--- url: 'https://www.corbado.com/de/blog/passkey-anbieter' title: 'Passkey-Anbieter: Typen, AAGUID & Verbreitung' description: 'Erklärung zu First-/Third‑Party Passkey‑Anbietern, Passkey‑Authentifizierungsanbietern und AAGUID. Verwaltung und Einsatz von Passkeys auf Android, iOS und Web verständlich erklärt.' lang: 'de' author: 'Vincent Delitz' date: '2025-12-17T17:22:49.239Z' lastModified: '2026-03-25T10:02:38.646Z' keywords: 'Passkey-Anbieter, Passkey Provider, First-Party Passkey-Anbieter, Third-Party Passkey-Anbieter, AAGUID, Passkey-Authentifizierung' category: 'WebAuthn Know-How' --- # Passkey-Anbieter: Typen, AAGUID & Verbreitung ## 1. Einführung Wenn wir Passkeys nutzen oder uns beruflich mit ihrer Implementierung beschäftigen, stoßen wir früher oder später auf eine sehr wichtige Komponente: den **Passkey-Anbieter** (oft auch [Passkey Provider](https://www.corbado.com/blog/passkey-providers) genannt). Obwohl er ein zentraler Bestandteil des Passkey-Ökosystems ist, haben viele nur eine vage Vorstellung davon oder kennen den Unterschied zwischen einem **First-Party-Passkey-Anbieter**, einem **Third-Party-Passkey-Anbieter** und einem **Passkey-Authentifizierungsanbieter** nicht. Dieser Artikel bringt Licht ins Dunkel. Egal, ob du Softwareentwickler, Produktmanager oder einfach nur neugierig auf aktuelle Web-[Sicherheit](https://www.corbado.com/de/blog/vollstaendig-passwortlos-werden) bist: Die Rolle und die Arten von Passkey-Anbietern zu verstehen, ist essenziell. Wir wollen dieses Thema entmystifizieren und das nötige Wissen vermitteln, um sicher mit Passkeys umzugehen. ## 2. Was ist ein Passkey-Anbieter? Ein Passkey-Anbieter spielt eine fundamentale Rolle im Ökosystem der Passkey-basierten Authentifizierung. Er fungiert als Brücke zwischen den Geräten der Nutzer und dem sicheren, nahtlosen Zugang zu Relying Parties (Online-Diensten). Aber was genau ist ein Passkey-Anbieter, besonders da es keine offizielle Definition gibt und man online verschiedene Interpretationen findet? Die folgende Definition spiegelt unser Verständnis wider, erhebt aber keinen Anspruch auf Alleingültigkeit. Ein Passkey-Anbieter ist im Grunde jede Entität, die das Erstellen, Verwalten und Nutzen von Passkeys ermöglicht. In unserer Recherche haben wir zwei Hauptkategorien identifiziert, in die man Passkey-Anbieter einteilen kann: **First- / Third-Party-Passkey-Anbieter und Passkey-Authentifizierungsanbieter.** ### 2.1 First- & Third-Party-Passkey-Anbieter Diese Kategorie umfasst Anbieter, die in der Lage sind, einen Passkey auf der Client-Seite (also auf dem Gerät des Nutzers) zu generieren. Wenn ein Passkey über diese Plattformen erstellt wird, wird er sicher verwaltet und gespeichert – oft in der Cloud eines Betriebssystemherstellers (z. B. iCloud-Schlüsselbund, [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager)) oder in einem externen Passwort-Manager (z. B. [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys), [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis), [Dashlane](https://www.corbado.com/blog/dashlane-passkeys), siehe unten). Betriebssysteme, die das Erstellen von Passkeys und deren Verwaltung nativ ermöglichen, gelten als **First-Party-Passkey-Anbieter**. Im Gegensatz dazu werden externe Passwort-Manager, die sich über APIs in die Plattform integrieren, als **Third-Party-Passkey-Anbieter** bezeichnet. Ein First-Party- oder Third-Party-Passkey-Anbieter besitzt sogenannte [Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifiers (AAGUIDs). Diese helfen dabei, die Nutzererfahrung zu verbessern (z. B. in den Kontoeinstellungen, um Passkeys leichter zu unterscheiden). Manchmal gibt es mehrere AAGUIDs, die alle zum selben Anbieter gehören. ![Übersicht Passkey-Anbieter