Passkeys einrichten – ohne Passwort anmelden auf iPhone, Android und Windows

Ein Passkey beruht auf dem FIDO2-Standard der FIDO-Allianz, einem Zusammenschluss von Industriepartnern. Dessen Kern bilden laut BACS zwei Protokolle: CTAP2 zwischen Gerät und «Authenticator» und WebAuthn des W3C zwischen Browser und Server. Beim Einrichten erzeugt dein Gerät ein zufälliges Schlüsselpaar für genau diesen Dienst: Der private Schlüssel bleibt auf dem Gerät oder im Authenticator, der öffentliche geht an den Dienst. Apple beschreibt dasselbe: Der Server erfährt nie, wie der private Schlüssel lautet, und der öffentliche ist nicht geheim – es gibt kein «Shared Secret» mehr, das jemand stehlen könnte.

Die Anmeldung läuft als Challenge-Response: Der Dienst schickt eine Aufgabe, dein Gerät signiert sie nach dem Entsperren mit dem privaten Schlüssel, und der Dienst prüft die Signatur mit dem öffentlichen Schlüssel. Weil die Adresse des Dienstes in die Aufgabe eingebunden ist und der Authenticator sie vor dem Signieren prüft, taugt die Antwort nur für den echten Zielserver. Das BACS schreibt, WebAuthn schütze damit wirksam vor vielen Phishing- und «Mallory-in-the-Middle»-Angriffen; Microsoft formuliert es handfest: Ein Passkey für netflix.com funktioniert nur bei netflix.com, auf einer täuschend ähnlichen Seite legt dein Gerät ihn gar nicht erst vor.

Das Wort meint laut BACS heute zweierlei: die Technik der synchronisierbaren FIDO-Schlüssel und den einzelnen privaten Schlüssel, der das Passwort ersetzt. Fingerabdruck und Gesicht sind dabei nur der Türöffner zum Schlüssel auf dem Gerät – die biometrischen Daten bleiben laut Google und Chrome-Hilfe auf dem Gerät und werden nicht an Google weitergegeben. Eine ausführliche Erklärt-Seite «Was ist ein Passkey?» erscheint am 04.11.2026.

Das BACS hält in seiner Technologiebetrachtung «Passkeys» vom September 2025 fest, dass sich über die Sicherheit von Passkeys keine allgemeingültigen Aussagen machen lassen, weil der Teufel in der jeweiligen Implementierung steckt – «Aus mindestens drei Gründen sind aber Passkeys immer besser als Passwörter»: Erstens sind sie pro Zielserver unterschiedlich und müssen einzeln kompromittiert werden, während Passwörter oft für viele Dienste wiederverwendet werden. Zweitens sind sie pseudozufällig erzeugt und lassen sich nicht erraten. Drittens werden sie nicht über die Leitung übertragen, können also weder mitgelesen noch für «Replay»-Angriffe missbraucht werden. Das BACS begrüsst und unterstützt die Entwicklung ausdrücklich und rechnet damit, dass sich FIDO2 in Form verschiedener Passkey-Implementierungen durchsetzt – Google, Apple und Microsoft ersetzten Passwörter, wo immer möglich.

Wie weit das schon ist, zeigt die FIDO Alliance in ihrer Mitteilung vom 15.10.2026: rund 7 Milliarden Passkeys weltweit, und bei den 15 Verbraucherdiensten ihres «Passkey Index» – darunter Amazon, Google, Microsoft, PayPal, Shopify, TikTok und WhatsApp – laufe «more than a third of successful sign-ins» über einen Passkey, fast dreimal schneller als mit Passwort und klassischem zweiten Faktor. Jeder Teilnehmer, der Phishing misst, meldet laut FIDO seither weniger erfolgreiche Angriffe. Google ergänzt auf seiner Hilfeseite den Alltagsnutzen: Passkeys können nicht geteilt, kopiert, aufgeschrieben oder versehentlich weitergegeben werden.

Für dich heisst das: Der Passkey nimmt dir die zwei grössten Passwort-Risiken ab – Wiederverwendung und Phishing. Was er nicht abnimmt, ist die Pflege des Rückfalls: Solange ein Dienst dein Passwort behält, muss es stark und einzigartig sein (→ Sicheres Passwort erstellen – und was 2026 wirklich sicher ist), und für Dienste ohne Passkey bleibt der zweite Faktor die beste Absicherung (→ Zwei-Faktor-Authentifizierung bei Google einrichten – Aufforderung, App, Schlüssel oder Passkey).

