Passkeys ersetzen Passwörter durch biometrische Anmeldung oder PIN und schützen Windows-Konten zuverlässig vor Phishing, Datenlecks und Kontodiebstahl.
Passkeys sind kryptografische Zugangsschlüssel, die klassische Passwörter ersetzen und stattdessen Fingerabdruck, Gesichtserkennung oder eine PIN nutzen. In Windows sind sie deshalb wichtig, weil sie Phishing-Angriffe praktisch unmöglich machen, Datenlecks ins Leere laufen lassen und die Anmeldung gleichzeitig schneller machen.
Windows 11 und Windows 10 unterstützen Passkeys über Windows Hello direkt im Betriebssystem.
Was sind Passkeys genau?
Ein Passkey ist ein digitaler Schlüssel, der aus zwei Teilen besteht: einem öffentlichen und einem privaten Schlüssel. Der Dienst, bei dem Sie sich anmelden, speichert lediglich den öffentlichen Schlüssel. Der private Schlüssel hingegen verlässt Ihr Gerät niemals.
Dadurch entfällt das klassische Passwort vollständig. Statt sich etwas zu merken, weisen Sie sich mit etwas aus, das Sie besitzen, beispielsweise Ihr Notebook, oder mit etwas, das Sie sind, also Ihrem Fingerabdruck oder Gesicht.
Technisch basiert diese Methode auf dem FIDO2-Standard, der von einer breiten Industrieallianz entwickelt wurde. Zu den Unterstützern zählen unter anderem Microsoft, Google und Apple, weshalb Passkeys plattformübergreifend funktionieren.
Zudem sind Passkeys an eine bestimmte Domain gebunden. Das bedeutet, ein Passkey für „microsoft.com“ funktioniert ausschließlich dort und lässt sich nicht auf einer gefälschten Phishing-Seite missbrauchen.
Wie funktionieren Passkeys technisch?
Bei der Erstellung eines Passkeys generiert Ihr Gerät ein Schlüsselpaar. Anschließend übermittelt es lediglich den öffentlichen Schlüssel an den jeweiligen Onlinedienst.
Bei der nächsten Anmeldung sendet der Dienst eine sogenannte Challenge, also eine kryptografische Aufgabe. Ihr Gerät beantwortet diese mit dem privaten Schlüssel, jedoch ohne diesen jemals zu übertragen.
Erst nach erfolgreicher Entsperrung durch Windows Hello – also per Fingerabdruck, Gesichtserkennung oder PIN – wird der private Schlüssel überhaupt aktiviert. Somit bleibt selbst bei Diebstahl des Geräts der Zugriff auf fremde Konten verwehrt.
Zusätzlich speichert Windows den privaten Schlüssel geschützt im TPM-Chip (Trusted Platform Module) des Geräts. Dieser Hardware-Baustein isoliert sensible Daten vom restlichen Betriebssystem, wodurch selbst eine kopierte Festplatte keinen Zugriff ermöglicht.
Passkeys vs. Passwörter: Die wichtigsten Unterschiede
Passwörter gelten längst als Schwachstelle Nummer eins in der IT-Sicherheit. Deshalb lohnt sich ein direkter Vergleich.
- Diebstahlsicherheit: Passwörter lassen sich stehlen, erraten oder aus Datenlecks abgreifen. Passkeys hingegen verlassen das Gerät nie.
- Phishing-Schutz: Ein Passkey funktioniert ausschließlich auf der echten, hinterlegten Domain. Eine gefälschte Login-Seite erhält somit keinen Zugriff.
- Wiederverwendung: Viele Menschen nutzen dasselbe Passwort mehrfach. Bei Passkeys ist das technisch ausgeschlossen, da jeder Schlüssel einzigartig ist.
- Komfort: Statt ein komplexes Passwort einzutippen, genügt ein kurzer Fingerabdruck oder Blick in die Kamera.
- Merkaufwand: Passkeys müssen nicht auswendig gelernt werden, wodurch auch schwache oder mehrfach verwendete Passwörter der Vergangenheit angehören.
Allerdings ersetzen Passkeys Passwörter nicht sofort überall. Viele Dienste bieten sie derzeit als zusätzliche, empfohlene Option an, während Passwörter parallel weiterhin funktionieren.
Warum sind Passkeys in Windows wichtig?
Windows ist mit weltweit Milliarden aktiven Geräten eines der am häufigsten angegriffenen Betriebssysteme überhaupt. Deshalb investiert Microsoft seit Jahren gezielt in passwortlose Anmeldeverfahren.
Ein zentraler Grund liegt in der Statistik: Ein Großteil erfolgreicher Cyberangriffe beginnt mit gestohlenen oder erratenen Passwörtern. Passkeys entziehen Angreifern diese Angriffsfläche nahezu vollständig.
