---
url: 'https://www.corbado.com/de/blog/passkeys-passwortlos-phishingresistente-mfa'
title: 'Passkeys, passwortlose Anmeldung und phishingresistente MFA'
description: 'Passkeys, passwortlose Authentifizierung und phishingresistente MFA im Vergleich: Sicherheit, Nutzererlebnis, Kosten und Compliance im Überblick.'
lang: 'de'
author: 'Alex'
date: '2026-11-04T21:07:23.697Z'
lastModified: '2026-11-04T21:07:50.101Z'
keywords: 'Passkeys, passwortlose Authentifizierung, phishingresistente MFA, FIDO2, WebAuthn, Sicherheitsschlüssel, Magic Links'
category: 'WebAuthn Know-How'
---

# Passkeys, passwortlose Anmeldung und phishingresistente MFA

## Key Facts

- Passkeys sind zugleich passwortlos und phishingresistent: Die **kryptografische Bindung an den Ursprung** verknüpft jeden Berechtigungsnachweis mit einer bestimmten Domain. Gestohlene Serverdaten enthalten dadurch nur nutzlose öffentliche Schlüssel.
- Nicht alle passwortlosen Methoden sind phishingresistent: SMS-Einmalcodes und **Magic Links** können abgefangen werden, wenn Nutzer dazu verleitet werden, sie auf betrügerischen Websites einzugeben.
- **Hardware-Sicherheitsschlüssel** wie YubiKeys erfüllen die Anforderungen an phishingresistente MFA in höchstem Maße. Sie müssen jedoch physisch verteilt werden und sind daher für die meisten Anwendungen mit Kundenkontakt unpraktisch.
- Mercari erreichte mit Passkeys eine **Login-Erfolgsrate von 82,5 %** gegenüber 67,7 % bei SMS-Einmalcodes und sparte zugleich die Kosten für den massenhaften Versand von Einmalcodes.
- MyGov erreichte mit der **Passkey-Einführung** innerhalb von drei Monaten 200.000 Nutzer, erfüllte die australischen ASD Essential Eight für Cybersicherheit und reduzierte Phishing-Vorfälle bei staatlichen Diensten.

## 1. Einführung

Für alle digitalen Dienste ist die Nutzerauthentifizierung der wichtigste Teil der Cybersicherheit. Da Unternehmen mehr denn je auf Web- und mobile Anwendungen setzen, um Kunden zu erreichen, ist der Bedarf an sicheren und benutzerfreundlichen Login-Lösungen exponentiell gestiegen. Herkömmliche Passwörter sind zum Risiko geworden: Sie lassen sich leicht durch Phishing stehlen, werden vergessen oder für mehrere Dienste verwendet. Die Folge sind mehr Angriffe mit gestohlenen Zugangsdaten, Datenlecks und schwindendes Kundenvertrauen.

In den vergangenen Jahren sind neue Authentifizierungsmethoden entstanden, die mehr Sicherheit und ein besseres Nutzererlebnis versprechen. Dieser Beitrag vergleicht drei Ansätze: Passkeys, passwortlose Authentifizierung im Allgemeinen und phishingresistente Multi-Faktor-Authentifizierung (MFA). Er beleuchtet ihre Unterschiede, Stärken und strategischen Auswirkungen und erklärt, was sich hinter den Begriffen verbirgt.

Dieser Beitrag beantwortet folgende Fragen:

1. Was sind die wichtigsten Unterschiede zwischen Passkeys, passwortloser Authentifizierung und phishingresistenter MFA?
2. Wie verbessern Passkeys, passwortlose Authentifizierung und phishingresistente MFA die Sicherheit im Vergleich zu herkömmlichen Passwörtern?
3. Wie wirken sich passwortlose Authentifizierung, phishingresistente MFA und Passkeys auf Nutzererlebnis, Akzeptanz und Betriebskosten aus?
4. Welche praktischen Anwendungsfälle und Beispiele gibt es für die erfolgreiche Einführung dieser Methoden?

