Passkeys im Unternehmen: das Ende des Passworts?
Passkeys sollen das Passwort ablösen: ein Schlüssel, der Ihr Gerät nie verlässt und den kein Angreifer stehlen kann. Was das im Unternehmen bringt, wo es 2026 schon funktioniert und wo noch nicht – und für welche Konten sich der Umstieg zuerst lohnt.
Das Passwort ist über 60 Jahre alt. Und es war von Anfang an ein Kompromiss.
Man tippt es ein, man vergisst es, man klebt es auf einen Zettel unter die Tastatur. Und irgendwo wird es täglich zu Tausenden gestohlen – über eine gefälschte Login-Seite, ein Datenleck oder den Anruf beim gestressten Kollegen. Das Passwort ist die Schwachstelle, die jeder mit sich herumträgt.
Passkeys sollen damit Schluss machen. Passwortloser Login, verspricht die Branche. Kein Geheimnis mehr, das jemand abgreifen könnte.
Klingt nach der nächsten Marketing-Welle? Diesmal steckt Technik dahinter, die wirklich funktioniert. Die ehrlichere Frage ist, ob sie schon in Ihren Betrieb passt. Genau die beantworte ich hier.
Was ein Passkey überhaupt ist
Ein Passkey ist kein besseres Passwort. Er ist etwas grundlegend anderes.
Beim Passwort kennen zwei Seiten dasselbe Geheimnis: Sie und der Dienst. Beim Passkey entstehen zwei Hälften eines Schlüsselpaars (Kryptografie – vereinfacht: ein digitales Schloss und der eine Schlüssel, der dazu passt). Das Schloss, der öffentliche Teil, liegt beim Dienst. Der Schlüssel, der private Teil, verlässt Ihr Gerät nie.
Beim Anmelden schickt der Dienst eine Aufgabe, die nur Ihr Schlüssel lösen kann. Ihr Gerät löst sie – nachdem Sie sich kurz bestätigt haben. Meist per Fingerabdruck, Gesicht oder Geräte-PIN (Biometrie – die körperlichen Merkmale, die Ihr Handy längst kennt).
Für Sie fühlt sich das an wie das Entsperren des Telefons. Kein Tippen, kein Merken, kein Zettel. Für den Angreifer fühlt es sich an wie eine Tür ohne Schlüsselloch.
Warum Passkeys Phishing praktisch aushebeln
Phishing – auf Deutsch das Abgreifen von Zugangsdaten über eine gefälschte Seite – lebt von einem einzigen Umstand. Es gibt ein Geheimnis, das man Ihnen entlocken kann.
Was passiert, wenn es dieses Geheimnis nicht mehr gibt? Es bleibt nichts mehr zu stehlen.
Der private Schlüssel verlässt Ihr Gerät nicht, auch nicht auf Ihren eigenen Wunsch. Sie können ihn niemandem am Telefon vorlesen. Sie können ihn nicht auf einer nachgebauten Seite eintippen. Er ist nicht dafür gemacht, gekannt zu werden.
Dazu ist der Schlüssel fest an die echte Adresse des Dienstes gebunden. Landet ein Mitarbeiter auf »ihre-bank-sicher.co«, findet der Passkey seinen Partner nicht und bleibt stumm. Die Falle schnappt ins Leere. Wer immer noch glaubt, der eigene Betrieb sei zu klein, um für solche Angriffe interessant zu sein, unterschätzt, wie automatisiert sie ablaufen – warum gerade diese Annahme so gefährlich ist, habe ich in einem eigenen Beitrag auseinandergenommen.
Das ist der eigentliche Fortschritt. Nicht die Bequemlichkeit – die kommt obendrauf. Sondern eine ganze Klasse von Angriffen, die einfach nicht mehr greift.
Passkey neben Passwort und 2FA
Viele Betriebe haben gerade erst die Zwei-Faktor-Anmeldung eingeführt (2FA – die zweite Bestätigung per App oder SMS zusätzlich zum Passwort). Muss die jetzt wieder weg? Nein.
