Passwörter sind für viele Websites noch immer der schwächste Teil des Logins. Sie werden wiederverwendet, geraten in Datenlecks, sind anfällig für Phishing und landen zu oft in unsicheren Notizen. Genau deshalb gewinnen Passkeys an Bedeutung. Sie ermöglichen eine Anmeldung ohne klassisches Passwort und können für Website-Betreiber, Online-Shops, Mitgliederbereiche und WordPress-Administratoren ein echter Sicherheitsgewinn sein.
Für KMU und Selbstständige stellt sich aber nicht nur die technische Frage: „Können wir Passkeys aktivieren?“ Wichtiger ist: Für welche Logins lohnt sich das zuerst, wie bleibt der Zugang für Nutzerinnen und Nutzer verständlich, was passiert bei Geräteverlust und wie passen Passkeys zu bestehenden WordPress-, Shop- oder SaaS-Prozessen? Wer diese Fragen vorab klärt, vermeidet Support-Chaos und kann die Sicherheit schrittweise erhöhen.
Was Passkeys eigentlich sind
Das BSI beschreibt Passkeys als Alternative zu Passwörtern. Statt ein geheimes Passwort einzugeben, wird die Anmeldung über kryptografische Schlüssel abgesichert. Der private Schlüssel bleibt auf dem Gerät oder in einer sicheren Schlüsselverwaltung, während der Dienst nur mit einem passenden öffentlichen Schlüssel arbeitet.
Die FIDO Alliance ordnet Passkeys als FIDO-Zugangsdaten für passwortlose Authentifizierung ein. Praktisch bedeutet das: Nutzerinnen und Nutzer melden sich häufig mit dem Mechanismus an, mit dem sie ihr Gerät entsperren, etwa PIN, Fingerabdruck, Gesichtserkennung oder einem Hardware-Sicherheitsschlüssel. Die Website erhält dabei nicht den Fingerabdruck oder das Gesicht, sondern nur eine kryptografische Bestätigung.
Der wichtigste Unterschied zum Passwort: Ein Passkey ist an einen Dienst gebunden und kann nicht einfach für eine gefälschte Domain wiederverwendet werden. Dadurch werden typische Phishing-Angriffe deutlich erschwert. Außerdem entfällt das Problem, dass Menschen dasselbe Passwort auf mehreren Websites verwenden.
Warum Website-Betreiber sich jetzt damit beschäftigen sollten
Passkeys sind nicht nur ein Thema für große Plattformen. Viele kleinere Websites haben Logins, die geschäftskritisch sind: WordPress-Adminbereiche, WooCommerce-Kundenkonten, Mitgliederbereiche, Kursplattformen, Supportportale, Bewerbungsbereiche oder SaaS-Dashboards. Wenn dort ein Konto übernommen wird, kann das zu Datenverlust, Spam, Schadcode, Bestellmissbrauch oder Reputationsschäden führen.
Gerade WordPress-Seiten sind häufig Ziel automatisierter Login-Angriffe. Ein sicherer Login beginnt zwar weiterhin mit Updates, Rollenmanagement, Backups, Web Application Firewall und Zwei-Faktor-Authentifizierung. Passkeys können aber ein weiterer Schritt sein, um die Abhängigkeit von Passwörtern zu reduzieren. Für Administratoren und interne Teams ist der Einstieg oft leichter als für alle Kundenkonten gleichzeitig.
Der pragmatische Weg lautet daher nicht: morgen alle Passwörter abschaffen. Sinnvoller ist ein Stufenplan. Zuerst Admin- und Redaktionszugänge härten, danach interne Kundenservice- oder Agenturzugänge prüfen, dann Mitglieder- oder Kundenlogins bewerten. So entsteht Sicherheit ohne eine plötzliche Hürde für alle Nutzerinnen und Nutzer.
Passkeys, 2FA und Passwortmanager: kein Entweder-oder
Viele Unternehmen fragen sich, ob Passkeys die Zwei-Faktor-Authentifizierung ersetzen. Die ehrliche Antwort: Es kommt auf das Modell an. Passkeys können eine sehr starke Authentifizierung bieten, besonders wenn sie phishingresistent umgesetzt sind. Trotzdem bleiben Übergangslösungen wichtig, solange nicht alle Nutzerinnen und Nutzer Passkeys verstehen oder nutzen können.
