Passkeys haben beim Bekanntheitsgrad gewonnen. Die Kontowiederherstellung ist weiterhin ungelöst.
Passkeys hatten den Marketing-Erfolg, von dem fast jede Sicherheitstechnologie träumt: breite, schnelle Verbraucherbekanntheit. Laut dem State-of-Passkeys-Bericht 2026 der FIDO Alliance, zusammengefasst von Descope, stieg die Verbraucherbekanntheit von 75 % im Jahr 2025 auf 90 % im Jahr 2026 — ein bemerkenswerter Wandel für eine Technologie, die drei Jahre zuvor kaum allgemein bekannt war. Apple, Google und Microsoft haben Passkey-Aufforderungen in ihre zentralen Anmeldeabläufe integriert, und große Websites von Banken bis zu sozialen Plattformen bieten sie nun standardmäßig an.
Und doch bleiben Unternehmenseinführungen immer wieder am selben Problem hängen: Was passiert, wenn jemand das Gerät verliert, auf dem sein Passkey liegt. In Umfragen unter Organisationen, die konkrete Hindernisse für die Passkey-Einführung nennen, gehören Bedenken zu Geräteverlust und Kontowiederherstellung zu den größten Hürden, genannt von etwa einem Drittel der Organisationen. Die Technologie, die das Passwort beseitigen sollte, hat einen Wiederherstellungsprozess, der in den meisten realen Einsätzen immer noch heimlich von einem solchen abhängt.
Warum Wiederherstellung sich strukturell vom Login unterscheidet
Ein Passkey ist ein kryptografisches Schlüsselpaar, das an ein Gerät gebunden ist (oder über das Geräte-Ökosystem eines Nutzers via iCloud-Schlüsselbund, Google Passwortmanager oder Ähnliches synchronisiert wird). Genau diese Bindung macht Passkeys phishing-resistent — es gibt kein gemeinsames Geheimnis zu stehlen, weil der private Schlüssel das Gerät niemals verlässt. Aber das bedeutet auch: Verliert man alle Geräte, auf denen der Schlüssel lag, oder hat ihn nie synchronisiert, sperrt man sich selbst aus, ohne dass schlechte Sicherheitspraxis die Ursache wäre.
Die ehrliche Antwort der Branche lautet laut dem britischen National Cyber Security Centre (NCSC), dass die FIDO Alliance und die breitere Branche aktiv am Wiederherstellungsproblem arbeiten, es aber «noch nicht wirksam akzeptiert und etabliert» sei als gelöste Frage. In der Praxis greifen die meisten Dienste genau auf jene Mechanismen zurück, die Passkeys ersetzen sollen: ein Passwort-Reset, ein SMS-Code, eine wissensbasierte Sicherheitsfrage oder ein Support-Mitarbeiter, der die Identität manuell verifiziert. Jeder dieser Rückfallwege öffnet die Angriffsfläche wieder, die Passkeys auf der Login-Seite geschlossen haben.
Angreifer haben sich bereits umorientiert
Das ist nicht theoretisch. Das NCSC weist ausdrücklich darauf hin, dass Angreifer ihren Fokus auf Schwachstellen bei Kontowiederherstellung und Reset-Anfragen verlagern, einschließlich Phishing-Kampagnen, die gezielt Wiederherstellungscodes statt direkt Login-Daten angreifen. Es ist ein vorhersehbarer Schritt: Wird die Vordertür deutlich schwerer zu knacken, suchen Angreifer den Ersatzschlüssel unter der Fußmatte — und genau das ist der Wiederherstellungsablauf derzeit meist. Ein Social-Engineering-Anruf beim Helpdesk, der einen Support-Mitarbeiter zum Zurücksetzen des Kontozugangs überredet, oder ein gephishter Wiederherstellungscode umgehen den Passkey-Schutz vollständig, ohne je einen Passkey zu berühren.
Wie gute Wiederherstellung tatsächlich aussieht
Die am besten funktionierenden Implementierungen folgen einem gemeinsamen Muster, statt sich auf einen einzigen Rückfallweg zu verlassen: mehrere Passkeys, die von Anfang an auf mehreren Geräten registriert sind (sodass der Verlust eines Geräts nicht den Verlust des Zugangs bedeutet), ein physischer Hardware-Sicherheitsschlüssel, der als ausdrückliches Backup und nicht als nachträglicher Gedanke bereitgehalten wird, und für Unternehmen ein administratorvermittelter Wiederherstellungsworkflow, der eine Out-of-Band-Verifizierung erfordert statt einer schnellen Passwort-Reset-E-Mail. Verbraucherplattformen, die Passkeys über ein Geräte-Ökosystem synchronisieren — iCloud-Schlüsselbund und Google Passwortmanager sind die beiden größten — reduzieren das Risiko eines einzelnen Geräts erheblich, bedeuten aber auch, dass Ihre Wiederherstellungslage nur so stark ist wie die Sicherheit Ihrer Apple-ID oder Ihres Google-Kontos — was selbst zu einem einzigen Fehlerpunkt wird, wenn dieses Konto nicht gehärtet ist.
Wenn Sie im letzten Jahr irgendwo Passkeys aktiviert haben, ist die eine konkrete Sache, die sich diese Woche lohnt, einen zweiten Passkey auf einem separaten Gerät zu registrieren oder einen Hardware-Sicherheitsschlüssel als Backup hinzuzufügen — statt bei einem tatsächlichen Geräteverlust zu entdecken, dass Ihre einzige Wiederherstellungsoption ein Passwort-Reset-Ablauf ist, den Sie für abgeschafft hielten. Für IT- und Sicherheitsteams, die Passkeys im großen Maßstab einführen, verdient der Wiederherstellungsworkflow dieselbe Aufmerksamkeit bei der Bedrohungsmodellierung wie der Login-Workflow — derzeit erhält er in den meisten Implementierungen nur einen Bruchteil davon.