--- url: 'https://www.corbado.com/de/blog/passkey-anbieter' title: 'Passkey-Anbieter: Verschiedene Arten, AAGUID & Adoption' description: 'Erfahren Sie mehr über First-Party- und Third-Party-Passkey-Anbieter vs. Passkey-Authentifizierungsanbieter und die Rolle von AAGUIDs bei der Passkey-Verwaltung.' lang: 'de' author: 'Vincent Delitz' date: '2025-12-17T17:22:49.239Z' lastModified: '2026-08-29T06:01:45.495Z' keywords: 'Passkey-Anbieter, First-Party-Passkey-Anbieter, Third-Party-Passkey-Anbieter, Passkey-Authentifizierungsanbieter, AAGUID, WebAuthn, Passkey-Verwaltung' category: 'WebAuthn Know-How' --- # Passkey-Anbieter: Verschiedene Arten, AAGUID & Adoption ## Key Facts - Es gibt zwei Hauptkategorien: **First-/Third-Party-Passkey-Anbieter** (clientseitig, auf dem Gerät) und **Passkey-Authentifizierungsanbieter** (serverseitig, wie Corbado, das in Apps integriert wird). - **First-Party-Passkey-Anbieter** sind OS-native Systeme wie iCloud Keychain und Google Password Manager; Third-Party-Anbieter sind Passwortmanager, die über Plattform-APIs integriert werden. - Jeder Passkey-Anbieter besitzt eine eindeutige **AAGUID** (Authenticator Attestation Globally Unique Identifier), die in den Anmeldeinformationen eingebettet ist und es Relying Parties ermöglicht, Passkeys in den Kontoeinstellungen zu identifizieren und zu kennzeichnen. - Die WebAuthn-Option **excludeCredentials** verhindert, dass Benutzer mehrere Passkeys für denselben Anbieter registrieren, was Verwirrung reduziert und die UX der Kontoverwaltung verbessert. - Stand März 2024 unterstützen einige Plattformen keine **Attestierung**, was bedeutet, dass AAGUID-Werte auf diesen Plattformen nicht kryptografisch verifiziert werden können und mit Vorsicht verwendet werden sollten. ## 1. Einleitung Bei der Nutzung von Passkeys oder der Arbeit im Bereich der [Passkey-Implementierung](https://www.corbado.com/de/blog/warum-passkey-implementierungen-scheitern) wird eine Komponente ziemlich wichtig: der **Passkey-Anbieter**. Obwohl er ein entscheidender Teil des Passkey-Ökosystems ist, haben viele Menschen nur ein grobes Verständnis von Passkey-Anbietern oder kennen nicht den Unterschied zwischen einem **First-Party-Passkey-Anbieter**, **Third-Party-Passkey-Anbieter** und **Passkey-Authentifizierungsanbieter**. Dieser Blogpost soll Licht ins Dunkel bringen. Egal, ob Sie Softwareentwickler, Produktmanager oder einfach nur neugierig auf die neuesten Entwicklungen im Bereich Websicherheit sind, das Verständnis der Rolle und der Arten von Passkey-Anbietern ist unerlässlich. Indem wir dieses Thema entmystifizieren, möchten wir Menschen das Wissen vermitteln, Passkeys selbstbewusst zu verstehen. ## 2. Was ist ein Passkey-Anbieter? Ein [Passkey-Anbieter](https://www.corbado.com/de/blog/passkeys-kaufen-vs-selbst-entwickeln-leitfaden) spielt eine grundlegende Rolle im Ökosystem der passkeybasierten [Authentifizierung](https://www.corbado.com/de/blog/passkey-fallback-recovery) und fungiert als Brücke zwischen den Geräten der Benutzer und dem sicheren, nahtlosen Zugang zu Relying Parties (Online-Diensten). Aber was genau ist ein [Passkey-Anbieter](https://www.corbado.com/de/blog/passkeys-kaufen-vs-selbst-entwickeln-leitfaden), zumal es keine offizielle Definition gibt und Sie online verschiedene Interpretationen finden werden? Die folgende Definition spiegelt unser Verständnis wider und erhebt nicht den Anspruch, die einzige zutreffende Definition zu sein. Ein [Passkey-Anbieter](https://www.corbado.com/de/blog/passkeys-kaufen-vs-selbst-entwickeln-leitfaden) ist im Wesentlichen jede Entität, die die Erstellung, Verwaltung und Nutzung von Passkeys ermöglicht. Durch unsere Forschung haben wir zwei Hauptkategorien identifiziert, unter die Passkey-Anbieter eingeordnet werden können: **First- / Third-Party-Passkey-Anbieter und Passkey-Authentifizierungsanbieter.