Passkeys auf dem Vormarsch – doch die Realität hinkt dem Versprechen hinterher
Über fünf Milliarden Passkeys sind laut FIDO-Alliance bereits im Umlauf. Google, Amazon, PayPal und viele andere Dienste bieten die passwortlose Anmeldung an, Passwortmanager verwalten die kryptografischen Schlüssel. Die Technologie gilt als sicherer und komfortabler als klassische Passwörter – eigentlich ein Grund zur Freude für IT-Verantwortliche. Doch eine aktuelle Forschungsarbeit der Ruhr-Universität Bochum und weiterer Hochschulen vom August 2026 zeigt: Bei der Umsetzung hapert es gewaltig. Von 103 untersuchten Webseiten mit Passkey-Login erfüllte keine einzige alle Sicherheitsprüfungen. Bei 18 Seiten fanden die Forscher kritische Lücken, über die sich Konten übernehmen oder Nutzer dauerhaft aussperren ließen.
Das ist mehr als ein akademisches Problem. Es ist ein Weckruf für deutsche Unternehmen, die auf Passkeys als Allheilmittel für Identitätsschutz setzen. Denn wer glaubt, mit der Einführung von FIDO2 und Passkeys sei das Thema Account-Übernahme erledigt, irrt. Die Realität zeigt: Fehlerhafte Implementierungen, unvollständige Prüfungen und der Verzicht auf Passwort-Fallbacks untergraben die Sicherheitsversprechen.
Warum viele Passkey-Implementierungen gefährlich sind
Die Forscher identifizierten mehrere typische Schwachstellen. Dazu gehören:
- Fehlende Bindung an den Ursprung: Wenn die Passkey-Erstellung nicht strikt an die Domain gebunden ist, können Angreifer über Phishing-Seiten gültige Schlüssel abgreifen.
- Unzureichende Prüfung der Authenticator-Daten: Viele Dienste validieren nicht, ob der verwendete Authenticator tatsächlich vertrauenswürdig ist – etwa durch fehlende Attestation oder falsche Handhabung von AAGUIDs.
- Unsichere Wiederherstellungsprozesse: Fallback-Mechanismen wie E-Mail-Links oder Sicherheitsfragen öffnen Hintertüren, die den gesamten Passkey-Schutz aushebeln.
- Passwort als Alternative: Solange Dienste weiterhin Passwörter als gleichwertige Login-Methode zulassen, bleibt das Konto so angreifbar wie zuvor. Ein Angreifer muss nur den schwächsten Pfad wählen.
Diese Lücken sind nicht theoretisch. Sie ermöglichen Account-Übernahmen, Identitätsdiebstahl und Denial-of-Service-Angriffe gegen einzelne Nutzer. Für Unternehmen bedeutet das: Wer Passkeys einführt, muss die Implementierung genauso streng prüfen wie jede andere sicherheitsrelevante Anwendung.
Die Illusion der passwortlosen Zukunft
Andrew Shikiar, Executive Director der FIDO-Alliance, räumt im Interview mit heise online ein, dass der Weg zur vollständig passwortlosen Welt länger ist als erhofft. Zwar wächst die Zahl der Dienste, doch die Kinderkrankheiten sind nicht ausgestanden. Viele Unternehmen zögern, Passwörter komplett abzuschaffen – aus Angst vor Nutzerakzeptanz, Supportaufwand oder regulatorischen Hürden. Das Ergebnis: Ein Hybrid aus Passkeys und Passwörtern, der die Sicherheit nicht erhöht, sondern nur verwässert.
Für CISOs und IT-Leiter ist das eine unbequeme Wahrheit. Denn solange Passwörter als Fallback existieren, bleibt das Unternehmen anfällig für Credential-Stuffing, Phishing und Brute-Force-Angriffe. Die Investition in Passkeys verpufft, wenn die alte Angriffsfläche bestehen bleibt.
Was Unternehmen jetzt tun müssen
Die gute Nachricht: Sie müssen nicht auf die perfekte passwortlose Lösung warten. Mit einem mehrschichtigen Ansatz können Sie heute sowohl die Vorteile von Passkeys nutzen als auch die Risiken minimieren.
- Implementierung penibel prüfen: Bevor Sie Passkeys für kritische Anwendungen freigeben, lassen Sie die Implementierung durch unabhängige Experten testen. Ein Vulnerability & Penetration Testing (VAPT) deckt genau jene Lücken auf, die die Bochumer Forscher gefunden haben – von der Ursprungsbindung über Attestation bis zu Recovery-Flows.
- Passwort-Fallbacks eliminieren oder absichern: Wo Passwörter nicht sofort abgeschafft werden können, sollten sie durch zusätzliche Faktoren geschützt werden. Erzwingen Sie MFA für alle Passwort-Logins und überwachen Sie verdächtige Anmeldeversuche.
- Kontinuierliche Überwachung statt Einmal-Audit: Sicherheitslücken entstehen durch Updates, neue Features oder Konfigurationsfehler. Etablieren Sie einen Prozess für regelmäßige Sicherheitsüberprüfungen Ihrer Authentifizierungsinfrastruktur.
- Identity Fabric aufbauen: Kombinieren Sie Passkeys mit anderen Identitätsstandards wie OAuth 2.0, OpenID Connect und SAML. Eine durchdachte Identity-Fabric-Architektur verhindert, dass einzelne Schwachstellen das Gesamtsystem kompromittieren.
- Mitarbeiter sensibilisieren: Auch die beste Technologie scheitert am Menschen. Schulen Sie Ihre Teams zu Phishing, Social Engineering und dem sicheren Umgang mit Passkeys.
Penetrationstests als Schlüssel zur Identitätssicherheit
Die Ergebnisse der Bochumer Studie sind ein Paradebeispiel dafür, warum theoretische Sicherheit nicht ausreicht. Nur wer seine Systeme aktiv angreift, findet die Lücken, die Angreifer ausnutzen würden. Ein professioneller Penetrationstest geht über automatische Scanner hinaus: Er simuliert reale Angriffsszenarien, analysiert Geschäftslogik und deckt auch komplexe Fehlkonfigurationen auf.
Bei cybereiche.de/lösungen/vapt kombinieren wir manuelle und automatisierte Tests, um Ihre Authentifizierungsprozesse – inklusive Passkey-Implementierungen – auf Herz und Nieren zu prüfen. So stellen Sie sicher, dass Ihre Investition in moderne Authentifizierung nicht durch vermeidbare Fehler zunichtegemacht wird.
Fazit: Passkeys sind ein Fortschritt – aber kein Freifahrtschein
Passkeys werden sich durchsetzen, da sind sich Experten einig. Doch die aktuelle Studie zeigt, dass die Branche noch nicht bereit ist für eine vollständig passwortlose Zukunft. Für Unternehmen bedeutet das: Nutzen Sie die Vorteile, aber bleiben Sie wachsam. Prüfen Sie Ihre Implementierungen, eliminieren Sie unsichere Fallbacks und setzen Sie auf kontinuierliche Sicherheitsüberprüfungen.
Möchten Sie wissen, wie es um die Sicherheit Ihrer Authentifizierung bestellt ist? Sprechen Sie uns an – wir helfen Ihnen, Identitätsdiebstahl und Account-Übernahmen effektiv zu verhindern.