Fünf Milliarden aktive Passkeys weltweit, eine Erfolgsquote von 93 Prozent beim Login und ein SIM-Swap-Anstieg von über 1.000 Prozent in nur einem Jahr: Die Zahlen rund um Zwei-Faktor-Authentifizierung haben sich 2026 deutlich verschoben. Die FIDO Alliance meldete am 7. Mai 2026, dem World Passkey Day, dass drei Viertel aller befragten Nutzer inzwischen mindestens einen Passkey aktiviert haben. Gleichzeitig warnt das amerikanische NIST in seiner überarbeiteten Digital-Identity-Richtlinie SP 800-63-4 vor SMS-Codes als Sicherheitsfaktor. Wer 2026 noch auf SMS-2FA setzt, sitzt technisch gesehen auf einem Auslaufmodell. Dieser Vergleich zeigt, wie Passkeys, Authenticator-Apps und SMS-Codes bei Sicherheit, Tempo, Kosten und Praxistauglichkeit wirklich abschneiden, und wann welche Methode noch sinnvoll ist.

Was sind Passkeys? WebAuthn und FIDO2 einfach erklärt

Ein Passkey ersetzt Passwort und zweiten Faktor durch ein einziges kryptografisches Schlüsselpaar. Beim Anlegen eines Kontos erzeugt das Gerät einen privaten und einen öffentlichen Schlüssel nach dem WebAuthn-Standard, einer gemeinsamen Spezifikation von W3C und der FIDO Alliance. Der private Schlüssel verlässt niemals das Gerät, er liegt im sicheren Hardware-Speicher von Smartphone, Laptop oder Sicherheitsschlüssel. Der Dienst speichert nur den öffentlichen Schlüssel. Beim Login schickt der Server eine Challenge, das Gerät signiert sie mit dem privaten Schlüssel und bestätigt die Identität per Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

So funktioniert der Login mit Passkey in der Praxis

Technisch nutzt WebAuthn meist elliptische Kurvenkryptografie nach dem P-256-Standard (secp256r1) mit ECDSA und SHA-256 als Signaturverfahren, seltener RSA mit mindestens 2048 Bit. Entscheidend ist die Origin-Bindung: Ein Passkey signiert ausschließlich für die exakte Domain, für die er registriert wurde. Eine Phishing-Seite, selbst mit einem Echtzeit-Proxy im Adversary-in-the-Middle-Verfahren, kann das Gerät nicht dazu bringen, eine gültige Signatur für eine fremde Domain zu erzeugen. Genau das unterscheidet Passkeys grundlegend von Einmalcodes, die sich kopieren und weiterleiten lassen. Moderne Passkeys sind zudem synchronisierbar: Apple, Google und Microsoft spiegeln sie verschlüsselt über die eigene Cloud auf alle Geräte eines Nutzers.

Dabei unterscheidet der Standard zwei Varianten. Synchronisierte Passkeys wandern über einen Cloud-Schlüsselbund wie iCloud Keychain, Google Password Manager oder den Microsoft-Kontoverbund auf alle Geräte eines Nutzers und überstehen so einen Gerätewechsel ohne Neueinrichtung. Geräte-gebundene Passkeys dagegen bleiben fest an ein einzelnes Hardware-Element gekoppelt, etwa einen physischen Sicherheitsschlüssel wie einen YubiKey. Unternehmen mit hohem Schutzbedarf, etwa im Finanzsektor oder in der öffentlichen Verwaltung, bevorzugen häufig die gerätegebundene Variante, weil sie das private Schlüsselmaterial nie auch nur verschlüsselt über einen Cloud-Anbieter transportiert. Für den durchschnittlichen Privatnutzer überwiegt dagegen der Komfort der Synchronisierung, weil ein verlorenes Smartphone dann nicht automatisch den Verlust aller Logins bedeutet.

Hardware-Sicherheitsschlüssel als Passkey-Variante für Höchstsicherheit

Neben Smartphone- und Laptop-Passkeys existiert eine dritte Form: der physische FIDO2-Sicherheitsschlüssel, meist als USB-Stick mit zusätzlichem NFC- oder Bluetooth-Modul, etwa von Yubico oder Google mit dem Titan Key. Diese Geräte speichern den privaten Schlüssel in dediziertem Hardware-Speicher, der niemals mit einem Betriebssystem oder einer Cloud in Kontakt kommt. Für Administratoren, Journalisten oder andere Nutzer mit besonders hohem Schutzbedarf bietet das ein zusätzliches Sicherheitsniveau gegenüber Smartphone-Passkeys, weil selbst eine vollständige Kompromittierung des Geräts den Schlüssel im separaten Hardware-Modul nicht offenlegt. Der Nachteil liegt im Preis und in der Handhabung: Ein physischer Schlüssel muss mitgeführt werden und lässt sich bei Verlust nicht einfach über eine Cloud wiederherstellen, weshalb Sicherheitsexperten meist empfehlen, mindestens zwei Schlüssel zu registrieren und einen davon an einem sicheren Ort als Backup zu deponieren.

Was sind Authenticator-Apps? So funktioniert TOTP

Authenticator-Apps wie Google Authenticator, Microsoft Authenticator oder Aegis erzeugen zeitbasierte Einmalcodes nach dem TOTP-Verfahren (Time-based One-Time Password). App und Server teilen sich beim Einrichten einen geheimen Schlüssel, meist über einen QR-Code übertragen. Aus diesem Schlüssel und der aktuellen Uhrzeit berechnen beide Seiten unabhängig voneinander denselben sechsstelligen Code, der alle 30 Sekunden wechselt. Nutzer öffnen die App, lesen den Code ab und tippen ihn manuell ein. Das ist deutlich sicherer als ein reines Passwort, weil der Code nicht über das Mobilfunknetz übertragen wird und offline funktioniert.

