Passkeys erklärt: Anmelden ohne Passwort für dein KMU

Passwörter begleiten uns seit Jahrzehnten und sie sind bis heute das schwächste Glied deiner digitalen Sicherheit. Sie werden vergessen, mehrfach verwendet, gestohlen und mit immer raffinierteren Phishing-Methoden abgegriffen. Genau hier setzen Passkeys an: eine Anmeldung ganz ohne Passwort, dafür mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Was lange nach Zukunftsmusik klang, wird gerade zum neuen Standard. Microsoft hat diese Woche angekündigt, Passkeys ab dem 1. September 2026 zur Standard-Anmeldemethode in seinem Identitätsdienst Entra ID zu machen. Auch Google, Apple und immer mehr Banken setzen voll auf die Technologie. In diesem Beitrag erfährst du, wie Passkeys funktionieren, warum sie so viel sicherer sind als Passwörter und wie du sie privat, in deinem KMU und sogar auf deiner eigenen Website einsetzt.

Was Passkeys sind und wie sie funktionieren

Ein Passkey ist ein digitaler Schlüssel, der ein Passwort komplett ersetzt. Die Technologie basiert auf den offenen Standards FIDO2 und WebAuthn und nutzt sogenannte Public-Key-Kryptografie. Das klingt kompliziert, ist im Kern aber einfach erklärt.

Das Prinzip: zwei Schlüssel statt ein Geheimnis

Wenn du bei einem Dienst einen Passkey erstellst, erzeugt dein Gerät ein Schlüsselpaar. Der öffentliche Schlüssel wird beim Dienst hinterlegt, der private Schlüssel bleibt sicher auf deinem Gerät und verlässt es nie. Bei der Anmeldung beweist dein Gerät mathematisch, dass es den privaten Schlüssel besitzt. Freigegeben wird dieser Vorgang lokal, zum Beispiel per Fingerabdruck, Gesichtserkennung oder PIN. Deine biometrischen Daten werden dabei niemals an den Dienst übertragen, sie dienen nur der Entsperrung auf deinem Gerät.

Der entscheidende Unterschied zum Passwort: Es gibt kein gemeinsames Geheimnis mehr, das gestohlen werden könnte. Bei einem Datenleck erbeuten Angreifer höchstens öffentliche Schlüssel, und die sind für sich genommen wertlos. Und weil ein Passkey technisch an die echte Adresse der Website gebunden ist, funktioniert er auf einer gefälschten Phishing-Seite schlicht nicht. Passkeys sind dadurch von Grund auf Phishing-resistent.

Synchronisierte und gerätegebundene Passkeys

In der Praxis begegnen dir zwei Varianten:

• Synchronisierte Passkeys werden über deinen Passwortmanager oder dein Betriebssystem gesichert und auf deine Geräte übertragen, etwa via iCloud-Schlüsselbund oder Google Passwortmanager. Verlierst du ein Gerät, bleiben deine Passkeys erhalten.
• Gerätegebundene Passkeys existieren nur auf einem bestimmten Gerät oder Hardware-Sicherheitsschlüssel (FIDO2-Stick). Sie bieten maximale Kontrolle und kommen vor allem in Unternehmen mit hohen Sicherheitsanforderungen zum Einsatz.

Microsoft macht Passkeys zum Standard: Das ändert sich jetzt

Dass Passkeys mehr sind als ein Trend, zeigt die aktuelle Ankündigung von Microsoft. Ab dem 1. September 2026 werden Passkeys schrittweise zur Standard-Anmeldemethode in Microsoft Entra ID, dem Identitätsdienst hinter Microsoft 365 und unzähligen Firmenumgebungen. Wer sich bisher per SMS-Code oder Sprachanruf zusätzlich verifiziert hat, wird bei der nächsten Multi-Faktor-Anmeldung aufgefordert, einen Passkey zu registrieren.

Noch wichtiger für die Planung in deinem Unternehmen: Am 1. Februar 2027 stellt Microsoft die eigene SMS- und Sprachanruf-Authentifizierung komplett ein. Danach führt an Phishing-resistenten Methoden wie Passkeys kaum noch ein Weg vorbei. Microsoft begründet den Schritt mit der massiv gestiegenen Bedrohungslage: KI-gestützte Phishing-Kampagnen erreichen laut den Sicherheitsanalysen des Konzerns Klickraten von bis zu 54 Prozent, während klassische Kampagnen bei rund 12 Prozent liegen. Gleichzeitig sind Angriffe wie SIM-Swapping, bei denen Kriminelle deine Handynummer übernehmen und SMS-Codes abfangen, so einfach wie nie.

