Drei Verfahren, die unterschiedliche Aufgaben erfüllen
Ein Login per Fingerabdruck, ein digitaler Passworttresor und ein zusätzlicher Bestätigungscode können dasselbe Ziel unterstützen: Unbefugte sollen keinen Zugang zum eigenen Onlinekonto erhalten. Technisch arbeiten diese Lösungen jedoch unterschiedlich.
Passkeys ermöglichen eine Anmeldung ohne klassisches Kontopasswort. Passwortmanager erstellen und verwahren dagegen Zugangsdaten für Dienste, die weiterhin Passwörter benötigen. Die Zwei-Faktor-Authentifizierung, kurz 2FA, verlangt zwei unterschiedliche Nachweise, beispielsweise ein Passwort und einen zusätzlichen Sicherheitscode.
Die Verfahren schließen einander nicht aus. Moderne Passwortmanager können auch Passkeys speichern. Ein Hardware-Sicherheitsschlüssel kann sowohl als zweiter Faktor als auch für eine passwortlose Anmeldung dienen.
Der wichtigste Unterschied liegt deshalb nicht allein im Komfort, sondern darin, wie ein Verfahren die Identität überprüft und welche Angriffsmöglichkeiten es verhindert.
Passkeys: Anmelden ohne klassisches Passwort
Bei Passkeys wird für ein Onlinekonto ein kryptografisches Schlüsselpaar erzeugt. Der öffentliche Schlüssel wird beim jeweiligen Dienst hinterlegt. Der private Schlüssel bleibt geschützt auf einem Gerät, einem Hardware-Sicherheitsschlüssel oder innerhalb einer geeigneten Schlüsselverwaltung.
Bei der Anmeldung wird der private Schlüssel verwendet, ohne ihn an die Website weiterzugeben. Freigegeben wird der Vorgang beispielsweise durch Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Biometrische Daten müssen dafür nicht an den Online-Dienst übertragen werden.
Ein wesentlicher Sicherheitsvorteil ist die Bindung an die echte Website. Ein Passkey funktioniert nicht einfach auf einer täuschend ähnlichen Phishing-Seite. Damit schützt dieses Verfahren besonders gut vor dem Abgreifen von Anmeldedaten.
Grenzen gibt es trotzdem:
Nicht jeder Online-Dienst unterstützt Passkeys.
Die Nutzung über verschiedene Geräte hängt von der eingesetzten Schlüsselverwaltung ab.
Ohne Synchronisierung, Ersatzgerät oder Wiederherstellungsweg kann ein Geräteverlust problematisch werden.
Passkeys können eine klassische Kombination aus Passwort und zusätzlichem Faktor ersetzen. Ob und wie das möglich ist, hängt vom jeweiligen Dienst und seiner technischen Umsetzung ab.
Passwortmanager: Sichere Zugangsdaten zentral verwalten
Für jedes Onlinekonto ein anderes, ausreichend langes Passwort zu verwenden, ist eine grundlegende Sicherheitsmaßnahme. Ein Passwortmanager übernimmt das Erstellen, Speichern und häufig auch das automatische Einfügen dieser Zugangsdaten.
Die Passwörter werden in einem verschlüsselten Tresor verwahrt. Je nach Anwendung liegen die Daten ausschließlich lokal oder werden verschlüsselt zwischen mehreren Geräten synchronisiert.
Besondere Aufmerksamkeit verdient das Master-Passwort, mit dem der Tresor geschützt wird. Es sollte lang, einzigartig und nicht bei anderen Diensten im Einsatz sein. Falls verfügbar, sollte zusätzlich eine starke Mehrfaktor-Authentifizierung für den Passwortmanager aktiviert werden.
Ein weiterer Vorteil: Viele Programme erkennen die zu einer gespeicherten Anmeldung gehörende Internetadresse. Das kann vor gefälschten Login-Seiten warnen. Ein vollständiger Schutz vor Phishing entsteht dadurch aber nicht.
Zugleich wird der Passworttresor zu einem besonders schützenswerten Zugangspunkt. Deshalb gehören sichere Geräte, regelmäßige Updates und eine durchdachte Wiederherstellung zur Nutzung eines Passwortmanagers.
Zwei-Faktor-Authentifizierung: Eine zusätzliche Zugangshürde
Bei der Zwei-Faktor-Authentifizierung müssen zwei unterschiedliche Sicherheitsfaktoren zusammenkommen. Typische Kategorien sind Wissen, etwa ein Passwort, Besitz, etwa ein Smartphone oder Sicherheitsschlüssel, und biometrische Merkmale.
Die verbreiteten Verfahren unterscheiden sich deutlich.
Authenticator-App
Eine Authenticator-App erzeugt zeitlich begrenzte Einmalcodes oder unterstützt andere Bestätigungsverfahren. Der zusätzliche Nachweis erschwert den Zugriff mit einem gestohlenen Passwort. Einmalcodes können allerdings über gefälschte Anmeldeseiten in Echtzeit abgefangen werden.
Bestätigung per SMS
Ein per SMS versendeter Code bietet ebenfalls zusätzlichen Schutz gegenüber einer Anmeldung nur mit Passwort. Risiken entstehen etwa durch manipulierte Mobilfunkanschlüsse, Rufnummernübernahmen oder abgefangene Nachrichten. Gegen Phishing mit unmittelbar weitergeleiteten Codes schützt SMS nicht zuverlässig.