Der entscheidende Schwachpunkt bleibt aber die fehlende Origin-Bindung. Der Code selbst kennt die Ziel-Domain nicht, er ist ein reines Geheimnis, das übertragbar ist. Landet ein Nutzer auf einer Phishing-Seite mit Echtzeit-Proxy, tippt er den Code dort ein, und der Angreifer leitet ihn sofort an die echte Seite weiter. Der Login gelingt dem Kriminellen, nicht dem Opfer. iProov beschreibt das Problem in einer Analyse aus 2026 unmissverständlich: SMS-OTP und TOTP gelten beide nicht als phishing-resistent, weil moderne Adversary-in-the-Middle-Toolkits genau diese Schwäche gezielt ausnutzen (iproov.com).

Trotzdem bleiben Authenticator-Apps ein sinnvoller Mittelbaustein zwischen Passwort und Passkey. Sie kosten nichts, laufen auf praktisch jedem Smartphone und lassen sich ohne Rückgriff auf einen Server-Roundtrip generieren, weil Schlüssel und Uhrzeit lokal ausreichen. Für Dienste, die WebAuthn technisch noch nicht integriert haben, bleibt TOTP damit die realistische Zwischenlösung. Wichtig ist nur, den geheimen Schlüssel beim Einrichten sicher zu sichern, etwa als verschlüsseltes Backup, denn ein verlorenes Smartphone ohne Backup-Codes kann bei reiner TOTP-Absicherung zum vollständigen Kontoverlust führen. Apps wie Aegis oder Ente Auth bieten dafür inzwischen verschlüsselte, selbst gehostete Backup-Optionen an, die unabhängig von einem einzelnen Gerätehersteller funktionieren.

Was ist SMS-2FA und warum hält sie sich noch?

SMS-basierte Zwei-Faktor-Authentifizierung schickt einen Einmalcode per Textnachricht an die hinterlegte Telefonnummer. Der Charme liegt in der Einfachheit: Jedes Handy kann SMS empfangen, es braucht keine zusätzliche App und keine moderne Hardware. Genau diese niedrige Einstiegshürde erklärt, warum Banken, Onlineshops und Behörden SMS-Codes seit Jahren als Standardlösung einsetzen. Für Nutzer ohne Smartphone oder mit älteren Geräten bleibt SMS oft die einzige praktikable Option.

Doch die Schwächen wiegen 2026 schwerer als der Komfortgewinn. SMS-Codes lassen sich wie TOTP-Codes durch Phishing-Proxys abfangen. Zusätzlich kommt ein Angriffsvektor hinzu, den TOTP nicht kennt: der SIM-Swap. Kapert ein Angreifer die Telefonnummer eines Opfers bei einem Mobilfunkanbieter, landen alle künftigen SMS-Codes direkt bei ihm, ganz ohne Zugriff auf das Originalgerät. MessageCentral bringt das Kernproblem auf den Punkt: Das Sicherheitsmodell von SMS-OTP setzt voraus, dass die SIM-Karte noch beim rechtmäßigen Nutzer liegt. Sobald ein SIM-Swap diese Annahme bricht, geht jeder SMS-Code an den Angreifer (messagecentral.com).

Hinzu kommt ein technisches Detail, das selten in der Werbung für SMS-2FA auftaucht: Die Zustellung läuft über das Signalisierungsprotokoll SS7, ein Standard aus den 1970er-Jahren, der ursprünglich für ein geschlossenes Netz aus wenigen staatlichen Telefongesellschaften entworfen wurde. In einem heute global vernetzten, liberalisierten Mobilfunkmarkt lassen sich SS7-Nachrichten unter bestimmten Bedingungen abfangen oder umleiten, ganz ohne dass der Angreifer physisch etwas mit der SIM-Karte des Opfers tun muss. Für Otto-Normal-Angreifer ist dieser Weg aufwendiger als ein SIM-Swap, für staatlich unterstützte Akteure oder spezialisierte Kriminalitätsgruppen aber längst ein bekanntes Werkzeug. Zusammen mit dem SIM-Swap-Risiko ergibt sich ein Bild, in dem SMS als Transportkanal für Sicherheitscodes strukturell angreifbar bleibt, unabhängig davon, wie gut ein einzelner Dienst seine eigene Infrastruktur absichert.

Passkeys vs. Authenticator-App vs. SMS: Die Vergleichstabelle

Die folgende Tabelle stellt alle drei Methoden entlang der wichtigsten technischen und praktischen Kriterien gegenüber. Sie fasst die Erkenntnisse aus den folgenden Abschnitten kompakt zusammen und dient als schneller Überblick, bevor die einzelnen Kriterien im weiteren Verlauf des Artikels im Detail eingeordnet werden.

KriteriumPasskey (WebAuthn/FIDO2)Authenticator-App (TOTP)SMS-2FA
GrundprinzipAsymmetrisches SchlüsselpaarGeteiltes Geheimnis + ZeitstempelÜbertragener Einmalcode
KryptografieECC P-256, ECDSA/SHA-256HMAC-SHA1/SHA256Keine, Klartext-SMS
Phishing-resistentJa, Origin-gebundenNeinNein
Anfällig für SIM-SwapNeinNeinJa
Offline nutzbarJa, lokal auf GerätJa, lokal auf GerätNein, Mobilfunknetz nötig
GerätebindungJa, synchronisierbar über CloudJa, meist gerätegebundenAn Telefonnummer gebunden
NIST-Einstufung (SP 800-63-4)AAL2-anerkannt, phishing-resistentAAL2, nicht phishing-resistent„Restricted Authenticator”
Login-Erfolgsquoteca. 93 %nicht separat ausgewiesenca. 63 % (traditionelle Verfahren gesamt)
Verbreitung Top-100-Websites (2026)48 %deutlich seltener Pflichtrückläufig
Nutzungsentwicklung 2024–2025 (Okta)+63 % (8,6 % auf 14 % der Nutzer)weitgehend stabil−1,8 Punkte (17,5 % auf 15,3 %)
Einrichtungsaufwand für NutzerGering, ein Tap plus BiometrieMittel, QR-Code scannenSehr gering, Nummer hinterlegen
Kosten für UnternehmenVor allem ImplementierungMeist in IAM-Lizenz enthaltenLaufende Gebühr pro SMS
Wiederherstellung bei GeräteverlustÜber Cloud-Sync oder ZweitgerätBackup-Codes nötigNeue SIM beim Provider
Regulatorischer Trend 2026Bevorzugt, teils vorgeschriebenToleriert als ÜbergangAktiv zurückgedrängt