![Überblick über Authentifizierungsbegriffe](https://www.corbado.com/website-assets/authentication_terms_overview_f4afd39827.png)

## 2. Die wichtigsten Begriffe erklärt

Vor dem Vergleich müssen wir die verwendeten Begriffe definieren. Passwortlose Authentifizierung, phishingresistente MFA und Passkeys sind jeweils bedeutende Verbesserungen gegenüber älteren Methoden. Die Begriffe sind jedoch nicht austauschbar.

### 2.1 Was ist passwortlose Authentifizierung?

Passwortlose Authentifizierung verzichtet vollständig auf das herkömmliche Passwort. Stattdessen weisen Nutzer ihre Identität nach durch:

- **Etwas, das sie besitzen**, etwa ein Smartphone oder einen Sicherheitsschlüssel
- **Etwas, das sie sind**, also biometrische Merkmale
- **Einen Einmalcode per E-Mail oder SMS**. Auch dieser kann als Besitzfaktor gelten, da zum Empfang einer SMS beispielsweise ein Smartphone erforderlich ist.

Ziel ist es, die Abhängigkeit von einem statischen Passwort zu verringern, das leicht kompromittiert werden kann und nicht benutzerfreundlich ist.

**Zu den gängigen passwortlosen Methoden gehören:**

- Magic Links per E-Mail
- Zeitbasierte Einmalcodes (TOTPs) mit Authenticator-Apps, etwa Google Authenticator, Authy oder Microsoft Authenticator
- Push-Benachrichtigungen, etwa in nativen iOS- oder Android-Apps
- Biometrie, etwa bei Passkeys
- SMS-Einmalcodes (OTP)
- E-Mail-Einmalcodes (OTP)
- Social Logins, etwa „Mit Google anmelden“ oder „Mit Facebook anmelden“

Passwortlose Ansätze verbessern häufig das Nutzererlebnis und verringern das Risiko von Brute-Force-Angriffen. Sie sind jedoch nicht alle von Natur aus phishingresistent. Ein Magic Link oder SMS-Einmalcode kann etwa von einer bösartigen Website abgefangen werden, wenn ein Nutzer dazu verleitet wird, den Code auf einer Phishing-Seite einzugeben. Passwortlose Methoden verbessern also viele Aspekte der Sicherheit und Bedienbarkeit, einige bleiben jedoch für Social Engineering anfällig.

### 2.2 Was ist phishingresistente MFA?

FIDO2-basierte Hardware-Sicherheitsschlüssel wie YubiKeys sind ein Beispiel für phishingresistente MFA. Sie binden den Authentifizierungsvorgang an den legitimen Ursprung, also die Domain der echten Website. So stellen sie sicher, dass die Authentifizierung nicht auf eine gefälschte Website umgeleitet oder dort erneut verwendet werden kann. Angreifer erhalten weder den privaten Schlüssel noch einen wiederverwendbaren Geheimcode. Dasselbe gilt für Passkeys.

Hardware-Sicherheitsschlüssel sind jedoch vor allem für Mitarbeiter praktikabel. Unternehmen können sie zwar auch Kunden anbieten, eine verpflichtende Nutzung ist aber meist unrealistisch: Nur technisch versierte Nutzer kennen solche Lösungen. Durchschnittliche Nutzer könnten Schwierigkeiten haben, das Konzept und die Bedienung von Hardware-Schlüsseln zu verstehen.

Phishingresistente MFA stellt sicher, dass Nutzer selbst auf einer betrügerischen Website nicht versehentlich einen gültigen Berechtigungsnachweis preisgeben können. Ihr Sicherheitsdesign macht gestohlene Informationen für Angreifer nutzlos oder verhindert den Diebstahl von vornherein. Dazu prüft sie kryptografisch nicht nur die Identität des Nutzers, sondern auch die Echtheit der Website.

Behörden wie CISA und ACSC erkennen phishingresistente MFA zunehmend an und empfehlen sie zum Schutz sensibler Konten. Solche Standards können Unternehmen helfen, gesetzliche Vorgaben einzuhalten, Haftungsrisiken zu senken und bei Cybersicherheitsaudits ihre Sorgfalt nachzuweisen.

