Fordert ein Browser einen Passkey statt eines Passworts an, bietet die aufgerufene Website eine passwortlose Anmeldung an. Der Passkey wird über die Bildschirmsperre des Geräts freigegeben, etwa per Fingerabdruck, Gesichtserkennung, Geräte-PIN oder Windows Hello. Brich den Vorgang zunächst ab, wenn du die Website nicht selbst geöffnet hast, der angezeigte Kontoname nicht stimmt oder unerwartet ein QR-Code erscheint. Ein Abbruch sperrt das Konto normalerweise nicht; häufig lässt sich danach eine andere Anmeldeoption auswählen.
Was die Passkey-Abfrage im Browser bedeutet
Ein Passkey ist ein digitaler Anmeldeschlüssel. Bei der Einrichtung entstehen zwei zusammengehörige kryptografische Schlüssel: Ein öffentlicher Teil wird beim Dienst hinterlegt, der private Teil bleibt im Passkey-Speicher deines Geräts oder eines verbundenen Kontos. Beim Anmelden bestätigt das Gerät gegenüber der passenden Website, dass der private Schlüssel vorhanden ist. Der private Schlüssel wird dabei nicht an die Website übertragen.
Fingerabdruck, Gesichtserkennung oder Geräte-PIN ersetzen nicht direkt das Kontopasswort. Sie entsperren nur den lokal geschützten Passkey. Der Dienst erhält dabei üblicherweise keine biometrischen Daten. Ob ein Passkey über weitere Geräte verfügbar ist, hängt vom verwendeten Betriebssystem, Browser und Passkey-Anbieter ab.
Die Abfrage kann in drei Situationen erscheinen:
- Für das Konto wurde bereits ein Passkey eingerichtet und der Browser hat einen passenden Eintrag gefunden.
- Die Website schlägt eine neue Passkey-Einrichtung vor, nachdem du dich auf anderem Weg angemeldet hast.
- Der benötigte Passkey liegt auf einem anderen Gerät, sodass der Browser eine Anmeldung per Smartphone oder QR-Code anbietet.
Achte auf die Formulierung im Fenster: „Anmelden“, „Passkey verwenden“ und „Passkey erstellen“ bezeichnen unterschiedliche Vorgänge. Beim Erstellen wird eine neue Anmeldemethode hinterlegt. Beim Verwenden wird ein schon vorhandener Schlüssel angefordert.
Die richtige Reaktion hängt von der angezeigten Situation ab
- Website und Konto stimmen: Hast du die Anmeldung selbst begonnen und erkennst du den Dienst sowie den Kontonamen, kannst du den Passkey mit der Gerätesperre freigeben.
- Du möchtest lieber das Passwort nutzen: Schließe die Passkey-Auswahl oder suche auf der Anmeldeseite nach „Andere Option“, „Anders anmelden“ oder einer vergleichbaren Auswahl. Ob ein Passwort weiterhin angeboten wird, entscheidet der jeweilige Dienst.
- Der Browser zeigt den falschen Passkey: Wähle einen anderen gespeicherten Eintrag oder eine andere Anmeldemethode. Lösche den vermeintlich falschen Passkey nicht vorschnell, weil er zu einem zweiten Konto gehören kann.
- Ein Smartphone oder QR-Code wird verlangt: Nutze diese Variante nur, wenn du den Anmeldevorgang selbst gestartet hast. Das Smartphone muss den passenden Passkey besitzen; häufig ist für die geräteübergreifende Bestätigung zusätzlich eine Nahbereichsverbindung erforderlich.
- Die Abfrage kam unerwartet: Brich sie ab und schließe den Tab. Öffne den Dienst anschließend über die selbst eingegebene Adresse oder die bekannte App erneut, statt den unerwarteten Dialog zu bestätigen.
Eine Passkey-Anfrage allein ist kein Hinweis auf einen gehackten Account. Sie kann durch eine gespeicherte Anmeldemethode oder eine geänderte Auswahl auf der Login-Seite ausgelöst werden. Verdächtig wird die Situation, wenn Adresse, Kontoname oder Anlass nicht passen oder wenn eine andere Person dich zum Scannen eines Codes drängt.
Warum kein Passwortfeld mehr zu sehen ist
Ein ausgeblendetes Passwortfeld kann bedeuten, dass der Dienst den vorhandenen Passkey bevorzugt. Ebenso kann sich der Browser an die zuletzt verwendete Anmeldeart erinnern. Das heißt nicht automatisch, dass das Passwort gelöscht oder ungültig geworden ist.
Gehe bei einem fehlenden Passwortfeld in dieser Reihenfolge vor:
- Brich nur das Passkey-Fenster ab, ohne gespeicherte Schlüssel oder Browserdaten zu entfernen.
- Prüfe auf der Login-Seite die Auswahl für andere Anmeldewege.
- Teste bei Bedarf ein privates Browserfenster. Erscheint dort die normale Auswahl, spricht das eher für eine gespeicherte Browser- oder Website-Präferenz als für eine Kontosperre.
- Prüfe im offiziellen Hilfebereich des betroffenen Dienstes die Rubrik zu Anmeldung, Sicherheit oder Passkeys. Dort muss ersichtlich sein, ob eine Passwortanmeldung weiterhin unterstützt wird.
Ein privates Fenster ist nur eine Gegenprobe. Ein dort erfolgreiches Login löst nicht die Ursache im normalen Browserprofil. Es zeigt aber, dass das Konto grundsätzlich erreichbar sein dürfte.
