Passkeys auf Android und GrapheneOS einfach erklärt

Passwörter sind die am häufigsten kompromittierte Zugangsmethode überhaupt - wiederverwendet, erraten, per Phishing abgegriffen oder bei Datenlecks im Klartext veröffentlicht. Passkeys lösen dieses Problem strukturell, indem sie das Passwort komplett ersetzen: Statt eines geteilten Geheimnisses, das du dir merken und eintippen musst, nutzt du ein kryptografisches Schlüsselpaar, dessen privater Teil dein Gerät niemals verlässt. Dieser Artikel erklärt, wie Passkeys auf Android und GrapheneOS funktionieren und wie du sie mit Bitwarden praktisch einsetzt.

Was ein Passkey technisch ist

Ein Passkey basiert auf dem FIDO2/WebAuthn-Standard der FIDO Alliance und besteht aus einem kryptografischen Schlüsselpaar: Der öffentliche Schlüssel wird beim Dienst hinterlegt, der private Schlüssel bleibt ausschließlich auf deinem Gerät oder in deinem Passwortmanager gespeichert und verlässt diesen niemals. Beim Login beweist dein Gerät durch eine kryptografische Signatur, dass es den privaten Schlüssel besitzt - ganz ohne ein Geheimnis über das Netzwerk zu übertragen, das abgefangen werden könnte.

Entsperrt wird der Passkey lokal auf deinem Gerät, meist per Bildschirmsperre, PIN oder biometrischer Freigabe. Diese lokale Entsperrung wird niemals an den Dienst übertragen - sie dient nur dazu, den Zugriff auf den bereits vorhandenen Schlüssel freizugeben.

Warum Passkeys phishingresistent sind

Der entscheidende Sicherheitsgewinn gegenüber Passwörtern, selbst in Kombination mit klassischer Zwei-Faktor-Authentifizierung: Ein Passkey ist kryptografisch an die exakte Domain gebunden, bei der er erstellt wurde. Landest du auf einer optisch perfekt kopierten Phishing-Seite unter einer anderen Domain, verweigert dein Gerät die Nutzung des Passkeys automatisch - unabhängig davon, wie überzeugend die Fälschung aussieht. Bei Passwörtern und App-basierten TOTP-Codes gibt es diesen eingebauten Schutz nicht: Beide lassen sich auf einer Phishing-Seite blind eingeben und in Echtzeit an den Angreifer weiterleiten.

Geräte-gebundene vs. synchronisierte Passkeys

Technisch unterscheidet man zwei Grundtypen von Passkeys, was für die Einschätzung von Backup und Portabilität wichtig ist. Geräte-gebundene Passkeys (auch als “Hardware-Passkeys” bezeichnet) existieren ausschließlich auf einem einzigen physischen Gerät oder Hardware-Schlüssel und werden nirgends automatisch gesichert - verlierst du das Gerät ohne registrierten Zweitschlüssel, ist der Passkey unwiederbringlich verloren. Synchronisierte Passkeys dagegen werden verschlüsselt über einen Passwortmanager oder ein Cloud-Ökosystem (etwa den iCloud-Schlüsselbund oder Google Passwortmanager) auf mehrere Geräte übertragen und dort automatisch aktuell gehalten. Für die meisten Alltagsnutzer sind synchronisierte Passkeys über einen Passwortmanager wie Bitwarden die praktischere und ausfallsicherere Wahl - geräte-gebundene Passkeys auf einem Hardware-Key bleiben vor allem für besonders kritische Einzelkonten sinnvoll.

Passkeys mit Bitwarden auf Android einrichten

Für die meisten Nutzer ist ein Passwortmanager der praktischste Speicherort für Passkeys, da er geräteübergreifend synchronisiert und ein Backup bietet - anders als ein rein geräte-gebundener Speicher, der beim Geräteverlust unwiederbringlich verloren geht. Wie Bitwarden als Passwortmanager grundsätzlich funktioniert, erklärt unser Artikel zum Passwortmanager-Vergleich für Android.

Bitwarden als Passkey-Anbieter einrichten

1. Bitwarden-App auf aktuellem Stand installieren (F-Droid oder Aurora Store)
2. Unter Android-Systemeinstellungen den Passwortmanager wechseln zu Bitwarden, damit Passkeys darüber verwaltet werden
3. Bei einem unterstützten Dienst „Mit Passkey anmelden” oder „Passkey erstellen” wählen
4. Bitwarden als Ziel für den neuen Passkey auswählen und mit Master-Passwort bestätigen

Wichtig: Für die Systemintegration wird aktuell Android 14 oder neuer vorausgesetzt, zusätzlich muss ein Chromium-basierter Browser als Passkey-Anbieter eingerichtet sein, wenn Passkeys direkt im Browser statt in einer nativen App genutzt werden sollen.