### 2.3 Was sind Passkeys?

Passkeys sind moderne Berechtigungsnachweise, die auf offenen Standards wie FIDO2 und WebAuthn basieren. Statt eines gemeinsamen Geheimnisses wie eines Passworts nutzen sie asymmetrische Kryptografie:

- **Einen öffentlichen Schlüssel**, der bei der Authentifizierung an den Server gesendet wird
- **Einen privaten Schlüssel**, der das Gerät des Nutzers nie verlässt und weder eingegeben noch gemerkt werden muss

Registriert ein Nutzer ein Konto mit Passkeys, erzeugt sein Gerät ein einzigartiges Schlüsselpaar. Der öffentliche Schlüssel wird an den Server gesendet und dem Konto zugeordnet, während der private Schlüssel sicher auf dem Gerät bleibt. Für die Authentifizierung sendet der Server eine Challenge. Das Gerät signiert sie mit dem privaten Schlüssel und weist so die Identität nach, ohne ein Geheimnis preiszugeben, das gestohlen werden könnte.

Passkeys ersparen Nutzern das Merken und Verwalten umständlicher Passwörter. Die Authentifizierung beschränkt sich häufig auf eine biometrische Prüfung, etwa per Gesichtsscan oder Fingerabdruck, die Nutzer bereits vom Entsperren ihres Smartphones kennen. Da jeder Passkey an eine bestimmte Domain gebunden ist, scheitern Phishing-Versuche: Angreifer können Nutzer nicht zur Herausgabe eines wiederverwendbaren Berechtigungsnachweises verleiten. Die Kombination aus hoher Sicherheit und geringem Aufwand macht Passkeys für viele Unternehmen attraktiv, darunter Google, PayPal, TikTok und KAYAK.

### 2.4 Die wichtigsten Unterschiede im Überblick

- **Passwortloser Login als Oberbegriff:** Verzichtet vollständig auf Passwörter, ist aber je nach Methode nicht immer phishingresistent.
- **Phishingresistente MFA als Oberbegriff:** Gewährleistet in der Regel eine Bindung an den Ursprung, kann aber in einem mehrstufigen Verfahren dennoch ein Passwort enthalten, etwa zusammen mit einem Hardware-Sicherheitsschlüssel.
- **Passkeys:** Sind sowohl passwortlos als auch phishingresistent und nutzen asymmetrische Kryptografie mit Bindung an den legitimen Ursprung.

## 3. Passwortlose Authentifizierung, phishingresistente MFA und Passkeys im Vergleich

Nachdem die Grundbegriffe geklärt sind, vergleichen wir die drei Ansätze genauer. So wird deutlich, welche Methode am besten zu den Sicherheitsanforderungen, Nutzererwartungen und langfristigen Zielen einer Organisation passt. Im Mittelpunkt stehen drei Hauptfaktoren:

- **Sicherheit**
- **Nutzererlebnis und Akzeptanz**
- **Implementierung und Kosten**
- **Regulierung und Compliance**

### 3.1 Sicherheit: Diebstahl von Zugangsdaten und Bindung an den Ursprung

**Sicherheit ist einer der Hauptgründe für den Abschied von herkömmlichen Passwörtern.** Die drei Konzepte unterscheiden sich jedoch darin, wie sie vor Angriffen auf Zugangsdaten schützen, etwa vor Phishing oder Brute-Force-Angriffen.

#### 3.1.1 Schutz vor dem Diebstahl von Zugangsdaten

- **Passwortlos:** Der Verzicht auf Passwörter verringert das Risiko von Brute-Force-Angriffen und der Wiederverwendung von Passwörtern erheblich. Je nach Methode, etwa bei SMS-Einmalcodes oder Magic Links, bleibt jedoch ein Restrisiko, wenn Angreifer Nutzer dazu bringen, einen Einmalcode auf einer Phishing-Seite einzugeben oder weiterzuleiten.
- **Phishingresistente MFA:** Nutzt Methoden wie FIDO2-Sicherheitsschlüssel, um sicherzustellen, dass kein wiederverwendbares Geheimnis geteilt wird. Selbst wenn Angreifer Teilinformationen wie einen öffentlichen Schlüssel erhalten, sind diese ohne den zugehörigen privaten Schlüssel kryptografisch wertlos.
- **Passkeys:** Dank asymmetrischer Kryptografie verlassen keine gemeinsamen Geheimnisse das Gerät. Wer Daten vom Server stiehlt, erhält nur öffentliche Schlüssel, die ohne den lokal geschützten privaten Schlüssel nutzlos sind.

