Passkeys im Kundenportal: Anmeldung ohne Passwort einführen

Kurz gesagt: Passkeys ersetzen das Passwort durch einen Schlüssel, der auf dem Gerät des Kunden liegt und mit Fingerabdruck, Gesicht oder Geräte-PIN entsperrt wird. Sie sind laut passkeys.dev für jeden Dienst einzigartig und phishing-resistent. Für ein Kundenportal ist der sinnvollste Weg eine schrittweise Einführung: Passkeys nach der nächsten Anmeldung anbieten, Passwort oder E-Mail-Code als Rückfallebene behalten und die Wiederherstellung des Kontos von Anfang an mitplanen.

Warum Passwörter im Kundenportal nerven

Kunden eines Handwerksbetriebs, einer Hausverwaltung oder eines Großhändlers melden sich selten an, vielleicht einmal im Quartal. Genau dann haben sie das Passwort vergessen. Es folgt „Passwort zurücksetzen“, eine Mail, die im Spam landet, und ein Anruf bei Ihnen. Dazu kommt das Sicherheitsrisiko wiederverwendeter Passwörter.

Passwortlose Verfahren lösen beides. Es gibt aber nicht nur eins.

Drei Optionen im Vergleich

Einmalcode per E-Mail oder SMS

Der Kunde gibt seine E-Mail-Adresse ein und erhält einen kurzen Code, den er im Portal eintippt.

Vorteil: Jeder versteht es, es braucht keine besondere Technik am Gerät.
Nachteil: Jede Anmeldung kostet einen Wechsel ins Postfach. Wer auf eine gefälschte Seite hereinfällt, kann den Code dort eintippen. Das Verfahren ist nur so sicher wie das E-Mail-Konto.

Magic Link

Statt eines Codes kommt ein Link per E-Mail, der direkt anmeldet.

Vorteil: Ein Klick, kein Abtippen.
Nachteil: Funktioniert schlecht, wenn die Mail auf einem anderen Gerät geöffnet wird als das Portal. Manche Mailprogramme rufen Links zur Prüfung vorab auf, was einmalige Links ungültig machen kann. Auch hier gilt: so sicher wie das Postfach.

Passkey

Der Kunde bestätigt die Anmeldung mit derselben Methode, mit der er sein Handy oder seinen Laptop entsperrt.

Vorteil: Schnellste Anmeldung, kein Postfach nötig. Laut passkeys.dev speichern Server nur öffentliche Schlüssel, und Browser und Betriebssystem stellen sicher, dass ein Passkey nur beim richtigen Dienst verwendet wird. Ein Datenleck auf Ihrem Server gibt also keine verwertbaren Anmeldedaten preis, und gefälschte Seiten können den Passkey nicht abgreifen.
Nachteil: Für manche Kunden neu und erklärungsbedürftig. Gerätewechsel und Wiederherstellung müssen durchdacht sein.

	Einmalcode	Magic Link	Passkey
Geschwindigkeit	mittel	mittel	hoch
Phishing-Schutz	gering	gering	hoch
Abhängig vom Postfach	ja	ja	nein, außer zur Wiederherstellung
Erklärungsbedarf	gering	gering	mittel
Aufwand für Sie	gering	gering	mittel

In der Praxis kombinieren viele Portale: Passkey als bevorzugte Anmeldung, E-Mail-Code als Rückfallebene.

Wo Passkeys heute funktionieren

passkeys.dev, die Entwicklerseite der FIDO Alliance und einer W3C-Gruppe, führt eine Übersicht der Geräteunterstützung (zuletzt aktualisiert September 2026). Danach sind synchronisierte Passkeys ab Werk unter anderem auf Android ab Version 9, auf iOS und iPadOS ab 16 und auf macOS ab 13 verfügbar. Synchronisiert heißt: Ein Passkey, der auf dem iPhone angelegt wurde, steht auch auf dem iPad desselben Kontos zur Verfügung.

Unter Windows ist die Synchronisierung durch das Betriebssystem selbst in der Übersicht als geplant geführt. Die Seite weist aber darauf hin, dass zusätzliche Möglichkeiten bestehen, wenn Nutzer einen anderen Passkey-Anbieter installieren, etwa einen Passwortmanager. Außerdem kann man sich laut Übersicht geräteübergreifend anmelden, also am Computer per QR-Code mit dem Passkey auf dem Handy.

