Passkey.

Passwörter haben zwei Grundprobleme: Menschen wählen schwache oder wiederholte Passwörter, und Passwörter lassen sich abfangen oder auf gefälschten Seiten abgreifen. Passkeys lösen beides. Beim Einrichten erzeugt das Gerät ein Schlüsselpaar. Der öffentliche Schlüssel wird beim Dienst gespeichert, der private bleibt im sicheren Speicher des Geräts oder im Passwortmanager. Beim Login stellt der Dienst eine Aufgabe, die nur mit dem privaten Schlüssel gelöst werden kann — freigegeben per Face ID, Fingerabdruck oder PIN.

Der entscheidende Sicherheitsvorteil: Ein Passkey ist an die Domain gebunden, für die er erstellt wurde. Eine gefälschte Login-Seite unter einer ähnlichen Adresse kann ihn nicht verwenden, weil der Browser die Domain prüft. Damit sind Passkeys weitgehend resistent gegen Phishing, die häufigste Ursache für gestohlene Zugangsdaten. Auf dem Server liegt zudem kein Geheimnis, das bei einem Datenleck missbraucht werden könnte — ein öffentlicher Schlüssel allein nützt Angreifern nichts.

Apple, Google und Microsoft unterstützen Passkeys in ihren Betriebssystemen und synchronisieren sie über iCloud-Schlüsselbund, Google-Passwortmanager oder Drittanbieter wie 1Password. Wer sein Smartphone wechselt, nimmt die Passkeys mit. Auf einem fremden Rechner kann man sich anmelden, indem man einen QR-Code mit dem eigenen Smartphone scannt.

Für Unternehmen sind Passkeys vor allem bei Kundenportalen, Admin-Bereichen und internen Web-Apps interessant. Die Einführung ist kein reiner Schalter: Es braucht einen Rückfallweg für Nutzer ohne passendes Gerät, eine Verwaltung der registrierten Geräte und eine klare Anleitung. Und weil der Passkey an die Domain gebunden ist, muss diese von Anfang an feststehen.