Ein Wort zur Finanzierung: CypherpunkGuide schaltet keine Überwachungswerbung — keine Werbenetzwerke, keine Tracking-Pixel, keine gesponserten Inhalte. Die Finanzierung ist transparent: heute Leserspenden, später ein Abo und redaktionell passende Affiliate-Partnerschaften. Wir fühlen uns unseren Leserinnen und Lesern verpflichtet, nicht den Werbetreibenden.
Beim alltäglichen Anmelden haben Passkeys bereits einen klaren Vorsprung. Der Passkey Index 2025 der FIDO Alliance meldet eine Erfolgsquote von 93 %, gegenüber 63 % bei anderen Methoden. Die durchschnittliche Anmeldung dauerte 8,5 statt 31,2 Sekunden. Passkeys sind außerdem phishing-resistent: Eine gefälschte Website kann kein wiederverwendbares Passkey-Geheimnis abfragen, weil du keines eingeben kannst.
Schwieriger wird es, wenn du den Zugang wiederherstellen musst. Hinter einer starken Anmeldemethode können weiterhin eine Telefonnummer, ein E-Mail-Konto, ein Cloud-Anbieter, ein vertrauenswürdiges Gerät oder ein Code auf Papier stehen. Am 1. August 2026 habe ich 25 offizielle Dokumente oder Primärquellen von Google, Apple, Microsoft, GitHub, FIDO und NIST geprüft. Auf jedes Ökosystem habe ich denselben Ausfall angewandt: Dein täglich genutztes Smartphone, dein Computer und der Hardware-Schlüssel, den du unterwegs bei dir trägst, sind weg; nur Wiederherstellungsmittel an einem anderen Ort bleiben übrig. Das Ergebnis war kein einheitlicher Passkey-Prozess, sondern eine Kette aus zwei oder drei Wiederherstellungen mit unterschiedlichen Grenzen, an denen ein Konto endgültig verloren gehen kann.
Die entscheidende Frage lautet deshalb nicht nur, ob Passkeys sicherer sind als die Zwei-Faktor-Authentifizierung per SMS (2FA, ein zweiter Nachweis nach dem Passwort). Gegen Phishing sind sie sicherer. Entscheidend ist, ob du sowohl das Konto beim Anbieter, der den Passkey speichert, als auch das Konto beim Zieldienst, der ihn akzeptiert, wiederherstellen kannst, ohne zum selben verlorenen Gerät zurückkehren zu müssen. Dieser Leitfaden macht die Abhängigkeiten sichtbar, korrigiert eine Verwechslung zwischen privaten Microsoft-Konten und geschäftlichen Entra-Konten, die bereits in Suchergebnissen auftaucht, und führt durch eine Migration, bei der die Wiederherstellung zuerst kommt. Entferne beim Lesen nicht deine letzte funktionierende Anmeldemethode.
Passkey-Wiederherstellung umfasst zwei verschiedene Vorgänge#
Entweder stellst du den gespeicherten Passkey beim Anbieter wieder her, oder du holst das Zielkonto zurück und registrierst einen neuen. Verschiedene Unternehmen kontrollieren diese Vorgänge. Der Erfolg bei einem Vorgang garantiert nicht, dass auch der andere gelingt.
Ein Passkey ist ein kryptografischer Anmeldenachweis für eine bestimmte Website oder App. Die Website hält den öffentlichen Schlüssel, dein Gerät oder Anmeldedaten-Manager den privaten. WebAuthn, der Webstandard hinter Passkeys, bindet den Schlüssel an die echte Domain. NIST SP 800-63B-4 stuft korrekt eingerichtetes WebAuthn deshalb als phishing-resistent ein, manuell eingegebene Einmalcodes dagegen nicht.
Hinter einer einfachen Anmeldung stehen zwei Akteure:
- Der Anmeldedaten-Anbieter speichert oder synchronisiert den Passkey. Apples Passwörter-App mit iCloud-Schlüsselbund, Google Password Manager, Microsoft Password Manager, ein unabhängiger Passwortmanager, Windows Hello oder ein Hardware-Sicherheitsschlüssel können diese Rolle übernehmen.
- Der Zieldienst — in WebAuthn die Relying Party — ist die Website, die den Passkey akzeptiert. GitHub ist ein Zieldienst. Google und Microsoft können zugleich Anbieter und Zieldienst sein, wenn dort ein Passkey für das eigene Konto gespeichert wird.
