Sechs Jahre nach der Einführung von FIDO2/WebAuthn ist der Wendepunkt da: 2026 melden Google, Apple, Microsoft und Amazon gemeinsam mehr als fünf Milliarden aktive Passkeys weltweit. Gleichzeitig stuft das US-Standardisierungsinstitut NIST SMS-Codes offiziell als „restricted authenticator” herab. Für IT-Teams und Privatnutzer in Deutschland, Österreich und der Schweiz stellt sich damit eine ganz konkrete Frage: Reicht die klassische Zwei-Faktor-Authentifizierung (2FA) noch aus, oder führt an Passkeys inzwischen kein Weg mehr vorbei? Dieser Vergleich liefert die Zahlen, die Angriffsszenarien und eine klare Migrationsanleitung.

Was ist Zwei-Faktor-Authentifizierung überhaupt?

Zwei-Faktor-Authentifizierung kombiniert zwei unabhängige Nachweise: etwas, das man weiß (Passwort), und etwas, das man besitzt oder ist (Code, Gerät, Fingerabdruck). In der Praxis heißt das meist: Passwort plus SMS-Code, Passwort plus TOTP-App wie Google Authenticator oder Passwort plus Push-Bestätigung. Der Vorteil gegenüber reinen Passwörtern ist offensichtlich, ein gestohlenes Passwort allein reicht Angreifern nicht mehr aus. Der Nachteil zeigt sich erst beim genauen Hinsehen, denn nicht jeder zweite Faktor ist gleich stark.

SMS-basierte Codes gelten als schwächstes Glied der Kette. Sie laufen über das Mobilfunknetz, das über Jahrzehnte alte SS7-Protokolle Angriffsfläche bietet, und sie hängen an der Telefonnummer statt am Gerät. Wer die Nummer per SIM-Swap kapert, kapert den zweiten Faktor gleich mit. TOTP-Apps sind sicherer, weil sie offline funktionieren und nicht vom Mobilfunknetz abhängen, bleiben aber anfällig für Echtzeit-Phishing: Eine gefälschte Login-Seite fragt den sechsstelligen Code genauso ab wie das Original und leitet ihn in Sekunden weiter. Push-basierte 2FA wiederum kämpft mit „MFA-Fatigue”, bei der Angreifer Nutzer mit wiederholten Bestätigungsanfragen bombardieren, bis jemand versehentlich zustimmt.

Eine vierte, seltener genutzte Variante sind Hardware-Security-Keys wie YubiKey oder Titan Security Key, die technisch bereits auf demselben FIDO2/WebAuthn-Fundament aufbauen wie Passkeys, aber als separates physisches Gerät statt als Softwarefunktion des Smartphones ausgeliefert werden. Sie gelten unter den 2FA-nahen Verfahren als sicherste Option, weil sie ebenfalls Origin Binding nutzen, sind aber mit Anschaffungskosten und dem Risiko eines physischen Verlusts verbunden. Für Admin-Konten und besonders schützenswerte Zugänge bleiben sie dennoch eine sinnvolle Ergänzung, gerade dort, wo ein Smartphone-basierter Passkey aus Compliance-Gründen nicht ausreicht.

Was sind Passkeys und wie unterscheiden sie sich technisch?

Passkeys basieren auf dem FIDO2/WebAuthn-Standard und ersetzen das Passwort komplett, statt es nur zu ergänzen. Beim Erstellen eines Passkeys erzeugt das Gerät ein kryptografisches Schlüsselpaar: Der private Schlüssel bleibt lokal auf dem Smartphone, Laptop oder Hardware-Token gespeichert, der öffentliche Schlüssel wandert zum Dienst. Beim Login sendet der Server eine Challenge, das Gerät signiert sie mit dem privaten Schlüssel und bestätigt die Identität per Biometrie oder Geräte-PIN. Es gibt kein Geheimnis, das über das Netz übertragen wird und das ein Angreifer abgreifen könnte.

Entscheidend ist das sogenannte Origin Binding: Ein Passkey ist fest an die exakte Domain gekoppelt, für die er erstellt wurde. Eine Phishing-Seite unter einer leicht abgewandelten URL kann den Passkey schlicht nicht abfragen, das Protokoll verweigert die Kommunikation. Genau das macht Passkeys laut FIDO Alliance grundsätzlich phishing-resistent, während SMS, TOTP und Push-2FA diesen Schutz nicht bieten (FIDO Alliance, Passkey Index, Oktober 2025).

Passkeys vs. 2FA: Die technischen Spezifikationen im Vergleich

Die folgende Tabelle stellt die wichtigsten Merkmale beider Ansätze gegenüber. Sie zeigt, warum Sicherheitsteams zunehmend zwischen „Übergangslösung” und „Zielarchitektur” unterscheiden.

MerkmalPasskeys (FIDO2/WebAuthn)SMS-2FATOTP-Authenticator-AppPush-MFA
Phishing-ResistenzJa, durch Origin BindingNeinNeinTeilweise
Schutz vor SIM-SwappingJaNeinJaJa
Passwort noch nötigNeinJaJaJa
Offline nutzbarJa (lokale Signatur)Nein (Netzabdeckung nötig)JaNein (Internetverbindung nötig)
GeräteabhängigkeitJa, mit Cloud-SyncAn Telefonnummer gebundenAn Gerät/App gebundenAn App/Gerät gebunden
NIST-Einstufung (SP 800-63B Rev. 4)Empfohlener Authenticator„Restricted Authenticator”ZulässigZulässig
Setup-Aufwand für NutzerGering (Biometrie/PIN)Sehr geringMittel (App-Installation, QR-Scan)Gering
Wiederherstellung bei GeräteverlustCloud-Sync oder Recovery-KeyNeue SIM/Nummer nötigBackup-Codes nötigBackup-Codes nötig
Plattformunterstützung 2026Top-100-Websites: 48–60 %Nahezu universellSehr breitGroße Plattformen (Microsoft, Okta, Duo)
Kryptografische BasisAsymmetrische SchlüsselpaareKein Kryptoverfahren, reiner TextcodeSymmetrisches Shared Secret (HMAC)App-gebundenes Token
Anfälligkeit für MFA-Fatigue-AngriffeNicht anwendbarNicht anwendbarGeringHoch

