Ein Passkey ist ein digitaler Schlüssel, der ein Passwort vollständig ersetzt. Statt eine Zeichenkette einzugeben, bestätigen Sie die Anmeldung über einen Fingerabdruck, eine Gesichtserkennung oder eine Geräte-PIN. Hinter einem Passkey arbeitet ein kryptografisches Schlüsselpaar nach dem FIDO2 Standard – der private Schlüssel bleibt auf Ihrem Gerät, der öffentliche liegt beim Online-Dienst.
Inhalt
Passkeys lösen Passwörter ab, weil Passwörter das schwächste Glied in der Anmeldekette sind. Microsoft legt seit 2026 neue Konten standardmäßig passwortlos an. Ab Januar 2027 verschwinden Sicherheitsfragen für ein Microsoft-Konto ganz. KI-gestütztes Phishing erreicht 54 Prozent Klickrate. Cyberversicherer fragen 2026 in Audit-Bögen konkret nach Passkey- und MFA-Status.
Für ein Unternehmen mit 20 bis 100 Mitarbeitenden sind Passkeys kein Big-Tech-Spielzeug, sondern ein Helpdesk-Hebel. Passwort-Reset-Tickets verschwinden, das Phishing-Risiko sinkt strukturell, und Nutzer melden sich in Sekunden bei online Diensten an – allen voran bei Microsoft 365 und den dort angebundenen Cloud-Diensten.
Passkey kurz erklärt: digitaler Schlüssel statt Passwort
Passkeys funktionieren ohne klassisches Kennwort. Sie öffnen einen Online-Dienst, das System fragt nach Bestätigung, und Ihr Gerät prüft Ihre Identität über einen Fingerabdruck, eine Gesichtserkennung oder eine PIN.
Sekunden später sind Sie eingeloggt. Kein Tippen, kein Vergessen, kein Reset – und keine Passwörter, die jemand stehlen könnte.
Im Hintergrund arbeitet der FIDO2 Standard. Bei der Einrichtung erstellt Ihr Gerät ein Schlüsselpaar. Der private Schlüssel bleibt geschützt in einer Hardware-Komponente Ihres Geräts gespeichert. Auf einem Smartphone in der Secure Enclave, auf einem Computer im TPM-Chip. Die Cloud bekommt diesen Schlüssel nie zu sehen.
Der öffentliche Schlüssel wandert zum Online-Dienst und landet dort in der Konto-Datenbank.
Beim nächsten Login schickt der Dienst eine Anfrage an Ihren Computer oder Ihr Smartphone. Ihr Gerät signiert die Anfrage mit dem privaten Schlüssel. Der Dienst prüft die Signatur mit dem öffentlichen Schlüssel und gibt den Zugang frei. Sie selbst tippen nichts ein.
Passkeys werden von Apple, Google und Microsoft branchenübergreifend unterstützt. Das BSI empfiehlt Passkeys ausdrücklich als sicherere Alternative zu Passwörtern. Dahinter steht eine breite Allianz: die FIDO Alliance zählt 2026 weltweit über fünf Milliarden ausgegebene Passkeys – jeder einzelne ein FIDO2 konformer Schlüssel.
Apple unterstützt Passkeys seit iOS 16. Google rollt Passkeys konzernweit aus – inklusive Workspace für Unternehmen. Microsoft setzt mit dem Authenticator und Entra ID auf denselben FIDO2 Stack. Damit gibt es 2026 keinen großen Anbieter mehr, der außen vor wäre.