Passkey-Fenster sicher prüfen
Eine sichere Entscheidung beginnt bei der Website-Adresse und nicht beim Aussehen des Dialogs. Passkeys sind an den jeweiligen Webdienst gebunden und erschweren dadurch viele klassische Phishing-Angriffe. Trotzdem können irreführende Seiten versuchen, dich zu anderen Handlungen zu bewegen, etwa zum Scannen eines fremden QR-Codes oder zur Eingabe zusätzlicher Zugangsdaten.
- Öffne keine Passkey-Anfrage, die aus einer unbekannten Nachricht oder Werbeanzeige stammt.
- Gib Geräte-PIN, Passwort, Einmalcode oder Wiederherstellungsschlüssel niemals an eine andere Person weiter.
- Bestätige keinen Kontonamen, den du nicht kennst.
- Scanne einen Anmelde-QR-Code nur auf dem Gerät und für den Dienst, bei dem du dich gerade selbst anmelden willst.
- Deaktiviere Bildschirmsperre oder biometrische Freigabe nicht dauerhaft, um eine Anmeldung zu erzwingen.
Zeigt der Browser nach dem Abbruch weiterhin ungewöhnliche Weiterleitungen, öffne den Dienst nicht über denselben Link. Rufe ihn neu auf und kontrolliere danach im Konto die angemeldeten Geräte oder Sicherheitsaktivitäten, sofern der Anbieter diesen Bereich bereitstellt. Ändere das Passwort nur, wenn du einen fremden Zugriff vermutest oder der Dienst dazu auffordert; eine normale Passkey-Auswahl macht diesen Schritt nicht erforderlich.
Wo gespeicherte Passkeys verwaltet werden
Passkeys können im Betriebssystem, im Browserprofil oder in einem Passwortmanager liegen. Der genaue Speicherort hängt davon ab, womit der Passkey erstellt wurde. Suche in den Einstellungen nach „Passkeys“, „Passwörter und Passkeys“, „Anmeldeschlüssel“ oder dem Bereich des verwendeten Passwortmanagers.
Unter Android können Bezeichnungen je nach Gerätehersteller, Android-Version und ausgewähltem Passkey-Anbieter abweichen. Auf dem iPhone erfolgt die Freigabe normalerweise über die eingerichtete Gerätesperre; verfügbare Passkeys können mit dem dafür gewählten Passwort- beziehungsweise Schlüsselbunddienst verbunden sein. Desktop-Browser können zusätzlich den Passkey-Speicher des Betriebssystems oder ein verbundenes Smartphone anbieten.
Lösche einen Passkey nur, wenn du sicher weißt, zu welchem Konto er gehört und ein zweiter funktionierender Zugang vorhanden ist. Das Entfernen aus dem Browser oder Passwortmanager und das Entfernen im Sicherheitsbereich des Onlinekontos sind nicht zwingend derselbe Vorgang. Prüfe beide Stellen, wenn ein Passkey endgültig widerrufen werden soll.
Wenn die Freigabe abgelehnt wird oder im Kreis läuft
Schlägt die Bestätigung fehl, lässt sich die Ursache über das Verhalten eingrenzen. Wird der Passkey angezeigt, aber die Gerätefreigabe abgelehnt, liegt der nächste Prüfpunkt bei Fingerabdruck, Gesichtserkennung, Geräte-PIN oder Windows Hello. Wird überhaupt kein passender Passkey gefunden, ist eher der falsche Passkey-Speicher, ein anderes Browserprofil oder ein anderes Konto ausgewählt.
Funktioniert die Anmeldung in der offiziellen App, aber nicht im Browser, spricht das eher gegen eine allgemeine Kontosperre. Funktioniert sie weder in der App noch über die selbst aufgerufene Website, prüfe den Sicherheits- und Wiederherstellungsbereich des Dienstes. Eine Neuinstallation des Browsers oder der App ist hierfür kein sinnvoller erster Schritt, weil lokale Sitzungen und nicht synchronisierte Daten verloren gehen können, ohne den kontoseitigen Passkey zu reparieren.
Für eine Supportanfrage genügen der Name des Dienstes, der Wortlaut der Meldung, der Zeitpunkt, Browser und Betriebssystem sowie die Angabe, ob eine andere Anmeldeart funktioniert. Screenshots sollten keine QR-Codes, Kontodaten, Sicherheitscodes oder Wiederherstellungsschlüssel zeigen.
Häufige Fragen zur Passkey-Anmeldung
Kann eine andere Person meinen Passkey mit ihrem Fingerabdruck verwenden?
Der Passkey wird durch die Entsperrmethoden des Geräts geschützt. Sind auf einem gemeinsam genutzten Gerät mehrere Fingerabdrücke oder Gesichter zur Entsperrung hinterlegt, können diese je nach Gerätekonfiguration auch Freigaben ermöglichen. Für sensible Konten sollte deshalb nur eine vertrauenswürdige Person Zugriff auf die Gerätesperre haben.
Bleibt ein Passkey nach einer Passwortänderung gültig?
Passwort und Passkey sind getrennte Anmeldemethoden. Eine Passwortänderung widerruft einen Passkey daher nicht zwangsläufig. Besteht der Verdacht auf fremden Zugriff, müssen im Sicherheitsbereich des Dienstes sowohl aktive Sitzungen als auch hinterlegte Passkeys und Wiederherstellungswege geprüft werden.
Kann man mehrere Passkeys für ein Konto hinterlegen?
Viele Dienste ermöglichen mehrere Passkeys, etwa für unterschiedliche Geräte oder Passwortmanager. Ob und wie das unterstützt wird, steht im Sicherheitsbereich des jeweiligen Kontos. Benenne Einträge dort eindeutig, sofern der Dienst dies erlaubt, damit alte Geräte später gezielt entfernt werden können.