Ein Passwort allein schützt nicht mehr zuverlässig vor Kontoübernahmen - Phishing-Seiten sehen heute täuschend echt aus, und selbst App-basierte Zwei-Faktor-Codes lassen sich in Echtzeit abfangen. Hardware-Sicherheitsschlüssel schließen genau diese Lücke: Der kryptografische Schlüssel verlässt niemals das physische Gerät, und die Authentifizierung ist an die exakte Domain gebunden, wodurch Phishing-Seiten automatisch scheitern. Dieser Kaufratgeber zeigt, welches Modell zu deinem Einsatzzweck passt und wie viele Schlüssel du wirklich brauchst.
Warum überhaupt einen Hardware-Key kaufen?
Unser Artikel zur Zwei-Faktor-Authentifizierung erklärt bereits, wie du einen YubiKey grundlegend einrichtest. Was dort offenbleibt: welches konkrete Modell du kaufen solltest, denn das Angebot ist unübersichtlich - verschiedene Formfaktoren, unterschiedliche Protokoll-Unterstützung und stark abweichende Preise zwischen 25 und über 80 Euro pro Schlüssel.
Der Kernvorteil gegenüber App-basierten Einmalcodes (TOTP): Hardware-Keys sind phishingresistent, weil sie die Ziel-Domain kryptografisch prüfen, bevor sie überhaupt antworten. Eine gefälschte Login-Seite, die optisch perfekt kopiert ist, aber unter einer falschen Domain läuft, wird vom Schlüssel schlicht abgelehnt - ein TOTP-Code lässt sich dagegen auch auf einer Phishing-Seite blind eingeben.
FIDO2 und WebAuthn: Der gemeinsame Standard
Alle hier verglichenen Schlüssel basieren auf FIDO2/WebAuthn, einem offenen, herstellerunabhängigen Standard der FIDO Alliance. Das bedeutet praktisch: Ein FIDO2-Schlüssel eines beliebigen Herstellers funktioniert bei jedem Dienst, der FIDO2 unterstützt - es gibt keine Herstellerbindung wie bei manchen proprietären Systemen. Der Standard umfasst zwei Komponenten: WebAuthn regelt die Browser-Schnittstelle, CTAP (Client to Authenticator Protocol) die Kommunikation zwischen Browser und Schlüssel über USB, NFC oder Bluetooth.
YubiKey: Der Marktführer
YubiKey von Yubico ist der etablierteste Anbieter mit der breitesten Kompatibilitätsliste. Die Modellpalette ist entsprechend groß:
YubiKey 5 NFC / 5C NFC: Der Allrounder für die meisten Nutzer - unterstützt FIDO2/WebAuthn, FIDO U2F, Smart Card (PIV), OpenPGP und OTP gleichzeitig, funktioniert über NFC und USB. Preis: ab etwa 55 Euro.
YubiKey Security Key Series: Reine FIDO2/U2F-Schlüssel ohne OpenPGP oder Smart-Card-Funktionen, dafür günstiger - die richtige Wahl, wenn du ausschließlich Website-Logins absichern willst.
YubiKey Bio: Zusätzliche biometrische Fingerabdruck-Verifizierung direkt am Schlüssel, für Nutzer, die eine PIN-Eingabe vermeiden wollen.
Alle YubiKey-5-Modelle sind IP68-zertifiziert (staub- und wasserdicht) und kommen ohne eigene Batterie aus.
Nitrokey: Quelloffen und aus Deutschland
Nitrokey verfolgt einen konsequenteren Open-Source-Ansatz als YubiKey: Sowohl Hardware-Design als auch Firmware sind vollständig quelloffen und lassen sich unabhängig überprüfen - für Nutzer, die keinem geschlossenen System vertrauen wollen, ein relevanter Unterschied.
Nitrokey 3 (A Mini / C NFC): Vergleichbar mit dem YubiKey 5 in der Funktionsvielfalt - FIDO2, FIDO U2F, OTP und OpenPGP-Smartcard in einem Gerät, zusätzlich mit Curve25519-Unterstützung für moderne Kryptografie. Verfügbar mit oder ohne NFC.
Nitrokey Passkey (früher Nitrokey FIDO2): Reiner FIDO2/U2F-Schlüssel für alle, die nur Website-Logins absichern wollen, ähnlich positioniert wie die YubiKey Security Key Series.
Für die OpenPGP-Nutzung auf Android empfiehlt sich in Kombination mit Nitrokey die App OpenKeychain aus F-Droid, die nativ mit der OpenPGP-Smartcard-Funktion kommuniziert.
Token2 und weitere Alternativen
Token2 aus der Schweiz positioniert sich als preisgünstigere FIDO2-Option, meist ohne OpenPGP-Unterstützung, dafür mit einem der niedrigsten Einstiegspreise im Vergleich. Für reine Website-Absicherung ohne E-Mail-Verschlüsselung eine legitime Budget-Alternative zu YubiKey und Nitrokey, wenn auch mit kleinerem Ökosystem und weniger Community-Dokumentation.