Passkey vs. Passwörter: der direkte Vergleich
Der Unterschied zwischen einem Passkey und einem Passwort lässt sich am klarsten in einer Tabelle zeigen.
| Kriterium | Passwort | Passkey |
|---|---|---|
| Phishing-Resistenz | gering – Eingabe auf Fake-Seite möglich | hoch – funktioniert nur auf Originaldomain |
| Datenleck-Risiko | hoch – Hashes können geknackt werden | gering – kein Geheimnis beim Anbieter |
| Komfort | mittel – Tipparbeit, Vergessen, Reset | hoch – Biometrie oder PIN reicht |
| Recovery | E-Mail-Reset oder Security-Fragen | zweites registriertes Gerät, Cloud-Sync, Admin-Reset |
| Hardware-Bindung | keine | Gerät mit Secure Enclave oder TPM nötig |
| Mehrfach-Faktor | meist nachgerüstet (SMS, App) | eingebaut – Besitz plus Biometrie |
Der zentrale Sicherheitsgewinn liegt bei der Phishing-Resistenz. Passwörter lassen sich auf einer betrügerischen Seite eingeben – Passkeys nicht.
Ein Passkey ist kryptografisch an die Originaldomain gebunden und verweigert die Anmeldung an gefälschten Adressen. Wer einen Phishing-Link öffnet und sich dort anmelden möchte, erlebt einfach – nichts. Das Gerät signiert nicht. Ein klassisches Passwort hätte der Nutzer hier längst eingetippt.
Auch beim Datenleck-Szenario zeigt sich der Unterschied. Wenn ein Anbieter Passwörter aus seiner Datenbank verliert, sind alle betroffenen Accounts in Gefahr. Bei Passkeys liegt beim Anbieter nur der öffentliche Schlüssel – für Angreifer wertlos.
Wie funktioniert ein Passkey technisch?
Die Technik hinter Passkeys nennt sich Public-Key-Kryptografie. Sie ist seit Jahrzehnten in Banken-Systemen, SSH-Logins und HTTPS im Einsatz. Neu ist die Verpackung als Anmeldeverfahren für Endnutzer – konkret als FIDO2 Passkey im Browser oder im Authenticator.
Bei der Einrichtung erzeugt Ihr Gerät zwei mathematisch verbundene Schlüssel. Der private Schlüssel landet in der Secure Enclave – einem abgeschotteten Hardware-Bereich, aus dem er nicht herausgelesen werden kann. Selbst Sie als Besitzer sehen ihn nie im Klartext.
Der öffentliche Schlüssel wandert zum Online-Dienst und landet dort in der Konto-Datenbank.
Beim Login schickt der Dienst eine zufällige Challenge an Ihr Gerät. Ihr Gerät verlangt eine lokale Authentifizierung – Fingerabdruck, Gesicht oder eine PIN. Erst danach signiert es die Challenge mit dem privaten Schlüssel.
Der Dienst verifiziert die Signatur. Klappt sie, ist die Anmeldung bestätigt.
Synchronisierung übernehmen die Plattform-Cloud-Dienste. Apple iCloud, der Google Passwortmanager oder das Microsoft-Authenticator-Cloud-Backup spiegeln Passkeys zwischen Ihren Geräten. Verlieren Sie einen Computer oder ein Smartphone, ist der Passkey auf dem Ersatz-Gerät weiterhin verfügbar – sofern Sie das Cloud-Backup aktiviert haben.
Die Cloud sieht dabei den privaten Schlüssel nicht im Klartext. Apple, Google und Microsoft verschlüsseln Passkeys vor dem Cloud-Upload mit einem zweiten, ebenfalls auf dem Gerät erzeugten Schlüssel. Die Cloud transportiert also nur eine verschlüsselte Kopie.
Passkeys im Unternehmen: was KMUs 2026 jetzt wissen müssen
Was vor zwei Jahren noch optional war, wird 2026 Standard. Microsoft legt seit dem World Passkey Day 2026 alle neu angelegten Konten passwortlos an. Im Januar 2027 verschwinden Sicherheitsfragen aus einem Microsoft-Konto ganz.
Für KMUs entsteht damit konkret Handlungsdruck an drei Stellen.
Erstens: der Helpdesk. In unserer Praxis sehen wir bei einem typischen 50-Personen-Betrieb zwischen acht und zwölf Passwort-Reset-Tickets pro Woche. Jedes Ticket kostet Zeit – beim Nutzer und beim Support. Passkeys eliminieren diesen Reset-Bedarf, weil es keine Passwörter mehr zu vergessen gibt. Jeder Nutzer im Microsoft 365 Tenant bekommt einen Passkey, fertig.
