Passkey

Passkeys statt Passwörter: Warum sich der Wechsel jetzt lohnt

Passwörter sind das schwächste Glied in der IT-Sicherheit vieler Unternehmen – nicht weil Mitarbeitende nachlässig sind, sondern weil das System selbst fehleranfällig ist. Passkeys lösen dieses Problem grundlegend. Dieser Artikel zeigt, was dahintersteckt, welche Vorteile sich für Unternehmen ergeben und worauf bei der Einführung zu achten ist.

Das Problem: Warum Passwörter nicht mehr zeitgemäß sind

Über 80 % der Sicherheitsvorfälle mit unbefugtem Zugriff lassen sich auf gestohlene, erratene oder wiederverwendete Zugangsdaten zurückführen. Das liegt nicht an mangelndem Sicherheitsbewusstsein, sondern am Prinzip selbst:

Menschen sind schlechte Passwort-Generatoren. Komplexitätsregeln führen in der Praxis zu vorhersehbaren Mustern (Sommer2024!, Firma_2025).
Wiederverwendung ist die Regel, nicht die Ausnahme. Ein einziges geleaktes Passwort aus einem privaten Dienst kann durch Credential Stuffing auch geschäftliche Konten kompromittieren.
Phishing funktioniert, weil Passwörter übertragbar sind. Ein Mitarbeiter kann sein Passwort auf einer gefälschten Login-Seite eingeben – ganz ohne technischen Fehler, rein durch Täuschung.
Passwort-Resets sind ein IT-Kostenfaktor. Support-Tickets für vergessene Zugangsdaten gehören zu den häufigsten Anfragen im IT-Betrieb.

Multi-Faktor-Authentifizierung (MFA) mit SMS-Codes oder Push-Benachrichtigungen mildert das Problem, löst es aber nicht vollständig: SMS-Codes lassen sich abfangen (SIM-Swapping), Push-Benachrichtigungen führen zu „MFA-Fatigue“, bei der Nutzer aus Gewohnheit bestätigen, ohne zu prüfen, was sie eigentlich freigeben. Solche Muster lassen sich durch gezielte Security-Awareness-Maßnahmen zwar reduzieren, technisch beheben lässt sich das Grundproblem damit aber nicht.

Die Lösung: Wie Passkeys funktionieren

Ein Passkey ersetzt das Passwort durch ein kryptografisches Schlüsselpaar:

Bei der Einrichtung erzeugt das Gerät (Smartphone, Laptop, Sicherheitsschlüssel) ein Schlüsselpaar – einen privaten und einen öffentlichen Schlüssel.
Der private Schlüssel verlässt das Gerät nie. Er wird lokal gespeichert, oft geschützt durch biometrische Verfahren (Fingerabdruck, Gesichtserkennung) oder eine Geräte-PIN.
Der öffentliche Schlüssel wird beim jeweiligen Dienst hinterlegt.
Bei jeder Anmeldung beweist das Gerät durch eine kryptografische Signatur, dass es den passenden privaten Schlüssel besitzt – ohne ihn zu übertragen.

Das Verfahren basiert auf dem offenen FIDO2/WebAuthn-Standard und wird von allen großen Plattformen (Apple, Google, Microsoft) sowie einer wachsenden Zahl von Business-Anwendungen unterstützt.

Der entscheidende Unterschied zum Passwort: Es gibt nichts, was sich abgreifen, erraten, wiederverwenden oder auf einer Phishing-Seite eingeben lässt. Der private Schlüssel bleibt physisch an das Gerät gebunden.

Die Vorteile im Überblick

Für die IT-Sicherheit

Phishing-Resistenz von Grund auf. Ein Passkey funktioniert nur mit der exakten Domain, für die er erstellt wurde. Eine gefälschte Login-Seite kann ihn technisch nicht auslesen oder missbrauchen.
Kein zentraler Passwort-Speicher als Angriffsziel. Da keine Passwörter mehr existieren, entfällt das klassische Risiko eines Datenbank-Leaks mit Millionen Zugangsdaten.
Schutz vor Credential Stuffing und Brute-Force. Beide Angriffsarten setzen auf erratbare oder wiederverwendete Passwörter – beides fällt weg.