#### 3.1.2 Schutz vor Phishing

- **Passwortlos:** Da „passwortlos“ ein Oberbegriff ist, ist Phishing-Schutz nicht immer gewährleistet. Ein Magic Link oder SMS-Einmalcode kann abgefangen werden, wenn Nutzer ihn versehentlich auf einer betrügerischen Website eingeben. Das macht manche passwortlosen Methoden weniger zuverlässig gegen ausgefeilte Phishing-Angriffe.
- **Phishingresistente MFA:** Eine zentrale Funktion ist die Prüfung der legitimen Domain vor der Authentifizierung. Hardware-Sicherheitsschlüssel oder Passkeys prüfen die Echtheit der Website, da sie an den ursprünglich verwendeten Ursprung gebunden sind. So können Angreifer kein gültiges Geheimnis abfangen.
- **Passkeys:** Passkeys basieren auf FIDO2 und WebAuthn und sind grundsätzlich an den Ursprung gebunden. Versucht ein Nutzer, sich auf einer gefälschten Domain anzumelden, wird die kryptografische Prüfung nicht abgeschlossen. Das verhindert Phishing-Angriffe wirksam.

#### 3.1.3 Fazit zur Sicherheit

**Passkeys** und **phishingresistente MFA** bieten dank starker kryptografischer Bindung an den Ursprung und ohne vertrauliche Geheimnisse preiszugeben einen besseren Schutz vor dem Diebstahl von Zugangsdaten und vor Phishing.

**Passwortlose Methoden** sind einfachen Passwörtern weiterhin deutlich überlegen. Ihre Widerstandsfähigkeit gegen Phishing variiert jedoch, wenn sie auf abfangbaren Einmalcodes, zeitbasierten Einmalcodes oder Geheimnissen wie bei Magic Links beruhen.

### 3.2 Nutzererlebnis und Akzeptanz

Eine Sicherheitsmethode bringt wenig, wenn sie für Endnutzer zu umständlich ist. Ein reibungsloser, intuitiver Login kann Frustration und Supportkosten senken und die allgemeine Akzeptanz verbessern. Zudem müssen Nutzer dann keine Umwege suchen, um sich anzumelden.

#### 3.2.1 Erstmalige Registrierung und Einrichtung

- **Passwortlos:** Eine passwortlose Registrierung ist meist einfacher als das Erstellen und Merken eines neuen Passworts. Ein Magic Link per E-Mail oder die Bestätigung per SMS-Einmalcode kann vertraut wirken, auch wenn dabei eine kurze Wartezeit entsteht.
- **Phishingresistente MFA:** Bei Hardware-Sicherheitsschlüsseln kann die Einrichtung deren physische Verteilung oder die Installation spezieller Software erfordern. Danach kann der tägliche Login jedoch so einfach sein wie das Antippen eines eingesteckten oder in der Nähe befindlichen Schlüssels.
- **Passkeys:** Die Einrichtung ist häufig unkompliziert. Nutzer registrieren einen Passkey meist über eine kurze biometrische Abfrage auf ihrem Gerät, etwa per Fingerabdruck oder Gesichtsscan.

#### 3.2.2 Aufwand beim täglichen Login

- **Passwortlos:** Der Verzicht auf Passwörter verbessert die Bedienbarkeit erheblich: Nutzer müssen sie sich nicht merken, aus einem Passwortmanager abrufen oder auf Haftnotizen schreiben. Einmalcodes und Magic Links können jedoch zusätzlichen Aufwand verursachen, wenn Nutzer zum Abrufen zwischen Apps wechseln müssen.
- **Phishingresistente MFA:** Ein eingesteckter oder in der Nähe befindlicher Hardware-Sicherheitsschlüssel ist recht einfach zu nutzen. Häufig muss aber eine Taste gedrückt und/oder eine PIN gemerkt und eingegeben werden. Ist die phishingresistente MFA ein Passkey, verläuft der Login reibungsloser.
- **Passkeys:** Der Aufwand ist meist minimal: Nutzer entsperren ihr Gerät biometrisch, etwa mit Face ID, Touch ID oder Windows Hello. Den Rest übernimmt der Passkey. Einfacher lässt sich ein Login kaum gestalten.