Auf den ersten Blick wirken die Unterschiede zwischen den drei Methoden technisch, in der Praxis entscheiden sie aber darüber, ob ein Konto nach einem Phishing-Klick noch sicher ist oder nicht. Wer die Tabelle Zeile für Zeile durchgeht, erkennt ein klares Muster: Passkeys gewinnen bei jedem sicherheitsrelevanten Kriterium, verlieren aber bei der reinen Kompatibilität mit sehr alten Geräten und Browsern. TOTP-Apps liegen bei fast allen Kriterien im Mittelfeld, ohne bei einem einzigen Punkt wirklich vorn zu liegen. SMS-2FA gewinnt ausschließlich bei der Zugänglichkeit, verliert aber bei allen sicherheitsrelevanten Kennzahlen deutlich, was die zunehmende regulatorische Zurückdrängung erklärt.

Sicherheit im Detail: Phishing-Resistenz auf dem Prüfstand

Phishing bleibt 2026 der häufigste Einstiegspunkt für Kontoübernahmen, und genau hier trennt sich die Spreu vom Weizen. Passkeys sind laut Definition phishing-resistent, weil das Gerät die Signatur an die Domain bindet. Selbst wenn ein Nutzer auf einen gefälschten Link klickt, kann die Phishing-Seite keine gültige Anmeldung erzwingen, weil ihr schlicht die passende kryptografische Bindung fehlt. Ein UK-Leitfaden für Unternehmenssicherheit beschreibt das so: Ein Passkey verweigert die Authentifizierung gegenüber jeder anderen Origin als der registrierten, sodass eine Phishing-Seite, selbst mit laufendem Echtzeit-Proxy, das Gerät des Nutzers nicht zu einer gültigen Signatur für die Angreifer-Domain verleiten kann (cloudswitched.com).

TOTP-Apps und SMS-Codes teilen dagegen dieselbe strukturelle Schwäche. Beide erzeugen ein Geheimnis, das der Nutzer selbst eingibt, ohne dass das System technisch prüft, ob die Eingabe tatsächlich beim echten Dienst landet. Genau diese Lücke nutzen Adversary-in-the-Middle-Kits: Sie spiegeln die echte Login-Seite in Echtzeit, fangen Passwort und Code ab und leiten beides sofort an den echten Dienst weiter, bevor der 30-Sekunden-Code abläuft. Okta dokumentiert in seinem Sicherheitsreport 2025 die Marktreaktion auf dieses Risiko: Die Nutzung phishing-resistenter Verfahren wie WebAuthn oder Smart Cards stieg zwischen 2024 und 2025 um 63 Prozent, von 8,6 auf 14 Prozent aller Logins, während SMS-MFA im selben Zeitraum von 17,5 auf 15,3 Prozent zurückging (okta.com).

Für IT-Sicherheitsteams verschiebt das die Priorität weg von reiner Awareness-Schulung hin zu technischer Durchsetzung. Ein Nutzer, der theoretisch weiß, wie Phishing aussieht, kann trotzdem unter Zeitdruck oder bei einer geschickt gefälschten Seite auf einen TOTP-Code hereinfallen, weil das System selbst keine Kontrolle eingebaut hat. Bei Passkeys übernimmt die Kryptografie diese Kontrolle automatisch, ganz ohne dass der Nutzer aktiv etwas prüfen muss. Genau das erklärt, warum Sicherheitsteams zunehmend auf Passkeys als Pflichtstandard für privilegierte Konten setzen, während TOTP für weniger kritische Anwendungsfälle als Kompromiss akzeptiert bleibt.

SIM-Swap: Warum SMS-Codes zum Sicherheitsrisiko werden

Ein SIM-Swap klingt nach einem exotischen Angriff, ist inzwischen aber Alltag der organisierten Cyberkriminalität. Angreifer überzeugen einen Mobilfunk-Support-Mitarbeiter oder nutzen gestohlene Identitätsdaten, um die Telefonnummer eines Opfers auf eine neue SIM-Karte zu übertragen. Ab diesem Moment landen alle Anrufe und SMS, inklusive jedes 2FA-Codes, direkt beim Angreifer. Der britische Betrugspräventionsdienst Cifas meldete für 2024 einen Anstieg unautorisierter SIM-Swaps um 1.055 Prozent gegenüber dem Vorjahr, von 289 auf fast 3.000 registrierte Fälle (cifas.org.uk). Eine begleitende Analyse zur Kontoübernahme zählt für das erste Halbjahr 2025 rund 38.000 Fälle, von denen 69 Prozent auf den Telekom-Sektor entfielen, ein deutliches Zeichen dafür, dass Kriminelle gezielt die Telefonebene angreifen, um an SMS-Codes zu gelangen (kyxstart.com).

Die Zahlen stammen primär aus dem britischen Markt, die Angriffsmuster sind aber auf Deutschland, Österreich und die Schweiz übertragbar, weil Mobilfunkinfrastruktur und Betrugstechniken dieselben sind. Ein Threat-Research-Bericht von 2026 dokumentiert konkrete Fälle, in denen SIM-Swaps gezielt eingesetzt wurden, um SMS-Codes abzufangen und Konten zu übernehmen (aviatrix.ai). Für Unternehmen bedeutet das: Jeder SMS-OTP-Kanal ist nur so sicher wie der schwächste Prozess beim Mobilfunkanbieter, ein Faktor, den das Unternehmen selbst nicht kontrolliert.