Zweitens: das Phishing-Risiko. KI-gestützte Phishing-Mails erreichen 2026 Klickraten von über 50 Prozent. Awareness-Schulungen helfen, lösen das Problem aber nicht strukturell. Mit einem Passkey ist eine Anmeldung auf einer Fake-Domain technisch unmöglich – das Gerät verweigert die Signatur an einer falschen Adresse.
Drittens: die Cyberversicherung. Versicherer fragen 2026 in Audit-Bögen detailliert nach phishing-resistenter Multi-Faktor-Authentifizierung. Wer hier „klassisches Passwort plus SMS-Code“ ankreuzt, riskiert höhere Prämien oder eine Verweigerung der Versicherung.
Passkeys gelten branchenübergreifend als phishing-resistente MFA-Methode. Wer auf einen Passkey umstellt, hat den Audit-Bogen schon halb beantwortet.
Passkey im Microsoft 365 Tenant einrichten
Die meisten unserer Kunden setzen Microsoft 365 ein. Passkeys lassen sich dort über Microsoft Entra ID einführen – die Identitäts-Plattform, die früher Azure Active Directory hieß. In unserer Praxis ist die Einführung in drei klaren Schritten machbar.
Voraussetzungen prüfen. Ein Microsoft-365-Business-Tenant mit Entra ID Plan 1 reicht für die Standard-Funktionen. Für Conditional Access – die Regel, mit der Sie einen Passkey gegenüber anderen Anmeldemethoden bevorzugen – brauchen Sie Entra ID Plan 2 oder eine Microsoft-365-Business-Premium-Lizenz.
Pilot-Phase in drei Schritten. Wir empfehlen einen schrittweisen Rollout. Welle eins umfasst fünf bis acht Power-Nutzer: Geschäftsführung, IT-Verantwortliche, einen Nutzer aus Vertrieb oder Finanzen.
Vier Wochen Pilotbetrieb. Welle zwei sind die übrigen Schlüsselrollen, Welle drei ist die breite Mannschaft. Jeder Nutzer registriert beim ersten Login einen eigenen Passkey.
Conditional-Access-Regel. Nach erfolgreichem Pilot setzen Sie in Entra ID eine Regel, die Passkeys gegenüber Passwörtern und SMS-Code priorisiert. Nutzer, die schon einen Passkey registriert haben, sehen den Login nur noch als Biometrie-Aufforderung. Wer noch keinen hat, wird zur Registrierung geleitet.
Mitarbeiter-Briefing. Aus unserer Praxis: ein zehnminütiges Briefing-Video plus zwei Helpdesk-Touch-Points pro Person reichen aus. Die Methode ist intuitiver als die Multi-Faktor-Authentifizierung mit Code-Apps – die Akzeptanz steigt entsprechend schnell.
Bei einer 45-Personen-Steuerberatungskanzlei in Köln/Sankt Augustin haben wir den Rollout im Frühjahr 2026 in genau dieser Reihenfolge umgesetzt. Nach 90 Tagen war das Volumen der Passwort-Reset-Tickets um 70 Prozent gesunken. Ein gleichzeitiger interner Phishing-Test zeigte: alle Anmelde-Versuche auf der Fake-Domain wurden vom Gerät verweigert. Der Versicherer-Audit für die nächste Cyber-Police-Verlängerung war problemlos.
Hinweis zur Lizenzierung. Conditional Access in Entra ID Plan 2 kostet pro Nutzer und Monat. Bei einem 50-Personen-Betrieb amortisiert sich die Lizenz typischerweise innerhalb des ersten Quartals – allein durch die wegfallenden Reset-Tickets. Genauer wird das in der IT-Beratung für KMU durchgerechnet, mit Blick auf Ihre konkrete Lizenz-Struktur und Ihr Helpdesk-Volumen.