Diese Rollentrennung war der erste Befund des Audits. Viele Vergleiche stellen Apple, Google, Microsoft und GitHub als vier gleichartige Spalten nebeneinander. Das sind sie nicht: Apple ist in dieser Frage vor allem Anmeldedaten-Anbieter, GitHub vor allem Zieldienst. Nach einem Verlust wird dieser Unterschied entscheidend.
| Anmeldedaten oder Weg | Wo das Geheimnis liegt | Übersteht den Verlust eines Geräts? | Wenn alle Alltagsgeräte weg sind | Hauptrisiko |
|---|---|---|---|---|
| Synchronisierter Passkey | Ende-zu-Ende-verschlüsselter Anmeldedaten-Manager | Meistens, wenn auf einem anderen Gerät bereits eine Sitzung besteht | Anbieterkonto wiederherstellen und dessen Prüfung zur Entschlüsselung bestehen | Die Wiederherstellung des synchronisierten Passkeys hängt vom Anbieterkonto ab |
| Gerätegebundener Passkey | Ein Smartphone, Computer oder Hardware-Schlüssel | Nein; dieser Passkey geht verloren. Ein anderer Authentifikator kann das Konto trotzdem retten | Zielkonto über einen anderen Weg zurückholen und neuen Passkey registrieren | Dauerhafter Verlust dieses Anmeldenachweises |
| Wiederherstellungscode | Papier oder sicherer Offline-Speicher | Ja | Einmalcode oder langen Wiederherstellungscode eingeben | Diebstahl, Verlust oder Lagerung neben dem Gerät |
| Wiederherstellung per E-Mail oder Telefon | Anderes Konto oder Mobilfunkanbieter | Manchmal | Zuerst diesen Kanal wiederherstellen | Phishing, SIM-Swap (Übernahme der SIM) oder gemeinsamer Ausfall |
Das FIDO-Papier zum Einsatz synchronisierter Passkeys formuliert diese Grenze bewusst. Synchronisierung verbessert die Chance, einen Geräteverlust zu überstehen. Trotzdem kannst du den Zugang zum Anbieter verlieren oder an dessen Wiederherstellungsprüfung scheitern. „Synchronisiert“ heißt, dass eine geschützte Kopie existiert — nicht, dass der Anbieter sie dir immer zurückgeben kann.
Was passiert, wenn alle täglich genutzten Geräte weg sind?#
Ein synchronisierter Passkey kommt nur über seinen Anmeldedaten-Anbieter zurück; ein gerätegebundener Passkey ist verloren. Das Zielkonto bleibt nur erreichbar, wenn eine an einem anderen Ort gelagerte Wiederherstellungsmethode noch funktioniert.
Ich habe genau dieses Szenario auf vier Ökosysteme angewandt und die Belege im herunterladbaren Audit zur Passkey-Wiederherstellung festgehalten. Die Matrix dokumentiert Aussagen der Anbieter; sie beruht nicht auf absichtlich herbeigeführten Kontosperren. Ich habe keine Authentifikatoren aus aktiven Konten entfernt. Tu das auch nicht nur, um die Prüfung nachzustellen.
Die Zeilen gelten für private Konten, deren Inhaber ihre Anmeldedaten selbst verwalten. Konten unter der Kontrolle eines Administrators oder Identitätsanbieters — etwa Google Workspace, Managed Apple Accounts, GitHub Enterprise Managed Users und Microsoft-Entra-Identitäten — folgen organisationsspezifischen Regeln außerhalb dieser Matrix. Die Entra-Termine weiter unten dienen nur dazu, die Verwechslung von Privat- und Geschäftskonten zu korrigieren.
