Passkeys: The Hack warnt vor Kontrollverlust, Experten widersprechen

Die Umstellung auf passwortlose Anmeldeverfahren sorgt in der IT-Sicherheitsbranche für neue Grundsatzdiskussionen. Der unter dem Namen The Hack erscheinende Substack-Newsletter „Non-Functional“ veröffentlichte am 11. Oktober 2026 einen Beitrag mit dem Titel, Passkeys seien eine Falle und sollten nicht genutzt werden.

Die Publikation warnt darin nachdrücklich vor einer zunehmend eingeschränkten Kontrolle der Anwender über ihre eigenen Zugangsdaten. Wie Medien am 23. Oktober 2026 berichteten, stieß die Veröffentlichung unmittelbar auf Widerspruch von Sicherheitsexperten, spiegelt jedoch bestehende Bedenken wider, mit denen sich Unternehmen und Fachleute bei der Einführung der Technologie konfrontiert sehen.

Kritik an Bindung und mangelnder Transparenz

In seiner Argumentation erkennt The Hack das im Vergleich zu Passwörtern oder zeitbasierten Einmalkennwörtern (TOTP) höhere Sicherheitsniveau von Passkeys zwar ausdrücklich an. Allerdings bemängelt der Newsletter grundlegende Einschränkungen für Endanwender.

So seien die Unterschiede zwischen einzelnen Implementierungen unklar, insbesondere mit Blick auf die Kopierbarkeit der Schlüssel, den Gerätewechsel sowie die Prüfung der physischen Anwesenheit der Nutzer.

Zudem warnt The Hack vor möglichen Einschränkungen durch Mechanismen wie Remote Attestation, über die künftig nur noch freigegebene Geräte und Software zugelassen werden könnten. Bis diese Kritikpunkte geklärt seien, empfiehlt die Publikation den Einsatz von TOTP-Authenticator-Apps oder separaten Hardware-Sicherheitsschlüsseln als Alternative. Sicherheitsexperten widersprachen diesen Schlussfolgerungen nach dem Erscheinen des Beitrags.

Vorbehalte in der Unternehmenspraxis

Die Debatte um Nutzerautonomie und technische Kontrolle berührt auch die Praxis von IT-Sicherheitsverantwortlichen. Patrick Munsami, Security-Manager bei Datacentrix, erklärte laut einem Bericht vom 22. Oktober 2026, dass Passkeys auf Basis von Public-Key-Kryptografie zwar prinzipiell sicher seien, die Integration in bestehende Ökosysteme, Kosten sowie Prozesse rund um Ein-, Um- und Austritte von Mitarbeitern jedoch Hürden darstellten.

Wer sich mit der Sicherheit digitaler Konten befasst, erkennt schnell, dass herkömmliche Passwörter oft die größte Schwachstelle darstellen. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sofort einrichten und so den Passwort-Stress für immer beenden. Sicher, bequem und passwortlos: Jetzt Gratis-Report anfordern

Zudem sei die Wiederherstellung nicht stärker als bei klassischer Multi-Faktor-Authentifizierung (MFA). Munsami empfiehlt daher ein Hybrid-Modell aus Passkeys und MFA.

Auch in Unternehmen führt die Sorge um die Kontrolle über kryptografische Schlüssel zu Zurückhaltung. Der Mobilitätsdienstleister Europcar verwarf Passkeys bei der Modernisierung seiner MFA zugunsten von FIDO2-Hardware-Schlüsseln von Yubico.

Zu den Gründen zählten die Furcht vor einer Anbieterbindung, die Ablage von Schlüsseln in Clouddiensten wie iCloud oder Microsoft Entra ID sowie der Verstoß gegen den Grundsatz, dass sich ein kryptografischer Schlüssel nicht bewegen dürfe.

Allein in Deutschland werden pro Quartal Millionen von Online-Konten gehackt, was die Debatte um sicherere Anmeldeverfahren zusätzlich befeuert. Erfahren Sie in diesem kostenlosen PDF-Ratgeber, wie die Technologie hinter Passkeys funktioniert und warum sie eine sichere Alternative bietet, die Hackern kaum noch Chancen lässt. Kostenlosen Passkey-Ratgeber hier herunterladen

Zudem befürchtete Europcar durch Schritte wie die Festlegung von Passkeys als Standardmethode im Chrome-Browser durch Google einen Anstieg von Supportanfragen. Biometrische Schlüssel reserviert das Unternehmen daher ausschließlich für Administratoren, unter anderem für das Tier-0-Active-Directory.

Große Plattformen treiben Ablösung alter Standards voran

Trotz der Bedenken hinsichtlich Flexibilität und Plattformabhängigkeit treiben große Softwareanbieter die Umstellung weiter voran. Microsoft kündigte an, die native Authentifizierung per SMS und Sprachanruf in Entra ID schrittweise einzustellen, da diese Kanäle nicht phishing-resistent sind, und stattdessen auf Passkeys zu setzen.

Die Frist für die meisten Nutzer endet am 1. Februar 2027, für globale Administratoren und externe Konten am 1. Juli 2027. Bereits ab dem 13. Januar 2027 werden Anwender ohne konfigurierten Drittanbieter über einen blockierenden Hinweis zur Registrierung eines Passkeys aufgefordert.

Für Organisationen, die weiterhin auf Telefonie setzen wollen, eröffnet Microsoft ab dem 30. Oktober 2026 eine Anbindung externer Telefondienstleister über den hauseigenen Security Store.

Auch Behörden wie das ungarische Nationale Institut für Cybersicherheit (NBSZ NKI) empfehlen im Rahmen des European Cyber Security Month 2026 weiterhin den Wechsel von schwachen Passwörtern zu passwortlosen Verfahren wie Passkeys oder biometrischer Authentifizierung, wo immer dies möglich ist.