Den eigentlichen Passkey-Rollout im M365-Tenant übernehmen wir typischerweise im Rahmen unserer Managed Services – inklusive Conditional-Access-Regeln, Mitarbeiter-Briefing und Helpdesk-Schulung. Wenn Sie die Passkey-Eignung Ihres Unternehmens vorher prüfen lassen möchten, bietet sich unsere kompakte IT-Sicherheits-Beratung im Raum Köln/Bonn an.
Passkey vs. MFA: Alternative oder Ergänzung?
Die Frage taucht in jedem unserer Beratungsgespräche auf. Die Antwort ist überraschend einfach: ein Passkey IST eine Form der Multi-Faktor-Authentifizierung. Wer einen Passkey nutzt, hat schon MFA – und zwar in der derzeit sichersten Variante.
Die klassische Multi-Faktor-Authentifizierung kombiniert „etwas, das Sie wissen“ (Passwort) mit „etwas, das Sie haben“ (Smartphone mit Code-App).
Passkeys kombinieren „etwas, das Sie haben“ (Gerät mit privatem Schlüssel) mit „etwas, das Sie sind“ (Biometrie). Der Faktor „Wissen“ entfällt – und damit das schwächste Glied.
Klassische MFA bleibt als Fallback sinnvoll. Wenn ein Passkey nicht verfügbar ist – verlorenes Gerät, Reise ohne Smartphone – braucht der Nutzer einen zweiten Weg.
Hier kommen Microsoft Authenticator, ein FIDO2 Sicherheitsschlüssel mit USB-Stecker oder im Notfall ein Hardware-Authenticator ins Spiel. Mehr Details zur klassischen Methode finden Sie in unserem Artikel zur Multi-Faktor-Authentifizierung.
Was tun, wenn Mitarbeiter ihr Gerät verlieren?
Diese Frage entscheidet darüber, ob Passkeys im KMU funktionieren. Ohne klaren Recovery-Prozess scheitert der Rollout an der ersten verlorenen Hardware.
Drei Szenarien sind realistisch.
Smartphone verloren oder defekt. Wenn das Cloud-Backup des Plattform-Anbieters aktiv war, taucht der Passkey auf dem Ersatz-Gerät automatisch wieder auf. Bei Microsoft-Accounts gelingt das über den Authenticator-Cloud-Sync, bei Apple-Geräten über den iCloud-Schlüsselbund.
Ohne Backup wird der Passkey im Entra-Admin-Center entzogen, und der Nutzer registriert ein neues Gerät über die Self-Service-Methoden.
Mitarbeiter verlässt das Unternehmen. Standard-Offboarding-Prozess: Konto in Entra ID deaktivieren, alle registrierten Passkeys entfernen. Selbst wenn der ehemalige Mitarbeiter sein Smartphone behält, kann er sich nicht mehr anmelden.
Diebstahl des Geräts. Hier zeigt sich die Stärke der lokalen Authentifizierung. Selbst mit dem Gerät in der Hand braucht der Dieb den Fingerabdruck, das Gesicht oder die Geräte-PIN. Die meisten Smartphones sperren sich nach wenigen Fehlversuchen.
Trotzdem gilt: Passkey im Entra-Admin entziehen, neues Gerät vom Mitarbeiter registrieren lassen.
In allen drei Szenarien hilft eine zweite registrierte Anmeldemethode pro Mitarbeiter. Wir empfehlen einen Hardware-FIDO2 Sicherheitsschlüssel pro Schlüsselrolle als Backup. Liste, Budget, einmaliger Aufwand – fertig.
Wie erstellen Sie einen Passkey?
Die Schritte unterscheiden sich je nach Kontext. Drei Wege sind für KMU-Mitarbeiter relevant.
Privater Kontext – Google Konto, Apple-ID, Amazon und ähnliche Dienste. Sie melden sich in den Konto-Einstellungen des Dienstes an, suchen die Sektion „Sicherheit“ oder „Anmeldung“ und wählen „Passkey erstellen“.
Das Gerät führt Sie durch die Biometrie-Bestätigung. Fertig.
Beruflicher Kontext – Microsoft 365 Tenant. Der Nutzer öffnet die Anmelde-Seite von Microsoft, klickt auf „Anmeldemethode hinzufügen“ und wählt „Passkey“. Microsoft Entra prüft die Voraussetzungen und führt durch die Registrierung.