Browser- und Betriebssystem-Unterstützung im Detail

Ein Grund, warum Passkeys 2026 so schnell an Boden gewinnen, liegt in der breiten technischen Basis. Alle vier großen Browser-Engines, Chromium, WebKit, Gecko und die Edge-eigene Implementierung, unterstützen den WebAuthn-Standard inzwischen vollständig. Der Unterschied liegt eher darin, wie komfortabel der jeweilige Anbieter die Synchronisation über mehrere Geräte hinweg gestaltet, und ob ein Passkey nur lokal oder über die Cloud verfügbar ist.

PlattformWebAuthn-SupportCross-Device-SyncSpeicherortBesonderheit
Google Chrome / AndroidVollständigJa, über Google-PasswortmanagerGoogle-Konto (verschlüsselt)Standardoption seit Oktober 2023
Apple Safari / iOS, macOSVollständigJa, über iCloud-SchlüsselbundiCloud (Ende-zu-Ende-verschlüsselt)Tiefe Integration mit Face ID / Touch ID
Microsoft Edge / WindowsVollständigJa, über Microsoft-KontoMicrosoft-Konto oder TPM-ChipWindows Hello als biometrische Basis
Mozilla FirefoxVollständig (nutzt Betriebssystem-API)Abhängig vom OS-PasswortmanagerBetriebssystemabhängigKein eigenes Passkey-Ökosystem
Bitwarden / 1Password (App-übergreifend)VollständigJa, plattformunabhängigVerschlüsselter Cloud-TresorFunktioniert geräte- und OS-übergreifend

Für DACH-Nutzer ist besonders die Frage der Interoperabilität relevant: Wer ein Android-Smartphone und einen Windows-Laptop parallel nutzt, kann seit der Einführung des sogenannten Hybrid-Transports Passkeys geräteübergreifend nutzen, auch ohne dass beide Geräte im selben Ökosystem hängen. Ein spezieller Passwort-Manager wie Bitwarden oder 1Password löst dieses Problem robuster, da er nicht an ein einzelnes Betriebssystem gebunden ist und Passkeys zentral verwaltet.

Cross-Device-Login: Wie der QR-Code-Fallback funktioniert

Eine häufige Frage bei Passkeys lautet: Was passiert, wenn ich mich an einem fremden Rechner anmelden muss, auf dem mein Passkey gar nicht gespeichert ist, etwa im Internetcafé oder am Arbeitsplatz eines Kollegen? Für genau diesen Fall definiert der FIDO2-Standard den sogenannten Hybrid-Transport. Der fremde Rechner zeigt einen QR-Code an, das eigene Smartphone scannt ihn, und die Authentifizierung läuft anschließend über eine verschlüsselte Bluetooth-Verbindung zwischen Smartphone und Rechner ab, während die eigentliche Signatur weiterhin lokal auf dem Telefon erfolgt.

Der entscheidende Sicherheitsvorteil dieses Verfahrens: Der private Schlüssel verlässt zu keinem Zeitpunkt das Smartphone. Selbst wenn der fremde Rechner kompromittiert ist, kann ein Angreifer den Passkey nicht kopieren oder abgreifen, er sieht lediglich das Ergebnis einer erfolgreichen Signatur. Das unterscheidet sich fundamental von TOTP-Codes, die man an einem fremden Rechner eintippt und die damit potenziell im Browser-Verlauf oder durch Keylogger sichtbar werden können. In der Praxis bedeutet das: Auch Vielreisende oder Mitarbeitende, die häufig an wechselnden Arbeitsplätzen sitzen, verlieren durch den Umstieg auf Passkeys keine Flexibilität.

Adoptionsraten 2026: Wie weit sind Passkeys wirklich verbreitet?

Die Zahlen aus mehreren unabhängigen Quellen zeichnen ein konsistentes Bild: Passkeys sind vom Nischenfeature zur Massenoption geworden, auch wenn sie klassische 2FA noch nicht verdrängt haben. Laut der FIDO Alliance und HID Global besitzen mittlerweile 69 Prozent der Verbraucher weltweit mindestens einen Passkey, gegenüber nur 39 Prozent im Jahr 2024 (Swif.ai, MFA-Statistiken 2026). Von den aktiven Nutzern setzen laut FIDO 49 Prozent Passkeys regelmäßig ein, sobald ein Dienst sie anbietet.

Auf Unternehmensseite berichtet Descope, dass 45 Prozent der befragten Organisationen Passkeys bereits in mindestens einer Kunden-App eingeführt haben, weitere 27 Prozent planen die Einführung innerhalb der nächsten zwei Jahre (Descope, Passkey Trends 2026). Bei den großen Plattformbetreibern zeigt sich das Tempo besonders deutlich: Apple meldet, dass 58 Prozent aller iCloud-Konten mindestens einen Passkey registriert haben, ein Sprung von 21 Prozent im Jahr 2024. Amazon berichtet, dass rund 175 Millionen Kundenkonten, etwa ein Viertel der Kundschaft, im ersten Jahr nach Einführung einen Passkey angelegt haben.