| Ökosystem | Rolle im Audit | Wiederherstellung synchronisierter Passkeys | Dokumentierte Kontrolle für Anbieter oder Konto | Übersteht den Verlust der Alltagsgeräte, wenn … | Fehlergrenze / endgültige Sperre |
|---|---|---|---|---|---|
| Privates Google-Konto | Anbieter und Zieldienst | Google Password Manager über das Google-Konto plus PIN oder ein zulässiges, früher verwendetes Gerät | Anbieter / Google-Konto: Wiederherstellungsdaten; zulässige Konten können einen Wiederherstellungskontakt hinzufügen | Mindestens ein Kanal oder Kontakt bleibt unabhängig von der verlorenen Hardware erreichbar | Die Password-Manager-PIN lässt sich nicht wiederherstellen und alle Passkeys der Sammlung werden zurückgesetzt; danach braucht jeder Zieldienst eine eigene Wiederherstellung |
| Privater Apple Account | Vor allem Anbieter | Sichere Wiederherstellung des iCloud-Schlüsselbunds über die Kontrollen des Apple Accounts | Anbieter / Apple Account: Standard-Wiederherstellung, akzeptierter Wiederherstellungskontakt oder optionaler Wiederherstellungsschlüssel | Die vertrauenswürdige Nummer lässt sich zurückholen, oder ein vorab registrierter Kontakt beziehungsweise der 28-stellige Schlüssel liegt außerhalb der verlorenen Geräte | Der Wiederherstellungsschlüssel ist aktiv, aber es gibt weder ein vertrauenswürdiges Gerät noch den 28-stelligen Schlüssel noch — wenn der Erweiterte Datenschutz beides erlaubt — einen separat eingerichteten, nutzbaren Kontakt |
| Privates Microsoft-Konto | Anbieter und Zieldienst | Synchronisierter Manager nach Anmeldung beim Anbieter; Windows Hello oder Sicherheitsschlüssel können gerätegebunden sein | Anbieter / Microsoft-Konto: alternative Sicherheitsinformationen oder 25-stelliger Wiederherstellungscode | Ein alternativer Kanal ist erreichbar oder der 25-stellige Code wurde offline gespeichert | Die Überprüfung in zwei Schritten ist aktiv und keine Alternative zugänglich; laut Microsoft kann der Support sie nicht umgehen |
| Privates GitHub-Konto | Vor allem Zieldienst | Der Anmeldedaten-Anbieter stellt die synchronisierte Anmeldeinformation wieder her; GitHub besitzt den privaten Schlüssel nicht | Privates Zielkonto: 16 Einmalcodes, weiterer Passkey oder Sicherheitsschlüssel, SSH-Schlüssel, persönliches Zugriffstoken (PAT) oder verifiziertes Gerät | Ein Offline-Code oder getrennt gespeicherter Authentifikator bleibt übrig; SSH, PAT und verifizierte Geräte zählen nur, wenn GitHub sie noch als Nachweis akzeptiert | Kein Passkey und keine akzeptierte Wiederherstellungsmethode; der GitHub-Support kann den Zugang nicht wiederherstellen |
Die Tabelle zeigt ein zweites Problem: „Ich nutze einen Passkey“ sagt nicht, wo er gespeichert ist. Eine Windows-Abfrage kann eine Anmeldeinformation auf einem Rechner in Windows Hello ablegen und eine andere in einem synchronisierten Passwortmanager. Ein QR-Code-Ablauf kann das Smartphone nur für diese Sitzung verwenden oder den Passkey darauf speichern. Öffne deshalb vor der Planung sowohl die Passkey-Liste beim Zieldienst als auch die Anmeldedaten-Liste beim Anbieter. Notiere Anbieter und Gerät, nicht nur den Namen der Website.
Vier Plattformen, vier Wiederherstellungswege#
Alle vier Ökosysteme können Passkeys sicher einsetzen, doch ihre Wiederherstellungswege unterscheiden sich. Speicherort, Wiederherstellung des Anbieterkontos und eine Reserve außerhalb der Alltagsgeräte entscheiden darüber, ob ein Verlust zur Sperre wird.
Private Google-Konten: Die Password-Manager-PIN zählt#
Google Password Manager synchronisiert Passkeys zwischen Android, Chrome, iPhone und iPad. Wenn du den ersten Passkey auf einem Computer, iPhone oder iPad anlegst, kann Google eine eigene Password-Manager-PIN erstellen. Laut PIN-Dokumentation hilft sie, Passkeys auf einem neuen Gerät zu entsperren, und hält die verschlüsselten Daten für Google unlesbar.
