Passkeys: Anmeldung per Fingerabdruck, Gesicht oder Stick

Ein Passkey ersetzt beim zweiten Faktor den Code aus SMS oder E-Mail. Sie melden sich wie gewohnt mit E-Mail-Adresse und Kennwort an; danach klicken Sie auf Mit Passkey bestätigen und geben die Anmeldung an Ihrem Gerät frei, mit Fingerabdruck, Gesichtserkennung, Geräte-PIN oder einem Sicherheitsstick. Kein Code, nichts abzutippen, kein Warten auf eine Nachricht.

Was ein Passkey ist

Ein Passkey ist ein Schlüsselpaar nach den offenen Standards WebAuthn und FIDO2. Ihr Gerät erzeugt es beim Einrichten selbst:

• Der geheime Teil bleibt auf Ihrem Gerät, im Sicherheitschip, im Stick oder in Ihrem Passwort-Tresor. Er verlässt das Gerät nie, auch nicht bei der Anmeldung.
• Den öffentlichen Teil speichert das Portal. Damit prüft es bei jeder Anmeldung eine Unterschrift Ihres Geräts über eine frische Zufallszahl.

Das Gerät unterschreibt erst, wenn Sie es freigeben. Diese Freigabe verlangt das Portal ausdrücklich; ein bloßes Antippen ohne Fingerabdruck, Gesicht oder PIN genügt nicht.

Warum das sicherer ist als ein Code

• Kein Phishing: Ein Passkey gehört zur Adresse noc26.virtual42.com. Eine nachgebaute Anmeldeseite unter einer anderen Adresse bekommt keine Unterschrift, so echt sie auch aussieht.
• Nichts zum Abfangen: Einen Code aus SMS oder E-Mail kann jemand mitlesen oder Ihnen am Telefon herauslocken. Einen Passkey kann man weder weitergeben noch erraten.
• Nichts auf unserer Seite zu stehlen: Das Portal kennt nur den öffentlichen Teil. Mit ihm allein kann sich niemand anmelden.

Was Sie brauchen

Fast jedes aktuelle Gerät kann Passkeys. Wo der Schlüssel liegt, hängt vom Gerät ab:

Als Browser eignen sich Chrome und Edge ab Version 108, Safari ab 16 und Firefox ab 122. Firefox unter Linux kennt allerdings nur Sicherheitssticks, siehe Wenn es nicht klappt.

Passkey einrichten

1. Melden Sie sich am Portal an und klicken Sie im Kopf auf Meine Zugänge.
2. 1 Klappen Sie Zwei-Faktor-Anmeldung auf. Unten im Abschnitt stehen die Passkeys.
3. 3 Geben Sie unter Bezeichnung einen Namen ein, an dem Sie das Gerät später wiedererkennen, etwa „iPhone", „Büro-PC" oder „YubiKey blau". Lassen Sie das Feld leer, heißt der Passkey „Passkey vom" und das heutige Datum.
4. 4 Geben Sie Ihr Kennwort ein. Das Portal prüft es, bevor es Ihr Gerät fragt, damit ein Tippfehler nicht erst nach der Freigabe auffällt.
5. 5 Klicken Sie auf Passkey hinzufügen. Nun meldet sich Ihr Gerät oder Ihr Browser mit einem eigenen Fenster. Wählen Sie dort, wo der Passkey liegen soll, und geben Sie ihn frei. Wie dieses Fenster aussieht, hängt von Gerät und Browser ab, siehe Die Wege im Einzelnen.
6. Nach der Freigabe lädt die Seite neu und meldet Passkey „…" hinterlegt. Er steht jetzt in der Liste.

Der erste Passkey stellt Ihren zweiten Faktor von selbst auf Per Passkey um; ab der nächsten Anmeldung fragt das Portal nach dem Passkey. Die laufende Sitzung bleibt bestehen.

Haben Sie den zweiten Faktor zuvor schon per E-Mail oder SMS genutzt, gelten Ihre bisherigen Wiederherstellungscodes weiter. Wie viele noch offen sind, steht im Abschnitt. Neue erzeugen Sie mit Neue Wiederherstellungscodes und Ihrem Kennwort; die alten verfallen dann.