Auf der Zahlungsebene liefert Dashlane den greifbarsten Trend: Passkey-Logins haben sich innerhalb eines Jahres auf 1,3 Millionen pro Monat verdoppelt, wobei E-Commerce-Plattformen rund 45 Prozent aller Passkey-Authentifizierungen ausmachen und Amazon allein knapp 40 Prozent Marktanteil an diesen Logins hält (Dashlane, Passkey Report 2025). Bei den Top-1000-Websites weltweit unterstützen laut FIDO-Erhebung inzwischen etwa 20 bis 30 Prozent Passkeys, bei den Top-100-Websites liegt der Wert bei 48 bis 60 Prozent.

Angriffsstatistiken: Warum klassische 2FA unter Druck steht

Der Druck auf SMS- und App-basierte 2FA kommt nicht aus der Theorie, sondern aus konkreten Angriffszahlen. Laut dem Authentication Security Threat Landscape Report 2026 von MojoAuth sind Versuche, MFA zu umgehen, im Jahr 2025 um 218 Prozent gestiegen, getrieben durch SIM-Swapping, Push-Bombing und Echtzeit-Phishing gegen OTP-Verfahren (MojoAuth, Authentication Security Threat Landscape 2026). Besonders SMS-Codes bleiben ein Einfallstor: Sie hängen an der Telefonnummer, und wer diese per SIM-Swap kapert, übernimmt effektiv auch den zweiten Faktor.

Der SIM-Swap-Statistikbericht von Stingrai für 2026 dokumentiert, dass genau diese Angriffsklasse in den USA von der Bundespolizei FBI und von Gruppen wie Scattered Spider aktiv für Kontoübernahmen bei Finanzdienstleistern und Krypto-Börsen genutzt wird (Stingrai, SIM Swap Statistics 2026). Als direkte Reaktion hat NIST in der überarbeiteten Spezifikation SP 800-63B Revision 4 SMS- und Festnetz-Einmalcodes offiziell als „restricted authenticator” eingestuft, die erste derartige Klassifizierung dieser Art (NIST, Digital Identity Guidelines SP 800-63B). Verifizierende Stellen müssen seither die Telefonnummer einem konkreten physischen Gerät zuordnen und Indikatoren wie SIM-Swap, Portierung und Gerätewechsel berücksichtigen.

Regulatorisch zieht das weite Kreise: Das US-Patentamt schaltete SMS-Authentifizierung bereits im Mai 2025 ab, die Finanzaufsicht FINRA folgte im Juli 2025 mit deutlichen Einschränkungen. Die Zentralbank der Vereinigten Arabischen Emirate verpflichtete Banken, SMS- und E-Mail-OTPs bis zum 31. März 2026 abzuschaffen, inklusive einer Haftungsverschiebung zulasten der Banken bei Betrugsfällen über diesen Kanal.

Häufige Irrtümer über Passkeys

In Diskussionen über Passkeys tauchen immer wieder dieselben Missverständnisse auf, die eine Umstellung unnötig verzögern. Der erste Irrtum lautet, Passkeys seien nur ein weiterer zweiter Faktor. Tatsächlich ersetzen sie das komplette Login-Verfahren inklusive Passwort, sie sind kein Zusatz, sondern ein Ersatz. Wer Passkeys als „noch eine App” abtut, unterschätzt, dass am Ende ein Login-Schritt wegfällt statt hinzuzukommen.

Der zweite Irrtum betrifft die Biometrie: Viele Nutzer glauben, ihr Fingerabdruck oder Gesichtsscan würde beim Login an den jeweiligen Dienst übertragen. Das ist falsch. Die biometrische Prüfung findet ausschließlich lokal auf dem Gerät statt und entsperrt dort den privaten Schlüssel, an den Server geht nur die kryptografische Signatur, niemals biometrische Rohdaten. Der dritte Irrtum lautet, ein gestohlenes Smartphone bedeute automatisch ein gehacktes Konto. Auch das stimmt nicht, denn ohne die passende Biometrie oder Geräte-PIN bleibt der private Schlüssel auf dem gesperrten Gerät unbrauchbar.

Ein vierter, in Unternehmen verbreiteter Irrtum ist die Annahme, Passkeys ließen sich nicht zentral durch die IT-Abteilung verwalten oder zurückziehen. Identity-Provider wie Microsoft Entra oder Okta bieten längst Admin-Funktionen, um Passkeys geräteweise zu widerrufen, etwa wenn ein Mitarbeitender das Unternehmen verlässt oder ein Gerät verloren geht. Der Prozess ähnelt dem Sperren einer Zugangskarte, nur eben digital.

Passkeys und Datenschutz: Was für DACH-Nutzer relevant ist

Aus Datenschutzsicht schneiden Passkeys im Vergleich zu klassischer 2FA in mehreren Punkten besser ab. Da keine Telefonnummer für den Login-Prozess notwendig ist, entfällt ein Datenpunkt, der bei SMS-2FA zwingend beim Anbieter hinterlegt werden muss und potenziell bei einem Datenleck kompromittiert werden kann. Auch das erwähnte Shared Secret bei TOTP-Verfahren, das serverseitig gespeichert werden muss, um Codes zu verifizieren, entfällt bei Passkeys vollständig, da dort ausschließlich der öffentliche Schlüssel beim Anbieter liegt, mit dem sich ohnehin nichts anfangen lässt, ohne den privaten Gegenpart auf dem Gerät der Nutzerin oder des Nutzers.

Für Unternehmen mit Sitz in der EU ist zudem relevant, dass die Verarbeitung biometrischer Daten unter die DSGVO als besondere Kategorie personenbezogener Daten fallen kann. Da bei Passkeys die biometrische Prüfung jedoch lokal auf dem Endgerät verbleibt und niemals an den Dienst übertragen wird, entsteht in der Regel keine Verarbeitung biometrischer Daten im datenschutzrechtlichen Sinne durch den Diensteanbieter selbst, das Risiko verlagert sich stattdessen auf die Gerätehersteller wie Apple, Google oder Microsoft, die die biometrische Infrastruktur bereitstellen. Unternehmen, die Passkeys einführen, sollten das dennoch in ihrer Datenschutz-Folgenabschätzung dokumentieren.

