Passkeys im Nachlass — warum sich ein Passkey nicht vererben lässt
Ein Passkey besteht aus einem geheimen Schlüssel, der das Gerät oder die Cloud des Anbieters nie verlässt — es gibt nichts, was man aufschreiben und hinterlegen könnte. Vererbbar ist deshalb nicht der Passkey selbst, sondern nur der Zugang zu dem Gerät oder Konto, in dem er liegt.
Schritt für Schritt
- 1
Verstehen, was ein Passkey überhaupt ist
Ein Passwort ist ein Geheimnis, das Sie kennen. Ein Passkey ist eines, das Sie nicht kennen — und nicht kennen können. Das BSI beschreibt den Vorgang so: Beim Einrichten hinterlegt das Gerät „einen sogenannten geheimen Schlüssel im internen Speicher". Gleichzeitig entsteht ein passender öffentlicher Schlüssel, der beim Onlinedienst gespeichert wird. Beim Anmelden rechnen beide Seiten miteinander, ohne dass das Geheimnis übertragen wird. Für die Vorsorge ist das der entscheidende Punkt. Ein Passwort können Sie in einen Umschlag legen. Einen Passkey nicht — es gibt keine Zeichenkette, die man abschreiben könnte.
- 2
Herausfinden, wo Ihre Passkeys tatsächlich liegen
Die Antwort unterscheidet sich je Anbieter, und sie entscheidet darüber, was Angehörige später erreichen können. Die Verbraucherzentrale ordnet es so: Apple speichert Passkeys Ende-zu-Ende-verschlüsselt in der eigenen Cloud und synchronisiert sie über alle Apple-Geräte; Google verfährt entsprechend über die eigene Cloud. Microsoft legt sie dagegen im Trusted Platform Module des Rechners ab, und eine Synchronisation über mehrere Geräte hinweg ist dort „nicht möglich". FIDO2-Sticks speichern den privaten Schlüssel „sicher und unauslesbar im Sicherheitschip". Passwortmanager schließlich können Passkeys verwalten und, wenn sie in der Cloud liegen, auch abgleichen. Die praktische Folge: Wo Passkeys synchronisiert werden, hängt der Zugang am Anbieterkonto. Wo sie es nicht werden, hängt er am einzelnen Gerät.
- 3
Die Kette bis zum Ende denken
Wer vorsorgen will, muss nicht den Passkey weitergeben, sondern das, was ihn freischaltet. Das ist in aller Regel eine Kette aus drei Gliedern: Erstens der Zugang zum Gerät — Gerätecode oder Anmeldekennwort. Zweitens der Zugang zum Anbieterkonto, in dem die Passkeys liegen. Und drittens ein Wiederherstellungsweg für den Fall, dass beides fehlt. Reißt eines dieser Glieder, hilft das nächste nicht mehr. Die Verbraucherzentrale formuliert es unmissverständlich: „Ist das Gerät mit Ihren gespeicherten Passkeys weg und haben Sie kein Backup, müssen Sie den Zugang zu jedem einzelnen Online-Dienst neu herstellen." Für eine lebende Person ist das lästig. Für Angehörige ist es meist das Ende des Wegs, denn sie können sich bei den Diensten nicht als der verstorbenen Person ausweisen.
- 4
Aufschreiben, was sich aufschreiben lässt
Es gibt kein Passkey-Geheimnis zum Hinterlegen. Es gibt aber drei Dinge, die auf Papier gehören und die zusammen fast dasselbe leisten: Den Gerätecode des Telefons oder Rechners, auf dem die Passkeys liegen. Die Zugangsdaten zum Anbieterkonto — Apple-Account, Google-Konto, Microsoft-Konto — samt der Angabe, welcher zweite Faktor davor steht. Und die Wiederherstellungscodes des Anbieters: bei Apple der Wiederherstellungsschlüssel, bei Google die Backup-Codes, beide behandelt Wiederherstellungscodes. Diese Liste ist kurz, und das ist ihr Vorteil: Sie passt auf eine Karte, und sie veraltet langsamer als eine Passwortliste.
- 5
Einen zweiten Weg einrichten, solange es einfach ist
Das BSI nennt für den Verlustfall vier Wege: lokale Sicherungen, Synchronisation in einer Cloud, eine Identitätsprüfung beim Anbieter — und einen zweiten FIDO2-Schlüssel als Reserve. Für die Vorsorge sind die beiden mittleren die interessanten. Wo der Anbieter einen Wiederherstellungskontakt oder Nachlasskontakt kennt, ist das der weitaus verlässlichere Weg als jede Notiz. Apple bietet beides und meint damit Verschiedenes: Der Wiederherstellungskontakt hilft einer lebenden Person zurück ins Konto, der Nachlasskontakt bekommt nach dem Tod Zugang zu den Daten. Wer beides einrichtet, hat für beide Fälle vorgesorgt.
Häufige Fragen
Kann ein Anbieter einen Passkey nicht einfach für Angehörige zurücksetzen?
Zurücksetzen kann er ihn — aber nur nach einer Identitätsprüfung, und die ist der eigentliche Engpass. Apple beschreibt für die Kontowiederherstellung, dass es „aus Sicherheitsgründen mehrere Tage oder länger dauern" kann, und stellt ausdrücklich klar: „Durch eine Kontaktaufnahme mit dem Apple Support lässt sich dieser Zeitraum nicht verkürzen." Diese Wartezeit ist kein Versehen, sondern der Schutz vor genau dem Angriff, den man sonst fahren würde: sich als der Kontoinhaber ausgeben und das Konto übernehmen. Angehörige stehen auf derselben Seite dieser Tür wie ein Angreifer — das ist unfair und lässt sich nicht durch Nachfragen auflösen.
Sind Passkeys für den Nachlass also schlechter als Passwörter?
Nein, aber sie verlagern die Vorsorge. Ein aufgeschriebenes Passwort war nie eine gute Idee: Es liegt ungeschützt herum und ist meist längst veraltet, wenn es gebraucht wird. Ein Passkey zwingt dazu, stattdessen den Weg zurück ins Konto zu regeln — und das ist die Vorsorge, die ohnehin die richtige gewesen wäre. Sicherheitstechnisch sind Passkeys den Passwörtern deutlich überlegen: Sie lassen sich nicht abphishen und bei einem Datenleck des Anbieters nicht erbeuten, weil dort nur der öffentliche Schlüssel liegt.
Was passiert mit einem Passkey, wenn das Gerät entsorgt wird?
Er ist weg. Bei gerätegebundenen Passkeys — etwa unter Windows Hello — ohne Wiederherstellungsweg endgültig; die Verbraucherzentrale nennt dort ausdrücklich den „kompletten Zugriffsverlust" ohne hinterlegtes Ersatzpasswort. Vor dem Entsorgen eines Geräts gehört deshalb geprüft, welche Zugänge nur an ihm hängen. Das ist nicht nur eine Nachlassfrage: Denselben Fehler macht man beim Gerätewechsel.
Betrifft mich das überhaupt schon?
Wahrscheinlich mehr, als Sie denken. Passkeys werden beim Einrichten neuer Geräte häufig angeboten und gelegentlich beiläufig aktiviert — viele Menschen nutzen mindestens einen, ohne es benannt zu haben. Ein Blick in die Sicherheitseinstellungen der drei oder vier wichtigsten Konten beantwortet die Frage in wenigen Minuten. Er lohnt sich auch dann, wenn dabei herauskommt, dass Sie noch keinen haben.