Der Passkey sitzt. Die Hintertür auch?
Themenstand: 07.05.2026 · Für den Blog aufbereitet am 06.11.2026. Dieser Rückblick ordnet die damalige Entwicklung mit ihrem zeitlichen Kontext ein.
Rückblick Mai 2026: Ein starker Login ist viel wert. Ob das ganze Konto widerstandsfähig ist, entscheidet sich auch beim Geräteverlust.
Der Anlass im Mai
Am 7. Mai 2026 stellte Microsoft zum World Passkey Day den Ausbau von Passkeys und die Absicherung von Wiederherstellungswegen in den Mittelpunkt. Der interessante Teil liegt für mich in der Verbindung beider Themen. Eine neue Anmeldemethode allein macht aus dem gesamten Kontolebenszyklus noch keinen widerstandsfähigen Prozess.
Passkeys verwenden ein kryptografisches Schlüsselpaar und sind an den jeweiligen Dienst gebunden. Bei einer korrekt umgesetzten Anmeldung lässt sich das Geheimnis deshalb nicht wie ein Passwort auf einer nachgebauten Anmeldeseite abgeben. Das ist ein erheblicher Gewinn. Es beantwortet aber noch nicht, wie jemand nach Geräteverlust wieder an sein Konto kommt.
Die Ausnahme ist ein eigener Zugangsweg
Die FIDO Alliance beschreibt die Einführung als einen Weg, auf dem Anmeldung und Kontowiederherstellung gemeinsam verbessert werden müssen. Das passt zu einem einfachen Architekturtest: Alle erlaubten Wege zum Konto aufzeichnen, einschließlich Ersatzgerät, Support und Rücksetzung. Dann für jeden Weg festhalten, welche Identitätsprüfung tatsächlich verlangt wird.
Ein Beispiel für die Werkbank: Die normale Anmeldung verlangt einen Sicherheitsschlüssel. Für eine Rücksetzung genügt dagegen eine frei beantwortbare Wissensfrage. Der Angreifer muss dann nicht den Sicherheitsschlüssel brechen. Er kann sich dem schwächeren Verfahren zuwenden. Das ist ein konstruiertes Beispiel, keine Feststellung über einen konkreten Anbieter.
Was ich praktisch prüfen würde
Ein Testkonto verliert bewusst seinen primären Authentifikator. Ein zweites Teammitglied übernimmt den Supportablauf genau nach vorhandener Anleitung. Dabei werden verlangte Nachweise, zulässige Ausnahmen und die anschließende Registrierung dokumentiert. Am Ende zählt, ob die vorgesehene Identitätsprüfung auch unter Zeitdruck noch stattfindet.
Danach kommt der Gegenversuch: Was kann eine Person erreichen, die nur Name, Telefonnummer und einige öffentlich bekannte Angaben besitzt? Wo endet der Vorgang, wer entscheidet über eine Ausnahme und welche Spur bleibt erhalten? Ein fehlgeschlagener Versuch ist hier ein nützliches Ergebnis.
Der Maßstab
Ich würde die Einführung nicht nur an der Zahl registrierter Passkeys messen. Aussagekräftiger ist eine kleine Sammlung bestandener Normal- und Ausnahmefälle. Dazu gehören Gerätewechsel, Verlust, Zweitgerät und der kontrollierte Wiederzugang. So wird aus einer starken Funktion ein nachvollziehbarer Betriebsablauf.