Passkey verloren: Diese Vorbereitung verhindert die Kontosperre

Wenn das Gerät mit Ihrem Passkey verloren geht, nutzen Sie zuerst eine noch aktive Sitzung, einen synchronisierten Passkey auf einem anderen eigenen Gerät oder eine vorbereitete Ersatzmethode. Sobald Sie wieder im Konto sind, entfernen Sie den Passkey des verlorenen Geräts und richten auf dem Ersatzgerät einen neuen ein.

Die Vorbereitung, die eine Aussperrung verhindert, ist ein vom primären Gerät unabhängiger Zugang. Fehlt er und ist keine Sitzung mehr aktiv, sind Sie auf das Wiederherstellungs- oder Supportverfahren des jeweiligen Anbieters angewiesen; ein verlorener gerätegebundener Passkey lässt sich nicht einfach auf ein neues Gerät übertragen.

1. Klären Sie, wo Ihr Passkey gespeichert ist

Der Begriff Passkey allein verrät noch nicht, was bei einem Geräteverlust geschieht. Die Unterscheidung der FIDO Alliance umfasst synchronisierte Passkeys, die über einen Passkey-Anbieter auf eigenen Geräten verfügbar werden, und gerätegebundene Passkeys, die ein einzelnes Gerät nicht verlassen; dazu zählen Passkeys auf FIDO-Sicherheitsschlüsseln.

Ein synchronisierter Passkey kann auf einem neuen Gerät erscheinen, wenn dort derselbe Passkey-Anbieter mit demselben zugehörigen Konto eingerichtet wird. Das hilft jedoch nur, solange Sie dieses Plattform- oder Passwortmanagerkonto wieder öffnen können. Bei einem gerätegebundenen Passkey benötigen Sie nach dem Verlust des Geräts einen zweiten Passkey oder eine andere Anmeldemethode, die der betreffende Dienst akzeptiert.

Prüfen Sie daher im Anmeldedatenmanager, Betriebssystem oder Passwortmanager, wo Ihre Passkeys liegen. Erfassen Sie außerdem getrennt, für welche Konten sie registriert sind: Der Passkey-Anbieter speichert die Zugangsdaten, während der jeweilige Onlinedienst entscheidet, welche Schlüssel und Ersatzmethoden für Ihr Konto gelten.

2. Richten Sie einen unabhängigen Ersatzweg ein

Ein zweiter Zugang ist nur dann eine belastbare Absicherung, wenn er nicht zusammen mit dem primären Smartphone ausfällt. Je nach Dienst kommen ein weiterer Passkey auf einem anderen eigenen Gerät, ein separater Sicherheitsschlüssel, offline verwahrte Wiederherstellungscodes oder eine weiterhin angebotene Kombination aus Passwort und zweitem Faktor infrage.

1. Öffnen Sie die Sicherheits- oder Anmeldeeinstellungen des Kontos und erfassen Sie alle registrierten Passkeys.
2. Benennen Sie die Einträge, sofern der Dienst dies zulässt, eindeutig nach Gerät oder Verwendungszweck.
3. Richten Sie mindestens eine Ersatzmethode ein, die nicht ausschließlich über das primäre Smartphone erreichbar ist.
4. Bewahren Sie Wiederherstellungscodes geschützt und getrennt vom Gerät auf. Ein Foto auf demselben Telefon ist kein unabhängiger Ersatz.
5. Testen Sie den alternativen Zugang in einem privaten Browserfenster oder auf einem zweiten eigenen Gerät, ohne zuvor die funktionierende Sitzung zu beenden.

Beziehen Sie dabei auch das Konto des Passkey-Anbieters ein. Sind dessen Wiederherstellungsadresse, vertrauenswürdige Telefonnummer oder Zugangsdaten veraltet, kann die Synchronisierung gerade im entscheidenden Moment scheitern. Entfernen Sie einen funktionierenden bisherigen Zugang deshalb erst, nachdem der Ersatz tatsächlich funktioniert.

3. Erstellen Sie Passkeys nur auf kontrollierten Geräten

Die lokale Gerätesperre bestätigt üblicherweise auch die Verwendung eines gespeicherten Passkeys. Wer ein Gerät entsperren kann, erhält damit unter Umständen Zugang zu den Konten, für die dort Passkeys hinterlegt wurden.