Für Ihr Portal bedeutet das: Die meisten Kunden mit aktuellem Smartphone können Passkeys nutzen. Einige am Windows-PC ohne Passwortmanager brauchen den Weg über das Handy oder die Rückfallebene.

Einführung in fünf Schritten

Schritt 1: Nicht ersetzen, ergänzen

Lassen Sie die bisherige Anmeldung zunächst bestehen. Passkeys kommen als zusätzliche Option. So verliert niemand den Zugang, und Sie sehen, wie gut das Angebot angenommen wird.

Schritt 2: Den richtigen Moment wählen

web.dev nennt als typische Momente, Nutzer um das Erstellen eines Passkeys zu bitten: während oder nach der Registrierung, nach der Anmeldung und nach einer Anmeldung mit einem Passkey von einem anderen Gerät. Für ein bestehendes Portal ist „direkt nach der nächsten erfolgreichen Anmeldung“ meist der beste Zeitpunkt: Der Kunde hat sich gerade bewiesen, und ein kurzer Hinweis „Beim nächsten Mal ohne Passwort anmelden?“ passt.

Neuere Browser können laut passkeys.dev sogar automatisch einen Passkey anlegen, nachdem jemand sich mit einem gespeicherten Passwort angemeldet hat. Die Unterstützung hängt von Browser und Passwortmanager ab.

Schritt 3: Passkeys verwaltbar machen

Im Kundenkonto braucht es eine Seite, auf der Kunden ihre Passkeys sehen, benennen und löschen können, etwa „iPhone“ und „Büro-Laptop“. Wer ein Gerät verliert, kann so den zugehörigen Passkey entfernen.

Schritt 4: Benachrichtigen

web.dev empfiehlt, Nutzer zu benachrichtigen, zum Beispiel per E-Mail, wenn ein neuer Passkey registriert wird. So fällt auf, wenn jemand Unbefugtes einen Passkey angelegt hat.

Schritt 5: Wiederherstellung festlegen

Die wichtigste Frage vor dem Start: Was passiert, wenn ein Kunde alle Geräte verliert oder den Passwortmanager wechselt? Übliche Wege sind ein Code an die hinterlegte E-Mail-Adresse oder Telefonnummer, gefolgt vom Anlegen eines neuen Passkeys. Bei Portalen mit sensiblen Daten kann zusätzlich eine Prüfung durch Ihr Team sinnvoll sein. Wichtig ist, dass der Wiederherstellungsweg nicht schwächer ist als das, was Sie schützen wollen.

Wann Sie die Passwörter abschaffen können

Erst, wenn ein großer Teil der aktiven Kunden Passkeys nutzt und die Rückfallebene über E-Mail-Code zuverlässig funktioniert. Für Portale mit wenigen, gut erreichbaren Kunden, etwa Großhandelskunden, kann das schnell gehen. Bei vielen Gelegenheitsnutzern bleibt die Kombination aus Passkey und E-Mail-Code oft dauerhaft die beste Lösung.

Häufige Fragen

Was passiert, wenn ein Kunde sein Handy verliert?

Ist der Passkey synchronisiert, steht er auf seinen anderen Geräten weiter zur Verfügung, sobald er sich dort mit seinem Konto anmeldet. Sonst greift Ihr Wiederherstellungsweg, und er legt einen neuen Passkey an.

Brauche ich für Passkeys eine App?

Nein. Passkeys funktionieren im Browser über einen Webstandard. Eine App kann sie ebenfalls nutzen, ist aber keine Voraussetzung.

Sehen wir als Betreiber den Fingerabdruck des Kunden?

Nein. Die biometrische Prüfung findet nur auf dem Gerät statt. Ihr Server erhält eine kryptografische Bestätigung und kennt nur den öffentlichen Schlüssel.

Lohnt sich das für ein kleines Portal mit wenigen hundert Kunden?

Wenn Passwort-Rücksetzungen regelmäßig Zeit kosten, ja. Viele Login-Dienste und Frameworks bringen Passkey-Unterstützung mit, sodass der Aufwand überschaubar bleibt.

Wenn Sie überlegen, wie die Anmeldung in Ihrem Portal einfacher werden kann, sprechen wir gern über Ihren Fall: Anfrage stellen.