Hardware-Sicherheitsschlüssel
Ein FIDO2-Sicherheitsschlüssel wird beispielsweise über USB oder NFC verwendet. Bei entsprechender Umsetzung ist die Anmeldung kryptografisch an den echten Online-Dienst gebunden. Das bietet einen besonders starken Schutz vor Phishing. Ein solcher Schlüssel kann als zusätzlicher Faktor oder als Passkey-Speicher dienen.
Für alle Varianten gilt: Geht das benötigte Gerät verloren, muss ein vorbereiteter Ersatz- oder Wiederherstellungsweg verfügbar sein.
Verfahren | Hauptaufgabe | Phishing-Schutz | Typische Grenze |
|---|---|---|---|
Passkey | Passwortloser Login | Hoch durch Website-Bindung | Unterstützung und Wiederherstellung |
Passwortmanager | Passwörter verwalten | Begrenzt durch Adresserkennung | Schutz des Passworttresors |
Authenticator-App mit Einmalcode | Zweiter Sicherheitsfaktor | Code bleibt abgreifbar | Geräteverlust und Echtzeit-Phishing |
SMS-Code | Zweiter Sicherheitsfaktor | Code bleibt abgreifbar | Risiken des Mobilfunkwegs |
FIDO2-Sicherheitsschlüssel | Zweiter Faktor oder Passkey | Hoch durch Website-Bindung | Zusätzliche Hardware und Ersatzschlüssel |
Welche Kombination ist im Alltag sinnvoll?
Die Verfahren müssen nicht gegeneinander ausgespielt werden. In der Praxis lassen sie sich entsprechend den Möglichkeiten der jeweiligen Online-Dienste kombinieren.
1. Wichtige Konten zuerst absichern
Beginnen Sie bei Ihrem E-Mail-Konto, der zentralen Passwortverwaltung und weiteren Zugängen mit besonders sensiblen Informationen. Wer Zugriff auf das E-Mail-Postfach erhält, kann möglicherweise auch Passwörter anderer Konten zurücksetzen.
2. Passkeys nutzen, wo sie angeboten werden
Passkeys bieten einen komfortablen und phishing-resistenten Anmeldeweg. Prüfen Sie bei der Einrichtung, wo die Schlüssel gespeichert werden und wie Sie nach einem Gerätewechsel wieder darauf zugreifen können.
3. Verbleibende Passwörter sicher verwalten
Ein Passwortmanager eignet sich besonders für Konten ohne Passkey-Unterstützung. Verwenden Sie für jeden Dienst ein eigenes Passwort und schützen Sie den Passworttresor zusätzlich.
4. Die stärkste verfügbare zusätzliche Absicherung wählen
Wo weiterhin ein Passwort nötig ist, sollte nach Möglichkeit eine phishing-resistente Mehrfaktor-Authentifizierung genutzt werden. Ist diese nicht verfügbar, sind Authenticator-Apps eine praktische Alternative. SMS-Codes bieten gegenüber dem alleinigen Passwort zusätzlichen Schutz, sind aber weniger robust.
5. Die Kontowiederherstellung vorbereiten
Hinterlegen Sie nach Möglichkeit einen zweiten Sicherheitsschlüssel oder ein weiteres vertrauenswürdiges Gerät. Bewahren Sie Wiederherstellungscodes sicher und getrennt vom hauptsächlich verwendeten Gerät auf.
Kontrollieren Sie außerdem, ob veraltete Geräte und nicht mehr benötigte Anmeldeverfahren aus den Kontoeinstellungen entfernt werden können. Ein Test des vorgesehenen Wiederherstellungswegs kann helfen, unangenehme Überraschungen zu vermeiden.
Ein modernes Anmeldeverfahren entfaltet seinen Nutzen erst vollständig, wenn auch Gerätezugriff und Kontowiederherstellung angemessen abgesichert sind.
Gute Kontosicherheit braucht mehr als ein einzelnes Verfahren
Wo Passkeys vollständig unterstützt werden, bieten sie eine starke und komfortable Alternative zum klassischen Passwort. Für verbleibende Passwörter ist ein gut geschützter Passwortmanager hilfreich. Ergänzende Mehrfaktor-Verfahren schließen weitere Sicherheitslücken.
Vor allem bei wichtigen Konten lohnt es sich, phishing-resistente Verfahren zu bevorzugen und den Zugang für einen Geräteverlust vorzubereiten. So lässt sich die Sicherheit verbessern, ohne jede Anmeldung unnötig kompliziert zu machen.
Wichtiger Hinweis
Dieser Beitrag dient der allgemeinen Information und Orientierung zur Sicherheit von Onlinekonten. Passkeys, Passwortmanager und Zwei-Faktor-Authentifizierung können das Risiko unbefugter Zugriffe deutlich reduzieren, bieten jedoch keinen vollständigen Schutz vor Cyberangriffen. Die tatsächliche Sicherheit hängt unter anderem vom jeweiligen Online-Dienst, der technischen Umsetzung, den verwendeten Geräten und den gewählten Einstellungen ab. Achten Sie besonders darauf, dass bei Geräteverlust oder technischen Problemen sichere Wiederherstellungsmöglichkeiten bestehen.
Quellen und weiterführende Informationen
Quellenstand: 13. Oktober 2026
Kommentare
Moderierte Rückmeldungen
Kommentare erscheinen erst nach Prüfung. E-Mail-Adressen werden nicht veröffentlicht.