Ursprünglich sollte der private Schlüssel laut BACS fest und nicht auslesbar im Authenticator liegen («device-bound authenticators»). Weil das mit mehreren Geräten unpraktisch ist, hat die FIDO-Allianz die Synchronisierung über einen Cloud-Speicher nachgereicht («synced authenticators») – genau das sind die Passkeys in iCloud-Schlüsselbund, Google Passwortmanager, Microsoft Passwort-Manager und in Passwort-Managern. Das BACS sagt klar, dass alle diese Vereinfachungen «zu Lasten der Sicherheit gehen» und der ursprüngliche Hardware-Schutz für eine grosse Marktdurchdringung aufgegeben wurde; wie stark eine Implementierung vom Standard abweicht, müsse man im Einzelfall anschauen. Die FIDO-Allianz kennt dafür drei Zertifizierungsstufen: L1 erlaubt beliebige Hard- und Software, L2 verlangt ein Secure Element oder eine Trusted Execution Environment, L3 eine von der Allianz genehmigte Umgebung – dem BACS ist diese Einteilung für Sicherheitsbetrachtungen zu grob.

In der Technologiebetrachtung «Sicherheitsklassen für Authentifikationsverfahren» vom September 2026 ordnet das BACS die Verfahren ein: Passwort allein steht in «tief», synchronisierte Passkeys in «mittel*», FIDO2-Hardware-Schlüssel ohne Synchronisierung in «hoch*» – der Stern markiert Verfahren, die gegen Phishing in Echtzeit schützen. Beide Passkey-Varianten sind also phishing-resistent; der Unterschied liegt darin, ob der Schlüssel in spezieller Hardware bleibt oder über eine Cloud auf mehrere Geräte kopiert werden kann. Apple hält dagegen, dass der iCloud-Schlüsselbund Ende-zu-Ende mit Schlüsseln verschlüsselt ist, die Apple nicht kennt, und dass Passkeys selbst bei Verlust aller Geräte wiederherstellbar bleiben.

Unsere praktische Empfehlung: Für Privatpersonen sind synchronisierte Passkeys die richtige Wahl – im iCloud-Schlüsselbund, im Google Passwortmanager, im Microsoft Passwort-Manager oder in einem unabhängigen Passwort-Manager, wenn du Geräte verschiedener Hersteller nutzt (→ Beste Passwort-Manager 2026: 1Password, NordPass, Bitwarden und Proton Pass im Vergleich). Der Verlustfall ist damit gelöst, und gegen Phishing bist du geschützt. Für besonders wichtige Konten – E-Mail, Passwort-Manager, Bank – lohnt sich zusätzlich ein Hardware-Schlüssel, am besten zwei, weil er sich nicht wiederherstellen lässt.

Beim Google-Konto ist der Passkey seit dem 10.10.2023 die Standardoption für private Konten, beim Apple Account und bei Websites in Safari läuft er über den iCloud-Schlüsselbund, beim Microsoft-Konto über die «Erweiterten Sicherheitsoptionen». WhatsApp meldete am 25.08.2026, dass mehr als eine Milliarde Menschen ihr Konto mit einem Passkey schützen – nach der Welle gekaperter Konten in der Schweiz ein guter Grund, ihn dort einzuschalten (→ Gefälschte Abstimmungen kapern WhatsApp-Konten: über 50 Meldungen im Oktober – das BACS warnt). Die 15 Dienste im Passkey Index der FIDO Alliance, darunter Amazon, PayPal, Shopify und TikTok, bieten ihn ebenfalls an.

Nicht jede App und Website ist so weit. Apple, Google und Microsoft sagen es gleichlautend: Siehst du beim Anmelden oder in den Kontoeinstellungen keine Option für einen Passkey, unterstützt der Dienst ihn derzeit nicht. Dann bleibt Passwort plus zweiter Faktor – und ein Blick in die Sicherheitseinstellungen in ein paar Monaten.