Für Website-Betreiber kann eine kombinierte Strategie sinnvoll sein. Administratoren nutzen Passkeys oder Hardware-Sicherheitsschlüssel. Redakteure verwenden mindestens 2FA und starke Zugangskontrollen. Normale Nutzer erhalten Passkeys optional zusätzlich zum bestehenden Login, bis die Supportprozesse stabil sind. Passwortmanager bleiben ebenfalls relevant, weil viele Konten vorerst weiter Passwörter nutzen werden.
Wichtig ist, die Einführung nicht nur technisch zu betrachten. Passkeys ändern den Login-Alltag. Nutzer müssen wissen, wie sie einen Passkey anlegen, was bei einem neuen Gerät passiert und wie sie den Zugang wiederherstellen können. Ohne verständliche Hilfetexte und Recovery-Prozesse wird ein Sicherheitsfeature schnell zum Supportthema.
Was WordPress-Betreiber vor der Einführung prüfen sollten
Bei WordPress ist zuerst zu klären, welche Logins überhaupt geschützt werden sollen. Der Adminbereich hat andere Anforderungen als ein öffentlicher Mitgliederbereich. Für Admins kann eine strengere Lösung sinnvoll sein, während Kundenkonten niedrigere Einstiegshürden brauchen. Prüfen Sie auch, ob mehrere Personen denselben Account nutzen. Geteilte Accounts sind ein grundsätzliches Problem und sollten vor jeder Passkey-Einführung aufgelöst werden.
Dann folgt die technische Prüfung. Wird die Lösung über ein Plugin, über Single Sign-on, über den Hostinganbieter oder über eine eigene Anwendung umgesetzt? Wie wird verhindert, dass ein unsicheres Passwort weiterhin als einfacher Fallback bestehen bleibt? Können mehrere Passkeys pro Konto hinterlegt werden, etwa Smartphone und Hardware-Key? Gibt es Admin-Recovery, wenn ein Gerät verloren geht? Werden Protokolle und Benachrichtigungen sauber geführt?
Außerdem sollten Betreiber Updates und Kompatibilität im Blick behalten. Login-Plugins greifen tief in den Zugang zur Website ein. Ein schlecht gewartetes Plugin kann selbst zum Risiko werden. Deshalb passt die Passkey-Prüfung gut zu einem allgemeinen Blick auf die WordPress-Lieferkette, wie im Beitrag zum Cyber Resilience Act für WordPress beschrieben.
Datenschutz: weniger Passwortdaten, aber neue Informationspflichten
Passkeys können datenschutzfreundlich sein, weil keine Passwörter gespeichert werden müssen und biometrische Merkmale nicht an die Website übertragen werden. Die FIDO-Spezifikationen betonen, dass biometrische Informationen, wenn sie genutzt werden, auf dem Gerät bleiben. Trotzdem verarbeitet ein Login-System weiterhin personenbezogene Daten: Nutzerkonto, Login-Zeitpunkte, Geräte- oder Sicherheitsschlüssel-Informationen, Wiederherstellungsdaten und Sicherheitsprotokolle.
Website-Betreiber sollten daher die Datenschutzerklärung prüfen, wenn sie ein neues Login-Verfahren einführen. Welche Daten werden beim Login verarbeitet? Gibt es externe Identitäts- oder Authentifizierungsdienstleister? Werden Logdaten gespeichert? Wie lange? Wer hat Zugriff? Diese Fragen sind besonders wichtig, wenn Passkeys über einen externen SSO- oder Identity-Provider laufen.
Auch die Zweckbindung bleibt relevant. Ein Passkey-Login sollte nicht heimlich mit Marketingprofilen, geräteübergreifendem Tracking oder unnötiger Geräteanalyse kombiniert werden. Sicherheit ist ein legitimer Zweck, aber sie sollte nicht als Deckmantel für zusätzliche Auswertung dienen.