Wenn dein KMU also Microsoft 365 nutzt und die Zwei-Faktor-Authentifizierung heute noch über SMS läuft, solltest du den Umstieg nicht auf die lange Bank schieben. Wer früh plant, vermeidet Stress, Supportaufwand und verwirrte Mitarbeitende.

Microsoft ist damit übrigens nicht allein. Google aktiviert Passkeys seit längerem standardmässig für private Konten, Apple hat die Technologie tief in iPhone, iPad und Mac integriert, und grosse Finanzinstitute haben ihre Kundenportale bereits umgestellt. Rund um den Globus sind heute weit über 96 Prozent der aktiven Geräte technisch bereit für Passkeys. Die Infrastruktur steht also, es fehlt oft nur noch der Entscheid, sie auch zu nutzen.

Darum lohnen sich Passkeys für dich und dein KMU

Gerade für kleinere Unternehmen ohne eigene IT-Abteilung sind Passkeys ein Glücksfall. Viele erfolgreiche Angriffe auf KMU beginnen mit einer einzigen gephishten Zugangskombination, oft aus dem Postfach einer Mitarbeiterin oder eines Mitarbeiters. Die Folgen reichen von gekaperten E-Mail-Konten über betrügerische Zahlungsaufforderungen an Kunden bis hin zu Ransomware. Passkeys entziehen diesem Angriffsweg die Grundlage. Die Vorteile im Überblick:

• Phishing läuft ins Leere: Ein Passkey funktioniert nur auf der echten Website. Gefälschte Login-Seiten, die Zugangsdaten abgreifen wollen, haben keine Chance.
• Keine Passwort-Probleme mehr: Nichts zu merken, nichts zu vergessen, nichts zurückzusetzen. Das entlastet auch deinen IT-Support spürbar.
• Schnellere Anmeldung: Fingerabdruck oder Blick in die Kamera, fertig. Das ist deutlich schneller als Passwort plus SMS-Code und senkt auf Shops und Portalen nachweislich die Abbruchrate beim Login.
• Schutz vor Datenlecks: Selbst wenn ein Dienst gehackt wird, sind deine Zugangsdaten nicht betroffen, denn der private Schlüssel liegt nur bei dir.
• Kein SIM-Swapping-Risiko: Ohne SMS-Codes gibt es auch nichts, was Angreifer über eine gekaperte Handynummer abfangen könnten.

Passkeys einrichten: Schritt für Schritt

Die gute Nachricht: Du brauchst keine neue Hardware. Praktisch alle aktuellen Smartphones, Tablets und Notebooks unterstützen Passkeys bereits. So gehst du vor:

1. Prüf zuerst deine wichtigsten Konten. Google, Apple, Microsoft, Amazon, PayPal und viele weitere Dienste bieten Passkeys längst an. Du findest die Option in den Sicherheitseinstellungen des jeweiligen Kontos, meist unter «Anmeldung» oder «Sicherheit».
2. Erstelle den Passkey auf deinem Hauptgerät. Wähle «Passkey erstellen», bestätige mit Fingerabdruck, Gesichtserkennung oder PIN. Das dauert wenige Sekunden.
3. Entscheide, wo der Passkey gespeichert wird. Am bequemsten ist die Synchronisation über iCloud-Schlüsselbund, Google Passwortmanager oder einen Passwortmanager wie 1Password oder Bitwarden. So steht der Passkey auf allen deinen Geräten zur Verfügung.
4. Richte eine Rückfalloption ein. Hinterlege einen zweiten Passkey auf einem anderen Gerät oder bewahre Wiederherstellungscodes sicher auf, falls ein Gerät verloren geht.
5. Teste die Anmeldung auf einem zweiten Gerät. Meldest du dich dort an, kannst du den Passkey per QR-Code vom Smartphone bestätigen, auch das läuft über eine sichere, lokale Verbindung.

Für dein Unternehmen gilt dieselbe Logik, nur strukturierter: Inventarisiere zuerst, welche Mitarbeitenden sich noch mit SMS-Codes anmelden, aktiviere Passkeys in deiner Microsoft-365- oder Google-Workspace-Umgebung, und begleite die Umstellung mit einer kurzen, verständlichen Anleitung für dein Team. Beginne am besten mit einer kleinen Pilotgruppe, sammle Rückmeldungen und rolle die Umstellung danach für alle aus. So erkennst du Stolpersteine früh, etwa ältere Geräte ohne Biometrie oder Spezialfälle wie Schichtbetriebe mit gemeinsam genutzten Arbeitsstationen. Plane für den gesamten Prozess realistisch einige Wochen ein, dann bist du lange vor den Stichtagen von Microsoft entspannt unterwegs.

