Passkeys für Kundenseiten: Schluss mit Passwörtern?

Der Anruf kommt an einem Montagmorgen: Die Website eines Kunden leitet plötzlich auf eine dubiose Seite um, im Backend tauchen fremde Benutzer auf. Die Rekonstruktion ergibt fast immer dieselbe Ursache – ein Passwort ist in falsche Hände geraten. Mal per Phishing-Mail abgegriffen, mal aus einem alten Datenleck wiederverwendet, mal schlicht zu schwach gewählt. Das Passwort ist seit dreißig Jahren die Schwachstelle des Webs, und alle Gegenmittel – Komplexitätsregeln, Passwortmanager, SMS-Codes – kurieren nur Symptome.

2026 ist eine Alternative erwachsen geworden, die das Problem an der Wurzel packt: Passkeys. Sie ersetzen das Passwort nicht durch ein besseres Passwort, sondern durch ein Verfahren, bei dem es schlicht nichts mehr zu stehlen gibt. Für Agenturen ist das doppelt interessant – als handfester Sicherheitsgewinn für Kundenseiten und als neue Leistung, die sich verkaufen und betreuen lässt. Dieser Beitrag erklärt, warum Passkeys jetzt Fahrt aufnehmen, wie sie funktionieren, was sie deinen Kunden bringen und wo sie ehrlicherweise noch haken.

Warum Passkeys 2026 kein Nischenthema mehr sind

Der Kipppunkt ist erreicht. Zum World Passkey Day am 7. Mai 2026 meldete die FIDO Alliance, der Industrieverband hinter dem Standard, dass weltweit über fünf Milliarden Passkeys im Einsatz sind. Das ist keine Zahl aus dem Labor: Laut der begleitenden Befragung von 11.000 Verbrauchern in zehn Ländern und 1.400 Unternehmensentscheidern kennen inzwischen 90 Prozent der Menschen den Begriff, 75 Prozent haben mindestens einen Passkey aktiviert, und knapp die Hälfte nutzt sie regelmäßig, wo sie angeboten werden.

Auch in Unternehmen ist die Bewegung angekommen: 68 Prozent der befragten Organisationen setzen Passkeys für die Mitarbeiteranmeldung bereits ein oder rollen sie aktiv aus. Der Rückenwind kommt von oben – Apple, Google und Microsoft unterstützen Passkeys plattformübergreifend, und immer mehr große Dienste bieten sie an. Für dich heißt das: Deine Kunden begegnen Passkeys ohnehin schon bei ihrem Google- oder Microsoft-Konto. Die Frage ist nicht mehr, ob das Verfahren kommt, sondern wann du es für deine Kundenprojekte anbietest, bevor es ein Wettbewerber tut.

Wie Passkeys funktionieren – und warum Phishing ins Leere läuft

Der Kern ist ein alter Bekannter aus der Kryptografie: ein Schlüsselpaar. Bei der Einrichtung erzeugt das Gerät zwei zusammengehörige Schlüssel. Der öffentliche Schlüssel wird beim Dienst – also auf der Website – hinterlegt, der private Schlüssel bleibt sicher auf dem Gerät des Nutzers und verlässt es nie. Beim Login schickt die Website eine Aufgabe, die nur mit dem privaten Schlüssel gelöst werden kann; freigegeben wird das per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt genau dieses Prinzip als Grundlage dafür, dass Passkeys als besonders sicher gelten.

Der entscheidende Unterschied zum Passwort liegt darin, was übertragen wird – nämlich kein Geheimnis. Es gibt kein gemeinsames Passwort, das auf dem Server gespeichert und bei einem Leck kopiert werden könnte. Und weil der Schlüssel kryptografisch an die echte Domain gebunden ist, funktioniert er auf einer gefälschten Phishing-Seite schlicht nicht – der Nutzer kann sein Geheimnis gar nicht aus Versehen preisgeben, weil er keines hat. Genau deshalb gelten Passkeys als phishing-resistent, ein Attribut, das klassische Zwei-Faktor-Verfahren per SMS oder Authenticator-App nicht in gleichem Maß erfüllen. Das ist kein akademischer Vorteil: In der FIDO-Befragung berichteten Unternehmen unter anderem von 32 Prozent weniger Phishing-Vorfällen nach der Umstellung.

Was Passkeys für Kundenprojekte konkret bringen

Für die Praxis kleiner Agenturen sind vor allem drei Einsatzfelder relevant, und sie lassen sich schrittweise angehen.

Sichere Anmeldung im Backend

Der lohnendste erste Schritt ist die Anmeldung am Content-Management-System selbst. Gerade WordPress-Logins sind ein beliebtes Ziel für automatisierte Angriffe, und ein kompromittierter Admin-Zugang ist der Super-GAU für jede Kundenseite. Für WordPress und WooCommerce existieren 2026 mehrere Passkey-Plugins, mit denen sich die passwortlose oder passwort-ergänzende Anmeldung nachrüsten lässt. Das passt nahtlos in das laufende Sicherheits- und Wartungsgeschäft, das wir im Beitrag zur WordPress-Wartung als verlässliches Standbein beschrieben haben.