Zudem integriert Microsoft Passkeys tief in das Betriebssystem, statt sie als externes Zusatztool anzubieten. Über Windows Hello lassen sie sich direkt mit Fingerabdrucksensor, Infrarotkamera oder PIN nutzen, ohne zusätzliche Software zu installieren.
Ein weiterer Aspekt betrifft die Update-Politik: Mit den Sicherheitsupdates von Juli 2026 hat Microsoft beispielsweise das unsichere Bildkennwort schrittweise abgeschafft und empfiehlt stattdessen ausdrücklich Windows-Hello-PINs sowie biometrische Verfahren. Dies zeigt deutlich, in welche Richtung sich die Plattform entwickelt.
Ebenso wichtig: Passkeys lassen sich in Windows sowohl für private Microsoft-Konten als auch für geschäftliche Microsoft-365-Konten über Microsoft Entra ID einrichten, wodurch sie für Privatanwender wie für Unternehmen gleichermaßen relevant sind.
Voraussetzungen für Passkeys unter Windows
Bevor Sie starten, sollten Sie folgende Punkte prüfen:
- Aktuelle Windows-Version: Windows 11, idealerweise Version 24H2 oder 25H2, bietet die umfangreichste Passkey-Unterstützung. Windows 10 unterstützt Passkeys ebenfalls, jedoch mit eingeschränkterem Funktionsumfang.
- Windows Hello aktiviert: Ohne eingerichtetes Windows Hello lassen sich Passkeys nicht anlegen.
- Kompatible Hardware: Ein Fingerabdrucksensor oder eine Infrarotkamera ist hilfreich, jedoch nicht zwingend erforderlich, da eine Windows-Hello-PIN ebenfalls ausreicht.
- TPM 2.0: Dieser Sicherheitschip ist bei aktuellen Windows-11-Geräten ohnehin Systemvoraussetzung und schützt die gespeicherten Schlüssel.
Passkeys in Windows 11 einrichten – Schritt für Schritt
Die Einrichtung gestaltet sich unter Windows 11 unkompliziert. Gehen Sie folgendermaßen vor:
- Windows Hello aktivieren: Öffnen Sie „Einstellungen“ über das Startmenü. Navigieren Sie zu „Konten“ und anschließend zu „Anmeldeoptionen“. Richten Sie dort eine PIN, Fingerabdruck oder Gesichtserkennung ein, sofern noch nicht geschehen.
- Passkey-Verwaltung öffnen: Gehen Sie erneut zu „Einstellungen“, dann zu „Konten“ und wählen Sie den Punkt „Passkeys“. Alternativ tippen Sie einfach „Passkey“ in die Windows-Suche ein.
- Neuen Passkey erstellen: Besuchen Sie eine unterstützte Website, beispielsweise Ihr Microsoft-Konto, GitHub oder PayPal. Wählen Sie dort in den Sicherheitseinstellungen die Option „Passkey erstellen“ oder „Mit Passkey anmelden einrichten“.
- Mit Windows Hello bestätigen: Windows fordert Sie nun auf, sich per Fingerabdruck, Gesichtserkennung oder PIN zu authentifizieren. Nach erfolgreicher Bestätigung wird der Passkey automatisch erstellt und gespeichert.
- Anmeldung testen: Melden Sie sich probeweise ab und erneut an. Anstelle eines Passworts erscheint nun direkt die Aufforderung zur biometrischen Bestätigung.
Auf diese Weise benötigen Sie künftig für den jeweiligen Dienst kein Passwort mehr, sondern lediglich Ihr Gerät sowie Windows Hello.
Passkeys in Windows 10 nutzen
Auch unter Windows 10 lassen sich Passkeys grundsätzlich verwenden, sofern Windows Hello konfiguriert ist. Der Ablauf ähnelt dem unter Windows 11, wenngleich das zentrale Verwaltungsmenü für Passkeys teilweise weniger übersichtlich ausfällt.
Deshalb empfiehlt es sich, Passkeys unter Windows 10 direkt über die jeweilige Website anzulegen, statt über eine zentrale Systemeinstellung. Praktisch bedeutet das: Rufen Sie die Sicherheitseinstellungen des gewünschten Onlinedienstes auf und wählen Sie dort „Passkey hinzufügen“. Windows Hello übernimmt anschließend automatisch die Bestätigung.
Da Microsoft den Support für Windows 10 mittelfristig reduziert, lohnt sich zudem ein Umstieg auf Windows 11, sofern die Hardware dies zulässt. Nur so profitieren Sie langfristig von allen neuen Sicherheitsfunktionen.
Windows Hello und der TPM-Chip als technische Basis
Windows Hello bildet das Fundament sämtlicher Passkey-Funktionen unter Windows. Es handelt sich um ein biometrisches Anmeldesystem, das Fingerabdruck, Gesichtserkennung sowie PIN-Eingabe unterstützt.