Voraussetzung ist, dass der Admin Passkeys im Entra-Admin-Center für den Tenant aktiviert hat.
Passwortmanager als Speicherort. Wenn Sie Bitwarden, 1Password oder einen ähnlichen Passwortmanager nutzen, können Sie Passkeys dort ablegen. Das macht sie auch auf Geräten verfügbar, die keine eigene Secure Enclave haben – zum Beispiel auf älteren Windows-Notebooks.
Der Microsoft Authenticator bietet eine ähnliche Funktion mit Cloud-Sync. In unserer Praxis empfehlen wir den Authenticator-Sync, weil er sich nahtlos in den Tenant einfügt.
Externe Passwortmanager bleiben Geschmackssache – funktionieren, brauchen aber eine separate Admin-Strategie.
Vorteile und Nachteile von Passkeys
Wir empfehlen Passkeys – mit klarem Blick auf die Schattenseiten.
Vorteile von Passkeys.
- Phishing-Resistenz. Eine Anmeldung auf der falschen Domain ist technisch unmöglich. Passkeys binden sich kryptografisch an die Originaldomain.
- Kein Passwort-Diebstahl bei Datenlecks. Beim Anbieter liegt nur der öffentliche Schlüssel – nutzlos für Angreifer. Passkeys verlassen das Gerät nicht.
- Komfort. Biometrie statt Tipparbeit. Kein Vergessen, kein Reset. Passkeys funktionieren in Sekunden.
- Synchronisierung. Passkeys werden über Plattform-Cloud nahtlos zwischen Geräten verteilt.
- Standard-Unterstützung. Apple, Google, Microsoft und der FIDO2 Standard ziehen am selben Strang. Bei Google sind Passkeys seit 2023 verfügbar, im Google Konto direkt aktivierbar.
Nachteile von Passkeys.
- Geräte-Abhängigkeit. Ohne registriertes Gerät kein Login. Recovery-Prozesse müssen sitzen, bevor Passkeys produktiv gehen.
- Noch nicht überall verfügbar. Branchen-Software, ältere Web-Anwendungen, VPN-Setups akzeptieren Passkeys teilweise noch nicht.
- Migrations-Aufwand. Mitarbeiter-Briefing, Pilot-Phase, Conditional-Access-Regeln – das ist Projektarbeit, kein Schalter-Umlegen.
- Cloud-Sync-Vertrauen. Wer Apple oder Google den Cloud-Sync nicht zugesteht, verzichtet auf Komfort und akzeptiert höhere Verlust-Risiken.
Für 80 Prozent der typischen KMU-Anwendungen – Microsoft 365, Banking-Portale, Versicherungen, große Cloud-Dienste – sind Passkeys 2026 einsatzbereit. Auch bei Google Workspace lassen sich Passkeys flächendeckend ausrollen. Die restlichen 20 Prozent (Spezial-Software) brauchen eine Übergangsstrategie mit klassischem Passwort plus MFA, bis der Hersteller nachzieht.
Häufig gestellte Fragen
Was ist der Unterschied zwischen einem Passwort und einem Passkey?
Ein Passwort ist eine Zeichenkette, die Sie eingeben und die der Anbieter prüft. Ein Passkey ist ein kryptografischer Schlüssel, der auf Ihrem Gerät bleibt – Sie geben nichts ein, sondern bestätigen die Anmeldung über Biometrie oder eine PIN.
Der Anbieter speichert nur den öffentlichen Teil des Schlüsselpaars und kann damit keinen Login durchführen. Passwörter sind teilbar, kopierbar, vergessbar – Passkeys nicht.
Wo werden meine Passkeys gespeichert?
Auf dem Gerät, mit dem Sie sich anmelden. Auf einem iPhone in der Secure Enclave, auf einem Android-Smartphone im Trusted Execution Environment, auf einem Windows-Computer im TPM-Chip.