Passkeys auf Hardware-Schlüsseln speichern

Neben Passwortmanagern lassen sich Passkeys auch direkt auf FIDO2-Hardware-Schlüsseln wie YubiKey oder Nitrokey speichern - für maximale Absicherung besonders kritischer Konten, allerdings mit begrenztem Speicherplatz für nur wenige Passkeys gleichzeitig. Welches Modell sich für welchen Einsatzzweck eignet, erklärt unser Kaufratgeber für Hardware-Sicherheitsschlüssel. Der praktische Unterschied zu einem Passwortmanager: Ein Hardware-Key speichert Passkeys geräte-gebunden ohne automatisches Cloud-Backup - verlierst du den Schlüssel ohne registrierten Zweitschlüssel, verlierst du auch den Zugriff.

Passkeys zwischen Anbietern verschieben: Das Credential Exchange Protocol

Ein früher berechtigter Kritikpunkt an Passkeys war die fehlende Portabilität: Einmal bei einem Anbieter erstellt, ließen sich Passkeys kaum zu einem anderen Passwortmanager übertragen. Das ändert sich 2026 spürbar durch das Credential Exchange Protocol (CXP), an dem Bitwarden gemeinsam mit Apple, Google, Microsoft und weiteren Anbietern mitgearbeitet hat - Passkeys lassen sich damit strukturiert zwischen kompatiblen Passkey-Managern exportieren und importieren, statt bei einem Anbieterwechsel komplett neu erstellt werden zu müssen.

Passkeys im Vergleich zu klassischen Login-Methoden

Berechtigte Kritik an Passkeys

Passkeys sind kein Allheilmittel ohne Nachteile. Ein oft genannter Kritikpunkt: Die Umsetzung unterscheidet sich je nach Anbieter und Betriebssystem in Details, was für technisch weniger erfahrene Nutzer verwirrend sein kann - “Passkey” bedeutet je nach Kontext mal einen geräte-gebundenen, mal einen synchronisierten Schlüssel. Zusätzlich bleibt der Passwortmanager oder Cloud-Account, in dem Passkeys letztlich gespeichert sind, selbst ein zentraler Angriffspunkt - wird dieser kompromittiert, sind potenziell alle darüber verwalteten Passkeys betroffen. Deshalb bleibt eine starke Absicherung des Passwortmanagers selbst, etwa durch einen Hardware-Key, auch im Passkey-Zeitalter unverzichtbar.

Was tun, wenn ein Dienst noch keine Passkeys unterstützt?

Die Verbreitung wächst, ist aber noch nicht vollständig. Solange ein Dienst ausschließlich klassische Passwörter anbietet, bleibt die Kombination aus einem einzigartigen, starken Passwort pro Dienst und einer zusätzlichen Absicherung notwendig - entweder über eine TOTP-App oder einen Hardware-Schlüssel, wie in unserem Artikel zur Zwei-Faktor-Authentifizierung beschrieben. Passkeys und klassische 2FA schließen sich nicht aus, sondern ergänzen sich je nachdem, was der jeweilige Dienst unterstützt.

Praktische Backup-Strategie für Passkeys

Da Passkeys ein Passwort vollständig ersetzen, ist ein Verlust ohne Backup gravierender als ein vergessenes Passwort, das sich zurücksetzen lässt. Sinnvolle Absicherung:

1. Passkeys primär im Passwortmanager speichern, nicht ausschließlich geräte-gebunden im Systemspeicher
2. Zwei-Faktor-Absicherung des Passwortmanagers selbst nicht vernachlässigen - er wird mit Passkeys zum zentralen Angriffspunkt
3. Bei besonders kritischen Konten zusätzlich eine klassische Wiederherstellungsmethode (Recovery-Codes, ausgedruckt und sicher verwahrt) hinterlegen, falls der Dienst das anbietet

Fazit: Passkeys sind die konsequente Weiterentwicklung von 2FA

Passkeys lösen das Grundproblem von Passwörtern, indem sie gar kein übertragbares Geheimnis mehr verwenden - Phishing läuft dadurch strukturell ins Leere, nicht nur durch zusätzliche Vorsicht. Auf Android und GrapheneOS lassen sie sich über Bitwarden oder Hardware-Schlüssel unkompliziert einrichten, und mit dem Credential Exchange Protocol wird 2026 auch die früher berechtigte Sorge vor Anbieterbindung kleiner. Bis Passkeys flächendeckend verfügbar sind, bleibt eine Kombination mit klassischer Zwei-Faktor-Authentifizierung sinnvoll - beide Systeme ergänzen sich, statt sich zu widersprechen.