Die Wege im Einzelnen

Windows-PC mit Windows Hello

Windows fragt „Wo soll der Passkey gespeichert werden?". Wählen Sie Dieses Windows-Gerät und bestätigen Sie mit Gesicht, Fingerabdruck oder Hello-PIN. Fehlt diese Wahl, ist Windows Hello noch nicht eingerichtet: Legen Sie unter Einstellungen ▸ Konten ▸ Anmeldeoptionen mindestens eine PIN an. Ab Windows 11 23H2 sehen Sie Ihre Passkeys unter Einstellungen ▸ Konten ▸ Passkeys.

Mac, iPhone und iPad

Safari und Chrome bieten an, den Passkey im iCloud-Schlüsselbund zu sichern. Bestätigen Sie mit Touch ID, Face ID oder dem Gerätecode. Ein Passkey genügt dann für alle Ihre Apple-Geräte mit derselben Apple-ID.

Android

Android legt den Passkey im Google-Passwortmanager ab; Sie bestätigen mit Fingerabdruck, Gesicht oder Displaysperre. Er steht danach auf allen Geräten mit Ihrem Google-Konto bereit, auch in Chrome am Rechner.

Am Rechner mit dem Telefon (QR-Code)

Der Passkey kann auf Ihrem Telefon liegen, auch wenn Sie am Rechner arbeiten. Wählen Sie im Fenster des Browsers iPhone, iPad oder Android-Gerät (Wortlaut je nach Browser). Der Rechner zeigt einen QR-Code:

1. Scannen Sie ihn mit der Kamera des Telefons.
2. Bestätigen Sie am Telefon mit Fingerabdruck oder Gesicht.
3. Das Telefon spricht den Rechner kurz über Bluetooth an. So ist sichergestellt, dass es wirklich neben dem Rechner liegt. Schalten Sie Bluetooth an beiden Geräten ein.

Bei jeder Anmeldung zeigt der Rechner dann wieder einen QR-Code, oder er bietet das Telefon direkt an, wenn es schon einmal gekoppelt war.

Sicherheitsstick

Wählen Sie im Fenster Sicherheitsschlüssel, stecken Sie den Stick ein und geben Sie seine PIN ein. Beim ersten Mal legen Sie die PIN fest (mindestens vier Zeichen). Berühren Sie danach die Kontaktfläche des Sticks. Am Telefon halten Sie einen NFC-Stick an die Rückseite.

Ein Stick funktioniert an jedem Rechner und in jedem Browser, ohne Konto bei Apple, Google oder Microsoft. Er braucht FIDO2 mit PIN; ältere reine U2F-Sticks speichern keine Passkeys.

Passwort-Tresor

Ist ein Tresor wie 1Password, Bitwarden oder KeePassXC als Browser-Erweiterung oder unter Windows eingebunden, bietet er an, den Passkey zu speichern. Er steht dann auf allen Geräten bereit, auf denen Sie den Tresor nutzen. Für Firmen mit gemischten Rechnern ist das oft der einfachste Weg.

Mit Passkey anmelden

1. Melden Sie sich wie gewohnt mit E-Mail-Adresse und Kennwort an, siehe Anmelden.
2. Die Seite Anmeldung bestätigen erscheint. Klicken Sie auf den großen Knopf Mit Passkey bestätigen. Der Knopf zeigt „Warten auf Ihr Gerät …".
3. Wählen Sie, falls gefragt, den Passkey oder das Gerät und geben Sie ihn frei.
4. Das Portal prüft die Unterschrift und öffnet das NOC, oder die Seite, die Sie vorher aufrufen wollten.

Auf dieser Seite ist kein Code unterwegs; das Portal schickt nur dann eine E-Mail, wenn Sie ausdrücklich darum bitten. Das Feld darunter nimmt nur einen Wiederherstellungscode an.

Mehrere Passkeys

Sie können beliebig viele Passkeys hinterlegen, und Sie sollten mindestens zwei haben, an zwei Orten. Dann kommen Sie auch hinein, wenn ein Gerät verloren geht, kaputtgeht oder neu aufgesetzt wird. Bewährt haben sich:

• Windows-PC: Windows Hello für den Alltag, das Telefon als zweiter Passkey.
• Mac und iPhone: der iCloud-Schlüsselbund, dazu ein Sicherheitsstick für den Fall, dass die Apple-ID gesperrt ist.
• Linux: das Telefon per QR-Code und ein Sicherheitsstick.
• Mehrere Personen oder gemischte Rechner: ein Passwort-Tresor der Firma.

