Wie funktionieren Passkeys technisch?
WebAuthn beschreibt die Schnittstelle zwischen Website und Browser; CTAP verbindet externe Authenticatoren mit dem Client. Der Dienst speichert einen öffentlichen Schlüssel. Das private Schlüsselmaterial wird durch den Authenticator geschützt und die Anmeldung lokal per Biometrie oder PIN freigegeben.
Gerätegebundene Passkeys bleiben auf einem Authenticator. Synchronisierte Passkeys können verschlüsselt über das Ökosystem eines Anbieters auf weitere Geräte übertragen werden. Deshalb ist „der private Schlüssel bleibt immer auf genau einem Gerät“ keine allgemeingültige Beschreibung.
Welche Grenzen gibt es?
Passkeys erschweren typische Phishing- und Credential-Stuffing-Angriffe, verhindern aber nicht automatisch kompromittierte Endgeräte, gestohlene Sitzungen oder schwache Wiederherstellungsprozesse. KMU sollten Kompatibilität, Geräteverwaltung, Backup-Authenticatoren und Notfallzugänge vor dem Rollout testen. Der Beitrag Passkeys und FIDO2 für KMU beschreibt einen gestaffelten Einstieg.
Zuletzt aktualisiert: 22. August 2026