** ### 2.1 First- & Third-Party-Passkey-Anbieter Diese Kategorie umfasst Entitäten, die in der Lage sind, einen Passkey auf der Client-Seite (auf dem Gerät des Benutzers) zu generieren. Wenn ein Passkey über diese Plattformen erstellt wird, wird er sicher verwaltet und gespeichert, oft in der Cloud eines Betriebssystemherstellers (z. B. [iCloud Keychain](https://www.corbado.com/glossary/icloud-keychain), [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager)) oder in einem [Passwortmanager](https://www.corbado.com/de/faq/login-zweites-geraet-geraetegebundener-passkey) von Drittanbietern (z. B. [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys), [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis), [Dashlane](https://www.corbado.com/blog/dashlane-passkeys) – siehe unten). Betriebssysteme, die die Erstellung und Verwaltung von Passkeys nativ ermöglichen, gelten als **First-Party-Passkey-Anbieter**. Im Gegensatz dazu werden [Passwortmanager](https://www.corbado.com/de/faq/login-zweites-geraet-geraetegebundener-passkey) von Drittanbietern, die sich über APIs in die Plattform integrieren, als **Third-Party-Passkey-Anbieter** bezeichnet. Ein First-Party- oder Third-Party-Passkey-Anbieter hat dieselben [Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifiers (AAGUIDs), die dazu beitragen, das Benutzererlebnis zu verbessern (z. B. in den Kontoeinstellungen, um Passkeys leichter unterscheiden zu können). Manchmal können sie mehrere AAGUIDs haben, die alle zum selben First- oder Third-Party-Passkey-Anbieter gehören. ![Passkey Provider iOS Overview](https://www.corbado.com/website-assets/66020491f8cbcc407a429682_passkey_provider_ios_overview_3c920aab61.jpg) Passkey-Anbieter auf einem Gerät mit [iOS 17](https://www.corbado.com/blog/apple-passkeys-integration).4 ![Passkey Provider Android Overview](https://www.corbado.com/website-assets/660204a496780a14617298af_passkey_provider_android_overview_4ab35ad218.jpg) Passkey-Anbieter auf einem [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) 14 Gerät ![Passkey Provider Credential Manager API](https://www.corbado.com/website-assets/660204bcc78ddc305c676c26_passkey_provider_android_credential_manager_api_a0cec0e7a8.jpg) Credential Manager API von [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) ### 2.2 Passkey-Authentifizierungsanbieter Die zweite Kategorie umfasst Authentifizierungsanbieter, die [Entwickler](https://www.corbado.com/de/blog/passkeys-cheat-sheet) in ihre Anwendungen integrieren können, um alle Aspekte der Passkey-Verwaltung zu übernehmen. Es handelt sich also um Anbieter, die eher serverseitig arbeiten (im Gegensatz zur obigen Client-Seite). Diese Definition würde auch Lösungen wie Corbado einschließen, die Websites und Apps Authentifizierungslösungen rund um Passkeys anbieten. Folglich sollten diese Passkey-Anbieter genauer als **Passkey-Authentifizierungsanbieter** beschrieben werden, um sie von den oben genannten First- und Third-Party-Passkey-Anbietern zu unterscheiden. In den nächsten Abschnitten dieses Blogposts werden wir den Begriff "Passkey-Anbieter" verwenden, um uns gemäß unserer Definition auf First- und