Preisvergleich: Was kostet die Umstellung wirklich?

Ein oft unterschätzter Faktor bei der Entscheidung ist der Kostenrahmen. Passkeys selbst sind als Standard kostenlos, die eigentlichen Ausgaben entstehen bei Hardware, Identitätsmanagement-Lizenzen und beim Support während der Übergangsphase.

LösungTypische KostenZielgruppeBesonderheit
Plattform-Passkey (Face ID, Windows Hello, Android)0 € (im Gerät integriert)Privatnutzer, kleine TeamsKein Zusatzgerät nötig
Passwort-Manager mit Passkey-Support (Bitwarden, 1Password)0–3 €/Monat pro NutzerPrivatnutzer bis KMUSync über Geräte hinweg
Hardware-Security-Key (FIDO2, z. B. YubiKey)25–70 € einmalig pro SchlüsselAdmins, Hochrisiko-KontenAuch offline und plattformunabhängig nutzbar
SMS-2FA-Infrastruktur (Telco-Gateway)0,01–0,05 € pro versendeter SMSGroße Nutzerbasis, Legacy-SystemeLaufende Kosten skalieren mit Nutzerzahl
TOTP über Authenticator-App0 € (App kostenlos)Alle NutzergruppenKein Mobilfunknetz nötig
Enterprise-Identity-Plattform mit Passkey-Rollout (z. B. Microsoft Entra, Okta)ca. 6–15 €/Monat pro Nutzer, je nach LizenzstufeMittelstand bis KonzernZentrale Verwaltung, Richtlinien, Reporting

Für Privatnutzer ist die Rechnung einfach: Passkeys sind faktisch kostenlos, sobald Smartphone oder Passwort-Manager sie unterstützen. Für Unternehmen verschiebt sich der Kostenblock, denn die größte Ausgabe ist selten die Technik selbst, sondern der Schulungs- und Support-Aufwand während der Migration, plus die Zeit, die IT-Teams für Fallback-Mechanismen bei Geräteverlust einplanen müssen.

Google, Apple, Microsoft und Amazon: Wie die großen Plattformen 2026 vorgehen

Die vier größten Konsumentenplattformen haben 2025 und 2026 sichtbar Tempo aufgenommen. Google machte Passkeys bereits seit Oktober 2023 zur Standardoption und sichert 2026 nach eigenen Angaben über 800 Millionen Konten damit ab. Microsoft ist noch einen Schritt weitergegangen: Seit Mai 2025 sind neue Consumer-Konten standardmäßig passwortlos, und ab Frühjahr 2026 rollt Microsoft Passkey-Unterstützung für Entra-geschützte Unternehmensressourcen plattformweit als phishing-resistente Anmeldeoption aus.

Apple berichtet, dass 58 Prozent aller iCloud-Konten mindestens einen Passkey registriert haben. Amazon wiederum zeigt, wie schnell sich das auf den E-Commerce-Bereich überträgt: 175 Millionen Nutzer, ein Viertel der Kundenbasis, legten im ersten Jahr nach Einführung einen Passkey an. Zusammengenommen sprechen die drei größten Plattformen laut einer unabhängigen Analyse von über drei Milliarden erstellten Passkeys allein bei Apple, Google und Microsoft (Descope, Passwordless Authentication Trends).

Was das für deutsche Nutzer bedeutet

Für den DACH-Raum heißt das konkret: Wer ein Google-, Microsoft-, Apple- oder Amazon-Konto nutzt, bekommt die Passkey-Option inzwischen meist automatisch angeboten, oft direkt beim nächsten Login als Empfehlung eingeblendet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt generell starke, mehrstufige Authentifizierung und stuft SMS-basierte Verfahren traditionell als schwächste Variante ein (BSI, Zwei-Faktor-Authentisierung). Diese Linie deckt sich mit der internationalen Entwicklung hin zu FIDO2-Security-Keys und Passkeys als bevorzugtem Standard.

In Österreich und der Schweiz verläuft die Entwicklung ähnlich, auch wenn beide Länder keine eigene, dem BSI vergleichbare Zertifizierungsstelle für Consumer-Authentifizierung betreiben. Banken und Behörden in beiden Ländern orientieren sich in der Praxis stark an denselben internationalen Standards wie FIDO2/WebAuthn und den NIST-Richtlinien, da viele der genutzten Identity-Plattformen ohnehin aus demselben internationalen Anbieterpool stammen wie in Deutschland. Für Nutzer in der gesamten DACH-Region bedeutet das: Die technische Entscheidung zwischen Passkey und klassischer 2FA unterscheidet sich kaum von Land zu Land, lediglich das Tempo der behördlichen Umstellung variiert.

Login-Geschwindigkeit: Was der Wechsel im Alltag bringt

Neben der reinen Sicherheitsfrage spielt für viele Nutzer der Alltagskomfort eine ebenso große Rolle. Eine Analyse von Tech Insider zu Passkeys gegenüber klassischen Passwort-Logins beziffert den Zeitgewinn auf bis zu 73 Prozent schnellere Anmeldevorgänge, weil Passworteingabe, Tippfehler-Korrekturen und der Wechsel zur SMS- oder Authenticator-App komplett entfallen (Tech Insider, Passkeys vs. Passwords 2026). Bei einer klassischen 2FA-Anmeldung mit SMS müssen Nutzer typischerweise das Passwort eintippen, auf den Code warten, zur SMS-App wechseln, die Ziffern übertragen und den Vorgang bestätigen. Bei Passkeys entfällt der gesamte Ablauf zugunsten eines einzigen biometrischen Schritts.