Besonders gefährdet sind Personen mit hohem öffentlichen Profil oder wertvollen Konten, etwa Kryptowährungsbörsen-Nutzer, Führungskräfte oder Journalisten, weil sie gezielt als Ziel ausgesucht werden. Ein typischer Ablauf beginnt mit Social-Engineering-Anrufen beim Mobilfunk-Support, bei denen sich der Angreifer als das Opfer ausgibt und mit gestohlenen persönlichen Daten aus früheren Datenlecks eine SIM-Ersatzkarte anfordert. Sobald die Portierung durchgeht, hat das Opfer meist ein leeres Netz auf dem eigenen Handy, während der Angreifer in Windeseile Passwort-Reset-Links anfordert und die per SMS zugestellten Bestätigungscodes abgreift. Weil der gesamte Vorgang oft innerhalb weniger Minuten abläuft, bleibt kaum Zeit für eine manuelle Gegenreaktion, was SIM-Swaps zu einem der schnellsten Angriffswege im Bereich Kontoübernahme macht.

NIST, BSI und die neuen Regeln für 2026

Schon 2016 warnte ein NIST-Entwurf zur SP 800-63-B vor SMS als Verifizierungskanal und formulierte, dass die Out-of-Band-Verifizierung per SMS veraltet sei und in künftigen Fassungen der Richtlinie nicht mehr erlaubt werde (schneier.com). Die finale Fassung von 2017 entschärfte diese Formulierung wieder und ließ SMS unter Einschränkungen weiter zu. Mit der aktualisierten SP 800-63-4 vom Juli 2025 zieht NIST die Linie erneut nach: SMS- und Festnetz-Einmalcodes gelten jetzt formal als „Restricted Authenticator”. Für das Vertrauensniveau AAL2 verlangt die Richtlinie mindestens eine phishing-resistente Option, wobei synchronisierbare Passkeys explizit als AAL2-Authentifikator anerkannt werden (pages.nist.gov).

In Deutschland zieht das BSI nach. Am 30. Juni 2026 veröffentlichte die Behörde die Technische Richtlinie TR-03188 „Passkey Server” in Version 1.0. Sie richtet sich an Betreiber von Online-Diensten, einschließlich Behördenportalen, und definiert konkrete Anforderungen an Passkey-Server-Implementierungen (bsi.bund.de). Ein hartes, kalendarisch fixiertes Mandat, dass alle Bundesdienste bis zu einem bestimmten Datum auf Passkeys umstellen müssen, hat das BSI bislang nicht veröffentlicht. Faktisch setzt TR-03188 aber den technischen Standard, an dem sich Behördenportale und das Bundesportal künftig orientieren, und macht Passkeys zur empfohlenen Zielarchitektur für sichere Logins im öffentlichen Sektor.

Österreich und die Schweiz folgen dem gleichen internationalen Trend, auch ohne eigene Richtlinie im Umfang von TR-03188. Beide Länder setzen bei der digitalen Identität zunehmend auf FIDO2-kompatible Verfahren, orientiert an denselben WebAuthn- und FIDO-Standards, die auch Google, Microsoft und Apple nutzen. Für Unternehmen und Behörden in der gesamten DACH-Region bedeutet das in der Praxis: Wer heute auf offene WebAuthn-Implementierungen statt auf proprietäre SMS-Lösungen setzt, bleibt automatisch kompatibel mit den sich verschärfenden Vorgaben in allen drei Ländern, unabhängig davon, ob ein konkretes nationales Gesetz bereits existiert oder erst in Vorbereitung ist.

Login-Geschwindigkeit und Erfolgsquote: Die Benchmark-Daten

Sicherheit ist die eine Seite, tatsächliche Nutzung die andere. Auswertungen zu Login-Erfolgsquoten zeigen einen deutlichen Unterschied: Passkeys erreichen laut FIDO-Daten eine Erfolgsquote von rund 93 Prozent, während klassische Verfahren mit Passwort plus SMS oder TOTP im Schnitt nur auf etwa 63 Prozent kommen (nhimg.org). Die Differenz erklärt sich durch weniger Fehlerquellen: Bei Passkeys entfällt das Abtippen eines Codes, das Warten auf eine SMS-Zustellung und die Verwechslungsgefahr zwischen mehreren offenen Tabs oder Apps. Ein Tap plus Biometrie-Check genügt.

Bei TOTP-Apps bremsen vor allem manuelle Schritte: App öffnen, sechsstelligen Code ablesen, ins richtige Feld tippen, bevor das 30-Sekunden-Fenster abläuft. Bei SMS-2FA kommen Zustellverzögerungen durch Roaming, überlastete Mobilfunknetze oder gesperrte Nummern hinzu, dazu Copy-Paste-Fehler. Die FIDO Alliance bestätigte diesen Trend am World Passkey Day 2026 mit ihrem Bericht „The State of Passkeys 2026″: 90 Prozent der Befragten kennen Passkeys, 75 Prozent haben mindestens einen aktiviert, 49 Prozent nutzen sie regelmäßig, wenn verfügbar, und 68 Prozent der Organisationen setzen Passkeys für Mitarbeiter-Logins bereits ein oder testen sie aktiv (fidoalliance.org). Die untersuchte Ländergruppe umfasste unter anderem Deutschland, Frankreich und Großbritannien, mit Werten auf demselben Niveau wie der globale Durchschnitt.

