Passkeys, wie sinnvoll einsetzen?

Question

Hallo,

alle reden nur noch von Passkeys und dass Passwörter und 2FA out sind, aber ich versuche gerade einen sinnvollen Weg zu Implementierung zu finden.

Am Handy ist der Passkey ja ganz nett, nur ich surfe nicht mit dem Handy. Ja, damit gehöre ich wol einer MInderheit an, aber ist so.

Und damit stellt sich mir die Frage: was bringt mir der ans Handy gebundene Passkey, wenn ich am PC sitze? Ich muss immer das Handy bei mir haben, was ich nicht habe. Das Handy darf nicht verloren oder kaputt gehen.

Sprich, mir erschließt sich dieser Hype um Passkeys nicht. Kann hier jemand etwas Licht in die Sache bringen und evtl. sein/ihr Setup vorstellen?

Answer 1

Die Verwirrung ist verständlich, weil Passkeys oft so beworben werden, als würden sie Passwörter vollständig ersetzen. In der Praxis hängt der Nutzen aber stark davon ab, wie man sie einsetzt.

Der entscheidende Punkt ist: Ein Passkey ist nicht an ein Handy gebunden. Er ist lediglich an den Speicherort gebunden, auf dem er liegt. Das kann sein:

• ein Android-Smartphone

• ein iPhone

• ein Windows-PC (Windows Hello)

• ein Mac (iCloud-Schlüsselbund)

• ein Hardware-Sicherheitsschlüssel (z. B. YubiKey)

• ein Passwortmanager wie 1Password oder Bitwarden (je nach Unterstützung)

Warum viele das Handy nutzen

Google und Apple haben es so eingerichtet, dass das Smartphone gleichzeitig als Authenticator dient. Sitzt man an einem fremden PC, kann man einen QR-Code scannen und den Login auf dem Handy bestätigen. Das ist bequem – aber eben nur eine Möglichkeit.

Wenn du hauptsächlich am PC arbeitest

Dann musst du den Passkey gar nicht auf dem Handy speichern.

Ein paar sinnvolle Varianten:

Variante 1: Windows Hello
Der Passkey liegt direkt auf deinem Windows-PC und wird über PIN, Fingerabdruck oder Gesichtserkennung freigegeben.

Vorteile:

• kein Handy nötig

• sehr komfortabel

Nachteil:

• der Passkey ist zunächst an diesen PC gebunden. Für einen zweiten PC muss man synchronisieren oder einen weiteren Passkey anlegen.

---

Variante 2: Hardware-Schlüssel (meiner Meinung nach die eleganteste Lösung für Desktop-Nutzer)

Ein YubiKey oder ähnlicher FIDO2-Sicherheitsschlüssel enthält den Passkey.

Vorteile:

• funktioniert an jedem PC

• kein Smartphone erforderlich

• extrem phishing-resistent

• unabhängig von Apple oder Google

Idealerweise besitzt man zwei Schlüssel:

• einen täglich genutzten

• einen als Backup im Schrank

---

Variante 3: Passwortmanager

Programme wie Bitwarden oder 1Password können Passkeys speichern und zwischen Geräten synchronisieren.

Dann funktioniert das ähnlich wie heute mit Passwörtern:

• PC einschalten

• Passwortmanager entsperren

• Passkey automatisch verwenden

Für viele dürfte das langfristig die praktischste Lösung sein.

Was ist mit Verlust des Handys?

Das ist einer der größten Kritikpunkte an der öffentlichen Darstellung.

Tatsächlich sollte man nie nur einen einzigen Passkey besitzen.

Gute Dienste erlauben mehrere Passkeys gleichzeitig:

• Handy

• PC

• Hardware-Key

• zweiter Hardware-Key

Geht eines verloren, funktionieren die anderen weiterhin.

Ersetzen Passkeys wirklich Passwort + 2FA?

Nicht ganz.

Ein Passkey ist technisch bereits eine Mehrfaktor-Anmeldung:

• Besitz des Geräts

• plus Entsperren des Geräts (PIN, Fingerabdruck oder Gesicht)

Deshalb braucht man häufig keinen zusätzlichen TOTP-Code mehr.

Woher kommt der Hype?

Vor allem aus Sicherheitsgründen.

Passkeys schützen gegen nahezu alle klassischen Angriffe:

• ✔️ Phishing

• ✔️ gestohlene Passwörter

• ✔️ Credential Stuffing

• ✔️ Man-in-the-Middle-Angriffe

• ✔️ SIM-Swapping (bei SMS-2FA)

Das ist ein echter Fortschritt.

Wo sehe ich noch Schwächen?

Gerade für Nutzer wie dich gibt es durchaus berechtigte Kritik:

• Die Werbung vermittelt oft den Eindruck, das Smartphone sei Pflicht.

• Die Wiederherstellung ist je nach Anbieter unterschiedlich gelöst.

• Man ist häufig an die Ökosysteme von Apple, Google oder Microsoft gebunden.

• Wer bewusst ohne Smartphone arbeitet, fühlt sich oft nicht als Zielgruppe.

Mein bevorzugtes Setup für einen Desktop-Nutzer

Wenn ich hauptsächlich am PC arbeiten würde, sähe mein Setup ungefähr so aus:

• Hardware-Sicherheitsschlüssel (YubiKey oder ähnlich) als primärer Passkey

• zweiter Hardware-Schlüssel als Backup

• Passwortmanager für die wenigen Dienste, die noch keine Passkeys unterstützen

• optional zusätzlich Windows Hello auf dem eigenen Rechner

Damit brauche ich kein Smartphone zum Anmelden, kann aber trotzdem an jedem PC sicher arbeiten.

Für jemanden, der kaum mit dem Handy surft, wirkt der Smartphone-Fokus vieler Werbekampagnen tatsächlich etwas irreführend. Passkeys sind jedoch nicht gleichbedeutend mit "Login übers Handy" – das Handy ist nur eine von mehreren Möglichkeiten, einen Passkey sicher zu speichern und zu verwenden.

Answer 2

Passkeys? Die Frage ist: Wenn ich in Thailand in einem Internetcafé meine E‑Mails checken will, muss ich dann jedes Mal nach Hause fliegen, um wichtige E‑Mails zu lesen? Zum Beispiel, wenn ein Anwalt geschrieben hat und es dringend ist oder sonst etwas Wichtiges passiert ist etc. Und ich habe nicht immer das Handy im Ausland dabei..

mfg Gustav

Answer 3

In einem fremden Wlan mit einem fremden PC solltest du grundsätzlich keine sensiblen Daten bearbeiten. Die Datn sind für einen unerwünschten Mitleser ggf. offen sichtbar.  Da würde auch ein Passkey nicht helfen. Da hilft nur eigene Hardware und möglichst eine VPN- Verbindung.

Gruß computerschrat

Answer 4

@comuterschrat, KI sagt Passkeys nur für Business für Private bleibt es so wie gehabt. Wer viel unterwegs ist zum Beispiel im Ausland Urlaub macht dann über Hotel WLan einloggen oder Auslands-Sim und los surfen - Passkey macht da keinen Sinn.

mfg Gustav