Ein Passkey für ein privates Google-Konto löscht nicht automatisch das vorhandene Passwort, Wiederherstellungsdaten oder andere Faktoren. Die Passkey-Anleitung für Google-Konten erklärt außerdem, dass ein Passkey den zweiten Schritt bei der Anmeldung erfüllen kann. Beides gehört zusammen: Im Alltag kann ein Passkey Passwort plus Code ersetzen, während ältere Faktoren für die Wiederherstellung erhalten bleiben — solange du sie nicht bewusst entfernst.
Die harte Grenze zeigt sich, wenn die PIN vergessen ist. Google erlaubt das Zurücksetzen auf einem Nicht-Android-Gerät, auf dem zuvor Passkeys aus Google Password Manager verwendet wurden. Hast du alle zulässigen Geräte geprüft und kannst die PIN trotzdem nicht wiederherstellen, nennt die Dokumentation Passkeys zurücksetzen als Ausweg. Das löscht alle Passkeys in Google Password Manager; die Websites stellen sie nicht automatisch neu aus. Du musst jedes Zielkonto zurückholen und neue Anmeldedaten anlegen.
Zwei Vorgänge, die viele Zusammenfassungen vermischen, habe ich deshalb getrennt erfasst. Das Google-Verfahren zur Kontowiederherstellung kann den Zugang zu Gmail und zum Google-Konto selbst wiederherstellen. Die Password-Manager-Wiederherstellung öffnet die verschlüsselte Passkey-Sammlung. Der Kontozugang beweist allein nicht, dass du diese Sammlung entschlüsseln kannst. Bei manchen Sperren durch die Bestätigung in zwei Schritten kann die Prüfung laut Fehlerbehebung von Google drei bis fünf Arbeitstage dauern. Google führte 2025 Recovery Contacts für berechtigte private Konten ein. Berechtigung und Einführung unterscheiden sich jedoch; behandle die Funktion als mögliche Ergänzung, nicht als allgemeine Zusage.
Private Apple Accounts: Die iCloud-Schlüsselbund-Wiederherstellung hat Bedingungen#
Apple hat den iCloud-Schlüsselbund so gebaut, dass Passwörter und Passkeys Ende-zu-Ende-verschlüsselt synchronisiert werden. Die Server übertragen verschlüsselte Datensätze, ohne lesbare Kopien zu halten. Der Leitfaden zur Plattformsicherheit sagt ausdrücklich, dass die Schlüsselbund-Wiederherstellung auch dann greifen soll, wenn keines der Geräte des Nutzers erreichbar ist. Das ist genauer als die Aussage „Deine Passkeys sind in iCloud“.
Der Weg ist an Voraussetzungen gebunden. Apples Seite zur Passkey-Sicherheit nennt für den Verlust aller Geräte möglicherweise das Passwort des Apple Accounts, eine SMS an die registrierte Telefonnummer und den Gerätecode. Der Treuhanddienst (Escrow) für die verschlüsselte Wiederherstellung erlaubt 10 Authentifizierungsversuche; nach dem zehnten Fehlschlag wird der hinterlegte Datensatz zerstört. Der Weg für den Verlust aller Geräte ist vorgesehen, aber nicht unbegrenzt garantiert.
Auch diese Wiederherstellung hängt am Apple Account. Das Standardverfahren kann Kontodaten, eine vertrauenswürdige Telefonnummer, Gerätecodes und eine zeitverzögerte Wiederherstellung nutzen. Ein Wiederherstellungskontakt kann einen sechsstelligen Code ausgeben; Apple erlaubt bis zu fünf Kontakte. Der Kontakt kann die Kontoinhalte nicht einsehen, sondern hilft nur bei der Identitätsprüfung.
Apple weist außerdem darauf hin, dass die vollständige Kontowiederherstellung mehrere Tage oder länger dauern kann. Der Support kann die Wartezeit nicht verkürzen. Das ist der letzte Ausweg, kein Notfallzugang am selben Tag.
Der optionale Wiederherstellungsschlüssel braucht eine deutliche Warnung. Apples Dokumentation erklärt: Der 28-stellige Schlüssel deaktiviert die standardmäßige Kontowiederherstellung. Beim erweiterten Datenschutz können Wiederherstellungsschlüssel und -kontakt gemeinsam eingerichtet sein; dann kann einer der beiden den Zugang retten. Kennst du das Kontopasswort nicht mehr und hast weder ein vertrauenswürdiges Gerät noch den Schlüssel oder einen nutzbaren eingerichteten Kontakt, kann die Sperre dauerhaft sein. Mehr eigene Kontrolle bietet der Schlüssel nur, wenn er außerhalb des geschützten Kontos liegt. In Apple Notes, iCloud Drive oder der Passwörter-App entsteht ein geschlossener Kreis; Apple warnt ausdrücklich vor diesen Speicherorten.