Für Unternehmen mit hohem Login-Volumen ist die Erfolgsquote mehr als eine Komfortzahl, sie wirkt sich direkt auf Supportkosten und Umsatz aus. Jeder gescheiterte Login-Versuch bedeutet ein erhöhtes Risiko, dass ein Nutzer einen Kaufabschluss abbricht oder einen Support-Kontakt eröffnet, statt es erneut zu versuchen. Bei E-Commerce-Anwendungen mit tausenden Logins täglich summiert sich der Unterschied zwischen 93 und 63 Prozent Erfolgsquote schnell zu einer spürbaren Zahl an abgebrochenen Sitzungen. Das erklärt, warum insbesondere Zahlungsdienstleister und große Online-Händler zu den ersten Adoptern von Passkeys gehören, noch vor reinen Sicherheitsargumenten steht hier häufig die schlichte Conversion-Rate im Vordergrund.

Kosten im Vergleich: Was Unternehmen wirklich zahlen

Die drei Methoden unterscheiden sich stark in ihrer Kostenstruktur. Passkeys basieren auf einem offenen Standard, WebAuthn selbst kostet keine Lizenzgebühr. Die Kosten entstehen bei der Implementierung: Entwicklung der Server-Integration, gegebenenfalls Konformität mit Richtlinien wie der deutschen TR-03188, sowie optional kommerzielle FIDO-zertifizierte Plattformlösungen. Für Endnutzer fallen keine zusätzlichen Kosten an, da Passkeys auf bereits vorhandener Hardware laufen, etwa dem Fingerabdrucksensor im Smartphone.

MethodeKosten für EndnutzerKosten für UnternehmenKostentyp
Passkey (WebAuthn)0 €, nutzt vorhandene HardwareEntwicklungs- und Integrationsaufwand einmaligEinmalig, Implementierung
Authenticator-App (TOTP)0 €, App kostenlosMeist in bestehender IAM-Lizenz enthaltenEinmalig bis gering laufend
SMS-2FA0 € direkt, indirekt über MobilfunkvertragGebühr pro versendeter SMS plus Gateway-AnbindungLaufend, pro Nachricht

TOTP-Apps sind für Nutzer ebenfalls kostenlos, Unternehmen zahlen in der Regel keine separate Lizenz, weil TOTP-Unterstützung Teil gängiger Identity-Provider-Pakete ist. SMS-2FA verursacht dagegen laufende Kosten pro versendeter Nachricht, abhängig von Land und Anbieter, zuzüglich Gebühren für die Anbindung an SMS-Gateways wie Twilio oder MessageBird. Hinzu kommen indirekte Kosten für Betrugsprävention und SIM-Swap-Monitoring, wie MessageCentral in seiner Analyse zu Schutzmaßnahmen gegen SIM-Swap-Angriffe beschreibt (messagecentral.com). Über die Zeit gerechnet ist SMS-2FA damit die einzige der drei Methoden mit dauerhaft steigenden Betriebskosten.

Für ein Unternehmen mit mehreren Hunderttausend Logins im Monat summieren sich SMS-Gebühren schnell zu einem relevanten Budgetposten, der bei Passkeys und TOTP schlicht entfällt. Hinzu kommt ein indirekter Kostenfaktor, der in vielen Kalkulationen fehlt: Support-Aufwand durch Betrugsfälle. Ein übernommenes Konto durch SIM-Swap verursacht nicht nur den direkten Schaden für den betroffenen Nutzer, sondern bindet auch Kundenservice-Ressourcen für Wiederherstellung, Streitfälle und im schlimmsten Fall Chargebacks bei Zahlungsdienstleistern. Rechnet man diese Folgekosten ein, verschiebt sich die Kalkulation noch stärker zugunsten von Passkeys, selbst wenn die initiale Entwicklungsarbeit für die WebAuthn-Integration höher ausfällt als eine einfache SMS-Gateway-Anbindung.

Welche Anbieter unterstützen was? Der Marktüberblick 2026

Die großen Plattformen haben Passkeys längst zur Standardoption gemacht. Google rollte Passkey-Unterstützung für Google-Konten am 3. Mai 2023 aus und machte sie am 10. Oktober 2023 zur Standard-Anmeldeoption für private Konten (blog.google). Microsoft zog im Mai 2025 nach und machte Passkeys zur Standardoption für Microsoft-Konten, wie ein Passkey-Trendreport von Descope zusammenfasst (descope.com). Apple führte Passkeys bereits 2022 mit iOS 16 und macOS Ventura ein.

Auch außerhalb der großen Plattformbetreiber wächst die Unterstützung schnell. Amazon, PayPal und eBay starteten Passkey-Support 2023, GitHub und GitLab folgten für Entwicklerkonten. 2024 verdoppelte sich laut Marktanalysen die Zahl der Websites mit Passkey-Option gegenüber dem Vorjahr. 2026 bieten bereits 48 Prozent der Top-100-Websites weltweit Passkeys an, verglichen mit unter 25 Prozent im Jahr 2022 (descope.com). In Deutschland ergänzt die BSI-Richtlinie TR-03188 diese Entwicklung um einen verbindlichen technischen Rahmen für Behördenportale und andere Online-Angebote im öffentlichen Sektor.

Die folgende Tabelle ordnet die wichtigsten Anbieter danach ein, seit wann sie Passkeys unterstützen und ob die Methode dort bereits als Standardoption vorausgewählt ist oder nur als Zusatzoption neben Passwort und TOTP existiert.

AnbieterPasskey-StartStatus 2026
GoogleMai 2023Standard für private Konten seit Oktober 2023
Apple2022 (iOS 16 / macOS Ventura)Fest in Systemebene integriert
Microsoft2023, Standard seit Mai 2025Standard für Microsoft-Konten
PayPal2023Zusatzoption für Zahlungslogins
Amazon2023Zusatzoption im Kontobereich
eBay2023Zusatzoption im Kontobereich
GitHub / GitLab2023Zusatzoption für Entwicklerkonten
BSI / Bundesportal (DE)TR-03188 seit 30.06.2026Technischer Rahmen, Rollout läuft

Bemerkenswert ist der zeitliche Abstand zwischen Google und Microsoft: Während Google seinen Nutzern bereits 2023 aktiv zum Umstieg riet, dauerte es bei Microsoft bis Mai 2025, bis Passkeys zur Standardoption wurden. Dieser Vorlauf zeigt, wie unterschiedlich groß Technologiekonzerne den internen Aufwand einer Migration einschätzen, obwohl beide auf denselben offenen WebAuthn-Standard setzen. Für DACH-Nutzer heißt das in der Praxis: Wer mehrere Konten bei unterschiedlichen Anbietern hat, sollte jedes Konto einzeln prüfen, denn ein einheitlicher Stichtag für die komplette Umstellung existiert 2026 branchenweit nicht.

