Passkeys vs. Passwörter 2026: Was die Pass-ta-key-Angriffe für Sie bedeuten

Seit zwei Jahren lautet die Botschaft: Passkeys sind die Zukunft, Passwörter die Vergangenheit. Im August 2026 zeigten Sicherheitsforscher dann, dass Schadsoftware über den Google Passwortmanager synchronisierte Passkeys kapern kann. Sind Passkeys also noch sicher? Ja, weitgehend. Aber die Geschichte ist differenzierter als „Passkeys gut, Passwörter schlecht“ — und sie verändert, wie Sie darüber denken sollten, wo Ihre Zugangsdaten gespeichert sind.

Passkeys vs. Passwörter: die Kurzfassung

Ein Passwort ist ein geteiltes Geheimnis. Sie kennen es, die Website speichert einen Hash davon, und wer Sie dazu bringt, es auf einer gefälschten Seite einzugeben — oder es aus einer geleakten Datenbank stiehlt — kann es benutzen.

Ein Passkey ist ein kryptografisches Schlüsselpaar. Die Website behält die öffentliche Hälfte, die private Hälfte verlässt nie Ihr Gerät (oder Ihren synchronisierten Tresor). Beim Anmelden signiert Ihr Gerät eine Anfrage, die an die Domain der echten Website gebunden ist. Deshalb sind Passkeys:

• Phishing-resistent — eine nachgemachte Domain erhält eine Signatur, die sie nicht verwenden kann.
• Einzigartig pro Website — es gibt nichts wiederzuverwenden, ein Leak kann sich nicht ausbreiten.
• Nicht zu erraten — kein „Sommer2026!“, das man durchprobieren könnte.

Auf dem Papier schlägt das Passwörter in jeder Hinsicht. Der Haken steckt im Wort „Gerät“: Ein Passkey ist nur so sicher wie die Software und Hardware, die den privaten Schlüssel aufbewahren.

Was die Pass-ta-key-Angriffe wirklich gezeigt haben

Am 4. August 2026 veröffentlichte Unit 42 von Palo Alto Networks eine Untersuchung — berichtet von BleepingComputer, The Hacker News, Malwarebytes und 9to5Google — mit drei Angriffen, Spitzname „Pass-ta-key“, auf Passkeys, die über den Google Passwortmanager in Chrome synchronisiert werden. Alle drei setzen voraus, dass Schadsoftware bereits läuft auf einem angemeldeten Windows-PC. Von dort konnte die Malware:

1. Unbemerkt eine gültige Anmelde-Assertion für ein Passkey-geschütztes Konto erhalten, ohne dass der Nutzer Windows Hello berührt.
2. Einen vom Angreifer kontrollierten Verifizierungsschlüssel installieren, sodass künftige „Bestätigen Sie Ihre Identität“-Abfragen vom Angreifer beantwortet werden.
3. Das 32-Byte-Security-Domain-Secret extrahieren, das die synchronisierten privaten Passkey-Schlüssel entschlüsselt — praktisch ein Export aller Passkeys des Kontos.

Nichts davon bricht die Kryptografie von Passkeys. Gebrochen wird die Annahme, dass die umgebende Software — Betriebssystem, Browser und Cloud-Sync — den privaten Schlüssel immer außer Reichweite hält.

Sind Passkeys also noch sicherer als Passwörter?

Ja. Gegen die beiden Angriffe, die jedes Jahr die meisten Konten kompromittieren — Phishing und Credential Stuffing aus Datenlecks — bleiben Passkeys deutlich überlegen. Ein Pass-ta-key-Angreifer braucht zuerst Malware auf Ihrem Rechner; ein Passwort-Angreifer braucht nur eine überzeugende E-Mail.

Die Forschung erinnert aber an eine alte Regel: Ist ein Gerät kompromittiert, ist nichts darauf vollständig sicher. Das gilt für Passwörter, Sitzungs-Cookies, Authentifikator-Apps und Passkeys gleichermaßen. Der ehrliche Vergleich lautet nicht „Passkeys vs. Passwörter“, sondern „sauberes Gerät mit gut gebautem Tresor“ vs. „infiziertes Gerät mit irgendetwas“.

Warum das Tresor-Design entscheidend ist

Zwei der drei Pass-ta-key-Angriffe zielen auf den Sync-Mechanismus: ein Geheimnis, das nach dem Extrahieren alles öffnet. Das spricht dafür, Zugangsdaten in einem Zero-Knowledge-Tresor mit Ende-zu-Ende-Verschlüsselung zu halten, in dem:

• Daten auf Ihrem Gerät verschlüsselt werden — mit einem Schlüssel, der aus etwas abgeleitet wird, das nur Sie kennen — bevor sie synchronisiert werden.
• Der Anbieter Ihren Tresor nicht entschlüsseln kann, sodass ein Server-Einbruch nur Chiffretext liefert.
• Das Entsperren jedes Mal Ihre Master-PIN oder Biometrie erfordert, mit Auto-Sperre, damit ein unbeaufsichtigter Rechner nicht offen bleibt.

DroidPass ist genau so gebaut: ein AES-256-Zero-Knowledge-Tresor, der Passwörter, Kreditkarten, WLAN-Zugangsdaten, sichere Notizen, Kontakte und Passkeys nebeneinander speichert — mit Face ID / Touch ID / Fingerabdruck und Auto-Sperre auf iPhone, iPad, Android und Mac.

Fünf praktische Schritte für diese Woche

1. Halten Sie Ihre Geräte sauber. Jede Pass-ta-key-Variante beginnt mit Malware. Installieren Sie Updates zügig, verzichten Sie auf gecrackte Software und nutzen Sie unter Windows einen seriösen Virenschutz.
2. Nutzen Sie Passkeys weiter, wo sie angeboten werden. Sie eliminieren Phishing und Passwort-Wiederverwendung — dort werden die meisten Menschen tatsächlich gehackt.
3. Behalten Sie 2FA auf jedem Konto, das noch ein Passwort nutzt. Ein integrierter Authentifikator im selben Tresor wie das Login macht das mühelos — siehe unsere Anleitung zum DroidPass-Authentifikator.
4. Speichern Sie Zugangsdaten in einem dedizierten Zero-Knowledge-Tresor statt im Browser-Manager, damit ein einzelnes Sync-Geheimnis kein Generalschlüssel für Ihr Leben ist.
5. Sperren Sie den Tresor, nicht nur den Bildschirm. Wählen Sie eine kurze Auto-Sperrzeit und verlangen Sie Biometrie oder Master-PIN zum Öffnen.

Fazit

Passkeys sind nicht kaputt, und Sie sollten sie nicht aufgeben. Der August 2026 hat gezeigt, dass wo Ihre Passkeys und Passwörter liegen, genauso wichtig ist wie was sie sind. Kombinieren Sie Phishing-resistente Passkeys mit einem malwarefreien Gerät und einem verschlüsselten Tresor unter Ihrer Kontrolle, und Sie stehen besser da als die große Mehrheit im Netz. Falls Sie noch überlegen, ob sich ein Tresor lohnt: Beginnen Sie mit Warum Sie 2026 einen Passwortmanager brauchen.