Neu ist die automatische Passkey-Erstellung: Meldest du dich mit einem gespeicherten Passwort an, kann die Website im Hintergrund einen Passkey anlegen. Apple beschreibt das für Websites und Apps, Chrome speichert ihn im Google Passwortmanager und informiert dich, Edge legt ihn im Microsoft Passwort-Manager ab. Wer das nicht will, schaltet in Chrome unter «Passwörter und Autofill» > «Google Passwortmanager» > «Einstellungen» die Option «Für eine schnellere Anmeldung Passkey automatisch erstellen lassen» aus und in Edge unter «Einstellungen» > «Kennwörter und AutoAusfüllen» > «Microsoft Passwort-Manager» > «Weitere Einstellungen» die Option «Automatisch Upgrade auf Passkeys». Deine bisherigen Anmeldedaten bleiben in beiden Fällen bestehen.

Das Passwort bleibt. Das BACS weist darauf hin, dass viele Einsatzgebiete von Passkeys die Weiternutzung von Passwörtern ermöglichen oder sogar erfordern, etwa als Backup zum Zurücksetzen – schwache Passwörter und schlechte Passwortverwaltung bleiben damit realistische Angriffswege. Wer den Passkey einrichtet und das alte, überall gleiche Passwort behält, hat die Hintertür nur übersehen, nicht geschlossen.

Das Gerät ist der Schlüssel. Google schreibt, nach dem Erstellen eines Passkeys könne jede Person, die dein Gerät entsperren kann, auf dein Google-Konto zugreifen, auch wenn du dich dort abgemeldet hast. Darum: keine Passkeys auf gemeinsam genutzten Geräten, Displaysperre ist Pflicht, und ein Passkey, der versehentlich auf einem fremden Gerät gelandet ist, wird sofort aus dem Konto entfernt. Konten von Arbeitgeber oder Schule können laut Google und Microsoft eingeschränkt sein – Google Workspace lässt die reine Passkey-Anmeldung nur zu, wenn die Administration es erlaubt, Microsoft-Organisationen können Speicherorte sperren. Und im Inkognitomodus funktionieren Passkeys laut Google bei manchen Systemen nicht.

Der Umzug ist noch nicht gelöst. Das BACS nennt das Credential Exchange Format und Protocol, mit dem sich Passkeys einzeln exportieren und importieren liessen, unterstützt aber nur in einigen Implementierungen; unsere Recherche bei den vier Passwort-Managern bestätigt das Bild von Bitwarden mit CXP bis NordPass ganz ohne Export. Und ein Passkey schützt dich nicht vor Schadsoftware auf dem eigenen Gerät und nicht vor Betrug am Telefon, bei dem dich jemand zum Freigeben einer Anmeldung drängt. Halte Betriebssystem und Browser aktuell – Google nennt das als Voraussetzung, damit Passkeys sicher funktionieren (→ Apple stopft 329 Sicherheitslücken auf einen Schlag – und liefert alten iPhones den Fix für eine ausgenutzte Lücke nach) – und lies, wie Betrüger Buchungen und Zahlungen fälschen (→ Hotel-Phishing mit 7,5 Prozent «Cashback» zielt auf TWINT-Konten – das BACS warnt).

Stell zuerst die drei grossen Konten um, die alle anderen aufschliessen: Google, Apple und Microsoft. Dort ist der Passkey heute Standard, der Weg dauert pro Konto wenige Minuten, und die Konten hängen am E-Mail-Postfach, über das sich alles andere zurücksetzen lässt. Danach kommen die Dienste, die Passkeys anbieten – WhatsApp, Zahlungsdienste, Shops; wo die Option fehlt, bleibt Passwort plus zweiter Faktor (→ Zwei-Faktor-Authentifizierung bei Google einrichten – Aufforderung, App, Schlüssel oder Passkey).

Wer nur Apple- oder nur Android-Geräte nutzt, ist mit iCloud-Schlüsselbund oder Google Passwortmanager gut bedient. Wer mischt – iPhone und Windows-PC, Android und Mac –, nimmt einen Passwort-Manager, der Passkeys und Passwörter auf allen Plattformen synchronisiert; Bitwarden und Proton Pass tun das laut unserem Vergleich auch gratis. Und bei jedem Konto gilt: immer zwei Wege hinein – zweiter Passkey, Hardware-Schlüssel, Backup-Codes oder ein starkes Passwort mit zweitem Faktor (→ Sicheres Passwort erstellen – und was 2026 wirklich sicher ist). Der Passkey macht die Anmeldung einfacher und sicherer; die Vorsorge für den Verlustfall bleibt deine Aufgabe.