Datenschutz und DSGVO: Wie sich Passkeys für DACH-Nutzer einordnen

Für ein Publikum in Deutschland, Österreich und der Schweiz spielt neben der reinen Sicherheit auch der Datenschutz eine Rolle, und hier bringt WebAuthn einen strukturellen Vorteil mit. Biometrische Daten wie Fingerabdruck oder Gesichtserkennung verlassen bei einem Passkey-Login das Gerät zu keinem Zeitpunkt. Die Biometrie entsperrt lediglich lokal den privaten Schlüssel im Sicherheitschip, der Dienst auf der anderen Seite erhält nur eine kryptografische Signatur, niemals ein biometrisches Template. Das unterscheidet Passkeys grundlegend von zentralisierten biometrischen Datenbanken, wie sie in anderen Kontexten für Diskussionen rund um die Datenschutz-Grundverordnung sorgen.

Für Unternehmen, die personenbezogene Daten nach DSGVO verarbeiten, reduziert der Umstieg auf Passkeys zudem die Angriffsfläche, die im Falle eines Datenlecks überhaupt betroffen sein kann. Ein gehackter Passwort-Hash oder ein abgefangener SMS-Code lässt sich für weitere Angriffe missbrauchen, ein öffentlicher WebAuthn-Schlüssel dagegen ist für einen Angreifer ohne den passenden privaten Gegenpart wertlos. Das senkt potenziell auch die Meldepflicht-Relevanz bei Sicherheitsvorfällen, weil ein reines Datenbank-Leck ohne zusätzlichen Faktor keinen direkten Kontozugriff mehr ermöglicht. Für Sicherheitsverantwortliche in DACH-Unternehmen ist das ein zusätzliches, oft unterschätztes Argument für die Migration, das über die reine Phishing-Resistenz hinausgeht.

Praxisbeispiele: 5 Einsatzszenarien im Detail

Wie die drei Methoden im Alltag wirklich eingesetzt werden, zeigt sich am besten an konkreten Beispielen aus unterschiedlichen Branchen.

  • Google-Konto: Seit Oktober 2023 Standard-Login-Option für private Konten, Passwort bleibt als Fallback bestehen, aber Passkeys werden aktiv beworben.
  • PayPal: Passkey-Support seit 2023 für Zahlungslogins, reduziert Betrugsversuche durch Phishing-Seiten, die auf gestohlene Zugangsdaten abzielen.
  • Microsoft Entra ID im Unternehmenseinsatz: Seit Mai 2025 Standardoption für Workforce-Logins, häufig kombiniert mit FIDO2-Sicherheitsschlüsseln für besonders sensible Rollen.
  • BSI-Bundesportal und Behördendienste: Mit TR-03188 vom 30. Juni 2026 als technischer Grundlage entstehen erste Passkey-fähige Behördenlogins in Deutschland.
  • GitHub und GitLab: Entwicklerplattformen mit hohem Angriffsrisiko durch Supply-Chain-Attacken setzen auf Passkeys, um kompromittierte Zugangsdaten als Einfallstor zu schließen.

Auffällig ist das Muster: Dienste mit hohem finanziellem oder sicherheitskritischem Risiko wie PayPal, Behördenportale oder Entwicklerplattformen wechseln zuerst zu Passkeys. Reine Konsumentenanwendungen mit niedrigem Risiko, etwa Newsletter-Anmeldungen, halten dagegen häufig noch an SMS oder E-Mail-Codes fest, weil der Implementierungsaufwand für Passkeys dort in keinem Verhältnis zum Sicherheitsgewinn steht.

Ein sechstes, gerade für DACH-Leser relevantes Beispiel liefert der Entwicklerbereich selbst: Immer mehr Open-Source-Projekte und Softwarefirmen verlangen für den Zugriff auf Produktions-Infrastruktur einen FIDO2-Sicherheitsschlüssel statt eines einfachen Passworts, um Supply-Chain-Angriffe über kompromittierte Maintainer-Konten zu verhindern. Dieser Trend beschleunigte sich, nachdem mehrere öffentlich dokumentierte Vorfälle zeigten, dass gestohlene Zugangsdaten für Paket-Repositories genügen können, um Schadcode in weitverbreitete Software-Lieferketten einzuschleusen. Für Unternehmen, die selbst Software vertreiben, ist die Passkey-Pflicht für Entwicklerkonten damit längst kein Nice-to-have mehr, sondern eine direkte Reaktion auf reale Angriffsmuster der vergangenen Jahre.

Empfehlungen nach Anwendungsfall

Nicht jede Methode passt zu jedem Einsatzzweck. Die Wahl hängt vom Schutzbedarf des Kontos, der technischen Reife der Nutzerbasis und der vorhandenen Systemlandschaft ab. Die folgende Einordnung hilft bei der Auswahl.

