Was ist Passkey?

Ein Passkey ist ein kryptografisches Schlüsselpaar, das Passwörter ersetzt. Statt ein Passwort einzugeben, authentifizierst du dich per Fingerabdruck, Face ID oder Geräte-PIN. Der private Schlüssel verlässt dein Gerät nie, nur eine kryptografische Signatur wird an den Server gesendet. Für Krypto-Nutzer sind Passkeys relevant, weil immer mehr Wallets und Börsen sie als sicherere Alternative zu Passwörtern einsetzen.

Passkey vs. Passwort vs. 2FA im Vergleich

Eigenschaft	Passwort	Passwort + 2FA (TOTP)	Passkey
Phishing-Schutz	Keiner (kopierbar)	Begrenzt (TOTP abfangbar)	Vollständig (Domain-gebunden)
Brute-Force-Risiko	Hoch (schwache PWs)	Geringer	Keines (kryptografisch)
Server-Hack-Risiko	Hoch (PW-Hashes knackbar)	Hoch (PW-Teil)	Keines (nur Public Key auf Server)
Benutzerfreundlichkeit	Schlecht (merken, eintippen)	Mäßig (Code eingeben)	Sehr gut (Fingerabdruck/Face ID)
Geräte-Abhängigkeit	Nein	Teilweise (Authenticator-App)	Ja (Sync via iCloud/Google)

Wie Passkeys technisch funktionieren

Passkeys basieren auf dem FIDO2/WebAuthn-Standard (Fast Identity Online). Bei der Registrierung erzeugt dein Gerät ein asymmetrisches Schlüsselpaar:

Privater Schlüssel: Bleibt sicher auf deinem Gerät (im Secure Element des Chips oder im TPM). Wird nie übertragen, nie kopiert, nie angezeigt.

Öffentlicher Schlüssel: Wird an den Server gesendet und dort gespeichert. Damit kann der Server deine Signatur prüfen, aber nichts signieren.

Beim Login signiert dein Gerät eine Challenge des Servers mit dem privaten Schlüssel. Der Server prüft die Signatur mit dem öffentlichen Schlüssel. Der entscheidende Sicherheitsvorteil: Die Signatur ist an die Domain gebunden. Selbst wenn du auf eine Phishing-Seite gerätst (fake-kraken.com statt kraken.com), funktioniert der Passkey dort nicht.

Passkeys in der Krypto-Welt

Börsen: Coinbase, Kraken und Binance unterstützen Passkeys als Login-Methode. Bei Coinbase können Passkeys sogar Transaktionen autorisieren und ersetzen damit die SMS-2FA (die für SIM-Swapping anfällig ist).

Smart-Contract-Wallets: Projekte wie Clave und Soul Wallet nutzen Passkeys als Schlüssel für On-Chain-Wallets. Der Private Key der Wallet wird im Secure Element des Smartphones gespeichert und per Fingerabdruck freigegeben. Das eliminiert Seed Phrases für den Alltagsgebrauch.

Account Abstraction (ERC-4337): Ethereums Account Abstraction ermöglicht es, Passkeys direkt als Wallet-Schlüssel zu nutzen. Ein Passkey-signierter UserOp wird vom Bundler an die Blockchain gesendet, ohne dass der Nutzer jemals eine Seed Phrase sehen muss.