Passkeys sind im Alltag angekommen – aber nicht überall
Seit Jahren wird der „Tod des Passworts“ angekündigt. 2026 zeigen erstmals belastbare Zahlen, dass sich diese Entwicklung beschleunigt. Die FIDO Alliance hat zum World Passkey Day 2026 ihren Bericht „State of Passkeys 2026“ veröffentlicht, basierend auf einer Befragung von rund 11.000 Verbrauchern und 1.400 Unternehmensentscheidern in zehn Ländern. Ergebnis: 90 Prozent der Befragten kennen Passkeys, 75 Prozent haben sie bei mindestens einem Konto aktiviert, weltweit sind laut FIDO Alliance inzwischen rund 5 Milliarden Passkeys im Einsatz. Auf Unternehmensseite geben 68 Prozent an, Passkeys für die Mitarbeiter-Anmeldung bereits eingeführt zu haben oder aktiv einzuführen.
Diese Zahlen bestätigt eine unabhängige Auswertung des Authentifizierungsanbieters Descope in seinem Bericht „Passkey Trends for 2026“, der zusätzlich einen wichtigen Treiber benennt: die Standardeinstellungen großer Plattformen. Google machte Passkeys im Oktober 2023 zur Voreinstellung für private Konten, Microsoft folgte im Mai 2025 – mit einem anschließenden Nutzungswachstum von 120 Prozent laut der dort zitierten Dashlane-Auswertung. Wichtig für die Einordnung: Descope weist zugleich darauf hin, dass viele Unternehmen speziell bei kundenseitigen Logins weiterhin überwiegend auf Passwörter setzen. Bekanntheit und tatsächliche technische Umsetzungsreife klaffen also noch auseinander.
Warum Passkeys technisch überzeugen
Der Unterschied zum Passwort liegt im Prinzip: Ein Passkey ist kein geteiltes Geheimnis, das über das Netz übertragen und auf einem Server gespeichert wird, sondern ein kryptografisches Schlüsselpaar. Der private Schlüssel verlässt niemals das Gerät des Nutzers; der Server speichert nur den öffentlichen Schlüssel. Bei der Anmeldung signiert das Gerät eine Herausforderung des Servers – entsperrt per biometrischem Merkmal oder Geräte-PIN. Da diese Signatur an die exakte Domain gebunden ist, kann ein für eine echte Website ausgestellter Passkey nicht auf einer gefälschten Phishing-Seite missbraucht werden. Das macht Passkeys von Grund auf phishing-resistent, ein Schutz, den klassische Passwörter selbst mit hoher Komplexität nicht bieten, wie der Fachbeitrag „The Complete Guide to Passwordless Authentication in 2026“ auf Security Boulevard beschreibt.
Diese Sicherheitsvorteile zeigen sich auch in der Nutzererfahrung: Nach FIDO-Daten, die Descope zitiert, liegt die Erfolgsquote von Anmeldungen mit Passkeys bei rund 93 Prozent gegenüber etwa 63 Prozent bei klassischen Passwort-Logins, bei deutlich kürzerer Anmeldedauer. Unternehmen mit eingeführten Passkeys berichten laut FIDO im Schnitt von 73 Prozent kürzeren Anmeldezeiten und 81 Prozent weniger passwortbezogenen Support-Tickets – relevant gerade für IT-Abteilungen kleinerer Unternehmen mit begrenzten Ressourcen.
Regulatorischer Druck: NIST erkennt Passkeys offiziell an
Neben Komfort und Sicherheit kommt 2026 ein weiterer Faktor hinzu: die formale Anerkennung durch Standards. Das US-amerikanische National Institute of Standards and Technology (NIST) hat im Juli 2025 die finale Fassung seiner Richtlinie SP 800-63-4 veröffentlicht. Darin werden synchronisierte wie geräte-gebundene Passkeys erstmals ausdrücklich als konform mit der Authenticator Assurance Level 2 (AAL2) eingestuft – der Sicherheitsstufe, die für die meisten sensiblen behördlichen und geschäftlichen Anwendungen gefordert wird. Diese Einordnung bestätigen sowohl die offizielle NIST-Projektseite als auch die Analyse auf Security Boulevard, die SP 800-63-4 als Wendepunkt beschreibt: Phishing-resistente Authentifizierung wird für viele Organisationen damit von einer Empfehlung zu einer regulatorischen Notwendigkeit, etwa im Umfeld von Behördenaufträgen, Finanzdienstleistungen oder kritischer Infrastruktur.
Was das für Unternehmen bedeutet
Für IT-Verantwortliche in kleinen und mittleren Unternehmen ergeben sich konkrete Handlungsfelder:
- Nicht alles auf einmal umstellen. FIDO Alliance und Descope betonen übereinstimmend, dass erfolgreiche Einführungen meist hybrid ablaufen: Passkeys parallel zu Passwort und Zwei-Faktor-Verfahren anbieten, nicht sofort ersetzen.
- Mit risikoarmen Einstiegspunkten beginnen. Sinnvoll ist der Start bei internen Systemen mit überschaubarer Nutzerzahl, etwa VPN-Zugängen oder Admin-Konten, bevor kundenseitige Anwendungen folgen.
- Geräte- und Plattformkompatibilität prüfen. Passkeys werden nativ von aktuellen Versionen von iOS, Android, Windows 11 und allen gängigen Browsern unterstützt – ältere Geräte oder Fachanwendungen vorab testen.
- Fallback-Verfahren einplanen. Für Geräteverlust braucht es weiterhin einen sicheren Wiederherstellungsweg, etwa über ein zweites registriertes Gerät oder ein Backup-Verfahren.
- Mitarbeitende einbinden und schulen. Die Umstellung gelingt leichter, wenn Beschäftigte Unterschied und Ablauf der biometrischen Freigabe einmal aktiv durchlaufen haben.
- Regulatorische Vorgaben im Blick behalten. Unternehmen mit Kunden oder Aufträgen in regulierten Branchen sollten prüfen, ob AAL2-konforme Authentifizierung nach NIST SP 800-63-4 mittelfristig gefordert wird.
Fazit
Die passwortlose Anmeldung ist 2026 keine ferne Vision mehr, sondern in der Breite angekommen: hohe Bekanntheit, wachsende Nutzung und regulatorische Rückendeckung durch NIST sprechen dafür. Gleichzeitig zeigen unabhängige Auswertungen übereinstimmend, dass viele Organisationen technisch noch nicht so weit sind wie die Awareness-Zahlen vermuten lassen – gerade bei kundenseitigen Anwendungen dominiert das Passwort vielerorts weiterhin. Für KMU lohnt sich deshalb ein pragmatischer, schrittweiser Einstieg: Passkeys dort einführen, wo der Nutzen sofort spürbar ist, Fallback-Wege mitdenken und Mitarbeitende von Anfang an mitnehmen.
Quellen
- FIDO Alliance: Five Billion Passkeys – FIDO Alliance Reports Mainstream Global Usage on World Passkey Day 2026
- Descope: Passkey Trends for 2026 – What the Data Says
- Security Boulevard: The Complete Guide to Passwordless Authentication in 2026
- NIST: Special Publication 800-63-4 (offizielle Projektseite)