  • Privatnutzer im Alltag: Passkeys überall dort aktivieren, wo der Dienst sie anbietet, Passwort nur als Notfall-Fallback behalten.
  • Online-Banking und Finanzdienste: Passkey oder Hardware-Sicherheitsschlüssel bevorzugen, da hier laut NIST-Klassifizierung ein phishing-resistenter Faktor Pflicht werden sollte.
  • Unternehmen mit Workforce-IAM: Passkeys plus FIDO2-Security-Keys für privilegierte Konten, TOTP als Übergangslösung für Altsysteme ohne WebAuthn-Support.
  • Behörden und öffentlicher Sektor in Deutschland: TR-03188-konforme Passkey-Server als Zielarchitektur, begleitet von einer Übergangsphase mit bestehenden Verfahren.
  • Legacy-Systeme ohne moderne Authentifizierung: TOTP-App statt SMS wählen, da TOTP offline funktioniert und nicht vom SIM-Swap-Risiko betroffen ist.
  • Low-Risk-Anwendungen wie Erstregistrierung: SMS-OTP bleibt vertretbar, sollte aber nicht der einzige Faktor für sensible Kontoaktionen sein.

Migrationsleitfaden: In 8 Schritten von SMS zu Passkeys

Der Umstieg gelingt am besten schrittweise statt als harter Schnitt. Die folgende Reihenfolge hat sich bei Unternehmen bewährt, die 2025 und 2026 von SMS-2FA auf Passkeys umgestiegen sind. Wichtig ist dabei, technische Migration und Nutzerkommunikation parallel zu planen, denn die beste WebAuthn-Integration bringt wenig, wenn Nutzer den neuen Login-Button aus Unsicherheit meiden und stattdessen weiter das alte Passwortfeld suchen.

  1. Bestandsaufnahme: Welche Systeme unterstützen bereits WebAuthn, welche benötigen zusätzliche Entwicklung.
  2. Auswahl eines Identity-Providers oder Auth-Frameworks mit nativer Passkey-Unterstützung.
  3. Pilotgruppe definieren, etwa IT-Team oder freiwillige Poweruser, bevor der Rollout auf alle Nutzer ausgeweitet wird.
  4. Passkey zunächst als zusätzliche Option anbieten, nicht sofort erzwingen, um Akzeptanz aufzubauen.
  5. Nutzer aktiv informieren, warum der Wechsel stattfindet, mit konkretem Sicherheitsbezug statt allgemeiner Ankündigung.
  6. TOTP-App als Fallback für Geräte ohne Passkey-Unterstützung bereithalten, SMS nur noch als letzte Notlösung.
  7. Monitoring einrichten: Adoptionsrate, Fehlversuche und Support-Anfragen laufend auswerten.
  8. SMS-OTP schrittweise für risikoreiche Kontoaktionen deaktivieren, sobald die Passkey-Adoption eine kritische Schwelle erreicht.

Wichtig ist, TOTP nicht vorschnell komplett abzuschalten. Solange nicht jedes Gerät und jeder Nutzer Passkey-fähig ist, bleibt eine funktionierende Rückfalloption nötig. Der Fehler vieler früher Migrationsprojekte war, Nutzer ohne Übergangsphase vor die Wahl zwischen Passkey und Komplettausschluss zu stellen, was zu Support-Aufkommen und Frustration führte statt zu höherer Sicherheit.

Ein weiterer, oft unterschätzter Punkt betrifft die interne Kommunikation an die IT-Abteilung selbst. Helpdesk-Mitarbeiter müssen wissen, wie ein Passkey-Reset abläuft, welche Wiederherstellungswege es gibt und wie sich ein legitimer Nutzer von einem Social-Engineering-Versuch unterscheiden lässt, der genau diesen Reset-Prozess missbraucht. Gerade weil SIM-Swap-Angreifer oft über gefälschte Support-Anrufe operieren, sollte jede Migration auf Passkeys von einer überarbeiteten Verifizierungsrichtlinie für den eigenen Kundenservice begleitet werden, sonst verlagert sich das Risiko lediglich von der SMS-Ebene auf die menschliche Ebene.

Vor- und Nachteile aller drei Methoden

Passkeys punkten mit Phishing-Resistenz, hoher Erfolgsquote und fehlenden laufenden Kosten. Der Login-Vorgang reduziert sich auf einen Tap plus Biometrie, was gerade bei häufiger Nutzung spürbar Zeit spart. Der Nachteil: Nicht jedes Altsystem unterstützt WebAuthn, gerade in älteren Unternehmensanwendungen oder Behördenverfahren fehlt die Integration noch. Beim Verlust aller synchronisierten Geräte gleichzeitig, etwa bei Diebstahl von Smartphone und Laptop, kann die Wiederherstellung zudem komplizierter ausfallen als ein einfacher Passwort-Reset per E-Mail, weil der Nutzer dann auf Recovery-Mechanismen des jeweiligen Cloud-Kontos angewiesen ist.

Authenticator-Apps bieten einen brauchbaren Mittelweg: kostenlos, offline nutzbar, deutlich sicherer als SMS, und praktisch jeder Dienst mit Zwei-Faktor-Option unterstützt TOTP als Minimalstandard. Der Nachteil bleibt die fehlende Phishing-Resistenz und ein Login-Prozess, der mehr manuelle Schritte braucht als ein einfacher Tap. Auch das Backup-Problem ist real: Wer beim Einrichten keine Wiederherstellungscodes sichert und später das Smartphone verliert, riskiert einen zeitraubenden Support-Prozess, um den Kontozugriff überhaupt zurückzubekommen.

SMS-2FA punktet ausschließlich bei der Zugänglichkeit: keine App-Installation, funktioniert auf jedem Mobiltelefon, auch auf einfachen Tastenhandys ohne Internetzugang. Für Nutzer ohne Smartphone bleibt das ein echtes Argument. Dem stehen SIM-Swap-Risiko, fehlende Phishing-Resistenz, laufende Kosten pro Nachricht und eine sinkende regulatorische Akzeptanz gegenüber, die sich in NIST SP 800-63-4 klar niederschlägt. Für jeden neuen Dienst mit sicherheitskritischen Funktionen sollte SMS 2026 nur noch die letzte, nicht die erste Wahl sein.