Physische Sicherheitsschlüssel für den Apple Account sind eine eigene Funktion und nicht dasselbe wie synchronisierte iCloud-Passkeys. Apple verlangt mindestens zwei physische Schlüssel und erlaubt bis zu sechs. Der Leitfaden zu Sicherheitsschlüsseln warnt: Wer alle vertrauenswürdigen Geräte und alle registrierten Schlüssel verliert, kann dauerhaft ausgesperrt werden. Ein Ersatzschlüssel hilft nur, wenn er bereits registriert, getestet und getrennt von den Alltagsgeräten gelagert ist.
Microsoft: Private Konten folgen nicht dem Entra-Zeitplan#
Microsoft unterstützt synchronisierte und gerätegebundene Passkeys. Der Leitfaden für Privatnutzer beschreibt einen synchronisierten Passkey als Anmeldeinformation, die über einen Manager zurückkehrt. Ein gerätegebundener Passkey geht mit dem Gerät verloren, wenn keine andere Methode vorhanden ist. Microsoft Password Manager wird für private Edge-Profile eingeführt; Windows Hello und physische Sicherheitsschlüssel können lokal bleiben.
Die Schlagzeile „Microsoft schafft SMS im September 2026 ab“ verändert die praktische Empfehlung und musste deshalb gegen die Quelle geprüft werden. Die Umstellung am 1. September 2026 gilt für einen Entra-ID-Mandanten, also ein von einer Organisation verwaltetes Verzeichnis: Für Nutzer, bei denen SMS oder Sprachanrufe bereits aktiviert sind, wird die Passkey-Option automatisch freigeschaltet; außerdem werden sie zur Registrierung aufgefordert. Die Organisation kann den Mandanten vorübergehend ausnehmen. Diese Möglichkeit endet am 1. Februar 2027, wenn Microsofts eigene SMS- und Sprachübermittlung für Entra ausläuft. Separat kündigt Microsoft an, SMS-Codes für private Konten schrittweise abzubauen. Die Privatkunden-Seite nennt aber keinen allgemeinen Stichtag im September 2026. Beide Bereiche gleichzusetzen würde Menschen mit Privatkonten dazu drängen, eine Methode wegen einer falschen Frist zu entfernen.
Für private Konten gilt eine eigene harte Grenze. Ist die Bestätigung in zwei Schritten aktiv und keine alternative Methode erreichbar, können weder das übliche Formular noch der Support den Zugang wiederherstellen, so die Seite zum Microsoft-Wiederherstellungsformular. Zusätzlich bietet Microsoft einen vorab erzeugten 25-stelligen Wiederherstellungscode. Laut Anleitung zum Code können Änderungen an Sicherheitsinformationen bei aktiver Bestätigung in zwei Schritten 30 Tage dauern. Erzeuge und lagere den Code vor der Krise — nicht erst, wenn das Passkey-Gerät weg ist.
Private GitHub-Konten: Viele Methoden, keine Ausnahme durch den Support#
Dieser Abschnitt gilt für Inhaber privater Konten, die ihre Anmeldedaten selbst verwalten. GitHub überträgt dieses Modell in seiner Passkey-Dokumentation nicht auf zentral verwaltete Unternehmenskonten. Bei privaten Konten ersetzt ein Passkey für die Browser-Anmeldung sowohl Passwort als auch 2FA-Nachweis. Einen synchronisierten Passkey stellt Apple, Google, Microsoft oder der jeweilige Anbieter wieder her, bei dem der private Schlüssel gespeichert ist. Die GitHub-Seite zur Passkey-Verwaltung verweist dafür auf diesen Anbieter. Ein gerätegebundener Sicherheitsschlüssel wird nicht wiederherstellbar, nur weil GitHub ihn noch auflistet.