Wichtig zu verstehen: Windows Hello selbst verlässt niemals Ihr Gerät. Die biometrischen Daten werden lokal im TPM-Chip verschlüsselt gespeichert und niemals an Microsoft oder Drittanbieter übertragen.
Genau dieser TPM-Chip, also das Trusted Platform Module in Version 2.0, übernimmt zudem die sichere Verwahrung des privaten Passkey-Schlüssels. Selbst wenn jemand physischen Zugriff auf die Festplatte erhält, bleiben die Schlüssel dadurch geschützt.
Zusätzlich hat Microsoft mit dem für Mai 2026 angekündigten „Reliability Update“ das Windows-Hello-Gesichtserkennungssystem weiter stabilisiert, wodurch Fehlerkennungen seltener auftreten und die Anmeldung insgesamt zuverlässiger funktioniert.
Passkeys für Microsoft 365 und Unternehmen (Microsoft Entra ID)
Für Unternehmen spielt die Kombination aus Windows und Microsoft Entra ID (früher Azure Active Directory) eine zentrale Rolle. Hier lassen sich Passkeys nicht nur für einzelne Websites, sondern für ganze geschäftliche Konten freischalten.
Administratoren sollten dabei einen strukturierten Rollout planen:
- Pilotgruppe definieren: Starten Sie zunächst mit einer repräsentativen Gruppe an Mitarbeitenden, bevor Sie die Funktion unternehmensweit ausrollen.
- Zielgruppen unterscheiden: Mobile Mitarbeitende nutzen häufig die Microsoft-Authenticator-App, während Administratoren aus Sicherheitsgründen physische Hardware-Sicherheitsschlüssel erhalten sollten.
- Wiederherstellungsprozess absichern: Ein einheitlicher, gut dokumentierter Prozess für den Fall eines verlorenen Geräts ist zwingend erforderlich, da sonst Nutzer ausgesperrt werden könnten.
- Alte Passwortpfade entfernen: Sobald Passkeys etabliert sind, sollten veraltete Anmeldemethoden konsequent deaktiviert werden, da diese sonst weiterhin als Einfallstor dienen.
Zusätzlich testet Microsoft aktuell direkt in Windows integrierte Entra-Passkeys für Entra-verbundene Windows-11-Geräte. Diese Funktion befand sich Mitte 2026 jedoch noch im Windows-Insider-Vorschaustadium und sollte daher noch nicht als allgemein verfügbares Unternehmensfeature eingeplant werden.
Passkeys verwalten, synchronisieren und löschen
Windows bietet eine übersichtliche Verwaltungsoberfläche für alle gespeicherten Passkeys. Diese erreichen Sie über „Einstellungen“, „Konten“ und anschließend „Passkeys“.
Dort sehen Sie sowohl lokal auf dem Gerät gespeicherte Passkeys als auch solche, die über einen kompatiblen Cloud-Anbieter synchronisiert werden. Für maximale Portabilität zwischen mehreren Geräten empfiehlt sich beispielsweise der Microsoft Edge Passwortmanager, da dieser Passkeys geräteübergreifend über Ihr Microsoft-Konto synchronisiert.
Folgende Verwaltungsschritte sind besonders relevant:
- Passkey löschen: Wählen Sie den entsprechenden Eintrag aus und klicken Sie auf „Entfernen“. Dies ist besonders wichtig, bevor Sie ein Gerät verkaufen oder weitergeben.
- Passkey überprüfen: In der Übersicht erkennen Sie sofort, für welche Website oder App ein Passkey hinterlegt wurde.
- Backup einplanen: Nutzen Sie nach Möglichkeit einen synchronisierenden Anbieter, damit ein Geräteverlust nicht automatisch zum Kontoverlust führt.
Vor einem Geräteverkauf sollten Sie zudem grundsätzlich alle lokalen Passkeys entfernen. Dieser Vorgang dauert lediglich wenige Sekunden, schützt jedoch effektiv vor unbefugtem Zugriff durch den nächsten Besitzer.
Sicherheit und aktuelle Herausforderungen bei Passkeys
Obwohl Passkeys deutlich sicherer als Passwörter sind, existieren auch hier reale Angriffsszenarien, die Sie kennen sollten. So wurde beispielsweise mit CVE-2026-34348 eine Schwachstelle im Windows Event Logging Service bekannt, die potenziell den Zugriff auf passkeybezogene Daten in Verbindung mit Entra-ID-Konten ermöglichte. Microsoft schloss diese Lücke jedoch bereits im Juli 2026 durch ein entsprechendes Sicherheitsupdate.
