routine bleibt die stärkste Ergänzung.
