Passkeys: der passwortlose Login, der Phishing nichts mehr zu stehlen lässt

Was ein Passkey ist (und warum er nicht „noch ein Passwort" ist)

Ein Passkey ist ein Credential des Standards WebAuthn/FIDO2, basierend auf Public-Key-Kryptografie. Bei der Registrierung erzeugt Ihr Gerät ein Schlüsselpaar: Der private bleibt auf Smartphone, Laptop oder Sicherheitsschlüssel, geschützt durch Fingerabdruck, Gesicht oder PIN; der Server speichert nur den öffentlichen. Bei der Anmeldung sendet der Server eine einmalige Challenge, und das Gerät signiert sie nach der biometrischen Entsperrung. Nichts wird getippt. Kein Geheimnis reist.

Aus diesem Design ergeben sich die drei Eigenschaften, die ihn von jedem Passwort unterscheiden:

• Nichts zu merken oder zu tippen: Der „Faktor Mensch" — schwache, wiederverwendete oder notierte Passwörter — verschwindet aus dem Login.
• Kein wiederverwendbares Geheimnis zu stehlen: Wer die Server-Datenbank leakt, erbeutet nur öffentliche Schlüssel — nutzlos, um jemanden zu imitieren.
• Kryptografisch an die Domain gebunden: Der Browser signiert nur für die Domain, auf der der Passkey registriert wurde. Auf einer geklonten Website gibt es schlicht nichts zu übergeben.

Es gibt zwei Varianten: synchronisierte Passkeys (sie reisen mit Ihrem Apple-, Google- oder Microsoft-Konto zwischen Ihren Geräten) und hardware-gebundene (sie leben auf einem physischen Schlüssel wie einem YubiKey und verlassen ihn nie — die bevorzugte Option für hochprivilegierte Profile).

Warum Phishing weiter funktioniert (auch mit 2FA)

Phishing „hackt" nichts: Es fragt nach dem Passwort, und der Nutzer gibt es her. Deshalb steht es seit Jahren unter den häufigsten Angriffsvektoren — der Data Breach Investigations Report von Verizon führt gestohlene Zugangsdaten und Phishing Jahr für Jahr an der Spitze der analysierten Vorfälle. Schulungen helfen, schließen die Lücke aber nicht: Ein eiliger Klick genügt.

Klassische 2FA legt die Latte höher, beseitigt sie aber nicht. Ein TOTP- oder SMS-Code lässt sich ebenfalls auf der falschen Website eintippen: Phishing-Kits mit Reverse-Proxy (Adversary-in-the-Middle-Angriffe) sammeln Passwort und Code in Echtzeit und leiten sie an die legitime Website weiter, bevor sie ablaufen. Und Push-Benachrichtigungen haben ihre eigene Achillesferse: die MFA-Fatigue — den Nutzer bombardieren, bis er bestätigt.

Der Passkey bricht das ganze Modell: Da der Browser nur für die registrierte Domain signiert, gibt es auf dokuflex-sicher.com nichts zu signieren. Der Nutzer kann kein Geheimnis verschenken, das er weder kennt noch besitzt. Als Bonus verschwinden Passwort-Wiederverwendung zwischen Diensten, Notizzettel unter der Tastatur und ein Gutteil der „Passwort vergessen"-Tickets.

Passwort, Passwort + 2FA und Passkey: der Vergleich

Nichts davon zwingt Sie, Bestehendes wegzuwerfen: Meldet sich Ihre Organisation über Unternehmens-SSO (Active Directory, ADFS, OAuth, SAML) mit 2FA an, koexistieren Passkeys mit diesem Schema und lösen es in dem Tempo ab, das Sie bestimmen.

