Passkeys sind eine echte Alternative zum Passwort und schützen die Anmeldung besonders gut vor gefälschten Webseiten. Sie machen aber weder das Smartphone noch einen Onlinedienst unangreifbar. Gerade die aktuellen PHP-Lücken zeigen den Unterschied: Ein sicherer Haustürschlüssel hilft wenig, wenn ein Angreifer durch eine Lücke in der Hauswand kommt. Wer Passkeys nutzen will, muss vor allem wissen, wo sie gespeichert sind und wie er nach einem Geräteverlust wieder an seine Konten kommt.

Technisch funktioniert ein Passkey wie ein zusammengehöriges Schlüsselpaar. Der Onlinedienst bekommt einen öffentlichen Prüfschlüssel. Der geheime private Schlüssel bleibt unter der Kontrolle des Geräts oder des gewählten Passkey-Verwalters. Beim Anmelden schickt der Dienst eine einmalige Aufgabe. Das Gerät bestätigt sie mit einer digitalen Unterschrift, die der Server prüfen kann. Der geheime Schlüssel wird dabei nicht an die Webseite übertragen. Yubico beschreibt dieses Verfahren als Grundlage der Anmeldung mit FIDO2.

Gesicht, Fingerabdruck oder Geräte-PIN geben die Nutzung dieses Schlüssels frei. Der Fingerabdruck ist also nicht der Passkey. Die Webseite erhält beim Passkey-Verfahren auch kein Foto des Gesichts oder eine Kopie des Fingerabdrucks. Die biometrische Prüfung findet auf dem Gerät statt. Das erläutert die FIDO Alliance, die hinter den gemeinsamen Standards steht. Wer keine Biometrie verwenden möchte, kann je nach Gerät und Anbieter stattdessen eine PIN oder das Gerätepasswort nutzen.

Der große Sicherheitsgewinn liegt bei Phishing: Ein für die echte Webseite erzeugter Passkey lässt sich auf einer ähnlich aussehenden Betrugsadresse nicht einfach einsetzen. Auch ein gestohlener öffentlicher Prüfschlüssel aus der Datenbank reicht nicht zur Anmeldung. Bei einem klassischen Passwort kann dagegen schon eine gut gemachte Loginattrappe genügen. Und wer dasselbe Passwort mehrfach verwendet, gefährdet mit einem Datenleck gleich mehrere Konten. Passkeys beseitigen dieses Wiederverwendungsproblem.

Zwei-Faktor-Authentifizierung, kurz 2FA, beschreibt dagegen zunächst ein Prinzip: Zwei unterschiedliche Nachweise werden kombiniert. Typisch sind ein Passwort, das man kennt, und ein Code aus einem Gerät, das man besitzt. Zwei Passwörter wären keine zwei unterschiedlichen Faktoren. Ein Passkey kann Besitz und Wissen beziehungsweise Biometrie bereits zusammenführen: Man braucht den Schlüssel und muss seine Nutzung mit PIN oder Fingerabdruck freigeben. Das britische Sicherheitszentrum NCSC ordnet FIDO2-Verfahren mit solcher Nutzerprüfung deshalb als Mehrfaktorverfahren ein.

Entscheidend ist, welche Art von zweitem Faktor gemeint ist. SMS- und Authenticator-Codes lassen sich auf Betrugsseiten abfragen und sofort an die echte Webseite weiterreichen. Auch unbedacht bestätigte App-Anfragen sind ein Risiko. Passkeys binden die Anmeldung dagegen kryptografisch an den richtigen Dienst. Ein entsprechend eingesetzter FIDO-Sicherheitsschlüssel kann diesen Phishingschutz ebenfalls bieten. „Passkey gegen 2FA“ ist deshalb die falsche Gegenüberstellung: Passkeys sind meist deutlich besser gegen Phishing geschützt als Passwort plus abtippbarer Einmalcode, aber nicht grundsätzlich besser als jedes andere Mehrfaktorverfahren.

Beim Online-Banking kommt noch eine Unterscheidung dazu: Die Anmeldung bestätigt, wer auf das Konto zugreift. Die Zahlungsfreigabe autorisiert dagegen einen konkreten Auftrag. TAN-Verfahren können dafür Empfänger und Betrag zur Kontrolle anzeigen; die ING beschreibt das etwa für ihren photoTAN-Generator. Einen solchen Schutz sollte man nicht mit einem beliebigen Login-Code gleichsetzen. Wer die falsche Überweisung selbst bestätigt, wird durch einen Passkey beim vorherigen Einloggen nicht gerettet.

Bei iPhone, iPad und Mac legt man einen Passkey gewöhnlich in den Sicherheitseinstellungen des jeweiligen Onlinedienstes an. Er muss Passkeys unterstützen. Die Anmeldung bestätigt man etwa mit Face ID oder Touch ID. Bei aktiviertem iCloud-Schlüsselbund werden die Passkeys auf zugelassene Apple-Geräte synchronisiert; verwalten lassen sie sich in der App „Passwörter“. Nach Apples Angaben sind die Schlüsselbunddaten Ende-zu-Ende verschlüsselt und für Apple nicht lesbar. Auf dem iPhone findet sich die Synchronisierung unter Einstellungen, eigener Name, iCloud und „Passwörter“. Die Bezeichnungen können je nach Systemversion abweichen.

Auf Android übernimmt häufig der Google Passwortmanager die Speicherung. Der Nutzer bestätigt das Anlegen und die spätere Anmeldung mit der Gerätesperre. Die Passkeys werden verschlüsselt mit dem Google-Konto synchronisiert und sind auch in unterstützten Chrome-Versionen auf Computern nutzbar. Auf Android 14 und neuer können kompatible andere Passwortmanager als Anbieter gewählt werden. Wichtig ist die Auswahl beim Speichern: Der Passkey landet beim gewählten Verwalter und nicht automatisch in jedem Passwortmanager auf dem Telefon.