Die Passkey-Hilfe von Google warnt deshalb vor Passkeys auf gemeinsam verwendeten Geräten: Eine Person mit Zugriff auf die Geräteentsperrung kann auf das Google-Konto zugreifen, selbst nachdem der ursprüngliche Nutzer sich abgemeldet hat. Google empfiehlt, Passkeys nur auf Geräten zu erstellen, die man selbst besitzt und verwendet.

Brechen Sie eine angebotene Passkey-Erstellung auf Familiencomputern, gemeinsam genutzten Tablets und fremden Rechnern ab. Wenn der Dienst es unterstützt, können Sie sich dort stattdessen mit einem Passkey von Ihrem eigenen Smartphone oder Sicherheitsschlüssel anmelden, ohne einen neuen Schlüssel auf dem fremden Gerät zu speichern.

4. Entfernen Sie nach dem Verlust den richtigen Schlüssel

Beginnen Sie auf einem eigenen Gerät mit aktiver Sitzung oder über den vorbereiteten Ersatzweg. Löschen Sie nicht vorschnell das gesamte Plattform- oder Passwortmanagerkonto: Es könnte noch den Zugang bereitstellen, den Sie für die Bereinigung benötigen.

1. Melden Sie sich beim betroffenen Dienst über eine aktive Sitzung, einen zweiten Passkey oder die alternativeherstellungsmethode an.
2. Öffnen Sie die Liste der registrierten Passkeys und identifizieren Sie den Eintrag des verlorenen Geräts anhand seiner Bezeichnung oder der angezeigten Gerätedaten.
3. Entfernen Sie den betroffenen Passkey. Kontrollieren Sie zusätzlich die Geräte- und Sitzungsverwaltung und melden Sie das verlorene Gerät ab, sofern der Dienst diese Funktion anbietet.
4. Sperren Sie das verlorene Gerät über die Fernverwaltung des Betriebssystems, wenn diese eingerichtet ist.
5. Erstellen und testen Sie auf dem Ersatzgerät einen neuen Passkey, bevor Sie vorübergehende Anmeldewege wieder ändern.

Wie abhängig dieser Ablauf vom jeweiligen Anbieter ist, zeigt die Anleitung der Bundesagentur für Arbeit: Wer noch anderweitig auf sein Konto zugreifen kann, soll die betroffenen Passkeys in den Kontoeinstellungen entfernen; ohne mögliche Anmeldung bleibt der technische Support.

Das Entfernen beim Onlinedienst und das Löschen im Anmeldedatenmanager sind unterschiedliche Schritte. Wird ein bereits entfernter Passkey lokal weiterhin vorgeschlagen, kann er zusätzlich aus dem verwendeten Anmeldedatenmanager gelöscht werden. Für den unmittelbaren Kontoschutz ist entscheidend, dass der Onlinedienst den alten Schlüssel nicht mehr als gültig akzeptiert.

5. Rechnen Sie mit dem gleichzeitigen Ausfall

Ein synchronisierter Passkey schützt vor dem Verlust eines einzelnen Geräts, ist aber kein vollständig unabhängiger Ersatzweg. Mehrere Geräte können gemeinsam verloren gehen, und auch der Zugang zum zentralen Synchronisierungskonto kann ausfallen.

Für besonders wichtige E-Mail-, Finanz- und Verwaltungskonten ist daher eine zusätzliche, vom selben Geräte- und Cloudkonto getrennte Methode sinnvoll. Das kann ein sicher verwahrter Hardware-Schlüssel, ein Satz offline gespeicherter Wiederherstellungscodes oder ein geregeltes Identitätsprüfungsverfahren des Anbieters sein. Welche Variante verfügbar ist, muss für jedes Konto einzeln geprüft werden.

Die belastbare Mindestvorbereitung besteht damit aus einem funktionierenden Hauptzugang, einem getesteten unabhängigen Ersatzweg, eindeutig zuordenbaren Passkey-Einträgen und keinen Passkeys auf gemeinsam genutzten Geräten. Prüfen Sie diese Absicherung nach einem Gerätewechsel sowie nach Änderungen an Telefonnummer, E-Mail-Adresse oder Passwortmanager erneut.

Lesen Sie auch:

• Claude kostenlos nutzen: Das Fünf-Stunden-Limit ist nicht die einzige Grenze
• Browser-Erweiterungen prüfen: Diese Rechte verraten das größte Risiko
• Nvidia verdoppelt den Umsatz – doch die Lieferkette deckt nur 70 Prozent