Für die andere Seite der Wiederherstellung ist GitHub ungewöhnlich konkret. Die Dokumentation der Wiederherstellungsmethoden nennt 16 Einmalcodes. Als mögliche Nachweise kommen außerdem SSH-Schlüssel — kryptografische Schlüssel für Git und entfernte Zugänge —, persönliche Zugriffstoken (PAT, Anmeldedaten für Git und Programmierschnittstellen) sowie verifizierte Geräte infrage. Eine früher genutzte Methode kann trotzdem unzulässig sein, etwa ein inaktiver SSH-Schlüssel. Prüfe ihren Status, statt ihre Eignung anzunehmen. Eine Wiederherstellungsanfrage mit einem akzeptierten verifizierten Gerät oder SSH-Schlüssel kann bis zu drei Arbeitstage dauern.
Die letzte Grenze ist eindeutig: Fehlen sämtliche Anmeldedaten und akzeptierten Wiederherstellungsmethoden, kann der GitHub-Support ein privates 2FA-Konto nicht wiederherstellen. Der Leitfaden für verlorene Anmeldedaten bezeichnet den Verlust als dauerhaft. Speichere die Codes offline und registriere mehr als eine Methode, bevor der Passkey deine alltägliche Anmeldung wird.
Das Wiederherstellungsparadox: starke Anmeldung, schwächere Reserve#
Das Paradox entsteht, wenn eine phishing-resistente Anmeldung auf einer schwächeren Wiederherstellung beruht. Angreifer können stattdessen E-Mail, Telefon, Support-Verfahren oder Cloud-Konto ins Visier nehmen, über die sich der Passkey ersetzen lässt.
Passkeys sind deshalb keine schlechte Entscheidung. Die Wiederherstellung gehört zur Authentifizierung und ist kein nachgelagerter Verwaltungsvorgang. Die NIST-Vorgaben behandeln sie als Verwaltung von Authentifikatoren und verlangen Mechanismen, die zum Sicherheitsniveau des Kontos passen. Ein Einmalcode ist nützlich, weil er unabhängig sein kann. Gibst du ihn auf einer gefälschten Website ein, ist er trotzdem nicht phishing-resistent.
| Wiederherstellungsweg | Unabhängig von verlorenen Geräten? | Phishing-resistent? | Sinnvollster Einsatz | So stärkst du ihn |
|---|---|---|---|---|
| Offline-Wiederherstellungscode | Ja, wenn er nicht auf dem Gerät liegt | Nein | Notfallzugang | Papier oder verschlüsselte Offline-Kopie; nie nur in der Cloud |
| Zweiter Hardware-Schlüssel | Ja, wenn er woanders liegt | Ja | Besonders wichtige Konten | Zwei registrieren, beide testen, einen an anderem Ort lagern |
| Synchronisierter Passkey beim selben Anbieter | Teilweise | Bei der Anmeldung ja | Alltag und Verlust eines einzelnen Geräts | Anbieter-Wiederherstellung härten und externen Weg behalten |
| Wiederherstellungs-E-Mail | Nur bei einem getrennten Konto | Allein nein | Breite Kontowiederherstellung | Anderer Anbieter, Passkey und unabhängige Wiederherstellung |
| Wiederherstellungstelefon / SMS | Nur solange der Mobilfunkzugang besteht | Nein | Letzte Kompatibilitätsreserve | Kundenkonto-PIN beim Mobilfunkanbieter setzen; Exposition mit einem Bedrohungsmodell für Telefonnummern senken |
| Wiederherstellungskontakt | Ja, wenn Person und Gerät erreichbar bleiben | Allein nein | Apple oder berechtigtes Google-Konto zurückholen | Bewusst auswählen; Kontaktweg und Identitätsprüfung proben |
Die Übertragbarkeit verbessert sich. Verlasse dich bei der Wiederherstellung trotzdem nicht auf eine künftige Zusage. FIDO veröffentlichte im März 2026 das Credential Exchange Format als Proposed Standard für sicheren Import und Export von Anmeldedaten. Dass ein Standard existiert, beweist nicht, dass deine Anbieter heute jeden Passkey übertragen können. Prüfe Export und Import in beiden Produkten, bevor du dich auf einen Anbieterwechsel verlässt.
