Geräteverlust: Synchronisierte Passkeys vs. romantisierte MFA

Der häufigste Einwand gegen Passkeys ist simpel: „Wenn ich mein Telefon verliere, verliere ich alles.“ Er klingt endgültig. Oft vergleicht er aber ein reales Passkey-Setup mit einer idealisierten MFA, die kaum jemand praktiziert.

Das NCSC-Papier zu klassischen Credentials und FIDO2 für den privaten Gebrauch geht den gesamten Lebenszyklus durch—einschließlich Wiederherstellung nach Geräteverlust—und kommt zu dem Schluss: Synchronisierte Passkeys sind mindestens so verfügbar wie reale MFA und deutlich schwerer zu phishen.

Die Angst: „Wenn ich mein Telefon verliere, verliere ich alles“

Telefonverlust ist real: Diebstahl, Totalschaden, Gerät im Taxi. Weil Passkeys auf Authenticatoren liegen, ist die Anschlussfrage berechtigt.

Die richtige Frage lautet nicht „überlebt irgendein System den Verlust jeder Kopie jedes Geheimnisses?“. Sondern: „Was passiert, wenn ein Gerät verschwindet—und wie vergleicht sich das mit der MFA, die ich bereits nutze?“

Vergleich mit idealisierter MFA, die niemand wirklich praktiziert

Kritiker stellen Passkeys oft einer Traum-MFA gegenüber: langes einzigartiges Passwort ohne Wiederverwendung, Hardware-TOTP-Token, der nie verloren geht, perfekte SIM-Hygiene und ein Recovery-Pfad, den man nie braucht. Real leben dort wenige.

Praktisch wiederverwenden viele Passwörter, speichern sie im selben Cloud-Tresor wie Passkeys, empfangen SMS oder Push-Freigaben auf dem Telefon, das sie fürchten zu verlieren, und fallen auf E-Mail-„Passwort vergessen“ zurück. Das ist der faire Maßstab—keine Museums-MFA.

Vergleicht man fair, wirkt die Verfügbarkeit synchronisierter Passkeys nicht mehr besonders fragil.

Wie synchronisierte Passkeys nach dem Verlust eines Geräts wiederhergestellt werden

Laut NCSC ist ein Passkey ein FIDO2-Credential, das über eine Sync-Fabric synchronisiert (Apple, Google, Microsoft oder einen kompatiblen Passwortmanager). Ist bereits ein weiteres Laptop, Tablet oder Telefon eingeschrieben, löscht der Verlust eines Geräts das Credential nicht.

War das verlorene Telefon Ihr einziges Gerät, stellen Sie den Zugang wieder her, indem Sie sich auf einem Ersatzgerät in die Sync-Fabric einloggen und den Tresor wiederherstellen—dasselbe Muster wie bei Passwortmanagern. Ein einzelnes Handset bedeutet nicht dauerhaften Ausschluss.

Kernaussage: Ein verlorenes Gerät ist nicht „alles“, solange das Sync-Konto erreichbar und geschützt bleibt.

Gerätegebundene Passkeys / FIDO-Token: Backup anmelden, bevor Sie es brauchen

Gerätegebundene Credentials sind anders. Ein Single-Device-Passkey oder ein Hardware-FIDO-Sicherheitsschlüssel synchronisiert nicht. Ist das der einzige registrierte Authenticator, bedeutet Verlust Kontowiederherstellung pro Dienst—oder dauerhafte Sperre bei schwachem Recovery.

Die praktische Regel ist langweilig und wirksam: Registrieren Sie einen zweiten Authenticator, solange alles noch funktioniert. Ein weiterer Sicherheitsschlüssel, ein zweites gerätegebundenes Credential oder ein synchronisierter Passkey neben einem Hardware-Key für kritische Konten.

Dienste, die eine alleinige gerätegebundene Registrierung erkennen, sollten zum Backup raten, bevor der Alltag davon abhängt. Zu warten, bis die Tasche weg ist, ist zu spät.

Verfügbarkeit vs. Kompromittierung — wiederverwendete Passwörter wirken erreichbar, laden aber zur Übernahme ein

Ein gemerktes, wiederverwendetes Passwort ohne zweiten Faktor ist hoch „verfügbar“. Man tippt es oft überall. Der Komfort ist teuer: Massenangreifer ernten, testen und übernehmen solche Konten im großen Stil.

Der Microsoft Digital Defense Report 2025 zeigt weiterhin passwortzentrierte Angriffe als Volumen-Dominanz. Ein Gerät in der Authentifizierung—Passwortmanager, klassische MFA oder FIDO2—senkt das Kompromittierungsrisiko stark und bringt dafür eine Recovery-Abhängigkeit, die man planen muss.

Synchronisierte Passkeys wählen bewusst den sichereren Trade-off: etwas mehr Recovery-Planung, deutlich weniger Raum für Phishing und Credential Stuffing.

Recovery-Flows sind das gemeinsame schwache Glied

Sind alle Authenticatoren weg, landen Passkeys und klassische MFA am selben Ort: E-Mail-Links, SMS-Codes, Support-Tickets oder andere Besitz-Nachweise. Diese Pfade sind oft schwächer als der Primär-Login—und Angreifer missbrauchen sie bereits.

Je weiter Passkeys sich ausbreiten und der Primär-Login schwerer zu phishen wird, desto attraktiver wird Recovery. Das spricht nicht gegen Passkeys; es spricht für stärkere Recovery-Designs und für den Schutz der E-Mail- und Sync-Konten hinter Reset-Buttons.

Behandeln Sie E-Mail und Sync-Konto als Kronjuwelen: phishing-resistente Anmeldung wo möglich, einzigartige Secrets und Recovery-Optionen, die Sie verstehen, bevor Sie sie brauchen.

Checkliste, bevor Sie sich täglich auf Passkeys verlassen

• Bevorzugen Sie synchronisierte Passkeys für private Konten, damit ein verlorenes Telefon kein Single Point of Failure ist.
• Registrieren Sie mindestens zwei Geräte (oder Gerät plus Hardware-Key) für E-Mail, Banking, Cloud und Entwicklerkonten.
• Nutzen Sie einen gerätegebundenen FIDO-Token, melden Sie vorher einen Backup-Authenticator an.
• Schützen Sie die Sync-Fabric selbst mit phishing-resistenter Authentifizierung und einem getesteten Recovery-Pfad.
• Bewahren Sie Backup-Codes oder dokumentierte Recovery nur dort auf, wo der Dienst sie verlangt—und offline.
• Löschen Sie Passwort-Fallbacks erst, wenn Sie verstehen, wie dieser Dienst einen verlorenen Passkey wiederherstellt.
• Prüfen Sie registrierte Passkeys regelmäßig und widerrufen Sie alles, was Sie nicht mehr kontrollieren.