Dieser Geschwindigkeitsvorteil erklärt teilweise auch die hohen Nutzungsraten bei E-Commerce-Anbietern: Wenn ein Login-Vorgang beim Checkout Sekunden statt Zehner-Sekunden dauert, sinkt die Abbruchquote im Bestellprozess spürbar. Für Unternehmen mit hohem Transaktionsvolumen ist das ein handfester Geschäftsgrund für die Umstellung, unabhängig vom reinen Sicherheitsargument.

5 reale Einsatzszenarien im Vergleich

Ob Passkeys oder klassische 2FA die bessere Wahl sind, hängt stark vom konkreten Szenario ab. Fünf Beispiele aus der Praxis zeigen die Unterschiede.

Online-Banking und Finanz-Apps

Bei vielen Neobanken und zunehmend auch bei etablierten Filialbanken ist die Kombination aus Passkey und biometrischer Geräte-Bestätigung inzwischen Standard für den App-Login. Klassische SMS-TAN gilt seit der NIST-Neubewertung als Auslaufmodell, bleibt aber wegen gesetzlicher Vorgaben zur starken Kundenauthentifizierung und wegen älterer Zielgruppen, die kein Smartphone mit Biometrie besitzen, vorerst als Fallback im Einsatz. Die eigentliche Überweisungsfreigabe läuft bei den meisten Banken ohnehin bereits über eine separate App-basierte Bestätigung statt über SMS.

Unternehmens-Login (Single Sign-On)

Firmen mit Microsoft Entra oder Okta rollen Passkeys für Mitarbeitende aus, weil interne Phishing-Simulationen zeigen, dass sich die Erfolgsquote von Angreifern gegen null senken lässt, sobald der Login nicht mehr über ein abfragbares Passwort oder einen abfangbaren Code läuft. TOTP-Apps bleiben in vielen Firmen als Zwischenlösung für Legacy-Systeme im Einsatz, die technisch noch kein WebAuthn unterstützen, etwa ältere ERP- oder Fachanwendungen ohne moderne Authentifizierungsschnittstelle.

Krypto-Börsen und Wallets

Wegen der hohen Zahl dokumentierter SIM-Swap-Vorfälle setzen Börsen zunehmend auf Hardware-Security-Keys oder Passkeys statt auf SMS, da gestohlene Telefonnummern in diesem Bereich direkt zu finanziellem Schaden führen können. Anders als bei einem Streaming-Abo lässt sich ein leergeräumtes Wallet in der Regel nicht rückgängig machen, weshalb Börsenbetreiber phishing-resistente Verfahren inzwischen aktiv bewerben statt sie nur optional anzubieten.

E-Commerce-Checkout

Amazon und andere große Händler zeigen, dass Passkeys nicht nur sicherer, sondern auch spürbar schneller sind. Ein Login dauert oft nur eine Biometrie-Bestätigung statt Passworteingabe plus Code-Abruf per App oder SMS, was sich direkt in niedrigeren Kaufabbruchraten während des Bestellprozesses niederschlägt.

Behörden- und Gesundheitsportale in der DACH-Region

Hier dominiert weiterhin TOTP oder App-basierte 2FA, da viele öffentliche IT-Systeme WebAuthn erst schrittweise integrieren und strenge Vorgaben zur Barrierefreiheit und Geräteunabhängigkeit gelten. Bürgerportale müssen häufig auch Menschen ohne modernes Smartphone bedienen, weshalb ein vollständiger Umstieg auf Passkeys dort langsamer verläuft als im privatwirtschaftlichen Umfeld.

Vor- und Nachteile von Passkeys

Vorteile

  • Phishing-resistent durch Origin Binding, eine gefälschte Login-Seite kann den Schlüssel nicht abfragen
  • Kein Passwort mehr nötig, damit entfällt auch das Risiko wiederverwendeter oder schwacher Passwörter
  • Schnellerer Login per Biometrie oder Geräte-PIN statt Passworteingabe und Code-Abruf
  • Kein Angriffsvektor über SIM-Swapping, da kein Bezug zur Telefonnummer besteht
  • Breite Unterstützung durch Google, Apple, Microsoft und Amazon bereits vorhanden

Nachteile

  • Gerätebindung kann bei Verlust ohne eingerichteten Cloud-Sync oder Recovery-Key zu Zugriffsproblemen führen
  • Noch nicht bei allen Diensten verfügbar, laut FIDO-Zahlen unterstützen erst 20 bis 30 Prozent der Top-1000-Websites Passkeys
  • Wechsel zwischen Ökosystemen (etwa von Android zu iOS) ist technisch möglich, aber für viele Nutzer noch nicht intuitiv
  • Ältere Geräte ohne Biometrie-Sensor oder aktuelle Betriebssystemversion unterstützen Passkeys oft nicht vollständig
  • Weniger vertraut für Nutzergruppen, die jahrelang an Passwörter gewöhnt sind, was anfangs zu Supportanfragen führt

Vor- und Nachteile klassischer Zwei-Faktor-Authentifizierung

Vorteile

  • Nahezu universell unterstützt, praktisch jeder Dienst bietet mindestens eine 2FA-Variante an
  • Kein neues Gerät oder Passwort-Manager nötig, funktioniert mit jedem einfachen Mobiltelefon
  • TOTP-Apps sind offline nutzbar und unabhängig vom Mobilfunknetz
  • Geringe Einstiegshürde, da die meisten Nutzer den Ablauf aus jahrelanger Praxis bereits kennen
  • Gut dokumentierte Recovery-Prozesse über Backup-Codes bei den meisten Anbietern

