Passkeys sollen Passwörter ablösen, doch Nutzer verstehen die Technik nicht

Passkeys galten lange als die Lösung für ein altes Problem: unsichere, wiederverwendete oder gestohlene Passwörter, die laut einer Verizon-Auswertung für 2025 an rund 80 Prozent aller Hackerangriffe beteiligt sind. Die Technologie ersetzt das klassische Passwort durch asymmetrische Kryptografie, bei der ein privater Schlüssel auf dem Gerät bleibt und nur ein öffentlicher Schlüssel an den Dienstanbieter übermittelt wird. Doch eine Studie der Cornell University zeigt nun ein überraschendes Ergebnis: Selbst technisch versierte Nutzer verstehen die Funktionsweise von Passkeys nur unzureichend.

Sicher in der Theorie, riskant in der Praxis

"Überraschend, vor allem für Menschen mit technischer Expertise", kommentiert Alaa Daffalla von der Cornell University die Befunde. Das Forschungsteam attestiert der Nutzerschaft ein "düsteres Bild der Fähigkeit, die Bedrohung durch den missbräuchlichen Einsatz von Passkeys zu erkennen". Besonders kritisch: Missbräuchlicher Zugriff über Passkeys ist schwerer zu erkennen als bei klassischen Passwörtern, was insbesondere bei partnerschaftlicher Gewalt zu einem ernsthaften Sicherheitsproblem werden kann, wenn ein Angreifer Zugriff auf ein synchronisiertes Gerät hat.

Das technische Kernversprechen der Phishing-Resistenz bleibt zwar bestehen. Das Problem liegt an anderer Stelle: Nutzer wissen häufig nicht, wie die Wiederherstellung nach Geräteverlust funktioniert, wo ihre Schlüssel gespeichert werden und welche Cloud-Mechanismen im Hintergrund arbeiten. IT-Sicherheitsexperte Ralf Peter Kleinert bringt es auf den Punkt: "Vertrauen entsteht nicht durch technische Perfektion allein. Vertrauen entsteht durch Verständnis."

Unternehmen kämpfen mit der Umsetzung

Die Kommunikationslücke zieht sich durch die gesamte Branche. Laut einem RSA-Report berichten 90 Prozent der Sicherheitsexperten von Implementierungsproblemen bei passwortlosen Lösungen. Ein Literaturüberblick in der Fachzeitschrift MDPI bestätigt: "The main challenges hindering passkey adoption are misaligned user perception and technical issues regarding account recovery, sharing, and delegation." Der Corbado Passkey Benchmark 2026 formuliert es noch deutlicher: Organisationen, die mit der Adoption kämpfen, teilen fast immer ein Merkmal, sie haben das System ausgerollt, ohne das Warum zu kommunizieren. Dabei zeigt derselbe Report auch die Kehrseite: Nutzer bevorzugen Passkeys, sobald sie sie verstehen.

Hinzu kommt eine strukturelle Abhängigkeit von wenigen Technologieanbietern. Schätzungen zufolge liegt der Anteil von Apples iCloud Keychain an global gespeicherten Passkeys zwischen 44 und 69 Prozent, was Bedenken hinsichtlich eines Vendor-Lock-ins verstärkt. Wie Nutzer das Konzept synchronisierter Passkeys über verschiedene Cloud-Ökosysteme hinweg durchschauen sollen, wenn die Anbieter ihre Systeme kaum transparent erklären, bleibt eine offene Frage. Solche Vertrauens- und Transparenzprobleme bei zentralisierten Systemen erinnern an Sicherheitslücken, wie sie jüngst auch bei KI-Malware in der npm-Lieferkette sichtbar wurden, wo mangelnde Kontrolle über Abhängigkeiten zum Einfallstor wurde.

Wendepunkt trotz Wissenslücke

Trotz aller Kritik beschleunigt sich die Verbreitung. Google meldet über eine Milliarde Passkey-Anmeldungen bei 400 Millionen Konten, weltweit unterstützen inzwischen 15 Milliarden Online-Konten die passwortlose Anmeldung. Microsoft aktiviert ab März 2026 Passkey-Profile automatisch für Enterprise-Kunden, und 96 Prozent aller Geräte gelten bereits als passkey-fähig. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt die Technologie ausdrücklich zum Accountschutz.

Die Diskrepanz zwischen technischer Reife und Nutzerverständnis bleibt jedoch bestehen. Ähnlich wie bei automatisierten Sicherheitssystemen, die im Praxiseinsatz von ihrem geplanten Verhalten abweichen können, wie es etwa bei KI-Agenten in Produktionsumgebungen beobachtet wurde, zeigt sich: Neue Sicherheitstechnologie entfaltet ihren Nutzen erst dann vollständig, wenn Anwender ihre Funktionsweise tatsächlich nachvollziehen können. Für Deutschland bedeutet das, dass Hybrid-Setups aus Passwort und Passkey in Übergangsphasen noch Jahre andauern dürften, besonders in Legacy-Systemen des Mittelstands, wo IT-Ressourcen für ausführliche Nutzerschulungen oft fehlen.

Ob Fallback-Mechanismen nach Geräteverlust ausreichend erklärt werden, bevor Nutzer massenhaft zu Passkeys wechseln, und wie der Übergang im deutschen Mittelstand konkret gelingen soll, während gleichzeitig neun von zehn Unternehmen mit Implementierungsproblemen ringen, bleibt vorerst offen.