Wenn Cloud-Sync aktiv ist, spiegelt der Plattform-Anbieter die Passkeys verschlüsselt zwischen Ihren Geräten – iCloud-Schlüsselbund bei Apple, Google Passwortmanager im Google Konto, Microsoft Authenticator für Microsoft-Accounts.
Was sind die Nachteile von Passkeys?
Die wichtigsten Schwachpunkte: Sie sind abhängig vom registrierten Gerät, das Recovery braucht klare Prozesse, und einzelne Branchen-Anwendungen unterstützen Passkeys noch nicht.
Wer beim Cloud-Sync nicht mitspielt, verliert bei Geräte-Verlust den Zugang zu Konten ohne zweite Anmeldemethode. Ein Hinweis aus unserer Praxis: Immer einen FIDO2 Sicherheitsschlüssel als Backup-Methode registrieren.
Wie unterscheidet sich ein Passkey beim Google Konto vom Microsoft-Konto?
Funktional kaum – das FIDO2 Protokoll ist Standard, beide Anbieter halten sich daran. Der Unterschied liegt in der Cloud-Synchronisierung und der Admin-Integration.
Beim Google Konto landet der Passkey im Google Passwortmanager und ist auf Android-Geräten und in Chrome verfügbar. Beim Microsoft-Konto übernimmt der Microsoft Authenticator den Sync, und für Microsoft-365-Tenants steuern Sie das Verhalten zentral über Entra ID Conditional Access.
Brauchen wir mit Passkeys noch eine separate MFA?
Nein – Passkeys SIND eine Form der Multi-Faktor-Authentifizierung, und zwar die derzeit sicherste. Sinnvoll bleibt eine zweite Anmeldemethode als Fallback, etwa ein FIDO2 Hardware-Schlüssel oder Microsoft Authenticator mit Code.
Damit decken Sie Geräteverlust ab, ohne den Sicherheitsgewinn zu verlieren.
Was passiert, wenn ein Mitarbeiter sein Smartphone verliert?
Der Passkey auf dem verlorenen Gerät wird im Entra-Admin-Center entzogen. Wenn Cloud-Sync aktiv war, taucht der Passkey auf dem Ersatz-Smartphone automatisch wieder auf.
Andernfalls registriert der Nutzer ein neues Gerät über Self-Service oder mit Helpdesk-Unterstützung. Eine zweite Anmeldemethode pro Schlüsselrolle macht den Prozess noch schmerzfreier.
Ist ein Passkey wirklich sicher?
Ja – gemessen an Passwörtern deutlich sicherer. Das BSI empfiehlt Passkeys ausdrücklich. Der private Schlüssel verlässt das Gerät nicht, Phishing scheitert an der Domain-Bindung, und es gibt kein Geheimnis beim Anbieter, das Hacker bei einem Datenleck abgreifen könnten.
Die Restrisiken liegen beim Gerät selbst – Diebstahl mit gebrochener Biometrie ist möglich, aber deutlich aufwändiger als ein Phishing-Angriff.
Nächster Schritt: Passkey im Microsoft 365 Tenant evaluieren
Passkeys sind 2026 keine Zukunftsmusik mehr. Microsoft macht sie zum Standard, Cyberversicherer fragen nach, Helpdesks profitieren von weniger Reset-Tickets. Für mittelständische Unternehmen ist jetzt der Zeitpunkt, die eigene Auth-Strategie zu überdenken.
Wir prüfen mit Ihnen, ob Ihr Microsoft 365 Tenant Passkey-bereit ist – Lizenzstatus, Entra-ID-Plan, Conditional-Access-Möglichkeiten – und entwerfen einen Roll-out-Plan, der zu Ihrer Mitarbeiter-Struktur passt.
Jetzt unverbindliches Beratungsgespräch zur Passkey-Strategie sichern – kostenfrei, mit konkreter Einschätzung am Ende.
Weiterführende Themen aus unserem Wissensbereich: IT-Sicherheitskonzept für KMU, Multi-Faktor-Authentifizierung im Mittelstand, E-Mail-Betrug erkennen und verhindern und sichere Passwörter als Übergangs-Strategie.