Einen weiteren Passkey legen Sie genauso an wie den ersten, am besten direkt an dem Gerät, auf dem er liegen soll. Haben Sie an diesem Gerät schon einen Passkey für Ihren Zugang, meldet das Portal: „Auf diesem Gerät ist für Ihren Zugang schon ein Passkey hinterlegt."

Passkeys ansehen und löschen

2 Die Liste unter Meine Zugänge ▸ Zwei-Faktor-Anmeldung ▸ Passkeys zeigt zu jedem Passkey:

• die Bezeichnung, die Sie beim Anlegen vergeben haben,
• seit: wann er angelegt wurde,
• zuletzt: wann Sie sich zuletzt damit angemeldet haben,
• synchronisiert, wenn er in iCloud, im Google-Konto oder in einem Tresor liegt und deshalb auch auf anderen Geräten verfügbar ist.

Prüfen Sie die Liste gelegentlich. Steht ein Passkey darin, den Sie nicht kennen, oder einer für ein Gerät, das Sie nicht mehr haben, löschen Sie ihn:

1. Klicken Sie neben dem Passkey auf Löschen ….
2. Geben Sie Ihr Kennwort ein und klicken Sie auf Passkey löschen.

Löschen Sie den letzten Passkey, stellt das Portal den zweiten Faktor auf Code per E-Mail um und sagt Ihnen das. Sie stehen also nie ohne zweiten Faktor da.

Umbenennen lässt sich ein Passkey nicht. Legen Sie ihn bei Bedarf neu an und löschen Sie den alten.

Gerät verloren oder nicht zur Hand

Auf der Seite Anmeldung bestätigen haben Sie zwei Auswege:

• Code per E-Mail stattdessen schickt einen sechsstelligen Code an Ihre Anmelde-E-Mail-Adresse. Er gilt 10 Minuten. Die Seite wechselt dann in die Code-Eingabe; der Passkey-Knopf bleibt daneben stehen.
• Ein Wiederherstellungscode (Form ABCD-EFGH) im Feld darunter, falls Sie auch an Ihr Postfach nicht herankommen. Jeder Code gilt einmal.

Ist ein Gerät dauerhaft weg, gestohlen oder neu aufgesetzt:

1. Melden Sie sich mit dem Code per E-Mail oder einem Wiederherstellungscode an.
2. Löschen Sie unter Meine Zugänge den Passkey des verlorenen Geräts.
3. Legen Sie einen neuen an, besser gleich zwei.
4. Haben Sie einen Wiederherstellungscode verbraucht, erzeugen Sie mit Neue Wiederherstellungscodes einen frischen Satz.

Kommen Sie gar nicht mehr hinein, also ohne Gerät, ohne Postfach und ohne Wiederherstellungscode, wenden Sie sich an den Support. Wir schalten den zweiten Faktor nach Prüfung Ihrer Identität ab und löschen dabei auch alle Ihre Passkeys; danach richten Sie ihn neu ein.

Wenn es nicht klappt

Hilft das alles nicht, schreiben Sie uns über den Support. Nennen Sie Gerät, Betriebssystem, Browser und die genaue Meldung.

Zurück zu Code per E-Mail oder SMS

Unter Meine Zugänge ▸ Zwei-Faktor-Anmeldung wählen Sie bei Wie soll der Code kommen? einen anderen Weg, geben Ihr Kennwort ein und klicken auf Übernehmen. Ihre Passkeys bleiben dabei hinterlegt, das Portal fragt bei der Anmeldung aber nicht mehr nach ihnen. Mit Per Passkey schalten Sie später wieder zurück.

Wollen Sie die Passkeys ganz loswerden, löschen Sie sie in der Liste. Verlangt Ihr Konto den zweiten Faktor für alle Benutzer, lässt er sich nicht ganz abschalten: Auch bei Aus fragt das Portal dann nach einem Code per E-Mail.