Das Wichtigste in 60 Sekunden / tl;dr
- Passkeys ermöglichen eine Anmeldung ohne gemeinsam genutztes Passwort. Die Freigabe erfolgt zum Beispiel mit Geräte-PIN oder Fingerabdruck.
- Die Bindung an den jeweiligen Dienst schützt gegen klassische gefälschte Login-Seiten. Biometrische Daten werden dabei nicht an dein Portal übertragen.
- Geräteverlust, weitere Passkeys und sichere Ersatzwege müssen vor dem Start geklärt sein.
- Für bestehende Kundenkonten ist ein freiwilliger, getesteter Einstieg meist sinnvoller als ein sofortiger Zwangswechsel.
01
Was sich für Nutzer tatsächlich ändert
Statt ein Passwort einzutippen, bestätigt die Person die Anmeldung auf ihrem Gerät. Je nach Gerät geht das mit Fingerabdruck, Gesichtserkennung oder PIN. Das Portal bekommt keinen Fingerabdruck und kein Gesichtsbild. Passkeys sind an den jeweiligen Dienst gebunden und damit widerstandsfähig gegen klassische Phishing-Seiten.
Ein Passkey ist kein Passwort, das sich der Betreiber anzeigen lassen kann. Die Anmeldung basiert auf einem Schlüsselpaar: Das Portal speichert den öffentlichen Teil, der passende private Teil liegt beim Authentifikator beziehungsweise Passkey-Anbieter. Der Server prüft die signierte Antwort auf eine neue Anfrage.
02
Für welche Portale lohnt sich das?
Meine Empfehlung: Zuerst dort prüfen, wo Kunden regelmäßig wiederkommen, sensible Kontodaten verwalten oder häufig Hilfe beim Login benötigen. Beispiele sind ein Serviceportal, eine Buchungsplattform oder eine begleitende Kunden-App. Ein öffentlicher Blog ohne Konten braucht keinen Passkey-Login.
Für einen Einstieg sollte das Ziel messbar sein: weniger abgebrochene Anmeldungen oder weniger Rückfragen zur Wiederherstellung. Solche Verbesserungen sind ein Ziel des Projekts, keine garantierte Einsparung. Bei selten genutzten Konten und gemeinsam verwendeten Geräten muss der Ablauf besonders sorgfältig getestet werden.
Chrome hat 2026 unter anderem Hilfen für Passkey-Verwaltung und die Einführung in bestehende Anmeldungen vorgestellt. Für Betreiber ist daran vor allem wichtig: Nutzer müssen ihre Zugangsmittel verstehen und verwalten können, nicht nur einmal erfolgreich anmelden.
03
Handy verloren: Was passiert dann?
Synchronisierte Passkeys können über den jeweiligen Anbieter auf weiteren Geräten verfügbar sein. Gerätegebundene Passkeys, etwa auf einem Sicherheitsschlüssel, bleiben dagegen an dieses Zugangsmittel gebunden. Ob die Person wieder hineinkommt, hängt deshalb von ihren eingerichteten Alternativen und der Wiederherstellung beim Anbieter ab.
Für das Portal empfehle ich mehrere registrierbare Zugangsmittel, verständliche Namen und eine Möglichkeit, alte Zugänge zu entfernen. Die Registrierung eines zusätzlichen Passkeys und Änderungen am Konto sollten eine angemessen starke erneute Bestätigung verlangen. Eine gestohlene Sitzung darf nicht unbemerkt zum dauerhaften Zugang werden.
Der Ersatzweg zählt mit
Ein sicherer Login hilft wenig, wenn der Support das Konto auf bloßen Zuruf freischaltet. Lege fest, wie Identität geprüft, ein verdächtiger Vorgang behandelt und die Änderung dem Kontoinhaber mitgeteilt wird. Eine einfache Passwort-Rücksetzung kann weiterhin der schwächere Zugangspfad sein.
04
Meine Checkliste für eine Einführung
Die folgenden Schritte sind eine praktische Reihenfolge, kein universelles Sicherheitszertifikat.
Bestehende Anmeldung aufnehmen
Welche Kontotypen, Domains, Apps, Geräte und Supportwege gibt es? Administrationskonten gesondert betrachten. Bei Unternehmens-SSO zuerst die Möglichkeiten des vorhandenen Identitätsanbieters prüfen.
Echte Serverprüfung integrieren
Bewährte WebAuthn-Bibliothek oder passenden Identitätsanbieter verwenden. Challenge, erwartete Herkunft, Dienstkennung und erforderliche Nutzerbestätigung serverseitig prüfen. Ein Fingerabdruck-Button im Frontend allein genügt nicht.
Freiwillig starten
Nach einer sicheren Anmeldung das Anlegen eines Passkeys anbieten. Vorhandene, angemessen geschützte Anmeldewege während der Umstellung erhalten und verständlich erklären.
Verlust und Wechsel testen
Neues Handy, verlorener Sicherheitsschlüssel, mehrere Konten und nicht unterstützte Browser durchspielen. Ein Abbruch muss zurück zu einer verständlichen Anmeldung führen, nicht in eine Sackgasse.
Pilotgruppe auswerten
Erfolgsquote, Abbrüche und Supportfälle beobachten, ohne Zugangsdaten zu protokollieren. Erst dann die Einführung ausweiten.
05
Beispiel: Ein Stammkunde kehrt zurück
Fiktives Beispiel: Nach dem gewohnten Login richtet ein Kunde freiwillig einen Passkey ein. Beim nächsten Besuch bietet das Anmeldeformular den passenden Zugang an. Nach der Gerätefreigabe landet er im selben Konto mit denselben Berechtigungen.
Wechselt er später das Gerät, muss der Test auch den ungünstigen Fall abdecken: Der Passkey ist dort noch nicht verfügbar. Dann braucht er ein zweites eingerichtetes Zugangsmittel oder den vorher festgelegten Wiederherstellungsweg. Erst wenn auch dieser Teil funktioniert, ist die Einführung für den Alltag brauchbar.
06
Kurze Antworten
Brauche ich zwingend Fingerabdruck oder Gesichtserkennung?
Nein. Je nach Gerät und Verfahren kann auch eine Geräte-PIN verwendet werden. Die konkreten Anforderungen an die Nutzerbestätigung legt die Integration fest.
Kann ich alle Passwörter sofort abschalten?
Das ist keine gute pauschale Empfehlung. Prüfe Geräteabdeckung, Alternativen, Wiederherstellung und die tatsächliche Nutzung. Ein passwortloser Betrieb ist eine eigene Migrationsentscheidung.
Ist mein gesamtes Portal damit sicher?
Nein. Passkeys schützen einen Teil der Anmeldung. Berechtigungen, Sitzungen, Kontowiederherstellung und die Anwendung selbst müssen weiterhin abgesichert werden.