#### 3.2.3 Wahrgenommene Komplexität und Vertrauen

- **Passwortlos:** Die Anmeldung ohne Passwort spricht Nutzer an, die von Passwort-Zurücksetzungen frustriert sind.
- **Phishingresistente MFA:** Sie ist sehr sicher, kann aber für neue Nutzer komplex wirken, wenn Hardware-Sicherheitsschlüssel erforderlich sind.
- **Passkeys:** Wer das biometrische Entsperren des Smartphones gewohnt ist, nimmt Passkeys häufig als vertraute Technologie wahr. Auch das Vertrauen in die Ökosysteme von Apple, Google und Microsoft fördert die Akzeptanz.

#### 3.2.4 Fazit zu Nutzererlebnis und Akzeptanz

**Passwortlose Methoden**, insbesondere Biometrie, sind einfach zu nutzen. **Phishingresistente MFA** kann nach der Einführung benutzerfreundlich sein, doch die benötigte Hardware kann in manchen Situationen als Belastung empfunden werden. **Passkeys** bieten Nutzern in der Regel den größten Komfort.

### 3.3 Implementierung und Kosten

Neben Sicherheit und Nutzererlebnis entscheiden praktische Fragen wie Integrationsaufwand, Supportbedarf und direkte Kosten darüber, ob eine Lösung im großen Maßstab tragfähig ist.

#### 3.3.1 Integration in bestehende Systeme

- **Passwortlos:** Methoden wie SMS-Einmalcodes oder Magic Links sind relativ einfach zu implementieren. Jeder Ansatz benötigt jedoch individuelle Logik, etwa zum Erzeugen und Prüfen von Tokens oder zum Versand von E-Mails und SMS.
- **Phishingresistente MFA:** Die Einführung von Hardware-Sicherheitsschlüsseln wie YubiKeys kann aufwendiger sein. Unternehmen müssen Verteilung, Wiederherstellungsprozesse und Nutzerschulungen planen. Der FIDO-basierte Technologie-Stack ist jedoch etabliert.
- **Passkeys:** Die Einführung kann anspruchsvoll sein, da breite Unterstützung im gesamten Ökosystem erforderlich ist, einschließlich Gerätekompatibilität, Browserintegration und Aufklärung der Nutzer.

#### 3.3.2 Kosten und Kapitalrendite (ROI)

- **Passwortlos:** Der Verzicht auf Passwörter kann Kosten im Helpdesk sparen, doch manche Methoden, insbesondere SMS, können Gebühren pro Transaktion verursachen. Abläufe mit Magic Links benötigen eine robuste E-Mail-Infrastruktur. Authenticator-Apps für TOTP und Push-Benachrichtigungen erfordern die Installation und gegebenenfalls Entwicklung eigener Apps.
- **Phishingresistente MFA:** Wenn Hardware beteiligt ist, entstehen meist die höchsten Anfangskosten. Dafür bietet sie starken Phishing-Schutz. Bei besonders wertvollen Konten können die Kosten eines einzigen Datenlecks den Preis der Hardware-Sicherheitsschlüssel deutlich übersteigen.
- **Passkeys:** Nach der anfänglichen Entwicklung können Passkeys Tickets zum Zurücksetzen von Passwörtern reduzieren, eine der größten versteckten Kosten im IT-Support. Sie verringern auch Kontoübernahmen, was das Geschäftsergebnis direkt verbessert. Zudem können sie den Großteil kostspieliger SMS-Einmalcodes ersetzen.

#### 3.3.3 Fazit zu Implementierung und Kosten

**Passwortlose Methoden** sind oft einfacher als Passwörter, ihre laufenden Kosten unterscheiden sich jedoch stark. **Phishingresistente MFA** kann bei einer Einführung im großen Maßstab teurer und komplexer sein, besonders wenn spezielle Hardware-Sicherheitsschlüssel gekauft und verteilt werden müssen. Die **Implementierung von Passkeys** ist aufgrund komplexer technischer Anforderungen und der erforderlichen plattformübergreifenden Kompatibilität anspruchsvoll.