Das Fazit: Welche Methode wann die richtige ist

Die Datenlage 2026 ist eindeutig. Passkeys liegen bei Login-Erfolgsquote (93 Prozent gegenüber 63 Prozent), Phishing-Resistenz und Betriebskosten vorn, während SMS-2FA regulatorisch zurückgedrängt wird und mit dem SIM-Swap-Anstieg von 1.055 Prozent laut Cifas ein wachsendes Risiko trägt. Für neue Projekte gilt damit klar: Passkey zuerst, TOTP als Fallback, SMS nur noch als letzte Notlösung für Nutzer ohne modernes Gerät.

Gleichzeitig ist der komplette Umstieg 2026 noch keine Formalität. Mit 75 Prozent Aktivierungsrate laut FIDO Alliance sind Passkeys zwar Mainstream, aber noch nicht flächendeckend Pflicht, und die deutsche TR-03188 setzt einen technischen Rahmen ohne festes Abschaltdatum für ältere Verfahren. Wer heute Systeme plant, sollte Passkeys als Standard einbauen, TOTP für die Übergangsphase bereithalten und SMS-Codes gezielt nur dort belassen, wo wirklich keine Alternative existiert.

Für Privatnutzer lässt sich die Entscheidung auf einen einfachen Praxistest herunterbrechen: Bietet ein Dienst Passkeys an, aktivieren und Passwort nur als Notfall-Fallback behalten. Bietet er nur TOTP, die Authenticator-App nutzen statt SMS zu wählen, wo eine Wahlmöglichkeit besteht. Bleibt am Ende nur SMS übrig, ist das immer noch besser als gar kein zweiter Faktor, aber ein klares Signal, dass der jeweilige Anbieter bei der Authentifizierung technisch hinterherhinkt. Über alle drei Methoden hinweg gilt am Ende ein einfacher Grundsatz: Jeder zweite Faktor schlägt gar keinen zweiten Faktor, aber nicht jeder zweite Faktor bietet denselben Schutz vor den Angriffen, die 2026 tatsächlich stattfinden.

Häufige Fragen

Sind Passkeys wirklich sicherer als eine Authenticator-App?

Ja, vor allem bei Phishing-Angriffen. Passkeys binden die Signatur kryptografisch an die korrekte Domain, ein TOTP-Code lässt sich dagegen kopieren und über eine Phishing-Seite in Echtzeit an den echten Dienst weiterleiten.

Kann ich Passkeys verlieren, wenn mein Handy kaputtgeht?

Bei den großen Anbietern wie Google, Apple und Microsoft werden Passkeys verschlüsselt über die Cloud synchronisiert. Ein neues Gerät mit derselben Cloud-ID stellt die Passkeys automatisch wieder her, ein separates Backup ist meist nicht nötig.

Warum warnt NIST vor SMS-2FA?

Die aktualisierte Richtlinie SP 800-63-4 von 2025 stuft SMS- und Festnetz-Einmalcodes als „Restricted Authenticator” ein, weil sie weder phishing-resistent sind noch vor SIM-Swap-Angriffen schützen. Für höhere Vertrauensniveaus verlangt NIST mindestens eine phishing-resistente Alternative.

Müssen deutsche Behörden ab 2026 Passkeys anbieten?

Das BSI hat mit TR-03188 einen technischen Standard für Passkey-Server veröffentlicht, der sich auch an Behördenportale richtet. Ein verbindliches, kalendarisch fixiertes Mandat für alle Bundesdienste existiert nach aktuellem Stand aber nicht, TR-03188 setzt vor allem die Zielarchitektur.

Was ist ein SIM-Swap und wie schützt man sich davor?

Bei einem SIM-Swap überträgt ein Angreifer die Telefonnummer eines Opfers auf eine eigene SIM-Karte, meist durch Social Engineering beim Mobilfunkanbieter. Der wirksamste Schutz ist der Verzicht auf SMS als alleinigen zweiten Faktor zugunsten von Passkeys oder TOTP-Apps.

Funktionieren Passkeys auch ohne Internetverbindung?

Die kryptografische Operation selbst läuft lokal auf dem Gerät und benötigt kein Netz. Für die Kommunikation mit dem Server während des Logins ist allerdings eine Internetverbindung nötig, genau wie bei TOTP-Apps.

Lohnt sich die Umstellung für kleine Unternehmen?

Ja, besonders weil laufende SMS-Gebühren entfallen und viele IAM-Anbieter WebAuthn bereits im Standardtarif unterstützen. Der größte Aufwand liegt in der einmaligen Integration, nicht im laufenden Betrieb.

Was passiert mit bestehenden TOTP-Einrichtungen nach dem Wechsel?

TOTP muss nicht sofort abgeschaltet werden. Die meisten Migrationsprojekte behalten TOTP als Fallback für Geräte ohne Passkey-Unterstützung und schalten es erst ab, wenn die Passkey-Adoption eine hohe Schwelle erreicht hat.

Kann ein Angreifer einen Passkey stehlen wie ein Passwort?

Praktisch nicht auf demselben Weg. Der private Schlüssel eines Passkeys verlässt das Gerät nie und lässt sich weder per Phishing-Formular noch per Datenbankleck abgreifen, weil der Dienst überhaupt nur den öffentlichen Schlüssel kennt. Ein Angreifer müsste physischen Zugriff auf das entsperrte Gerät selbst haben, was ein grundlegend anderes und deutlich aufwendigeres Angriffsszenario ist als das Abgreifen eines übertragbaren Codes.

Sind Passkeys mit älteren Browsern und Betriebssystemen kompatibel?

Alle aktuellen Versionen von Chrome, Safari, Firefox und Edge unterstützen WebAuthn, ebenso Windows 10 und neuer, macOS Ventura und neuer sowie Android ab Version 9 und iOS ab Version 16. Ältere Systeme ohne diese Mindestanforderungen benötigen weiterhin eine TOTP- oder SMS-Alternative, weshalb ein vollständiger Passkey-Zwang ohne Fallback für viele Unternehmen 2026 noch verfrüht wäre.