Anmelden ohne Passwort.

Die meisten Einbrüche in kleine Betriebe fangen nicht mit einem Hacker an, sondern mit einer Mail. Sie sieht aus wie von der Bank, dem Paketdienst oder Microsoft, führt auf eine nachgebaute Anmeldeseite, und jemand tippt dort sein Passwort ein.

Gegen dieses Muster hilft kein längeres Passwort. Es hilft nur eines, das man nicht weitergeben kann.

Wie ein Passkey funktioniert

Beim Einrichten erzeugt Ihr Gerät ein Schlüsselpaar. Der öffentliche Teil geht an den Dienst, der private bleibt auf dem Gerät und verlässt es nie. Beim Anmelden schickt der Dienst eine Aufgabe, die nur mit dem privaten Schlüssel gelöst werden kann. Sie bestätigen mit Fingerabdruck, Gesicht oder Geräte-PIN.

Daraus folgen drei Dinge:

Es gibt kein Geheimnis, das man verraten kann. Auf einer nachgebauten Seite ist nichts einzugeben.

Der Schlüssel ist an die echte Adresse gebunden. Selbst wenn jemand eine perfekte Kopie baut — der Passkey funktioniert dort schlicht nicht. Das ist der Punkt, der Passkeys von Ein-Zeit-Codes unterscheidet: Einen SMS-Code kann man auf einer gefälschten Seite eintippen, einen Passkey nicht.

Bei einem Datenleck beim Anbieter ist der öffentliche Schlüssel wertlos.

Wo es hakt

Ich schreibe das vor die Vorteile, weil es in den meisten Beiträgen fehlt.

Nicht jeder Dienst kann es. Große Anbieter ja, Branchensoftware und ältere Systeme oft nicht. Sie werden auf absehbare Zeit beides parallel führen.

Gerätewechsel muss geregelt sein. Passkeys in einem Passwortmanager oder in der Anbieter-Cloud wandern mit. Passkeys, die nur auf einem Gerät liegen, sind beim Verlust weg — und dann brauchen Sie einen zweiten Weg hinein.

Betriebliche Konten und private Geräte. Wenn der Passkey für das Firmenkonto auf dem privaten Handy eines Mitarbeiters liegt und dieser das Unternehmen verlässt, ist das eine Frage, die man vorher klärt, nicht nachher.

Was wir Betrieben raten

Nicht alles auf einmal. Fangen Sie mit den Konten an, deren Verlust am meisten wehtut: Mailkonto des Betriebs, Domainverwaltung, Onlinebanking, Zugang zum Server, Google-Unternehmensprofil.

Besonders die Domainverwaltung wird unterschätzt. Wer sie übernimmt, kann Ihre Mails umleiten und Ihre Website ersetzen. Sie ist oft schlechter gesichert als das Bankkonto, dabei hängt mehr daran.

Immer einen zweiten Weg einrichten. Ein zweiter Passkey auf einem anderen Gerät oder Wiederherstellungscodes, ausgedruckt und weggeschlossen. Wer nur einen Weg hat, sperrt sich irgendwann aus.

Ein Passwortmanager bleibt trotzdem nötig. Für alles, was keine Passkeys kann. Und er ist der bequemste Ort, um Passkeys geräteübergreifend zu verwalten.

Und die alten Passwörter danach entfernen. Wenn ein Konto Passkey und weiterhin ein schwaches Passwort erlaubt, haben Sie nichts gewonnen — der Angreifer nimmt einfach den alten Weg.

Was Passkeys nicht lösen

Sie schützen die Anmeldung. Sie schützen nicht davor, dass jemand einen Anhang öffnet, dass eine Sicherung fehlt oder dass ein Server keine Updates mehr bekommt.

Wer Passkeys einführt und dabei die Datensicherung liegen lässt, hat die Tür verstärkt und das Fenster offen gelassen.