Unter Windows muss man besonders genau hinsehen. Wer beim Speichern „Dieses Windows-Gerät“ beziehungsweise Windows Hello auswählt, kann einen nur lokal gespeicherten Passkey anlegen. Fingerabdruck, Gesicht oder Windows-Hello-PIN geben ihn frei. Wer dagegen einen unterstützten synchronisierenden Passwortmanager auswählt, kann den Passkey auch auf weiteren Geräten verfügbar machen. Microsoft nennt diese unterschiedlichen Speicherorte ausdrücklich. Ein Passkey auf einem Windows-PC ist also nicht automatisch gesichert, nur weil man ein Microsoft-Konto besitzt.

Apple, Android und Windows können außerdem zusammenarbeiten, ohne dass der Schlüssel auf allen Geräten gespeichert ist. Der Computer zeigt beim Anmelden die Option für ein anderes Gerät und einen QR-Code. Diesen scannt man mit dem Telefon und bestätigt dort die Anmeldung. Das Handy muss sich in der Nähe befinden; Bluetooth und eine Internetverbindung werden für diesen Ablauf benötigt. Der Passkey wird dabei nicht einfach auf den fremden Rechner kopiert. Microsoft erläutert die Voraussetzungen. Das ersetzt allerdings keinen automatisch funktionierenden Umzug zwischen beliebigen Passwortmanagern.

Kann man Passkeys verlieren? Ja. Ein nur auf einem Gerät gespeicherter Schlüssel kann mit einem Defekt, dem Zurücksetzen oder dem Verlust dieses Geräts verschwinden. Dasselbe gilt für einen verlorenen oder zurückgesetzten Hardware-Sicherheitsschlüssel ohne weiteren Zugang. Bei synchronisierten Passkeys bedeutet ein verlorenes Telefon dagegen normalerweise nicht den Verlust aller Anmeldemöglichkeiten. Dann entscheidet der Zugriff auf den verschlüsselten Tresor. Bei Google können dafür auf einem neuen Gerät zusätzlich die PIN des Google Passwortmanagers oder die bisherige Android-Gerätesperre erforderlich sein. Die PIN ist also kein nebensächliches Detail.

Apple bietet für den Verlust aller Geräte eine Wiederherstellung des iCloud-Schlüsselbunds an. Dabei können Apple-Account, vertrauenswürdige Telefonnummer und bisheriger Gerätecode entscheidend sein; auch ein eingerichteter Wiederherstellungskontakt kann helfen. Solche Wege muss man vorbereiten, solange die Geräte noch funktionieren. Wer den einzigen lokalen Passkey verliert und beim Onlinedienst keinen weiteren Zugang eingerichtet hat, ist auf dessen Kontowiederherstellung angewiesen. Scheitert auch sie, kann der Zugang dauerhaft verloren sein.

Praktisch heißt das: Vor dem Löschen eines alten Handys prüfen, ob der Passkey auf dem neuen Gerät tatsächlich funktioniert. Bei wichtigen Konten einen zweiten unabhängigen Zugang hinterlegen, etwa einen weiteren Passkey auf einem getrennt aufbewahrten Sicherheitsschlüssel, sofern der Dienst das unterstützt. Angebotenes Wiederherstellungsmaterial gehört an einen sicheren Ort. Nach einem Diebstahl sollte man das Gerät über die vorgesehenen Fernfunktionen sperren und die Sicherheits- und Sitzungsübersicht der betroffenen Konten prüfen. Einen Passkey im synchronisierten Tresor zu löschen, ist keine gezielte Fernsperre nur des verlorenen Telefons.

Auch Passkeys haben Grenzen. Schadsoftware auf dem Gerät kann eine bereits angemeldete Sitzung angreifen. Ein gestohlener Sitzungscookie kann Zugang ermöglichen, ohne dass das Passwort oder der Passkey nochmals abgefragt wird. Schwache Kontowiederherstellung und weiter angebotene Passwortanmeldungen bleiben zusätzliche Einfallstore. Die Sicherheitsorganisation OWASP warnt ausdrücklich davor, Passkeys mit einem Schutz der gesamten Anwendung gleichzusetzen. Gerätecode, Updates und der Schutz des E-Mail-Kontos bleiben wichtig.

Bei den aktuellen PHP-Lücken CVE-2026-109618 und CVE-2026-109619 geht es um eine andere Ebene. Sie können Angreifern auf verwundbaren Servern die Ausführung eigenen Codes ohne vorherige Anmeldung erlauben. Beim bestätigten Angriff auf mod_php kann das laut PHP-Team sogar geschehen, bevor der Anwendungscode läuft. Passwort, zweiter Faktor und Passkey kommen dann als Schutz der Serveranmeldung gar nicht zum Zug. Die Reparatur muss der Betreiber einspielen. F-NEWS hat die PHP-Gefahr bereits eingeordnet.

Bei einer solchen Serverübernahme wird der geheime Passkey nicht automatisch mitgestohlen: Die Webseite besitzt regulär nur den öffentlichen Prüfschlüssel. Trotzdem kann ein Angreifer je nach Zugriff Daten auslesen, Sitzungen manipulieren oder die Anwendung verändern. Damit bleibt auch für die von F-NEWS behandelten Risiken bei Online-Banking und PayPal die klare Trennung bestehen: Passkeys stärken die Anmeldung, sie ersetzen keine sichere Serversoftware. Und eine erfolgreiche Anmeldung ist noch keine Garantie, dass eine anschließend ausgelöste Zahlung richtig oder gewollt ist.