Third-Party-Passkey-Anbieter zu beziehen. ## 3. Identifizieren von Passkey-Anbietern über die AAGUID Da Benutzer beginnen, Passkeys für verschiedene Relying Parties zu verwenden, wird deren effektive Verwaltung zu einer großen Herausforderung. Dies gilt auch für Benutzer, die mehrere Passkeys für ein einziges Konto verwenden, da die Unterscheidung dieser Passkeys für Bearbeitungs- oder Löschzwecke für eine [Relying Party](https://www.corbado.com/glossary/relying-party) komplex sein kann. Trotz der Bequemlichkeit und [Sicherheit](https://www.corbado.com/de/blog/vollstaendig-passwortlos-werden), die Passkeys bieten, gibt es ein potenzielles Problem, wenn ein Benutzer einen seiner Passkeys verliert. Glücklicherweise kann er weiterhin mit alternativen Passkeys auf sein Konto bei der [Relying Party](https://www.corbado.com/glossary/relying-party) zugreifen. Um Benutzern bei der Identifizierung bestimmter Passkeys zu helfen, schlagen einige Ressourcen vor, einem Passkey in den Kontoeinstellungen Metadaten hinzuzufügen, wie das Erstellungsdatum und die letzte Nutzung. Darüber hinaus wird empfohlen, User Agents oder [Client Hints](https://www.corbado.com/blog/client-hints-user-agent-chrome-safari-firefox) zu verwenden, um Passkeys bei der Erstellung automatisch zu benennen und zu kategorisieren. Native [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android)- oder [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios)-Apps sowie Third-Party-Passkey-Anbieter verwenden jedoch möglicherweise keine User Agents oder fügen keine Informationen hinzu, die darauf hinweisen, dass ein Passkey von einem Third-Party-Passkey-Anbieter generiert wurde. Diese Einschränkung unterstreicht den Bedarf an verbesserten Methoden, um Benutzern zu helfen, ihre Passkeys unabhängig von Plattform oder Anbieter effizient zu verwalten. ![Passkey Provider Public Key AAGUID Attestation](https://www.corbado.com/website-assets/660204cff8362ee32c3721b1_passkey_provider_aaguid_public_key_attestation_914fbbe16c.jpg) Entnommen aus der [WebAuthn-Spezifikation des W3C](https://www.w3.org/TR/webauthn-2/#attestation-object) Um diese Passkey-Verwaltung zu erleichtern, können [Entwickler](https://www.corbado.com/de/blog/passkeys-cheat-sheet) den [Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifier (AAGUID) nutzen. Die [AAGUID](https://www.corbado.com/glossary/aaguid) ist eine eindeutige Kennung, die dem Modell des Authenticators zugewiesen wird, nicht seiner spezifischen Instanz. Sie ist in den [Authenticator](https://www.corbado.com/glossary/authenticator)-Daten des Public-Key-Credentials eingebettet und bietet Relying Parties eine Möglichkeit, den Passkey-Anbieter zu identifizieren. Diese Fähigkeit ist entscheidend, um Benutzern und Relying Parties bei der Navigation in der Passkey-Landschaft zu helfen und sicherzustellen, dass jeder Passkey seiner Erstellungsquelle genau zugeordnet werden kann. ![Passkey Provider Account Settings](https://www.corbado.com/website-assets/6602067c72dd23f23af8230b_passkey_provider_account_settings_7d63a12f19.jpg) Wenn beispielsweise ein Passkey mit [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager) auf einem Android-Gerät erstellt wird, kann die [Relying Party](https://www.corbado.com/glossary/relying-party) eine [AAGUID](https://www.corbado.com/glossary/aaguid) erhalten, die spezifisch für den [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager) ist. Durch den Bezug auf diese [AAGUID](https://www.corbado.com/glossary/aaguid) kann