NIS2, ENS und ISO 27001: was sie verlangen und was der Passkey bringt

Keine Norm verlangt „Passkeys" namentlich. Aber alle Rahmenwerke, die europäische Unternehmen betreffen, drängen in dieselbe Richtung:

• NIS2: Artikel 21 der Richtlinie (EU) 2022/2555 nennt unter den Mindestmaßnahmen den Einsatz von „Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung". Fällt Ihr Unternehmen in den Anwendungsbereich — prüfen Sie es in unserem NIS2-Leitfaden (EN) —, ist starke Authentifizierung keine Option mehr.
• ENS: Für die Zusammenarbeit mit spanischen Behörden verlangt das Esquema Nacional de Seguridad der Systemkategorie angemessene Authentifizierungsmechanismen; in den Kategorien Mittel und Hoch ist der zweite Faktor die Regel. Es ist derselbe Rahmen wie bei unserem ENS-fähigen Dokumentenmanagement.
• ISO 27001 und Kundenaudits: Die Zugriffskontrolle gehört zu den ersten Punkten, die jeder Auditor prüft. Eine organisationsweit durchgesetzte Passkey-Richtlinie ist direkter Nachweis — und einer der am leichtesten zu belegenden.

Eine Nuance, die die Regulierer bereits erfassen: Nicht jede MFA ist gleich viel wert. Die Richtlinie NIST SP 800-63B unterscheidet phishing-resistente Authentifizierung — die kryptografische, wie FIDO2 — von der, die es nicht ist (SMS, TOTP). Wer heute Passkeys einführt, steht dort, wo die Regulierung morgen sein wird.

Wie Dokuflex es löst: Passkeys mit Unternehmensrichtlinie

Dokuflex bringt den Passkey-Login auf Basis von WebAuthn/FIDO2 mit — und zwar so gedacht, wie ein Unternehmen ihn verwaltet, nicht nur als Geste des Nutzers:

• Ein Button im Login: „Mit Passkey anmelden". Fingerabdruck, Gesicht oder Sicherheitsschlüssel — ohne Passwort und ohne 2FA-Code, denn der Passkey zählt für beides.
• Mehrere Passkeys pro Nutzer: Jede Person registriert ihre eigenen im Profil — Smartphone, Laptop, physischer Schlüssel — und meldet sich bei Verlust eines Geräts mit einem anderen an.
• Organisationsrichtlinie per Dropdown: deaktiviert, optional oder verpflichtend mit Übergangsfrist. Dazu ein strikter Modus „nur Hardware-Schlüssel" für Administratoren und Profile mit Zugriff auf sensible Daten.
• Kontrolle über den Lebenszyklus: Der Administrator widerruft sofort den Passkey eines verlorenen Geräts, und das erzwungene Enrollment sorgt dafür, dass jeder ohne Passkey ihn beim Login registriert, wenn die Organisation es verlangt.
• Koexistiert mit Ihrem aktuellen Schema: Unternehmens-SSO und TOTP-2FA von Dokuflex bleiben bestehen; der Passkey löst sie Nutzer für Nutzer ab, ohne Big-Bang-Migration.

Der gesamte Ablauf — Registrierung, passwortloser Login und Richtlinien — ist Ende-zu-Ende verifiziert und erfordert keine Installation: ein moderner Browser und die Entsperrung, die jedes Gerät ohnehin nutzt (Windows Hello, Face ID, Android-Fingerabdruck oder FIDO2-Schlüssel).

Fragen Sie eine Demo an und sehen Sie den Passkey-Login live →

Passkeys reibungslos ausrollen: Plan in 5 Schritten

1. Starten Sie mit „optional" und der IT. Aktivieren Sie die Richtlinie im Optional-Modus und lassen Sie das Technikteam sie ein, zwei Wochen nutzen: Die echten Fragen tauchen auf, bevor der Rest betroffen ist.
2. Verlangen Sie zwei Passkeys pro Nutzer. Smartphone + Laptop oder Gerät + physischer Schlüssel. Das ist der Unterschied zwischen „Handy verloren" als kleiner Störung oder als Sperre.
3. Wechseln Sie zu „verpflichtend“ mit Übergangsfrist. Das erzwungene Enrollment erledigt die Arbeit für Sie: Jeder Nutzer registriert seinen Passkey beim Login — ohne Mail-Kampagnen, ohne Einzelverfolgung.
4. Hardware-Schlüssel für kritische Profile. Administratoren, Finanzen und wer signiert oder freigibt: Modus „nur Hardware-Schlüssel", damit der Schlüssel nicht synchronisiert reist.
5. Definieren Sie den Verlustprozess und messen Sie. Wer widerruft, wie das Re-Enrollment läuft — und eine Vorher/Nachher-Kennzahl: die Passwort-Reset-Tickets. Der am leichtesten vorzeigbare ROI für die Geschäftsführung.

Häufige Fragen