Recovery ist der Punkt, an dem viele Konzepte scheitern
Der sicherste Login nützt wenig, wenn rechtmäßige Nutzer ausgesperrt werden oder Angreifer den Wiederherstellungsprozess ausnutzen. Deshalb sollte Recovery vor der Einführung geplant werden. Was passiert, wenn ein Smartphone verloren geht? Können Nutzer mehrere Passkeys registrieren? Gibt es Backup-Codes? Muss ein Administrator helfen? Wie wird geprüft, dass die anfragende Person wirklich berechtigt ist?
Für Admin-Accounts empfiehlt sich ein besonders strenger Prozess: mindestens zwei registrierte Faktoren oder Geräte, klare Verantwortlichkeiten, dokumentierte Notfallzugänge und keine unkontrollierten E-Mail-Links als alleinige Wiederherstellung. Für Kundenkonten muss der Prozess einfacher sein, aber trotzdem Missbrauch verhindern. Gerade bei Shops oder Mitgliederbereichen kann ein schwacher Recovery-Prozess zur neuen Angriffsfläche werden.
Passkeys und EUDI-Wallet: ähnlich bequem, aber anderer Zweck
Passkeys und die EUDI-Wallet werden gelegentlich in einem Atemzug genannt, weil beide den digitalen Alltag sicherer und bequemer machen sollen. Trotzdem lösen sie unterschiedliche Aufgaben. Passkeys beantworten die Frage: „Wie melde ich mich sicher bei einem bestehenden Konto an?“ Die EUDI-Wallet zielt stärker auf digitale Identitäts- und Attributnachweise, etwa Alter, Identität oder Berechtigung.
Für Website-Betreiber ist die Trennung wichtig. Ein Passkey ersetzt nicht automatisch eine Altersverifikation oder Identitätsprüfung. Umgekehrt ersetzt eine Wallet nicht automatisch einen sicheren Login. In manchen Zukunftsszenarien können beide Bausteine zusammenarbeiten: Wallet für Nachweise, Passkeys für wiederkehrende Anmeldung. Wer sich dafür interessiert, findet im Beitrag zur EUDI-Wallet für Websites die passende Einordnung.
Prüfliste für den Einstieg
Der Einstieg in Passkeys sollte mit einer kurzen Login-Inventur beginnen. Welche Login-Bereiche hat die Website? Wer nutzt sie? Welche davon sind kritisch? Gibt es Admin-, Redaktions-, Kunden-, Mitglieder- oder Agenturzugänge? Danach sollten Betreiber die aktuelle Absicherung prüfen: Passwortregeln, 2FA, Login-Limits, Rollen, Geräte, Recovery und Protokollierung.
Im zweiten Schritt wird entschieden, wo Passkeys zuerst getestet werden. Für viele KMU ist der Adminbereich der beste Startpunkt. Dort sind wenige Nutzer beteiligt, der Sicherheitsgewinn ist hoch und Supportfragen bleiben intern. Danach kann ein Pilot für Mitglieder- oder Kundenkonten folgen. Wichtig ist, eine Rückfallstrategie zu definieren, ohne wieder beim unsicheren Passwort als alleiniger Notlösung zu landen.
Im dritten Schritt sollten Texte und Prozesse angepasst werden: Hilfetexte im Login, interne Anleitung, Datenschutzerklärung, Supportablauf und Notfallplan. Wenn externe Anbieter eingebunden werden, gehören auch Auftragsverarbeitung, Speicherorte und Sicherheitsmaßnahmen in die Prüfung.
Fazit: Passkeys sind ein guter nächster Sicherheitsbaustein
Passkeys sind kein Zauberknopf, der jede Website sofort sicher macht. Sie können aber ein sehr starker Baustein sein, um Passwortprobleme und Phishingrisiken zu reduzieren. Besonders für WordPress-Adminbereiche, Agenturzugänge und interne Website-Teams lohnt sich eine frühe Prüfung.
Der beste nächste Schritt ist klein: Erstellen Sie eine Liste aller Logins Ihrer Website und markieren Sie die kritischsten Zugänge. Prüfen Sie danach, ob Passkeys oder phishingresistente 2FA dort realistisch einführbar sind. So wird aus einem technischen Trend ein konkreter Sicherheitsplan, der zu Website, Team und Nutzern passt.