Nachteile

  • SMS-2FA ist laut NIST-Neueinstufung als „restricted authenticator” grundsätzlich angreifbar über SIM-Swapping
  • Kein Schutz vor Echtzeit-Phishing, gefälschte Login-Seiten können TOTP-Codes und Push-Bestätigungen genauso abgreifen wie das Original
  • MFA-Fatigue-Angriffe nutzen wiederholte Push-Anfragen, um Nutzer zur versehentlichen Bestätigung zu bewegen
  • Passwort bleibt weiterhin nötig und damit auch dessen Schwachstellen wie Wiederverwendung oder Datenlecks
  • Laut MojoAuth-Bericht sind MFA-Bypass-Versuche 2025 um 218 Prozent gestiegen, ein direkter Hinweis auf wachsenden Angriffsdruck

Migrationsleitfaden: Von 2FA zu Passkeys in der Praxis

Der Umstieg von klassischer 2FA auf Passkeys muss nicht abrupt erfolgen. Die folgende Schrittfolge eignet sich sowohl für Privatnutzer als auch für kleine IT-Teams, die die Umstellung geordnet angehen wollen. Wichtig ist, den Prozess als schrittweise Ablösung zu verstehen und nicht als Schalter, der an einem Tag umgelegt wird, denn nicht jeder genutzte Dienst unterstützt Passkeys bereits, und ein zu abrupter Wechsel führt erfahrungsgemäß zu unnötigen Aussperrungen.

  1. Bestandsaufnahme: Prüfen, welche genutzten Dienste bereits Passkeys unterstützen. Große Plattformen wie Google, Microsoft, Apple, Amazon, PayPal und GitHub bieten die Option meist in den Sicherheitseinstellungen an.
  2. Passwort-Manager mit Passkey-Support wählen: Wer Passkeys geräteübergreifend synchronisieren will, braucht einen Manager wie Bitwarden oder 1Password, der WebAuthn-Anmeldedaten sicher speichert und über Plattformen hinweg verfügbar macht.
  3. Mit unkritischen Konten starten: Zuerst bei einem Konto mit geringem Risiko (z. B. einem Streaming-Dienst) testen, wie sich Registrierung und Login anfühlen, bevor Finanz- oder Firmenkonten umgestellt werden.
  4. Recovery-Mechanismus einrichten: Vor der eigentlichen Umstellung mindestens einen Wiederherstellungsweg festlegen, etwa einen zweiten Passkey auf einem separaten Gerät oder einen Recovery-Code an einem sicheren Ort.
  5. Hochrisiko-Konten priorisieren: E-Mail-Hauptkonto, Online-Banking und Cloud-Speicher zuerst umstellen, da ein kompromittiertes E-Mail-Konto oft als Einfallstor für alle weiteren Dienste dient.
  6. Alte 2FA-Methoden nicht sofort löschen: SMS oder TOTP als Fallback vorerst aktiv lassen, bis der Passkey zuverlässig funktioniert und getestet wurde.
  7. Team oder Familie einbeziehen: Bei gemeinsam genutzten Konten oder in Unternehmen alle Beteiligten informieren und eine kurze Anleitung bereitstellen, um Support-Anfragen zu reduzieren.
  8. Geräteinventar aktuell halten: Dokumentieren, auf welchen Geräten welche Passkeys liegen, damit bei einem Geräteverlust schnell reagiert werden kann.
  9. Regelmäßig überprüfen: Sicherheitseinstellungen alle paar Monate durchgehen und alte, nicht mehr genutzte 2FA-Methoden oder Passkeys von verkauften Geräten entfernen.
  10. SMS als letzten Fallback einplanen, nicht als Standard: Wo eine Fallback-Option zwingend nötig ist, SMS nur als letzte Instanz belassen, niemals als primäre Absicherung wichtiger Konten.

Nach Abschluss dieser zehn Schritte sollte der Großteil der wichtigen Konten auf Passkeys umgestellt sein, während weniger kritische Dienste ohne Passkey-Support weiterhin über TOTP oder, im ungünstigsten Fall, SMS abgesichert bleiben. Realistisch dauert eine vollständige Umstellung für eine Privatperson mit rund 20 bis 30 aktiv genutzten Online-Konten erfahrungsgemäß zwei bis drei Wochenenden, verteilt über einen längeren Zeitraum, damit genug Zeit bleibt, jeden Schritt in Ruhe zu testen.

Passkeys beim Ökosystemwechsel: Von Android zu iOS und zurück

Eine praktische Sorge, die in Foren und Support-Anfragen häufig auftaucht: Was passiert mit gespeicherten Passkeys, wenn jemand von einem Android-Smartphone auf ein iPhone wechselt oder umgekehrt? Solange Passkeys in einem plattformgebundenen Speicher wie dem Google-Passwortmanager oder dem iCloud-Schlüsselbund liegen, ist der Wechsel nicht automatisch, die Schlüssel bleiben zunächst im alten Ökosystem gefangen. Nutzer müssen dann für jeden betroffenen Dienst manuell einen neuen Passkey auf dem neuen Gerät registrieren, üblicherweise über den erwähnten QR-Code-Hybridtransport, bei dem das alte Gerät als Zwischenschritt genutzt wird.

Deutlich unkomplizierter läuft der Wechsel, wenn Passkeys von Anfang an in einem plattformunabhängigen Passwort-Manager wie Bitwarden oder 1Password gespeichert wurden. Da diese Anbieter eigene, betriebssystemübergreifende Cloud-Tresore betreiben, ist der gesamte Bestand an Passkeys nach der Anmeldung auf dem neuen Gerät sofort wieder verfügbar, ganz ohne manuelle Neuregistrierung bei jedem einzelnen Dienst. Wer einen Ökosystemwechsel in absehbarer Zeit plant, etwa beim nächsten Smartphone-Kauf, sollte diesen Aspekt bei der Wahl des Passwort-Managers von vornherein einplanen.

