So bleiben Passkeys stark: Eine praktische Checkliste

Passkeys sind gegen gängige Angriffe stärker als traditionelle MFA, aber der Nutzen ist nicht automatisch. Er hängt von Gerätehygiene, Authenticator-Wahl, Sync-Fabric-Schutz, Backups und dem ab, was Relying Parties umsetzen. Das britische NCSC-Papier zum Vergleich traditioneller Credentials und FIDO2 für den privaten Gebrauch (23. April 2026) benennt diese Bedingungen klar.

Diese Checkliste macht daraus konkrete Schritte für Nutzer und Sites. Für die Grundlagen starten Sie mit unserem Passkeys-Authentifizierungsleitfaden. Für mehr Kontext siehe Sync-Fabric-Risiken und Wiederherstellung nach Geräteverlust.

Passkeys sind starke Krypto, verpackt in Entscheidungen

FIDO2-/WebAuthn-Credentials nutzen Public-Key-Kryptografie, gebunden an den echten Website-Origin. Der Private Key bleibt im Authenticator oder einem geschützten Sync-Fabric; die Site sieht nur eine Signatur über eine Challenge. Dieses Design widersteht Adversary-in-the-Middle-Phishing, das SMS, TOTP, Push und E-Mail-OTP weiterhin besiegt.

Stärke ist nicht kostenlos. Sie wählen weiterhin, welchen Authenticator Sie nutzen, ob Credentials syncen, wie das Sync-Konto geschützt ist, ob ein zweiter Schlüssel existiert und ob die Site XSS- und Recovery-Lücken schließt. Behandeln Sie Passkeys als starke Krypto in operativen Entscheidungen—und treffen Sie die guten Entscheidungen bewusst.

Nutzer-Checkliste — Passkeys bevorzugen; sonst Passwort + starke MFA

Priorisieren Sie Konten, die alles andere freischalten: E-Mail, Passwortmanager, Banking, Cloud und Entwicklerkonsolen.

• Bevorzugen Sie einen Passkey oder Sicherheitsschlüssel, wo immer der Dienst einen anbietet.
• Wo Passkeys fehlen: langes, einzigartiges Manager-Passwort plus stärkste verfügbare MFA—SMS nicht als primären zweiten Faktor nutzen, wenn es Besseres gibt.
• Achten Sie auf MFA-Downgrade-UX („anders anmelden“, Passwort-Reset, SMS statt Passkey) und lehnen Sie schwächere Pfade ab, wenn ein Passkey registriert ist.
• Prüfen Sie Recovery-Optionen, damit „Passwort vergessen“ die Phishing-Resistenz nicht still löscht.

Credential-Manager mit OS-/hardwaregestütztem Speicher wählen

Wo Malware-Resistenz zählt—besonders am Desktop—bevorzugen Sie Manager und Plattform-Authenticatoren, die Geheimnisse in OS-integriertem oder hardwaregestütztem Speicher halten, nicht nur in einem Software-Vault-Prozess.

First-Party-Fabrics von Apple, Google und Microsoft integrieren typischerweise Plattformsicherheit. Drittanbieter variieren: Prüfen Sie, ob Passkey-Enrollment MFA verlangt und ob Secrets von Secure Enclave / TPM profitieren. Defaults zählen so viel wie Marketing.

Sync-Fabric mit phishing-resistenter Auth + solider Recovery schützen

Synchronisierte Passkeys erben das Vertrauensmodell des Kontos, das sie sichert. Härten Sie dieses Fabric wie E-Mail-Recovery. Siehe auch unsere tiefere Notiz zum Sync-Fabric-Risiko.

• Aktivieren Sie einen Passkey oder Hardware-FIDO-Key für das Vault-/Plattformkonto selbst, sobald das Produkt es erlaubt.
• Bevorzugen Sie Fabrics, die MFA zum Enrollen oder Syncen verlangen—nicht nur optionale MFA hinterher.
• Dokumentieren Sie Recovery, bevor Sie sie brauchen: Recovery-Codes, vertrauenswürdige Geräte oder verständliche Konto-Wiederherstellung.
• Behandeln Sie unerwartete Aufforderungen zur erneuten Authentifizierung des Sync-Kontos als feindlich, bis das Gegenteil bewiesen ist.

Single-Device-/Hardware-Keys sichern (zweiten Authenticator registrieren)

Gerätegebundene Credentials und Hardware-Sicherheitsschlüssel syncen nicht. Ist der einzige registrierte Authenticator verloren, landen Sie in per-Site-Recovery—oder Lockout. Die praktische Regel: registrieren Sie einen zweiten Authenticator, solange alles noch funktioniert. Mehr zu Verfügbarkeits-Trade-offs in unserem Artikel zu Geräteverlust.

• Enrollen Sie einen Backup-Sicherheitsschlüssel oder ein zweites gerätegebundenes Credential für hochwertige Konten.
• Alternativ: halten Sie einen synchronisierten Passkey neben einem Hardware-Key, damit der Verlust eines Pfads kein Lockout bedeutet.
• Warten Sie nicht, bis die Tasche weg ist—Backup-Registrierung ist eine Day-One-Aufgabe.

Gerät und Browser sauber halten (Malware, bösartige Extensions)

Passkeys reduzieren Phishing, aber Malware auf dem Gerät kann weiterhin Sessions stehlen, UI überlagern oder entsperrte Authenticatoren missbrauchen. Browser-Extensions mit weiten Berechtigungen sind ein häufiges schwaches Glied.

• OS und Browser aktuell halten; ungenutzte Software entfernen.
• Extensions nur aus vertrauenswürdigen Quellen; Berechtigungen regelmäßig prüfen.
• Authenticator mit PIN / Biometrie sperren und Bildschirm sperren, wenn Sie weggehen.
• Unerwartete „Anmeldung bestätigen“-Prompts als Kompromiss-Signal behandeln, nicht als Rauschen.

Checkliste auf Site-Seite

Relying Parties tragen Mitverantwortung. Starke Nutzergewohnheiten kompensieren nicht schwache Origin-Handhabung, XSS oder irrevocable Credential-Speicherung.

• Origin vereinheitlichen / Related Origin Requests: Authentifizierung auf einem klaren Primär-Origin halten; Related Origin Requests vorsichtig nutzen, wenn mehrere legitime Hosts Credentials teilen müssen.
• CSP + Trusted Types gegen XSS: eine gestohlene Session oder injiziertes Script kann selbst eine perfekte Passkey-Zeremonie untergraben. Content Security Policy und Trusted Types wo praktikabel einsetzen.
• Widerruf öffentlicher Schlüssel erlauben: Nutzer und Admins müssen einen verlorenen oder kompromittierten Authenticator entfernen können, ohne auf ein undurchsichtiges Support-Ticket zu warten.
• Zweiten Passkey für gerätegebundene Credentials empfehlen: bei Single-Device-Registrierung Nutzer anstupsen, vor dem Alltagsgebrauch ein Backup hinzuzufügen.

Fazit

Passkeys bleiben stark, wenn Kryptografie, Sync-Schutz, Backups, Gerätehygiene und Site-Controls zusammenpassen. Fehlt eines davon, führen Sie still Recovery-Chaos oder phishing-nahe Risiken wieder ein.

Nutzen Sie diese Checkliste als lebendige Praxis: Passkeys auf Kronjuwel-Konten enrollen, das Sync-Fabric härten, einen zweiten Authenticator für gerätegebundene Keys registrieren, Geräte sauber halten und von Sites erwarten, Keys zu widerrufen und XSS zu widerstehen. Bis jeder Dienst Passkeys anbietet: einzigartige starke Passwörter für den Rest.