Der Zielkonflikt mit der Privatsphäre ist ebenso klar. Synchronisierung schützt vor dem Verlust eines Geräts, konzentriert die Wiederherstellung aber in einem Cloud-Konto. Gerätegebundene Schlüssel verringern diese Abhängigkeit, erhöhen dafür die Folgen eines physischen Verlusts. Die entscheidende Frage ist dieselbe wie im Fünf-Schichten-Audit für Souveränität: Betreibst du etwas wirklich selbst, oder vertraust du nur einem Verwaltungs-Dashboard? Entscheide anhand eines konkreten Gegners und eines konkreten Ausfallszenarios, nicht anhand eines Schlagworts.
Bereite bei der Migration zuerst die Wiederherstellung vor#
Eine sichere Migration beginnt mit der Wiederherstellung. Erfasse die Speicherorte, richte eine Methode außerhalb des Anbieters ein, teste sie, ohne etwas zu löschen, und stufe erst danach SMS oder Passwort herab.
- Notiere Konto und Anbieter getrennt. Schreib
GitHub — Google Password Manager, nicht nurGitHub — Passkey. Kennzeichne jeden Passkey als synchronisiert, gerätegebunden oder unbekannt. Ist der Speicherort unbekannt, entferne noch nichts. - Sichere zuerst das Anbieterkonto. Ein synchronisierter Passkey kommt nur zurück, wenn du das Konto bei Apple, Google, Microsoft oder deinem unabhängigen Manager wiederherstellst und die dortige Entschlüsselungsprüfung bestehst. Aktualisiere Wiederherstellungs-E-Mail, vertrauenswürdige Telefonnummer, Wiederherstellungskontakt und einen unabhängigen Authentifikator. Gehe dabei wie im Bedrohungsmodell für das KI-Zeitalter vom Gegner aus.
- Richte einen Weg außerhalb dieses Anbieters ein. Je nach Dienst eignen sich ausgedruckte Codes, ein zweiter Hardware-Schlüssel an einem anderen Ort oder ein SSH-Schlüssel. Dessen privater Schlüssel oder eine getestete Sicherung muss auf einem getrennten Gerät liegen; außerdem muss der Dienst den SSH-Schlüssel weiterhin zur Wiederherstellung akzeptieren. Bewahre die einzige Kopie nicht im selben Cloud-Konto auf.
- Teste, ohne etwas zu zerstören. Öffne ein privates Browserfenster oder ein anderes Browserprofil, beginne die Anmeldung und prüfe, ob die Reservemethode angeboten wird. Nutze, wenn vorhanden, eine Statusprüfung ohne Änderungen. Verbraucht der Test einen Einmalcode, markiere ihn als benutzt und ersetze ihn sofort oder erzeuge den gespeicherten Satz neu. Starte nicht nur zur Übung eine vollständige Kontowiederherstellung, lösche nicht den Haupt-Passkey, setze kein Gerät zurück und melde nicht alle vertrauenswürdigen Sitzungen ab.
- Halte die Anleitung offline fest. Notiere Anbieter, Zielkonto, Lagerort der Reserve und offizielle Wiederherstellungs-URL. Die Disziplin ähnelt der Wiederherstellungsprobe bei der ersten Bitcoin-Selbstverwahrung: Bei einer nie getesteten Sicherung weißt du nicht, ob sie im Notfall funktioniert.
- Stufe die alte Methode Konto für Konto herab. Bevorzuge den Passkey im Alltag. Entferne SMS erst, wenn der unabhängige Weg funktioniert und der Dienst die Nummer nicht zur Wiederherstellung verlangt. Prüfe erneut nach einem Wechsel von Smartphone, Passwortmanager, Apple-, Google- oder Microsoft-Konto sowie Sicherheitsschlüsseln.
Die Reihenfolge ist selbst eine Schutzmaßnahme. Wer zuerst SMS entfernt und die Reserve „später“ einrichten will, schafft ein Zeitfenster, in dem ein heruntergefallenes Smartphone, ein gebrochenes Display, ein verlorener Schlüssel oder der falsche Speicheranbieter zur dauerhaften Sperre führen können. Sicherheitsarbeit soll gleichzeitige Ausfälle unwahrscheinlicher machen, nicht neue schaffen.
