Passwörter werden wiederverwendet
Ein reines Passwort-Login bleibt anfällig für Phishing, Wiederverwendung und Leaks.
Warum Passkeys
Kunden-Login soll schützen, ohne Menschen auszubremsen
Passwörter erzeugen Risiko und Reibung. Passkeys verbinden stärkeren Kontoschutz mit einer vertrauten Bestätigung am eigenen Gerät.
Reset-Flows unterbrechen
Vergessene Passwörter schicken zurückkehrende Kunden durch eine vermeidbare Wiederherstellung.
Das Gerät ist schon da
Passkeys nutzen die Bildschirmsperre, die Kunden von Smartphone oder Computer bereits kennen.
Passkeys in 45 Sekunden
Ein Login-Geheimnis, das das Gerät nicht verlassen muss
Ein Passkey verwendet ein kryptografisches Schlüsselpaar. Der private Schlüssel bleibt auf dem Gerät oder im Passkey-Manager des Nutzers. Dein Login erhält nur einen signierten Nachweis für die echte Domain – kein Passwort, das auf einer Phishing-Seite eingegeben werden könnte.
Was bedeutet „synchronisierter Passkey“?
Ein Passkey-Manager kann den Passkey auf weiteren Geräten des Kunden bereitstellen. Das macht synchronisierte Passkeys besonders praktisch für Verbraucherkonten.
Privater SchlüsselBleibt beim Kunden
Öffentlicher SchlüsselPrüft die echte Shop-Domain
Vorteile
Eine Änderung, zwei Perspektiven
Für den Shop
- Stärkerer Schutz vor phishing-basierten Accountübernahmen.
- Kein Passwort als primäres Login-Geheimnis speichern oder zurücksetzen.
- Standardbasierte Integration über WebAuthn und OIDC.
- Passkeys zunächst neben bestehenden Anmeldeverfahren anbieten.
Für Kunden
- Anmeldung mit der vertrauten Bildschirmsperre des Geräts.
- Kein Shop-Passwort merken oder wiederverwenden.
- Phishing-resistente Bestätigung für die echte Domain.
- Synchronisierte Passkeys können auf mehreren Geräten verfügbar sein.
Auswirkungen auf Support-Aufwand oder Conversion hängen vom konkreten Rollout ab und sind nicht garantiert.
Drei Wege
Du brauchst nicht automatisch einen eigenen Passkey-Server
Der passende Weg hängt von Shop-Plattform, technischen Ressourcen und gewünschtem Kontrollgrad ab.
Native Funktion oder Erweiterung
Nutze eine gepflegte Passkey-Funktion deines Shop-Systems oder eine passende Erweiterung.
- Potenziell der kürzeste Einrichtungsweg
- Kontenmigration und Recovery prüfen
- Update-Verantwortung und Plattformbindung bewerten
Gemanagter Identity-Dienst
Binde einen gemanagten Anbieter über OIDC an, statt die Passkey-Infrastruktur selbst zu betreiben.
- WebAuthn-Logik und Updates werden für dich betrieben
- Passend für kleine Teams mit OIDC-Unterstützung
- Hosting, Export, Branding und Preise prüfen
Eigenentwicklung oder Self-Hosting
Entwickle oder betreibe die Passkey-Ebene selbst, wenn tiefe Kontrolle die dauerhafte Verantwortung rechtfertigt.
- Höchste Gestaltungsfreiheit
- Security- und Identity-Know-how erforderlich
- Betrieb, Monitoring und Recovery bleiben bei dir
Deine Plattform bietet eine gepflegte Passkey-FunktionPassender Weg: Native Funktion oder Erweiterung
Kleines Team, OIDC vorhanden, kein eigener Identity-Betrieb gewünschtPassender Weg: Gemanagter Identity-Dienst
Eigenes Identity-Team und besondere AnforderungenPassender Weg: Eigenentwicklung oder Self-Hosting
Einführung
Passkeys ohne Big Bang einführen
Starte neben dem bestehenden Login, lerne aus einem Pilot und verschärfe die Policy erst, wenn Migration und Recovery zuverlässig funktionieren.
Bestand aufnehmen
Plattformen, Login-Flows, Kundenkonten und Abhängigkeiten erfassen.
Weg wählen
Aufwand, Kontrolle, Betrieb und Migration abwägen.
Pilot starten
Passkeys optional für eine kleine, beobachtbare Kundengruppe anbieten.
Kunden führen
Registrierung, Gerätewechsel und Recovery verständlich erklären.
Betrieb sichern
Updates, Monitoring, Support und Fallback regelmäßig prüfen.
Nutzerführung
Auch ein sicherer Login braucht verständliche UX
Die technische Integration ist nur die halbe Arbeit. Registrierung, Fallback und Recovery müssen auf Mobilgeräten und Desktop klar bleiben.
- „Mit Passkey anmelden“ klar und konsistent benennen.