die Relying Party den Passkey dann entsprechend markieren, was die Verwaltung und Identifizierung für den Benutzer vereinfacht. Darüber hinaus können Relying Parties die Erstellung mehrerer Passkeys für denselben Passkey-Anbieter verhindern, indem sie die WebAuthn-Serveroption [excludeCredentials](https://www.corbado.com/glossary/excludecredentials) verwenden. Dies verbessert die Passkey-UX weiter, da jeder Passkey-Anbieter nur einen Passkey hat und somit Benutzerverwirrung vermieden wird. ```json { "attestation": "none", "authenticatorSelection": { "residentKey": "preferred", "userVerification": "preferred" }, "challenge": "6V61d0VM5bNTPxWSsrv7YKz0o4awe0ryoDh1V44RPRn6-mBQwv98BTRws6nMrBhEggGn7-tk1bl3YNSwc0oZpA", "excludeCredentials": [ { "id": "1kBn2dmhv5JhuFxqeco1khCBCUBLlWYqZmFtdDujH5pM", "transports": ["internal"], "type": "public-key" } ], "extensions": { "credProps": true }, "pubKeyCredParams": [ { "alg": -7, "type": "public-key" }, { "alg": -257, "type": "public-key" } ], "rp": { "id": "Passkey Demo", "name": "passkeys.eu" }, "user": { "displayName": "Test Name", "id": "ZG1sdVkyVnxe3SFJsYzNR", "name": "Test Name" } } ``` Um den Passkey-Anbieter anhand einer AAGUID zu bestimmen, können Relying Parties auf ein [von der Community bereitgestelltes Repository mit AAGUIDs](https://github.com/passkeydeveloper/passkey-authenticator-aaguids/blob/main/aaguid.json) zurückgreifen. Dieses Repository bietet die notwendigen Mappings, um den Passkey-Anbieter namentlich und möglicherweise anhand eines Icons zu identifizieren, was dazu beiträgt, eine intuitivere Benutzeroberfläche für die Passkey-Verwaltung bereitzustellen. Es ist jedoch wichtig zu beachten, dass einige Passkey-Anbieter absichtlich eine generische AAGUID ("00000000-0000-0000-0000-0000000000000") verwenden könnten, die einen unbekannten oder generischen Anbieter darstellt. ![Passkey Provider Windows 11 Chrome Extension](https://www.corbado.com/website-assets/6602050796780a146172f1b5_passkey_provider_windows_11_chrome_extension_ac55618f99.jpg) Das Abrufen der AAGUID ist mit den meisten WebAuthn-Bibliotheken unkompliziert. Wenn beispielsweise SimpleWebAuthn auf der Serverseite verwendet wird, können [Entwickler](https://www.corbado.com/de/blog/passkeys-cheat-sheet) die AAGUID aus den Registrierungsinformationen extrahieren, um sie mit einem bekannten Anbieter abzugleichen. Dies verbessert die Fähigkeit des Benutzers, seine Passkeys einfacher zu verwalten (entnommen aus Googles ["Determine the passkey provider with AAGUID"](https://web.dev/articles/webauthn-aaguid)). ```js // Import a list of AAGUIDs from a JSON file import aaguids from "./aaguids.json" with { type: "json" }; // ... // Use SimpleWebAuthn handy function to verify the registration request. const { verified, registrationInfo } = await verifyRegistrationResponse({ response: credential, expectedChallenge, expectedOrigin, expectedRPID, requireUserVerification: false, }); // ... const { aaguid } = registrationInfo; const provider_name = aaguids[aaguid]?.name || "Unknown"; ``` Während AAGUIDs ein leistungsstarkes Werkzeug für das Passkey-Management bieten, sollten sie mit Vorsicht verwendet werden. Die Integrität einer AAGUID hängt vom Attestierungsprozess ab, der die Authentizität des Passkey-Anbieters validiert. Ohne eine gültige Attestierungssignatur könnten AAGUIDs möglicherweise manipuliert werden. Stand März 2024 ist es bemerkenswert, dass Passkeys auf einigen Plattformen keine Attestierung unterstützen, was die Notwendigkeit