Vergleichstabelle
| Modell | FIDO2/WebAuthn | OpenPGP | NFC | Herkunft | Richtpreis |
|---|---|---|---|---|---|
| YubiKey 5 NFC | Ja | Ja | Ja | USA | ab 55€ |
| YubiKey Security Key | Ja | Nein | Ja | USA | ab 30€ |
| Nitrokey 3 | Ja | Ja | Modellabhängig | Deutschland | ab 54€ |
| Nitrokey Passkey | Ja | Nein | Nein | Deutschland | ab 32€ |
| Token2 FIDO2 | Ja | Nein | Modellabhängig | Schweiz | ab 25€ |
Wo kaufen und worauf beim Kauf achten
Kaufe Hardware-Sicherheitsschlüssel ausschließlich direkt beim Hersteller oder bei autorisierten, bekannten Händlern - nie über Marktplatz-Angebote von unbekannten Drittanbietern zu auffällig niedrigen Preisen. Da der Schlüssel selbst dein kryptografisches Vertrauensanker wird, ist die Herkunftssicherheit hier wichtiger als bei den meisten anderen Elektronikkäufen. Yubico und Nitrokey verkaufen beide direkt über ihre offiziellen Online-Shops mit Versand nach Deutschland, was die einfachste und sicherste Bezugsquelle ist.
Häufige Probleme bei der Ersteinrichtung
Der Schlüssel wird vom Smartphone nicht erkannt. Bei NFC-Modellen liegt das meist an der Position der NFC-Antenne im Handy - diese sitzt bei den meisten Android-Geräten mittig auf der Rückseite. Bei USB-C-Modellen kann ein zu dünnes oder inkompatibles Kabel die Ursache sein.
Der Dienst bietet keine Option für Hardware-Keys an. Manche Anbieter verstecken die FIDO2-Option in den Sicherheitseinstellungen unter Bezeichnungen wie „Sicherheitsschlüssel”, „Passkey” oder „WebAuthn” statt eindeutig „Hardware-Key” - ein Blick in die Hilfe-Dokumentation des jeweiligen Dienstes schafft meist Klarheit.
Der Zweitschlüssel wurde nicht bei allen Diensten registriert. Der häufigste Fehler überhaupt: Nur der Hauptschlüssel wird bei jedem Dienst hinterlegt, der Backup-Schlüssel aber nur bei einigen. Führe idealerweise eine Liste der Dienste, bei denen Hardware-Keys aktiv sind, um sicherzustellen, dass beide Schlüssel überall registriert sind.
Ein Hardware-Key sichert Konten, nicht das Gerät selbst: Geht das Smartphone verloren, entscheidet die Geräteverschlüsselung darüber, ob die lokalen Daten lesbar sind. Und die Passwörter, die der zweite Faktor ergänzt, gehören in einen Passwortmanager.
Wie viele Schlüssel brauchst du wirklich?
Der häufigste Fehler beim Einstieg: nur einen einzigen Schlüssel kaufen. Verlierst du ihn oder geht er kaputt, riskierst du bei jedem Dienst, der ausschließlich darüber abgesichert ist, komplett ausgesperrt zu werden. Die empfohlene Mindestausstattung:
- Hauptschlüssel für den täglichen Gebrauch, am Schlüsselbund oder permanent im Gerät
- Backup-Schlüssel, identisch oder gleichwertig, bei jedem Dienst zusätzlich als zweite Methode registriert und an einem separaten, sicheren Ort aufbewahrt - nicht am selben Schlüsselbund wie der Hauptschlüssel
Für besonders kritische Konten (Haupt-E-Mail, Passwortmanager) lohnt sich sogar ein dritter Schlüssel als räumlich getrennte Redundanz, etwa bei Verwandten oder in einem Bankschließfach.
Einrichtung auf GrapheneOS und LineageOS
Da FIDO2 ein offener Standard ist, funktionieren alle hier genannten Schlüssel über NFC oder USB-C genauso auf gehärteten Android-Systemen wie auf Standard-Android. Für die Verwaltung von OpenPGP-Funktionen auf Nitrokey-Geräten installierst du OpenKeychain aus F-Droid, für YubiKey-spezifische Konfiguration die YubiKey Manager App aus dem Aurora Store. Passkeys, die zunehmend auf FIDO2-Hardware gespeichert werden können, erklärt unser separater Artikel zu Passkeys auf Android und GrapheneOS im Detail.
Fazit: Zwei Keys, ein Standard, klare Prioritäten
Für die meisten Nutzer ist ein YubiKey 5 NFC oder ein Nitrokey 3 die richtige Wahl - beide decken FIDO2 und OpenPGP gleichzeitig ab und bieten damit Spielraum für spätere Anwendungsfälle wie E-Mail-Verschlüsselung. Wer nur Website-Logins absichern will, spart mit den reinen FIDO2-Modellen von YubiKey, Nitrokey oder Token2 Geld, ohne relevante Funktionalität zu verlieren. Die wichtigste Entscheidung ist ohnehin nicht das Modell, sondern die Stückzahl: Kaufe mindestens zwei Schlüssel, sonst wird aus deiner stärksten Sicherheitsmaßnahme im Verlustfall dein größtes Risiko.