Passkeys auf deiner eigenen Website anbieten

Betreibst du einen Onlineshop, ein Kundenportal oder einen geschützten Mitgliederbereich? Dann kannst du deinen Nutzerinnen und Nutzern die passwortlose Anmeldung selbst anbieten. Moderne Browser bringen die nötige Schnittstelle WebAuthn bereits mit. Ob das Gerät deiner Besucher Passkeys unterstützt, prüfst du mit wenigen Zeilen JavaScript:

// Prüfen, ob der Browser Passkeys unterstützt
if (window.PublicKeyCredential) {
  const verfuegbar = await PublicKeyCredential
    .isUserVerifyingPlatformAuthenticatorAvailable();
  if (verfuegbar) {
    // Passkey-Login anzeigen, klassisches Formular ausblenden
    document.querySelector('#passkey-login').hidden = false;
  }
}

Der Code fragt ab, ob der Browser die WebAuthn-Schnittstelle kennt und ob ein Authentifikator wie Fingerabdrucksensor oder Gesichtserkennung verfügbar ist. Nur dann wird der Passkey-Button eingeblendet, alle anderen sehen weiterhin das klassische Login. Die eigentliche Registrierung und Anmeldung übernimmt danach dein Backend zusammen mit einer bewährten Bibliothek, für praktisch jede Sprache und jedes Framework gibt es fertige Open-Source-Lösungen. Wichtig sind eine saubere HTTPS-Konfiguration und ein durchdachtes Konzept für die Kontowiederherstellung. Genau bei solchen Integrationen unterstützen wir dich gerne, wirf dazu einen Blick auf unsere Leistungen.

Worauf du beim Umstieg achten solltest

So überzeugend Passkeys sind, ein paar Punkte solltest du im Blick behalten:

• Übergangsphase einplanen: Nicht jeder Dienst unterstützt Passkeys schon. Nutze dort weiterhin einen Passwortmanager mit starken, einzigartigen Passwörtern und aktiviere die Zwei-Faktor-Authentifizierung über eine Authenticator-App statt SMS.
• Wiederherstellung regeln: Der häufigste Stolperstein ist der Geräteverlust. Mit synchronisierten Passkeys oder einem zweiten registrierten Gerät bist du auf der sicheren Seite.
• Team mitnehmen: Gewohnheiten sitzen tief. Eine kurze interne Schulung und klare Kommunikation nehmen Unsicherheiten und verhindern, dass Mitarbeitende aus Bequemlichkeit bei alten Methoden bleiben.
• Geteilte Konten prüfen: Sammellogins, die sich mehrere Personen teilen, passen nicht zum Passkey-Konzept. Der Umstieg ist ein guter Anlass, solche Altlasten aufzuräumen.

Fazit: Jetzt ist der richtige Zeitpunkt für Passkeys

Passkeys sind kein Nischenthema mehr, sondern der neue Standard für sichere Anmeldungen. Die Technologie ist ausgereift, von allen grossen Plattformen unterstützt und für dich als Nutzer sogar bequemer als jedes Passwort. Mit dem klaren Fahrplan von Microsoft steht zudem fest: Die Tage von SMS-Codes und Passwörtern sind gezählt. Wer jetzt umstellt, gewinnt Sicherheit, spart Supportaufwand und ist der Entwicklung einen Schritt voraus.

Möchtest du Passkeys in deinem KMU einführen, deine Microsoft-365-Umgebung absichern oder die passwortlose Anmeldung in deine Website oder Web-Applikation integrieren? Dann nimm Kontakt mit uns auf, wir begleiten dich von der Planung bis zur Umsetzung.

Häufige Fragen

Was passiert mit meinem Passkey, wenn ich mein Smartphone verliere?

Nutzt du synchronisierte Passkeys, sind sie in deinem iCloud-Schlüsselbund, Google-Konto oder Passwortmanager gesichert und lassen sich auf einem neuen Gerät wiederherstellen. Zusätzlich empfiehlt es sich, bei wichtigen Konten einen zweiten Passkey auf einem anderen Gerät zu hinterlegen.

Sind Passkeys wirklich sicherer als ein starkes Passwort mit Zwei-Faktor-Authentifizierung?

Ja. Auch ein starkes Passwort kann auf einer gefälschten Website eingegeben und zusammen mit dem SMS-Code abgephisht werden. Ein Passkey funktioniert technisch nur auf der echten Domain, es gibt schlicht nichts, was du versehentlich preisgeben könntest.

Brauche ich für Passkeys spezielle Hardware?

Nein. Aktuelle Smartphones, Tablets und Notebooks mit Fingerabdrucksensor, Gesichtserkennung oder PIN reichen völlig aus. Hardware-Sicherheitsschlüssel sind eine sinnvolle Ergänzung für besonders schützenswerte Konten, aber kein Muss.