Zusätzlich thematisierten Sicherheitsforscher unter dem Begriff „Pass-the-Passkey“ eine Angriffsfamilie, die konzeptionell an bekannte Attacken wie Pass-the-Hash erinnert und vor allem gecloudete sowie privilegierte Identitäten betrifft.
Deshalb gilt: Passkeys ersetzen zwar Passwörter, jedoch keine ganzheitliche Sicherheitsstrategie. Folgende Maßnahmen bleiben daher weiterhin wichtig:
- Windows regelmäßig aktualisieren, um bekannte Sicherheitslücken zeitnah zu schließen.
- Administratorkonten besonders schützen, beispielsweise durch physische Hardware-Sicherheitsschlüssel statt reiner Software-Passkeys.
- Wiederherstellungsprozesse sauber dokumentieren, damit Angreifer diese nicht als Umgehungsweg missbrauchen können.
Insgesamt bleibt die Empfehlung jedoch eindeutig: Passkeys stellen weiterhin einen erheblichen Sicherheitsgewinn gegenüber klassischen Passwörtern sowie SMS-basierten Einmalcodes dar.
Häufige Fragen zu Passkeys in Windows
Was passiert, wenn ich mein Windows-Gerät verliere?
Ohne physischen Zugriff auf Ihr Gerät sowie Ihre biometrischen Daten oder PIN kann niemand die dort gespeicherten Passkeys nutzen. Dennoch sollten Sie umgehend das verlorene Gerät über Ihr Microsoft-Konto als verloren melden und, sofern eingerichtet, auf ein synchronisiertes Backup zugreifen.
Sind Passkeys unter Windows 10 genauso sicher wie unter Windows 11?
Grundsätzlich ja, da beide Systeme auf denselben FIDO2-Standard sowie Windows Hello zurückgreifen. Allerdings bietet Windows 11 die umfassendere und aktuellere Integration, weshalb ein Umstieg langfristig empfehlenswert bleibt.
Kann ich Passkeys auch ohne Fingerabdrucksensor nutzen?
Ja, eine Windows-Hello-PIN genügt vollständig. Diese wird lokal im TPM-Chip gespeichert und ersetzt biometrische Sensoren, die nicht zwingend erforderlich sind.
Funktionieren Passkeys auf jeder Website?
Nein, ein Dienst muss den FIDO2-Standard explizit unterstützen. Die Anzahl kompatibler Websites wächst jedoch stetig, weshalb sich ein regelmäßiger Blick in die Sicherheitseinstellungen wichtiger Konten lohnt.
Wie unterscheidet sich ein Passkey vom Bildkennwort?
Ein Passkey basiert auf kryptografischer Verschlüsselung und gilt als äußerst sicher, während das Bildkennwort lediglich eine einfache Geste auf einem Bild abfragte. Deshalb hat Microsoft das Bildkennwort mit den Updates von Juli 2026 schrittweise abgeschafft und empfiehlt stattdessen PIN sowie biometrische Verfahren.
Kann ich mehrere Passkeys für dasselbe Konto anlegen?
Ja, dies ist sogar empfehlenswert, beispielsweise einen Passkey für den Desktop-PC und einen weiteren für ein mobiles Gerät. Dadurch bleibt der Zugriff auch bei Verlust eines einzelnen Geräts erhalten.
Ist ein Passkey dasselbe wie Windows Hello?
Nein, jedoch hängen beide eng zusammen. Windows Hello entsperrt lediglich den lokal gespeicherten Passkey, ersetzt jedoch nicht den Passkey selbst, der als kryptografischer Schlüssel im Hintergrund arbeitet.
Müssen Unternehmen ihre Mitarbeitenden zwingend auf Passkeys umstellen?
Nein, ein Zwang besteht aktuell nicht. Dennoch empfiehlt sich aus Sicherheitsgründen eine schrittweise Einführung über Microsoft Entra ID, beginnend mit einer Pilotgruppe, gefolgt von einer unternehmensweiten Ausrollung.
Was mache ich, wenn ein Dienst noch keine Passkeys unterstützt?
In diesem Fall bleibt vorerst die klassische Passwortanmeldung notwendig. Achten Sie jedoch zusätzlich auf eine starke Zwei-Faktor-Authentifizierung, bis der jeweilige Anbieter Passkeys einführt.
Fazit
Passkeys ersetzen unsichere Passwörter durch kryptografische Schlüssel, die fest an Ihr Windows-Gerät sowie Windows Hello gebunden sind. Dadurch sinkt das Risiko für Phishing und Datenlecks erheblich, während sich die Anmeldung gleichzeitig spürbar beschleunigt.
Sowohl private als auch geschäftliche Nutzer profitieren daher deutlich. Richten Sie Passkeys idealerweise unter Windows 11 über „Einstellungen“, „Konten“ und „Passkeys“ ein, um von maximaler Sicherheit zu profitieren.