Passkeys und Unternehmen: Was IT-Verantwortliche 2026 beachten müssen

Für Unternehmen ist die Passkey-Migration mehr als ein reines IT-Projekt, sie berührt Compliance, Nutzerkomfort und Support-Kapazitäten gleichermaßen. Laut Descope haben bereits 45 Prozent der befragten Organisationen Passkeys in mindestens einer Kunden-App eingeführt, ein deutliches Signal, dass das Thema aus der Pilotphase heraus ist. Gleichzeitig zeigen die 27 Prozent, die eine Einführung erst in den nächsten zwei Jahren planen, dass viele IT-Abteilungen noch mit Legacy-Systemen kämpfen, die kein WebAuthn unterstützen.

Ein praktischer Aspekt betrifft die Identity-Provider-Integration. Microsoft Entra, Okta und ähnliche Plattformen bieten inzwischen native Passkey-Unterstützung, was den Rollout für Unternehmen erheblich vereinfacht, da keine Parallelinfrastruktur für ein separates FIDO2-Backend nötig ist. Für Firmen mit eigener Nutzerverwaltung empfiehlt sich der Einsatz einer WebAuthn-Bibliothek, die von den gängigen Browsern und Betriebssystemen ohne Zusatzsoftware unterstützt wird.

Ein zweiter Aspekt betrifft die Übergangsphase selbst. Solange nicht alle Mitarbeitenden umgestellt sind, müssen IT-Teams zwangsläufig zwei parallele Authentifizierungspfade betreiben, den neuen Passkey-Flow und den alten Passwort-plus-TOTP-Flow. Das erhöht kurzfristig die Komplexität der Login-Infrastruktur, bevor sie sich langfristig vereinfacht. Erfahrene Teams planen deshalb ein festes Enddatum für die alte Methode ein, etwa sechs bis zwölf Monate nach Rollout-Start, um die Zwischenphase nicht unnötig in die Länge zu ziehen und Nutzer aktiv zur Umstellung zu bewegen, statt sie unbegrenzt bei der gewohnten Methode zu belassen.

// Beispiel: Passkey-Registrierung mit der WebAuthn-API im Browser
const options = {
  challenge: new Uint8Array(32), // vom Server generiert
  rp: { name: "Beispiel GmbH", id: "beispiel.de" },
  user: {
    id: new Uint8Array(16),
    name: "[email protected]",
    displayName: "Max Mustermann"
  },
  pubKeyCredParams: [{ type: "public-key", alg: -7 }],
  authenticatorSelection: {
    userVerification: "required",
    residentKey: "required"
  }
};

navigator.credentials.create({ publicKey: options })
  .then(credential => {
    // Öffentlichen Schlüssel an den Server senden und speichern
  });

Wichtig für die interne Kommunikation: Passkeys ersetzen bei korrekter Implementierung nicht nur den zweiten Faktor, sondern das Passwort selbst. Das bedeutet auch, dass Password-Reset-Flows, Helpdesk-Prozesse und Notfallzugänge neu gedacht werden müssen, denn „Passwort vergessen” gibt es bei einem reinen Passkey-Konto so nicht mehr.

Zwei technische Begriffe tauchen bei der Implementierung immer wieder auf und lohnen eine kurze Erklärung. „Discoverable Credentials” bezeichnen Passkeys, die auf dem Authenticator selbst ohne zusätzliche Nutzereingabe auffindbar sind, das ist der Grund, warum bei einem Passkey-Login oft kein Nutzername mehr eingegeben werden muss, das Gerät zeigt automatisch die passenden Konten an. „Attestation” wiederum ist ein optionaler Mechanismus, mit dem ein Server prüfen kann, von welchem Hersteller und Gerätetyp ein Schlüssel stammt, etwa um bei Hochsicherheitsanwendungen nur zertifizierte Hardware-Keys zuzulassen. Für die meisten Consumer-Anwendungen ist Attestation nicht nötig, für regulierte Branchen wie Banken oder Behörden kann sie aber Teil der Compliance-Anforderungen sein.

Lohnt sich die Umstellung für kleine und mittlere Unternehmen?

Für Konzerne mit eigener Sicherheitsabteilung ist die Passkey-Frage längst keine Frage mehr, sie ist Teil der Roadmap. Für kleinere Unternehmen im Mittelstand, die oft ohne dedizierte IT-Sicherheitsstelle auskommen, sieht die Rechnung anders aus. Hier zählt vor allem, wie stark sich Support-Aufwand reduzieren lässt: Ein erheblicher Teil der Helpdesk-Anfragen in kleinen Firmen dreht sich um vergessene Passwörter und blockierte Konten nach zu vielen Fehlversuchen. Da Passkeys dieses Problem strukturell auflösen, weil es kein zu vergessendes Passwort mehr gibt, sinkt dieser Anfragetyp spürbar, sobald die Umstellung abgeschlossen ist.

Der Haupthinderungsgrund für kleinere Betriebe ist meist nicht die Technik selbst, sondern die Sorge vor Komplexität bei Mitarbeitenden, die wenig technikaffin sind. Hier hilft ein stufenweiser Rollout, wie im Migrationsleitfaden beschrieben, verbunden mit einer kurzen Einweisung, die den einmaligen Registrierungsschritt zeigt. Da der eigentliche Login danach für die Nutzer einfacher wird als vorher, kippt die anfängliche Skepsis in der Praxis meist rasch. Wer als kleines Unternehmen bereits einen Passwort-Manager im Einsatz hat, kann die Umstellung zudem nahezu ohne zusätzliche Lizenzkosten realisieren, da die gängigen Anbieter Passkey-Unterstützung inzwischen im Standardtarif mitliefern.

Der Verdikt: Wann Passkeys, wann klassische 2FA?

