Passwörter: Das schwächste Glied seit 1961
Das Konzept des Computer-Passworts wurde 1961 am MIT erfunden. Seitdem hat sich die Technologie in fast jedem Bereich dramatisch weiterentwickelt – nur bei der Authentifizierung kleben wir immer noch an einer Idee, die älter ist als das Internet.
Und die Bilanz ist verheerend. 81% aller Datenverletzungen nutzen schwache oder gestohlene Passwörter. Der durchschnittliche Mensch hat über 100 Online-Konten. 65% verwenden dasselbe Passwort für mehrere Dienste. Und jeder Passwort-Reset kostet ein Unternehmen durchschnittlich 70 Euro – wenn man die IT-Zeit und den Produktivitätsverlust zusammenrechnet.
Wir alle wissen, dass Passwörter ein Problem sind. Aber erst jetzt gibt es eine Technologie, die sie tatsächlich ersetzen kann – und zwar so, dass es für den Nutzer einfacher wird, nicht komplizierter. Die Rede ist von Passkeys.
Was Passkeys sind – ohne das Technik-Kauderwelsch
Im Kern funktionieren Passkeys wie ein digitaler Schlüssel. Statt sich ein Passwort zu merken, erstellt Ihr Gerät ein Schlüsselpaar: einen privaten Schlüssel, der Ihr Gerät nie verlässt, und einen öffentlichen Schlüssel, den die Website bekommt.
Wenn Sie sich anmelden, beweisen Sie durch Ihren Fingerabdruck, Gesichtserkennung oder Ihre Geräte-PIN, dass Sie der Besitzer des privaten Schlüssels sind. Die Website prüft das mit dem öffentlichen Schlüssel. Fertig. Kein Passwort, das gestohlen werden könnte. Kein Passwort, das Sie vergessen könnten. Kein Passwort, das auf einem Server liegt und bei einem Datenleck millionenfach im Darknet landet.
Das Elegante daran: Der private Schlüssel verlässt nie Ihr Gerät. Selbst wenn ein Angreifer den Server der Website hackt, bekommt er nur den öffentlichen Schlüssel – und der ist nutzlos. Das ist, als ob jemand Ihr Türschloss fotografiert: Er hat ein Bild, aber keinen Schlüssel.
Und Passkeys sind von Natur aus phishing-resistent. Ein Passwort können Sie auf einer gefälschten Website eingeben, ohne es zu merken. Einen Passkey nicht, weil er kryptographisch an die echte Domain gebunden ist. Eine Fake-Seite kann Ihren Passkey nicht anfordern.
Der aktuelle Stand der Dinge
2026 sind Passkeys endlich praxistauglich. Apple, Google und Microsoft unterstützen sie nativ in ihren Betriebssystemen und Browsern. Die wichtigsten Online-Dienste bieten Passkey-Login an: Google, Microsoft, Amazon, PayPal, GitHub und viele andere.
Das Nutzer-Erlebnis ist bemerkenswert simpel. Anmelden bei Google? Gesicht scannen oder Finger auflegen, fertig. Kein Passwort eingeben, keine SMS-Codes abtippen. Es dauert buchstäblich eine Sekunde.
Für Unternehmen gibt es Hardware-Passkeys in Form von FIDO2-Security-Keys – USB-Sticks, die man einsteckt und berührt. YubiKeys und SoloKeys kosten 30-70 Euro und funktionieren geräteübergreifend. Der Vorteil gegenüber Smartphone-basierten Passkeys: Sie sind unabhängig vom Betriebssystem und funktionieren auch an Shared Workstations.
Warum Unternehmen jetzt umsteigen sollten
Die Vorteile liegen auf der Hand. Sicherheit: Keine Passwort-Datenbanken mehr, die gehackt werden können. Kein Phishing mehr, das funktioniert. Keine schwachen Passwörter mehr, die das ganze Unternehmen gefährden. Convenience: Mitarbeiter müssen sich keine komplexen Passwörter merken und keine SMS-Codes abtippen. Die Anmeldung wird schneller, nicht langsamer. Kosten: Weniger Passwort-Resets, weniger IT-Support, weniger Sicherheitsvorfälle.
Trotzdem gibt es Hürden, die man nicht verschweigen sollte. Nicht alle Anwendungen unterstützen Passkeys schon. Branchensoftware, die seit 15 Jahren nicht mehr modernisiert wurde, wird so schnell keine Passkey-Unterstützung bekommen. Für solche Fälle brauchen Sie eine Übergangslösung – typischerweise starke Passwörter in einem Passwort-Manager plus MFA.
Die Gerätebindung ist ein weiterer Punkt. Wenn ein Mitarbeiter sein Handy verliert, verliert er seine Passkeys – es sei denn, sie sind über Cloud-Sync gesichert (Apple iCloud, Google Password Manager) oder auf einem separaten Hardware-Key gespeichert.
Der pragmatische Weg zur passwortlosen Zukunft
Niemand wird von heute auf morgen alle Passwörter abschaffen. Das muss auch nicht sein. Der Weg ist schrittweise.
Sofort: Passwort-Manager für alle Mitarbeiter einführen. Nicht als Empfehlung, sondern als Vorgabe. Das ist die Brücke, die Sie sofort sicherer macht, während Sie den Übergang zu Passkeys planen.
Innerhalb von drei Monaten: Passkeys für die kritischsten Dienste aktivieren – Microsoft 365, Google Workspace, VPN-Zugang. Pilotgruppe starten, Feedback sammeln.
Innerhalb von sechs Monaten: Hardware-Security-Keys für Administratoren und Führungskräfte ausrollen. Passkey-Rollout auf alle Mitarbeiter erweitern.
Langfristig: Passwort-basierte Zugänge schrittweise eliminieren, wo immer möglich. Bei Legacy-Systemen MFA als Mindeststandard beibehalten.
Der wichtigste Rat: Beginnen Sie dort, wo der größte Hebel ist. Für die meisten Unternehmen ist das der Microsoft-365-Zugang. Wenn Ihre Mitarbeiter sich dort mit Passkeys anmelden, haben Sie den wichtigsten Angriffsvektor bereits massiv entschärft.
Die Zukunft ist passwortlos – und sie ist näher als Sie denken
In fünf Jahren werden wir auf Passwörter zurückblicken wie auf Disketten: als etwas, das seinen Zweck erfüllt hat, aber längst überholt ist. Die Technologie ist da, die großen Plattformen unterstützen sie, und das Nutzererlebnis ist besser als alles, was wir vorher hatten.
Die Frage ist nicht ob, sondern wann Sie umsteigen. Und je früher Sie anfangen, desto sanfter wird der Übergang.
*Bereit für den Umstieg auf Passkeys? Wir begleiten Sie durch den Prozess. Jetzt Gespräch vereinbaren*