Fazit: Solltest du SMS jetzt ersetzen?#
Nutze Passkeys für die tägliche Anmeldung. Stufe SMS aber erst herab, nachdem ein anderer Weg die sichere Prüfung in einem Browser ohne bestehende Sitzung bestanden hat. Verbinde phishing-resistente Anmeldung mit einer Wiederherstellung, die weder von einem einzigen Gerät noch einem Cloud-Konto abhängt.
Die Daten für normale Anmeldungen sind stark. Die oben genannten FIDO-Zahlen und Googles Bericht von 2024 — mehr als 1 Milliarde Authentifizierungen über 400 Millionen Konten und 50 % schnellere Anmeldungen — messen den Alltag, nicht die Wiederherstellung nach einem Geräteverlust.
Für den Verlustfall gibt es keine einzelne Produktfunktion. Google Password Manager kann seine PIN verlangen. Apple kann die Kontowiederherstellung, einen Kontakt oder einen Wiederherstellungsschlüssel voraussetzen. Private Microsoft-Konten haben alternative Sicherheitsinformationen und einen 25-stelligen Code. GitHub hängt von seinen Codes oder einem anderen vorab registrierten Nachweis ab. „In der Cloud gesichert“ verdeckt all diese Bedingungen.
Beginne mit dem Konto, dessen Verlust am meisten schaden würde. Ordne Anbieter und Zieldienst zu, lagere eine Wiederherstellungsmethode außerhalb beider, teste sie und geh dann zum nächsten Konto. Das dauert länger, als an einem Nachmittag überall auf „Passkey verwenden“ zu klicken. Dafür gewinnst du Phishing-Schutz, ohne dass du durch eine verlorene Tasche den Zugang zu allen wichtigen Konten riskierst.
Häufig gestellte Fragen#
Sind Passkeys sicherer als Zwei-Faktor-Authentifizierung per SMS?#
Gegen Phishing ja. Ein WebAuthn-Passkey ist an die echte Domain gebunden, sodass eine gefälschte Website kein wiederverwendbares Anmeldegeheimnis sammeln kann. Einen SMS-Code kannst du dagegen auf einer gefälschten Website eingeben; nach einem SIM-Swap kann er auch abgefangen werden. Die Wiederherstellung bleibt getrennt: Akzeptiert ein Dienst weiterhin SMS, um einen verlorenen Passkey zu ersetzen, bleibt dort das SMS-Risiko bestehen.
Was passiert mit meinen Passkeys, wenn ich mein Smartphone verliere?#
Synchronisierte Passkeys können zurückkommen, nachdem du ihren Anmeldedaten-Manager auf einem anderen Gerät wiederhergestellt und entsperrt hast. Ein Passkey, der nur an das verlorene Smartphone gebunden war, ist weg. In beiden Fällen entscheidet ein zweiter Authentifikator oder das Verfahren des Zieldienstes, ob du ohne dieses Smartphone wieder Zugang erhältst.
Können Apple, Google oder Microsoft meine synchronisierten Passkeys lesen?#
Die Plattformdokumentation beschreibt die Sammlungen als Ende-zu-Ende-verschlüsselt oder so geschützt, dass der Anbieter den privaten Schlüssel nicht lesbar erhält. Die Abhängigkeit bleibt trotzdem bestehen: Der Anbieter betreibt das Konto, den Synchronisierungsdienst, die Wiederherstellungsregeln und die Software, die den Zugang zur verschlüsselten Sammlung kontrolliert.
Soll ich Passwort und die für SMS hinterlegte Nummer nach dem Hinzufügen eines Passkeys löschen?#
Nicht sofort. Füge zuerst eine unabhängige Methode hinzu und teste sie in einem Browser ohne bestehende Sitzung, ohne etwas zu löschen. Entferne die schwächeren Methoden danach Konto für Konto oder stufe sie herab, sofern der Dienst das erlaubt und die Wiederherstellung nicht am selben Gerät oder Anbieter hängt.
Kann der Support mein Konto wiederherstellen, wenn alle Passkeys und Codes weg sind?#
Verlass dich nicht darauf. GitHub erklärt, dass der Support ein 2FA-Konto ohne akzeptierte Wiederherstellungsmethode nicht wiederherstellen kann. Microsoft sagt, dass das Formular für private Konten nicht hilft, wenn die Bestätigung in zwei Schritten aktiv und keine Alternative erreichbar ist. Bereite die unabhängige Methode vor dem Verlust vor.
Quellen#