Die Datenlage 2026 ist eindeutig: Passkeys sind die technisch überlegene Lösung, sobald ein Dienst sie unterstützt. Sie eliminieren Phishing als Angriffsvektor durch Origin Binding, sie machen SIM-Swapping wirkungslos, und sie sind für die meisten Nutzer sogar schneller im Alltag. Fünf Milliarden aktive Passkeys, 69 Prozent Verbraucher mit mindestens einem Passkey und die NIST-Abstufung von SMS zum „restricted authenticator” ergeben zusammen ein klares Bild: Die Richtung ist gesetzt.

Trotzdem bleibt klassische 2FA 2026 nicht überflüssig. Mit Unterstützung bei erst 20 bis 30 Prozent der Top-1000-Websites braucht es für die meisten Nutzer weiterhin einen funktionierenden zweiten Faktor für Dienste ohne Passkey-Option. Die praktikable Strategie lautet daher: Passkeys überall dort aktivieren, wo sie angeboten werden, besonders bei E-Mail, Banking und Cloud-Speicher, und für den Rest mindestens TOTP statt SMS nutzen. Wer beides kombiniert, deckt die Übergangsphase ab, ohne auf den stärkeren Schutz zu verzichten, sobald er verfügbar ist.

Zusammengefasst lässt sich die Entscheidung an drei einfachen Leitfragen festmachen. Erstens: Bietet der Dienst überhaupt einen Passkey an? Falls ja, sollte er in fast allen Fällen der ersten Wahl entsprechen. Zweitens: Handelt es sich um ein Hochrisiko-Konto wie E-Mail, Banking oder einen zentralen Identity-Provider? Hier lohnt sich der zusätzliche Aufwand einer schnellen Umstellung besonders, weil die Angriffsfläche bei einer Kompromittierung am größten ist. Drittens: Ist SMS die einzige verfügbare Option? Dann bleibt sie besser als gar kein Schutz, sollte aber mit zusätzlichen Maßnahmen wie einer Portierungssperre beim Mobilfunkanbieter abgesichert werden, bis eine bessere Alternative verfügbar ist. Wer diese drei Fragen konsequent auf die eigenen Konten anwendet, kommt 2026 mit vertretbarem Aufwand zu einem spürbar höheren Schutzniveau.

Häufig gestellte Fragen zu Passkeys und 2FA

Sind Passkeys sicherer als Zwei-Faktor-Authentifizierung?

Ja, in den meisten Angriffsszenarien. Passkeys sind durch Origin Binding phishing-resistent und immun gegen SIM-Swapping, während SMS- und teils auch TOTP-basierte 2FA diese Schwächen aufweisen. Die NIST-Neueinstufung von SMS als „restricted authenticator” bestätigt diesen Unterschied offiziell.

Kann ich Passkeys und 2FA gleichzeitig nutzen?

Ja. Viele Dienste erlauben es, einen Passkey als primäre Anmeldemethode zu hinterlegen und zusätzlich einen zweiten Faktor als Fallback zu behalten, etwa für den Fall eines Geräteverlusts.

Was passiert, wenn ich mein Gerät mit Passkeys verliere?

Bei aktiviertem Cloud-Sync (etwa über den Passwort-Manager oder das Betriebssystem-Ökosystem) lassen sich Passkeys auf einem neuen Gerät wiederherstellen. Ohne Sync empfiehlt sich ein zweiter Passkey auf einem separaten Gerät oder ein hinterlegter Recovery-Code als Absicherung.

Unterstützen alle Websites bereits Passkeys?

Nein. Laut FIDO-Zahlen unterstützen aktuell 48 bis 60 Prozent der Top-100-Websites Passkeys, bei den Top-1000-Websites liegt der Anteil bei 20 bis 30 Prozent. Für alle anderen Dienste bleibt klassische 2FA vorerst nötig.

Warum stuft NIST SMS-2FA als riskant ein?

Weil SMS-Codes über das Mobilfunknetz laufen und an eine Telefonnummer statt an ein konkretes Gerät gebunden sind. Bei einem SIM-Swap-Angriff übernimmt der Angreifer die Nummer und damit auch alle SMS-basierten Zugangscodes, ohne das eigentliche Gerät zu besitzen.

Sind Passkeys für Unternehmen komplizierter einzuführen als 2FA?

Der initiale Rollout erfordert mehr Planung, insbesondere bei Recovery-Prozessen und Legacy-Systemen ohne WebAuthn-Unterstützung. Identity-Provider wie Microsoft Entra oder Okta erleichtern die Integration inzwischen deutlich, sodass der Mehraufwand gegenüber reinem TOTP-Rollout überschaubar bleibt.

Ersetzen Passkeys auch das Passwort für den Passwort-Manager selbst?

Das Master-Passwort des Passwort-Managers bleibt in den meisten Fällen bestehen, da es den Zugang zum gesamten Tresor inklusive gespeicherter Passkeys schützt. Manche Anbieter erlauben inzwischen aber auch, den Tresor selbst per Passkey oder Biometrie zu entsperren.

Was mache ich, wenn ein Dienst nur SMS-2FA anbietet?

Dann bleibt SMS-2FA besser als gar kein zweiter Faktor. Sinnvoll ist es, den eigenen Mobilfunkanbieter zusätzlich um eine PIN-Sperre für SIM-Kartenwechsel zu bitten, um das Risiko eines SIM-Swaps zu reduzieren, bis der Dienst Passkeys oder zumindest TOTP unterstützt.

Kosten Hardware-Security-Keys im Vergleich zu Software-Passkeys?

Software-Passkeys, die im Smartphone oder Passwort-Manager gespeichert sind, kosten in der Regel nichts zusätzlich. Physische FIDO2-Security-Keys wie ein YubiKey liegen je nach Modell zwischen etwa 25 und 70 Euro pro Schlüssel und lohnen sich vor allem für Admin-Konten, Entwicklerzugänge oder andere besonders schützenswerte Zugriffe, bei denen ein zusätzliches physisches Gerät den Aufwand rechtfertigt.