Für den Arbeitsalltag

Schnellere Anmeldung. Ein Fingerabdruck oder Gesichtsscan ersetzt Eingabe und ggf. zusätzlichen MFA-Schritt in einem Vorgang.
Weniger Support-Aufwand. Passkeys können nicht vergessen werden wie Passwörter – „Passwort zurücksetzen“ als IT-Ticket-Klassiker verliert an Relevanz.
Geräteübergreifend nutzbar. Über Cloud-Synchronisierung (z. B. iCloud-Schlüsselbund, Google Passwortmanager) stehen Passkeys auf allen Geräten eines Nutzers zur Verfügung.

Für die Compliance

Passkeys erfüllen die Anforderungen an starke Authentifizierung nach gängigen Rahmenwerken wie ISO 27001, TISAX und den Vorgaben der NIS2-Richtlinie an sichere Zugriffskontrollen.
Die lückenlose Nachvollziehbarkeit kryptografischer Anmeldevorgänge erleichtert die Dokumentation im Rahmen von Audits.

Häufige Fragen (FAQ)

Was passiert, wenn ich mein Gerät verliere? Passkeys, die über einen Cloud-Schlüsselbund synchronisiert sind, lassen sich auf einem neuen Gerät wiederherstellen, sobald man sich dort mit dem jeweiligen Konto (z. B. Apple-ID, Google-Konto) anmeldet. Für Unternehmen empfiehlt sich zusätzlich ein Wiederherstellungsprozess über einen zweiten registrierten Faktor oder ein IT-Admin-Verfahren.

Sind Passkeys sicherer als eine Authenticator-App? Ja, in einem entscheidenden Punkt: Authenticator-Codes (TOTP) lassen sich – anders als Passkeys – durch Echtzeit-Phishing abfangen und weiterleiten. Passkeys sind an die jeweilige Domain kryptografisch gebunden und damit gegen diese Angriffsklasse resistent.

Können Passkeys gestohlen werden? Der private Schlüssel verlässt das Gerät nicht und lässt sich nicht auslesen oder kopieren. Ein Angreifer benötigt physischen Zugriff auf das entsperrte Gerät selbst – ein deutlich höherer Aufwand als das Abgreifen eines Passworts.

Funktionieren Passkeys mit bestehenden Business-Anwendungen? Das hängt vom jeweiligen Anbieter ab. Microsoft 365, Google Workspace und viele SaaS-Lösungen unterstützen Passkeys bereits. Für Individualsoftware oder ältere Systeme ist eine Prüfung der WebAuthn-Kompatibilität notwendig – hier lohnt sich eine strukturierte Bestandsaufnahme vor der Einführung.

Brauchen wir noch ein Passwort als Rückfalloption? Idealerweise nicht dauerhaft parallel, aber in der Übergangsphase ist ein Fallback-Mechanismus sinnvoll, bis alle Systeme und Nutzer vollständig umgestellt sind. Wichtig ist, diesen Fallback nicht schwächer abzusichern als den Passkey selbst – sonst entsteht ein neues Einfallstor.

Ist die Einführung für ein mittelständisches Unternehmen aufwändig? Der technische Rollout ist überschaubarer, als viele erwarten, besonders wenn bereits Microsoft 365 oder Google Workspace im Einsatz sind. Der eigentliche Aufwand liegt meist in der organisatorischen Vorbereitung: Welche Systeme sind betroffen, wie sieht der Wiederherstellungsprozess aus, wie werden Mitarbeitende mitgenommen.

Fazit

Passkeys sind kein weiteres Sicherheits-Feature, sondern eine strukturelle Antwort auf ein strukturelles Problem: Passwörter lassen sich stehlen, Passkeys nicht. Für Unternehmen, die ihre Angriffsfläche reduzieren und gleichzeitig den Anmeldeprozess vereinfachen wollen, ist der Umstieg einer der Schritte mit dem besten Verhältnis von Aufwand zu Wirkung.

Der Übergang gelingt am besten schrittweise: mit einer Bestandsaufnahme der genutzten Systeme, einer klaren Roadmap und einem durchdachten Wiederherstellungsprozess für den Ernstfall. Eine solche Bestandsaufnahme ist im Kern das, was auch ein internes Audit leistet – nicht nur für Passkeys, sondern für die Authentifizierungslandschaft als Ganzes.

UBESAFE unterstützt Unternehmen dabei, IT-Betrieb und Informationssicherheit aus einer Hand zu denken – von der technischen Umsetzung starker Authentifizierung bis zur Einbettung in bestehende Compliance-Anforderungen wie TISAX, ISO 27001 oder NIS2. Wenn Sie prüfen möchten, wie Passkeys in Ihrer Systemlandschaft konkret eingeführt werden können, vereinbaren Sie ein kostenloses Erstgespräch.