Bequem anmelden reicht nicht
Die Anmeldung ist bequem: kurz bestätigen, fertig. Erst wenn das bisherige Smartphone fehlt, zeigt sich, wie gut das gesamte Zugangskonzept durchdacht wurde. Wer in diesem Moment nicht mehr ins Kundenkonto kommt, braucht einen verlässlichen Weg zurück und keine allgemeine Werbeaussage über Sicherheit.
Für mich ist das kein Argument gegen Passkeys. Es ist ein Argument dafür, die Anmeldung nicht beim ersten erfolgreichen Login für fertig zu erklären.
Was sich aktuell verändert
Die FIDO Alliance veröffentlichte am 15. Oktober 2026 ihren Passkey Index 2026. Die begleitende Einordnung nennt 15 beteiligte große Verbraucherdienste. Die Ergebnisse beschreiben deren Nutzung, nicht repräsentativ sämtliche Anmeldungen im Internet. [1][2]
Der Anlass ist interessant, weil aus einer angebotenen Funktion ein alltäglicher Zugang wird. Damit werden auch Geräteverlust, Kontoverwaltung und Unterstützung im Fehlerfall wichtiger.
Passkey ist nicht gleich Smartphone
FIDO unterscheidet synchronisierte und gerätegebundene Passkeys. Je nach Anbieter kann ein synchronisierter Passkey auf weiteren eigenen Geräten verfügbar sein; ein gerätegebundener Zugang bleibt an sein Gerät beziehungsweise seinen Sicherheitsschlüssel gebunden. [3]
Deshalb würde ich zuerst klären, wo der eigene Zugang tatsächlich gespeichert ist. Aus „Ich melde mich mit dem Telefon an“ folgt noch nicht, dass der Verlust dieses Telefons zwangsläufig alle Zugänge beendet. Umgekehrt würde ich eine vorhandene Synchronisierung nicht ungeprüft als vollständigen Notfallplan betrachten.
Vor dem Gerätewechsel klären, nicht danach
Ich würde einen Gerätewechsel als geplante Übergabe behandeln. Vor dem Zurücksetzen des alten Geräts prüfe ich, welche Konten einen weiteren eingerichteten Zugang haben und ob dieser tatsächlich funktioniert. Das alte Gerät bleibt bis zur bestätigten Übergabe verfügbar, soweit es noch vorhanden und vertrauenswürdig ist.
Für besonders wichtige Konten würde ich einen zusätzlichen, vom jeweiligen Dienst unterstützten Zugang bewusst vorbereiten. Ein Sicherheitsschlüssel ist dabei nur dann hilfreich, wenn er zuvor für dieses Konto eingerichtet wurde. Er öffnet nicht nachträglich beliebige Konten. Welche Wiederherstellung möglich ist, hängt vom Dienst und vom Passkey-Anbieter ab. [3]
Was eine gute Kontoverwaltung bieten sollte
Eine verständliche Übersicht sollte erkennen lassen, welche Zugänge eingerichtet wurden. Ich würde nachvollziehbare Bezeichnungen, die Möglichkeit zusätzlicher Passkeys und einen kontrollierten Weg zum Entfernen nicht mehr benötigter Zugänge erwarten. FIDO nennt die Beschränkung auf nur einen Passkey pro Konto ausdrücklich als problematisches Gestaltungsmuster. [2]
Dabei sollte die Oberfläche nicht mehr behaupten, als sie weiß. Ein angezeigter Name ist nicht automatisch eine vollständige Bestandsaufnahme aller synchronisierten Kopien. Auch das Entfernen eines Passkeys beim Dienst, das Sperren eines Geräts und das Beenden bestehender Sitzungen sind unterschiedliche Aufgaben.
Wiederherstellung darf keine Hintertür werden
Bei der Planung würde ich nicht nur fragen: „Wie kommt der Nutzer wieder hinein?“ Genauso wichtig ist: „Wie verhindern wir, dass jemand anderes diesen Weg missbraucht?“ Ein schwacher Ersatzweg kann den Nutzen einer starken Anmeldung unterlaufen.
Für ein Kundenportal würde ich deshalb auch verlorene Geräte, nicht mehr erreichbare Kontaktadressen und den Verlust sämtlicher eingerichteter Zugänge als eigene Fälle durchgehen. Der Support braucht klare Verfahren und darf nicht spontan nach Sympathie entscheiden. Vertrauliche Wiederherstellungsinformationen gehören nicht in gewöhnliche Supportnachrichten.
Mein Fazit
Eine gute Anmeldung hält Angreifer draußen und lässt berechtigte Nutzer nicht ohne vorbereiteten Weg zurück. Passkeys sind dabei ein Baustein; Kontoverwaltung und Wiederherstellung gehören zum selben Produkt.
Die Hinweise ersetzen keine anbieterspezifische Anleitung. Bei Verlust eines Geräts sind die aktuellen Sperr-, Sitzungs- und Wiederherstellungsverfahren der betroffenen Dienste maßgeblich. Eine allgemeine Sicherheitsgarantie lässt sich daraus nicht ableiten.
Quellen und Einordnung
Recherchestand: 23. Oktober 2026. Herstellerveröffentlichungen sind keine eigenen Produktprüfungen. Beispiele und Empfehlungen sind im Text als solche eingeordnet.
[1] FIDO Alliance: Passkey Index 2026, 15.10.2026
Quelle lesen ↗
[2] FIDO Alliance: Einordnung und Gestaltungshinweise, 15.10.2026
Quelle lesen ↗
[3] FIDO Alliance: Passkeys und häufige Fragen
Quelle lesen ↗