iOS](https://www.corbado.com/website-assets/66020491f8cbcc407a429682_passkey_provider_ios_overview_3c920aab61.jpg) Passkey-Anbieter auf einem [iOS 17](https://www.corbado.com/blog/apple-passkeys-integration).4 Gerät ![Übersicht Passkey-Anbieter Android](https://www.corbado.com/website-assets/660204a496780a14617298af_passkey_provider_android_overview_4ab35ad218.jpg) Passkey-Anbieter auf einem [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) 14 Gerät ![Passkey-Anbieter Credential Manager API](https://www.corbado.com/website-assets/660204bcc78ddc305c676c26_passkey_provider_android_credential_manager_api_a0cec0e7a8.jpg) Die Credential Manager API von [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) ### 2.2 Passkey-Authentifizierungsanbieter Die zweite Kategorie umfasst Authentifizierungsanbieter, die Entwickler in ihre Anwendungen integrieren können, um alle Aspekte der Passkey-Verwaltung abzuwickeln. Es handelt sich also um Anbieter, die eher auf der Server-Seite arbeiten (im Gegensatz zur Client-Seite oben). Diese Definition schließt Lösungen wie Corbado ein, die Authentifizierungslösungen rund um Passkeys für Websites und Apps anbieten. Folglich sollten diese Anbieter genauer als **Passkey-Authentifizierungsanbieter** bezeichnet werden, um sie von den oben genannten First- und Third-Party-Passkey-Anbietern abzugrenzen. In den nächsten Abschnitten dieses Artikels verwenden wir den Begriff „Passkey-Anbieter“, um uns gemäß unserer Definition auf First- und Third-Party-Passkey-Anbieter zu beziehen. ## 3. Passkey-Anbieter mittels AAGUID identifizieren Da Nutzer beginnen, Passkeys für verschiedene Relying Parties zu verwenden, wird deren effektive Verwaltung zu einer Herausforderung. Das gilt besonders für Nutzer, die mehrere Passkeys für ein einziges Konto verwenden, da es für eine [Relying Party](https://www.corbado.com/glossary/relying-party) komplex sein kann, diese Passkeys zwecks Bearbeitung oder Löschung zu unterscheiden. Trotz des Komforts und der [Sicherheit](https://www.corbado.com/de/blog/vollstaendig-passwortlos-werden) von Passkeys entsteht ein potenzielles Problem, wenn ein Nutzer einen seiner Passkeys verliert. Glücklicherweise kann er mit alternativen Passkeys weiterhin auf sein Konto bei der [Relying Party](https://www.corbado.com/glossary/relying-party) zugreifen. Um Nutzern zu helfen, bestimmte Passkeys zu identifizieren, schlagen einige Quellen vor, Metadaten wie Erstellungsdatum und letzte Nutzung in den Kontoeinstellungen anzuzeigen. Zusätzlich wird empfohlen, User Agents oder [Client Hints](https://www.corbado.com/blog/client-hints-user-agent-chrome-safari-firefox) zu nutzen, um Passkeys bei der Erstellung automatisch zu benennen und zu kategorisieren. Allerdings nutzen native [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android)- oder [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios)-Apps sowie Third-Party-Passkey-Anbieter möglicherweise keine User Agents oder fügen keine Informationen hinzu, die darauf hinweisen, dass ein Passkey von einem externen Anbieter generiert wurde. Diese Einschränkung verdeutlicht den Bedarf an besseren Methoden, um Nutzern eine effiziente Verwaltung ihrer Passkeys zu ermöglichen – unabhängig von Plattform oder Anbieter. ![Passkey-Anbieter Public Key AAGUID Attestation](https://www.corbado.com/website-assets/660204cff8362ee32c3721b1_passkey_provider_aaguid_public_key_attestation_914fbbe16c.jpg) Aus der [W3C WebAuthn Spezifikation](https://www.w3.org/TR/webauthn-2/#attestation-object) Um diese Verwaltung zu erleichtern, können Entwickler den [Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifier (AAGUID) nutzen. Die [AAGUID](https://www.corbado.com/glossary/aaguid) ist eine eindeutige Kennung, die dem Modell des Authenticators zugewiesen ist, nicht einer spezifischen Instanz. Sie ist in den [Authenticator](https://www.corbado.com/glossary/authenticator)-Daten des Public Key Credentials eingebettet und bietet Relying Parties eine Möglichkeit, den Passkey-Anbieter zu identifizieren. Diese Fähigkeit ist entscheidend, um Nutzern und Diensten zu helfen, den Überblick in der Passkey-Landschaft zu behalten und sicherzustellen, dass jeder Passkey korrekt seiner Ursprungsquelle zugeordnet werden kann. ![Passkey-Anbieter Kontoeinstellungen](https://www.corbado.com/website-assets/6602067c72dd23f23af8230b_passkey_provider_account_settings_7d63a12f19.jpg) Wenn ein Passkey beispielsweise mit dem [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager) auf einem Android-Gerät erstellt wird, kann die [Relying Party](https://www.corbado.com/glossary/relying-party) eine [AAGUID](https://www.corbado.com/glossary/aaguid) erhalten, die spezifisch für den Google [Password Manager](https://www.corbado.com/blog/passkeys-vs-password-managers) ist. Durch Bezugnahme auf diese [AAGUID](https://www.corbado.com/glossary/aaguid) kann die Relying Party den Passkey entsprechend kennzeichnen, was die Verwaltung und Identifizierung für den Nutzer vereinfacht. Darüber hinaus können Dienste verhindern, dass mehrere Passkeys für denselben Passkey-Anbieter erstellt werden, indem sie die WebAuthn-Server-Option [excludeCredentials](https://www.corbado.com/glossary/excludecredentials) verwenden. Dies verbessert die UX weiter, da jeder Anbieter nur einen Passkey erhält und Verwirrung beim Nutzer vermieden wird. ```json { "attestation": "none", "authenticatorSelection": { "residentKey": "preferred", "userVerification": "preferred" }, "challenge": "6V61d0VM5bNTPxWSsrv7YKz0o4awe0ryoDh1V44RPRn6-mBQwv98BTRws6nMrBhEggGn7-tk1bl3YNSwc0oZpA", "excludeCredentials": [ { "id": "1kBn2dmhv5JhuFxqeco1khCBCUBLlWYqZmFtdDujH5pM", "transports": ["internal"], "type": "public-key" } ], "extensions": { "credProps": true }, "pubKeyCredParams": [ { "alg": -7, "type": "public-key" }, { "alg": -257, "type": "public-key" } ], "rp": { "id": "Passkey Demo", "name": "passkeys.eu" }, "user": { "displayName": "Test Name", "id": "ZG1sdVkyVnxe3SFJsYzNR", "name": "Test Name" } } ``` Um den Passkey-Anbieter anhand einer AAGUID zu bestimmen, können Relying Parties auf ein [Community-gepflegtes Repository von AAGUIDs](https://github.com/passkeydeveloper/passkey-authenticator-aaguids/blob/main/aaguid.json) zurückgreifen. Dieses Repository bietet die notwendigen Zuordnungen, um den Anbieter namentlich und potenziell durch ein Icon zu identifizieren, was eine intuitivere Benutzeroberfläche für die Passkey-Verwaltung ermöglicht. Es ist jedoch wichtig zu beachten, dass einige Passkey-Anbieter absichtlich eine generische AAGUID („00000000-0000-0000-0000-0000000000000“) verwenden, die einen unbekannten oder allgemeinen Anbieter repräsentiert. ![Passkey-Anbieter Windows 11 Chrome Extension](https://www.corbado.com/website-assets/6602050796780a146172f1b5_passkey_provider_windows_11_chrome_extension_ac55618f99.jpg) Das Abrufen der AAGUID ist mit den meisten WebAuthn-Bibliotheken unkompliziert. Wenn Entwickler beispielsweise SimpleWebAuthn auf der Server-Seite nutzen, können sie die AAGUID aus den Registrierungsinformationen extrahieren, um sie mit einem bekannten Anbieter abzugleichen. Das erleichtert Nutzern die Verwaltung ihrer Passkeys enorm (Beispiel aus Googles [„Determine the passkey provider with AAGUID“](https://web.dev/articles/webauthn-aaguid)). ```js // Import a list of AAGUIDs from a JSON file import aaguids from "./aaguids.json" with { type: "json" }; // ... // Use SimpleWebAuthn handy function to verify the registration request. const { verified, registrationInfo } = await verifyRegistrationResponse({ response: credential, expectedChallenge, expectedOrigin, expectedRPID, requireUserVerification: false, }); // ... const { aaguid } = registrationInfo; const provider_name = aaguids[aaguid]?.name || "Unknown"; ``` Obwohl AAGUIDs ein mächtiges Werkzeug für die Passkey-Verwaltung sind, sollten sie mit Vorsicht genossen werden. Die Integrität einer AAGUID hängt vom [Attestation](https://www.corbado.com/glossary/attestation)-Prozess ab, der die Authentizität des Passkey-Anbieters validiert. Ohne eine gültige Attestation-Signatur könnten AAGUIDs potenziell manipuliert werden. Stand März 2024 ist es erwähnenswert, dass Passkeys auf einigen Plattformen keine Attestation unterstützen, was eine sorgfältige Abwägung bei deren Einsatz erfordert. Im Folgenden findest du eine nicht erschöpfende Liste von First- und Third-Party-Passkey-Anbietern für Android-Apps, [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios)-Apps und Web-Apps, basierend auf gängigen Betriebssystemversionen und Browsern. ## 4. Liste der Passkey-Anbieter für Android, iOS & Web Hier zeigen wir einige Popups der Third-Party-Passkey-Anbieter beim Erstellen oder Speichern eines Passkeys: ![Übersicht Passkey-Anbieter](https://www.corbado.com/website-assets/6602059469184035155c39b2_passkey_provider_overview_d3a9d2aa0d.jpg) ### 4.1 1Password ![Passkey-Anbieter 1Password](https://www.corbado.com/website-assets/6602051872dd23f23af6efeb_passkey_provider_1password_182419eac7.jpg) Sieh dir die vollständige [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis) Analyse hier an. ### 4.2 Bitwarden ![Passkey-Anbieter Bitwarden](https://www.corbado.com/website-assets/66020543d45df446d808f8be_passkey_provider_bitwarden_c2ad9ace74.jpg) ### 4.3 Dashlane ![Passkey-Anbieter Dashlane](https://www.corbado.com/website-assets/6602054e5d90ccaee46a7102_passkey_provider_dashlane_a8e2592763.jpg) Sieh dir die vollständige [Dashlane](https://www.corbado.com/blog/dashlane-passkeys) Analyse hier an. ### 4.4 Enpass ![Passkey-Anbieter Enpass](https://www.corbado.com/website-assets/6602055372dd23f23af729dc_passkey_provider_enpass_d2badd92a3.jpg) ### 4.5 KeePassXC Sieh dir die vollständige [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys) Analyse hier an. ### 4.6 Keeper ![Passkey-Anbieter Keeper](https://www.corbado.com/website-assets/660205613aec28be45cef73a_passkey_provider_keeper_64f5049903.jpg) ### 4.7 NordPass ![Passkey-Anbieter NordPass](https://www.corbado.com/website-assets/66020569e448465f8587856b_passkey_provider_nordpass_0787926c6e.jpg) ### 4.8 Proton ![Passkey-Anbieter Proton](https://www.corbado.com/website-assets/66020579babefde183f29464_passkey_provider_proton_5b7d529cdc.jpg) ## 5. Fazit Passkey-Anbieter spielen eine zentrale Rolle bei der Verbreitung und Verwaltung von Passkeys. Sie erleichtern nicht nur das Erstellen und Verwalten, sondern sorgen auch für eine nahtlose Integration über verschiedene Plattformen und Geräte hinweg. Das Ziel dieses Artikels war es, zu erklären, was ein Passkey-Anbieter ist, wie sich First-Party- und Third-Party-Anbieter unterscheiden und welche kritische Rolle der Authenticator Attestation Globally Unique Identifier (AAGUID) dabei spielt. Wie wir gesehen haben, bietet die Nutzung von AAGUIDs eine vielversprechende Lösung, um Passkeys einfacher zu identifizieren und zu verwalten. Zudem haben wir analysiert, welche First- und Third-Party-Passkey-Anbieter aktuell für Android, [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) und Windows existieren, um Nutzern zu helfen, einen passenden Anbieter für ihr bevorzugtes Gerät zu finden. Für Entwickler und Produktmanager ist das Wissen über Passkey-Anbieter und deren Verwaltung nicht nur wichtig für die technische Implementierung der Passkey-Authentifizierung, sondern dient auch dem übergeordneten Ziel, die Benutzerfreundlichkeit und [Sicherheit](https://www.corbado.com/de/blog/vollstaendig-passwortlos-werden) zu verbessern.