Ein Faktencheck zum Stand der Passkey-Einführung 2026: Was aktuelle Studien von FIDO Alliance und NIST tatsächlich zeigen – und was das für IT-Verantwortliche in KMU bedeutet.
Seit Jahren wird der „Tod des Passworts“ angekündigt. 2026 zeigen erstmals belastbare Zahlen, dass sich diese Entwicklung beschleunigt. Die FIDO Alliance hat zum World Passkey Day 2026 ihren Bericht „State of Passkeys 2026“ veröffentlicht, basierend auf einer Befragung von rund 11.000 Verbrauchern und 1.400 Unternehmensentscheidern in zehn Ländern. Ergebnis: 90 Prozent der Befragten kennen Passkeys, 75 Prozent haben sie bei mindestens einem Konto aktiviert, weltweit sind laut FIDO Alliance inzwischen rund 5 Milliarden Passkeys im Einsatz. Auf Unternehmensseite geben 68 Prozent an, Passkeys für die Mitarbeiter-Anmeldung bereits eingeführt zu haben oder aktiv einzuführen.
Diese Zahlen bestätigt eine unabhängige Auswertung des Authentifizierungsanbieters Descope in seinem Bericht „Passkey Trends for 2026“, der zusätzlich einen wichtigen Treiber benennt: die Standardeinstellungen großer Plattformen. Google machte Passkeys im Oktober 2023 zur Voreinstellung für private Konten, Microsoft folgte im Mai 2025 – mit einem anschließenden Nutzungswachstum von 120 Prozent laut der dort zitierten Dashlane-Auswertung. Wichtig für die Einordnung: Descope weist zugleich darauf hin, dass viele Unternehmen speziell bei kundenseitigen Logins weiterhin überwiegend auf Passwörter setzen. Bekanntheit und tatsächliche technische Umsetzungsreife klaffen also noch auseinander.
Der Unterschied zum Passwort liegt im Prinzip: Ein Passkey ist kein geteiltes Geheimnis, das über das Netz übertragen und auf einem Server gespeichert wird, sondern ein kryptografisches Schlüsselpaar. Der private Schlüssel verlässt niemals das Gerät des Nutzers; der Server speichert nur den öffentlichen Schlüssel. Bei der Anmeldung signiert das Gerät eine Herausforderung des Servers – entsperrt per biometrischem Merkmal oder Geräte-PIN. Da diese Signatur an die exakte Domain gebunden ist, kann ein für eine echte Website ausgestellter Passkey nicht auf einer gefälschten Phishing-Seite missbraucht werden. Das macht Passkeys von Grund auf phishing-resistent, ein Schutz, den klassische Passwörter selbst mit hoher Komplexität nicht bieten, wie der Fachbeitrag „The Complete Guide to Passwordless Authentication in 2026“ auf Security Boulevard beschreibt.
Diese Sicherheitsvorteile zeigen sich auch in der Nutzererfahrung: Nach FIDO-Daten, die Descope zitiert, liegt die Erfolgsquote von Anmeldungen mit Passkeys bei rund 93 Prozent gegenüber etwa 63 Prozent bei klassischen Passwort-Logins, bei deutlich kürzerer Anmeldedauer. Unternehmen mit eingeführten Passkeys berichten laut FIDO im Schnitt von 73 Prozent kürzeren Anmeldezeiten und 81 Prozent weniger passwortbezogenen Support-Tickets – relevant gerade für IT-Abteilungen kleinerer Unternehmen mit begrenzten Ressourcen.
Neben Komfort und Sicherheit kommt 2026 ein weiterer Faktor hinzu: die formale Anerkennung durch Standards. Das US-amerikanische National Institute of Standards and Technology (NIST) hat im Juli 2025 die finale Fassung seiner Richtlinie SP 800-63-4 veröffentlicht. Darin werden synchronisierte wie geräte-gebundene Passkeys erstmals ausdrücklich als konform mit der Authenticator Assurance Level 2 (AAL2) eingestuft – der Sicherheitsstufe, die für die meisten sensiblen behördlichen und geschäftlichen Anwendungen gefordert wird. Diese Einordnung bestätigen sowohl die offizielle NIST-Projektseite als auch die Analyse auf Security Boulevard, die SP 800-63-4 als Wendepunkt beschreibt: Phishing-resistente Authentifizierung wird für viele Organisationen damit von einer Empfehlung zu einer regulatorischen Notwendigkeit, etwa im Umfeld von Behördenaufträgen, Finanzdienstleistungen oder kritischer Infrastruktur.
Für IT-Verantwortliche in kleinen und mittleren Unternehmen ergeben sich konkrete Handlungsfelder:
Die passwortlose Anmeldung ist 2026 keine ferne Vision mehr, sondern in der Breite angekommen: hohe Bekanntheit, wachsende Nutzung und regulatorische Rückendeckung durch NIST sprechen dafür. Gleichzeitig zeigen unabhängige Auswertungen übereinstimmend, dass viele Organisationen technisch noch nicht so weit sind wie die Awareness-Zahlen vermuten lassen – gerade bei kundenseitigen Anwendungen dominiert das Passwort vielerorts weiterhin. Für KMU lohnt sich deshalb ein pragmatischer, schrittweiser Einstieg: Passkeys dort einführen, wo der Nutzen sofort spürbar ist, Fallback-Wege mitdenken und Mitarbeitende von Anfang an mitnehmen.
Der DevSecOps-Markt wächst bis 2035 von 10 auf 68 Milliarden US-Dollar. Cloud-native Anwendungen machen bereits 48% des Marktes aus – ein fundamentaler Shift, der auch KMU zum Handeln zwingt.
weiterlesen: DevSecOps-Markt explodiert: Warum 48% auf Cloud-Native CI/CD Security setzen – und was das für KMU bedeutetQuantencomputer bedrohen die heutige Verschlüsselung – und Angreifer sammeln bereits Daten für die Zukunft. Mit den neuen NIST-Standards und klaren Fristen durch BSI und EU ist es Zeit zu handeln. Ein Leitfaden für IT-Verantwortliche in KMU.
weiterlesen: Quantum-Safe Encryption: Warum die Vorbereitung auf die Post-Quanten-Ära jetzt beginnen mussUnternehmen managen heute durchschnittlich 83 verschiedene Security-Tools – mit fatalen Folgen für Reaktionszeiten und Budgets. Warum 2026 der Wendepunkt für MSSP-Integration ist und wie KMUs durch Konsolidierung 4-fachen ROI erzielen.
weiterlesen: Tool Sprawl-Konsolidierung: Warum 2026 das Jahr der MSSP-Integration wirdIhre digitale Vision ist bei uns in besten Händen. Ob Website, Webshop oder individuelle Anwendung – bei CODISH finden Sie Beratung, Umsetzung und Support aus einer professionellen Hand.
Guten Tag, ich bin DASI, der digitale Assistent von CODISH.
Ich kenne die Inhalte dieser Website wie Leistungen, Referenze, Blogbeiträge und beantworte Ihre Fragen dazu mit Angabe der Quellen. Sie müssen also nicht selbst suchen: Fragen Sie einfach, oder beschreiben Sie Ihr Vorhaben, und ich zeige Ihnen die passenden Stellen.