2FA ist ein Pflaster auf der Schwachstelle Passwort. Ein gutes Pflaster. Aber die Wunde darunter bleibt. Ein Passkey ersetzt Passwort und zweiten Faktor in einem Schritt: Der Besitz Ihres Geräts und Ihre Bestätigung darauf sind bereits beide Faktoren zusammen.
| Passwort | Passwort + 2FA | Passkey | |
|---|---|---|---|
| Etwas zu merken | Ja | Ja | Nein |
| Über gefälschte Seite abgreifbar | Ja | Oft ja | Nein |
| Bei Datenleck beim Anbieter gefährdet | Ja | Teilweise | Nein |
| Bedienung im Alltag | Tippen | Tippen plus Code | Fingerabdruck oder Gesicht |
| Reife 2026 | Überall | Überall | Bei großen Diensten, nicht überall |
Wo Passkeys heute schon gehen – und wo noch nicht
Jetzt der Teil, den die Hochglanz-Ankündigungen gern überspringen.
Wo es rundläuft: Die großen Dienste können es längst. Microsoft-365-Konten, Google Workspace, Apple, die gängigen Passwort-Manager, GitHub, immer mehr Banken. Für die Firmen-E-Mail und die zentralen Cloud-Konten ist ein Passkey 2026 alltagstauglich.
Wo es hakt: Ihre 15 Jahre alte Branchensoftware kennt keine Passkeys. Manches Nischen-Portal ebenso wenig. Das Zusammenspiel über verschiedene Gerätewelten hinweg (Apple, Android, Windows) ist besser geworden, aber nicht überall gleich reibungslos. Und verliert ein Mitarbeiter sein einziges Gerät, brauchen Sie einen vorher geplanten Rückweg ins Konto – sonst steht der Kollege vor genau der verschlossenen Tür, die Sie eben noch gelobt haben.
Ehrlich gesagt: Ein Passkey löst nicht alles auf einen Schlag ab. Das ist ein Umzug, kein Lichtschalter. Für viele Konten heute schon sinnvoll, für einige noch nicht.
Für wen im Betrieb zuerst – und wann Sie das nicht brauchen
Fangen Sie dort an, wo der Schaden am größten wäre. In dieser Reihenfolge:
- E-Mail-Postfächer. Wer die Mail kapert, setzt fast überall sonst das Passwort zurück. Das erste Ziel.
- Administrator-Konten. Die Schlüssel zum ganzen System. Genau hier zählt jeder Angriff, der ins Leere läuft.
- Zentrale Cloud- und Datei-Zugänge. Dort, wo die Mandanten-, Patienten- oder Mitgliederdaten liegen.
- Geschäftsführung und Buchhaltung. Die Konten, die Überweisungen auslösen und Verträge sehen.
Und die Gegenposition, denn die gehört dazu: Wann brauchen Sie das (noch) nicht?
Wenn Ihr Team aus drei Leuten besteht, alle einen ordentlichen Passwort-Manager samt 2FA nutzen und niemand mit sensiblen Fremddaten hantiert, dann ist ein Passkey ein Upgrade, kein Notfall. Ich dränge Ihnen keine Umstellung auf, die Sie nicht brauchen. »Das lassen wir vorerst« ist auch ein Ergebnis. Wer dagegen Mandantendaten, Patientenakten oder eine Vereinskasse verwaltet, sollte die wichtigsten Konten nicht länger an einem tippbaren Geheimnis hängen lassen.
Der Umstieg – begleitet statt allein
Passkeys sind kein Trend, den man aussitzt. Es ist der Weg, auf dem gerade die halbe Digitalwelt losläuft. Die Frage ist nicht ob, sondern welche Ihrer Konten zuerst dran sind und in welcher Reihenfolge – ohne dass am Ende jemand ausgesperrt vor der Tür steht.
Genau das plane ich mit Ihnen. Ich prüfe, welche Ihrer Dienste Passkeys heute schon können, richte sie an den wichtigen Konten ein, lege einen sicheren Rückweg für den Notfall an und weise Ihr Team so ein, dass der Umstieg niemanden überfordert. Das gehört bei mir fest zur Netzwerk- und IT-Sicherheit – und nicht zu einem Baukasten, den Sie danach selbst zusammenschrauben. Sollte trotz allem einmal etwas schiefgehen, wissen Sie was im Ernstfall zu tun ist.
Wo für Ihren Betrieb der richtige Einstieg liegt, lässt sich am besten im Gespräch klären. Genau dafür ist das kostenlose Erstgespräch da: Wir schauen zusammen auf Ihre wichtigsten Konten und legen fest, welche zuerst einen Passkey bekommen – unverbindlich und in Ihrem Tempo.