Kundenkonten im Onlineshop

Im zweiten Schritt profitieren Endkunden. Wer im WooCommerce-Shop deines Kunden ein Konto anlegt, muss sich kein weiteres Passwort merken und meldet sich beim nächsten Besuch mit einem Fingertipp an. Das senkt nicht nur das Sicherheitsrisiko, sondern auch die Reibung an der Kasse – ein Faktor, der bei Kaufabbrüchen eine Rolle spielt. Zugleich sinkt die Zahl der „Passwort vergessen"-Anfragen spürbar; in der FIDO-Erhebung meldeten Unternehmen 35 Prozent weniger Tickets für Passwort-Zurücksetzungen.

Mitglieder- und Portalbereiche

Überall dort, wo sich Nutzer wiederkehrend einloggen – Mitgliederbereiche, Kundenportale, Buchungssysteme –, spielt die passwortlose Anmeldung ihre Stärken aus. Der Komfortgewinn ist unmittelbar spürbar, und weil viele Nutzer Passkeys von ihren großen Konten kennen, ist die Hemmschwelle niedriger als noch vor zwei Jahren. Dass eine einfache, klare Anmeldung auch der Zugänglichkeit dient, passt zu dem, was wir im Beitrag zur barrierefreien Website ausgeführt haben.

Der ehrliche Teil: Wo Passkeys noch haken

Wer Passkeys als reine Wunderwaffe verkauft, tut sich und dem Kunden keinen Gefallen. Trotz der beeindruckenden Zahlen stockt gerade in Unternehmen die vollständige Umstellung, und das hat handfeste Gründe, die du kennen und ansprechen solltest.

Das größte Thema ist die Wiederherstellung. Was passiert, wenn ein Nutzer sein Gerät verliert oder wechselt? Passkeys werden zwar bei Apple, Google und Microsoft in der jeweiligen Cloud synchronisiert, aber die Portabilität über Ökosystemgrenzen hinweg ist noch nicht reibungslos – ein Passkey aus der Apple-Welt landet nicht automatisch im Android-Gerät. Für Kundenprojekte heißt das: Es braucht immer einen durchdachten Wiederherstellungsweg und in der Übergangszeit meist einen Fallback, etwa eine zweite Anmeldemethode. Fällt dieser Recovery-Pfad schlecht aus, verlagert man das Sicherheitsproblem nur, statt es zu lösen.

Dazu kommen ältere Systeme, die den Standard nicht kennen, uneinheitliche Umsetzungen zwischen Browsern und der schlichte Umstand, dass Passwörter auf absehbare Zeit nicht komplett verschwinden. Realistisch ist 2026 daher meist ein Nebeneinander: Passkey als bequeme, sichere Hauptoption, klassisches Verfahren als Rückfallebene. Diese Ehrlichkeit ist kein Nachteil im Verkaufsgespräch, im Gegenteil – sie unterscheidet die Agentur, die versteht, wovon sie spricht, von der, die dem Hype hinterherläuft.

So gehst du es als Agentur an

Der pragmatische Einstieg ist klein und risikoarm. Beginne bei den eigenen und den Backend-Zugängen deiner Kunden: Dort ist der Sicherheitsgewinn am größten, der Nutzerkreis überschaubar und ein Fehler leicht zu korrigieren. Aktiviere Passkeys zunächst als zusätzliche Anmeldeoption neben dem Passwort, nicht als harten Ersatz, und dokumentiere den Wiederherstellungsweg von Anfang an sauber.

Behandle Passkeys wie jede Sicherheitsmaßnahme als Teil eines laufenden Prozesses, nicht als einmalige Installation. Die Standards entwickeln sich weiter, Plugins wollen aktuell gehalten, Recovery-Fälle betreut werden. Genau darin liegt der wiederkehrende Umsatz – und der Anlass, das Thema breiter in deine Sicherheitsberatung einzubetten. Für Kunden, die über die Lieferkette ohnehin Sicherheitsnachweise erbringen müssen, ist eine phishing-resistente Anmeldung zudem ein verwertbares Argument, wie wir es im Beitrag zu NIS2 und der Lieferkette beschrieben haben.

Fazit: Der Anfang vom Ende des Passworts

Fünf Milliarden Passkeys sind kein Trend mehr, sondern eine Verschiebung des Fundaments. Für kleine Agenturen ist das eine seltene Gelegenheit: eine Technologie, die gleichzeitig die Sicherheit von Kundenseiten erhöht, den Support entlastet und sich als betreute Leistung verkaufen lässt. Der Schlüssel liegt darin, sie richtig einzuführen – klein anfangen, Fallback und Wiederherstellung mitdenken, die Grenzen offen benennen. Wer Passkeys so anbietet, löst für seine Kunden ein Problem, das sie seit Jahren plagt, und positioniert sich zugleich als Partner, der Sicherheit ernst nimmt. Das Passwort wird nicht über Nacht verschwinden. Aber die Agenturen, die den Übergang begleiten, sind schon jetzt im Vorteil.