Passkeys und FIDO2 ersetzen Passwörter durch kryptografische Schlüssel. Weil kein Geheimnis übertragen wird, sind sie weitgehend resistent gegen Phishing.
Passkeys sind eine passwortlose Anmeldemethode, die auf dem offenen Standard FIDO2 (mit den Komponenten WebAuthn und CTAP) aufbaut. Statt eines Passworts, das man kennt und eingibt, nutzt der Nutzer ein kryptografisches Schlüsselpaar: Der private Schlüssel bleibt sicher auf dem Gerät – etwa im Smartphone, im Laptop oder auf einem Sicherheitsschlüssel – und verlässt es nie. Der Dienst kennt nur den öffentlichen Schlüssel.
Der entscheidende Vorteil: Bei der Anmeldung wird kein Geheimnis übertragen, das sich abfangen oder auf einer gefälschten Seite eingeben ließe. Damit sind Passkeys weitgehend resistent gegen Phishing – den Angriffsweg, der klassische Passwörter und viele Formen der MFA aushebelt.
So funktioniert die Anmeldung
- Bei der Registrierung erzeugt das Gerät ein Schlüsselpaar und übergibt dem Dienst den öffentlichen Schlüssel.
- Bei der Anmeldung stellt der Dienst eine Aufgabe, die nur der private Schlüssel lösen kann.
- Der Nutzer bestätigt lokal per Biometrie oder PIN; der private Schlüssel signiert, ohne ausgelesen zu werden.
Die Bindung an die echte Domäne ist dabei technisch erzwungen – eine nachgebaute Phishing-Seite kann die Signatur nicht auslösen.
Bedeutung für Unternehmen
Phishing bleibt einer der häufigsten Erstzugriffe; laut Mandiant M-Trends 2026 steht E-Mail-Phishing mit 6 Prozent weit vorne, Vishing sogar mit 11 Prozent. Passkeys adressieren genau diesen Weg. Für Entscheider sind sie zugleich ein Beitrag zu Zero Trust und zur Erfüllung regulatorischer MFA-Anforderungen. Der Umstieg ist allerdings ein Projekt: Registrierung, Wiederherstellung bei Geräteverlust und Altanwendungen müssen mitgedacht werden.
Härtung und Prüfung aus Red-Team-Sicht
In Phishing-Simulationen zeigt sich der Wert von Passkeys deutlich: Konten mit phishing-resistenter Anmeldung lassen sich mit klassischen Ködern nicht übernehmen. Wir prüfen jedoch, ob Umgehungswege bestehen. Empfohlene Maßnahmen:
- schwächere Anmeldemethoden als Fallback konsequent deaktivieren,
- Wiederherstellungsprozesse absichern, damit sie nicht zur Hintertür werden,
- Passkeys zuerst für privilegierte Konten einführen,
- Legacy-Authentifizierung in Entra ID und anderen Diensten sperren.
Wir testen die Widerstandsfähigkeit gegen Phishing in unserer Leistung Social Engineering und Phishing. Wie solche Tests fair aufgesetzt werden, erklärt der Ratgeber Phishing-Simulation richtig aufsetzen.