einer sorgfältigen Abwägung bei ihrer Nutzung unterstreicht. Im Folgenden finden Sie eine nicht erschöpfende Liste von First- und Third-Party-Passkey-Anbietern für Android-Apps, [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios)-Apps und Web-Apps unter Verwendung sehr gängiger Passkey-Betriebssystemversionen und Browser: ## 4. Liste von Passkey-Anbietern für Android, iOS & Web Im Folgenden finden Sie einige der Popups von Third-Party-Passkey-Anbietern zum Erstellen / Speichern eines Passkeys: ![Passkey Provider Overview](https://www.corbado.com/website-assets/6602059469184035155c39b2_passkey_provider_overview_d3a9d2aa0d.jpg) ### 4.1 1Password ![Passkey Provider 1Password](https://www.corbado.com/website-assets/6602051872dd23f23af6efeb_passkey_provider_1password_182419eac7.jpg) Die vollständige [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis)-Analyse finden Sie hier. ### 4.2 Bitwarden ![Passkey Provider Bitwarden](https://www.corbado.com/website-assets/66020543d45df446d808f8be_passkey_provider_bitwarden_c2ad9ace74.jpg) ### 4.3 Dashlane ![Passkey Provider Dashlane](https://www.corbado.com/website-assets/6602054e5d90ccaee46a7102_passkey_provider_dashlane_a8e2592763.jpg) Die vollständige [Dashlane](https://www.corbado.com/blog/dashlane-passkeys)-Analyse finden Sie hier. ### 4.4 Enpass ![Passkey Provider Enpass](https://www.corbado.com/website-assets/6602055372dd23f23af729dc_passkey_provider_enpass_d2badd92a3.jpg) ### 4.5 KeePassXC Die vollständige [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys)-Analyse finden Sie hier. ### 4.6 Keeper ![Passkey Provider Keeper](https://www.corbado.com/website-assets/660205613aec28be45cef73a_passkey_provider_keeper_64f5049903.jpg) ### 4.7 NordPass ![Passkey Provider NordPass](https://www.corbado.com/website-assets/66020569e448465f8587856b_passkey_provider_nordpass_0787926c6e.jpg) ### 4.8 Proton ![Passkey Provider Proton](https://www.corbado.com/website-assets/66020579babefde183f29464_passkey_provider_proton_5b7d529cdc.jpg) ## 5. Fazit Zentral für die Bereitstellung und Verwaltung von Passkeys ist die Rolle der Passkey-Anbieter, Entitäten, die nicht nur die Erstellung und Verwaltung von Passkeys erleichtern, sondern auch deren nahtlose Integration über verschiedene Plattformen und Geräte hinweg sicherstellen. Das Ziel dieses Blogposts war es zu verstehen, was ein Passkey-Anbieter ist, einschließlich der Unterscheidung zwischen First-Party- und Third-Party-Anbietern sowie der entscheidenden Rolle des Authenticator [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifier (AAGUID). Die Verwendung von AAGUIDs, wie diskutiert, bietet eine vielversprechende Lösung und ermöglicht eine einfachere Identifizierung und Verwaltung von Passkeys. Außerdem haben wir analysiert, welche First- und Third-Party-Passkey-Anbieter derzeit für Android, [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) und Windows existieren, was Benutzern auch dabei hilft, einen geeigneten Third-Party-Passkey-Anbieter oder ihr bevorzugtes Gerät zu finden. Für Entwickler und Produktmanager leiten die Einblicke in Passkey-Anbieter und deren Verwaltung nicht nur die technische [Implementierung](https://www.corbado.com/de/blog/passkeys-cheat-sheet) der Passkey-[Authentifizierung](https://www.corbado.com/de/blog/passkey-fallback-recovery), sondern stehen auch im Einklang mit dem umfassenderen Ziel, das Benutzererlebnis und die [Sicherheit](https://www.corbado.com/de/blog/vollstaendig-passwortlos-werden) zu verbessern.