- Den Nutzen erklären, bevor Kunden einen Passkey erstellen sollen.
- Bestehende Konten eindeutig verknüpfen und Doppelkonten vermeiden.
- Fallback und Recovery auffindbar halten, ohne sie zum Standardweg zu machen.
- Gerätewechsel, verlorene Geräte und mehrere Passkeys einplanen.
- Mobil, Desktop, Browserwechsel und Rückkehr zum Checkout testen.
Tools für deinen Rollout
Von der Orientierung bis zum zuverlässigen Start
Diese praktischen Helfer sind in Vorbereitung. Ihre Karten bleiben bestehen und werden beim Launch direkt nutzbar.
Passkey-Wegweiser
Finde mit wenigen Fragen zu Shop, Team und Nutzerbasis den wahrscheinlich passenden Integrationsweg.
Shop-Readiness-Check
Prüfe technische, organisatorische und UX-Voraussetzungen vor dem Pilot.
Rollout- und Nutzerführungs-Checkliste
Behalte Migration, Recovery, Kommunikation, Monitoring und laufenden Betrieb im Blick.
Der gemanagte Weg
Passkeys für deinen Shop mit Tuurio ID
Tuurio ID betreibt die WebAuthn-Logik und stellt den Kunden-Login über Standard-OIDC bereit. So muss dein Team keine eigene Passkey-Infrastruktur entwickeln und betreiben.
Standard-OIDC
WebAuthn / FIDO2
Hosting in Deutschland
Dein Branding
Vor der Entscheidung prüfen
Sicherheitsversprechen brauchen Nachweise, keine Superlative
Standards
WebAuthn/FIDO2 und die OIDC-Integrationsfläche prüfen.
Daten und Hosting
Hosting-Ort, AVV, Unterauftragsverarbeiter und Exportwege bewerten.
Betrieb und Recovery
Updates, Monitoring, Support, Fallback und Kontowiederherstellung klären.
FAQ
Passkeys für Webshops – häufige Fragen
Nein. Eine native Shop-Funktion, eine gepflegte Erweiterung oder ein gemanagter Identity-Dienst kann Passkeys bereitstellen, ohne dass dein Team einen eigenen Passkey-Server betreibt. Die passende Option hängt von Plattform und Kontrollbedarf ab.
In der Regel ja, aber die Verknüpfungsregel muss sorgfältig geplant werden. Bestehende Konten lassen sich etwa über eine verifizierte E-Mail-Adresse oder ein stabiles OIDC-Subject verbinden. Kollisionen, Doppelkonten und Recovery-Fälle müssen vor dem Rollout getestet werden.
Synchronisierte Passkeys können über den Passkey-Manager bereits auf einem anderen Gerät verfügbar sein. Trotzdem braucht der Shop einen sicheren Recovery-Weg und sollte mehrere Passkeys pro Konto ermöglichen.
Ja. Eine schrittweise Einführung ist oft der praktische Start. Biete Passkeys optional an, beobachte Registrierung und Recovery und ändere Standard oder Policy erst, wenn der Ablauf zuverlässig ist.
Tuurio ID wird über Standard-OpenID-Connect angebunden. Für WordPress und PrestaShop gibt es bereits Integrationsseiten; weitere Plattformen benötigen einen passenden OIDC-Client oder Adapter.
WebAuthn ist die Browser-Schnittstelle für Public-Key-Zugangsdaten. FIDO2 verbindet WebAuthn mit dem Authenticator-Protokoll. Ein Passkey ist eine nutzerfreundliche WebAuthn-Zugangsdatenart, die gerätegebunden oder synchronisiert sein kann.
Nicht genau. Ein Passkey kann durch Gerätebesitz und lokale Nutzerverifikation eine starke, phishing-resistente Anmeldung ermöglichen. Das konkrete Vertrauensniveau und die Policy hängen jedoch vom Authenticator und der Implementierung ab.
Plane Sicherheitsupdates, Monitoring, Support, Kontowiederherstellung, Fallback-Verfahren, Verwaltung der Zugangsdaten und einen Migrations- oder Exportweg. Diese Aufgaben bleiben auch bei einem gemanagten Anbieter relevant.
Quellen und Prüfung
Fachliche Grundlage: BSI TR-03188, WebAuthn und FIDO
Die BSI TR-03188 beschreibt Sicherheitsempfehlungen für Passkey-Server und ist besonders für Eigenentwicklung und Self-Hosting relevant. Bei Plattformfunktionen und gemanagten Diensten bleiben Auswahl, Migration, Recovery und Betriebsverantwortung zu prüfen. WebAuthn und FIDO bilden den technischen Rahmen.
Die verlinkten Quellen dienen der fachlichen Einordnung. Sie stellen keine Empfehlung oder Zertifizierung von Tuurio durch BSI, FIDO Alliance oder W3C dar.