### 3.4 Regulierung und Compliance

Viele Vorschriften, etwa PSD2 im europäischen Finanzwesen und HIPAA im [Gesundheitswesen](https://www.corbado.com/passkeys-for-healthcare), empfehlen oder verlangen inzwischen ausdrücklich eine starke, phishingresistente Authentifizierung.

- **Passwortlos:** Kann manche Compliance-Anforderungen erfüllen, etwa eine vorgeschriebene 2FA oder MFA. Je nach Methode ist sie aber möglicherweise nicht phishingresistent.
- **Phishingresistente MFA:** Bietet Auditoren und Aufsichtsbehörden tendenziell das höchste Maß an Sicherheit und erfüllt strenge Anforderungen an sichere Logins.
- **Passkeys:** Entsprechen bereits den FIDO2-Standards, welche die Sicherheitsanforderungen der meisten regulierten Branchen erfüllen oder übertreffen.

### 3.5 Vergleichstabelle

| **Kriterium** | **Passwortlos** | **Phishingresistente MFA** | **Passkeys** |
| --- | :---: | :---: | :---: |
| **Sicherheit** | 4 | 5 | 5 |
| **Nutzererlebnis und Akzeptanz** | 4 | 3 | 5 |
| **Implementierung und Kosten** | 4 | 3 | 3 |
| **Regulierung und Compliance** | 3 | 5 | 5 |

## 4. Praktische Beispiele und Anwendungsfälle

### 4.1 E-Commerce-Anbieter Mercari steigert Login-Erfolg mit Passkeys gegenüber SMS-Einmalcodes

Mercari nutzte ursprünglich SMS-Einmalcodes, um Logins abzusichern und Transaktionen zu bestätigen. Der weltweite Nachrichtenversand verursachte erhebliche Gebühren. Gelegentlich beschwerten sich Nutzer zudem über verspätete oder fehlende Codes.

**Ergebnisse:**

- **Deutlich geringere Kosten:** Durch den Wegfall des Großteils der SMS senkte Mercari die Nachrichtenkosten für Einmalcodes erheblich.
- **Höhere Sicherheit:** Passkeys sind gegen SIM-Swapping und Phishing resistent, weil sie asymmetrische Kryptografie nutzen, die an die legitime Domain der [Fluggesellschaft](https://www.corbado.com/passkeys-for-airlines) gebunden ist.
- **Mehr erfolgreiche Logins:** Mit Passkeys lag die Erfolgsrate bei Logins bei 82,5 %, gegenüber 67,7 % mit SMS-Einmalcodes.

**Wichtigste Erkenntnis:**\
Der Wechsel zu Passkeys kann für Organisationen mit vielen Nutzer-Logins entscheidend sein. Neben höherer Sicherheit können die Einsparungen bei SMS-Einmalcodes das Geschäftsergebnis erheblich verbessern.

### 4.2 SaaS-Start-ups nutzen Magic Links für eine einfache passwortlose Registrierung

SaaS-Start-ups setzen häufig auf Magic Links, da diese Methode eine schnelle Registrierung ermöglicht und Supportanfragen wegen vergessener Passwörter drastisch reduziert.

**Ergebnisse:**

- **Weniger Hürden bei der Registrierung:** Die Abbruchrate sank um mehr als 30 %, wodurch die Conversion-Rate stieg.
- **Weniger Supporttickets:** Anfragen zum Zurücksetzen von Passwörtern gingen stark zurück. So konnte sich das kleine Supportteam des Start-ups auf produktbezogene Fragen konzentrieren.
- **Flexible Weiterentwicklung:** Da Magic Links relativ einfach zu implementieren und zu verbessern sind, lässt sich der Ablauf leicht anpassen. Das verbessert die [allgemeine Zufriedenheit mit dem Onboarding](https://theproductmanager.com/tools/best-user-onboarding-software/).

**Wichtigste Erkenntnis:**\
Für SaaS-Start-ups vereinfachen passwortlose Lösungen wie Magic Links nicht nur die Registrierung, sondern reduzieren auch den Betriebsaufwand für die Passwortverwaltung. Das ist gerade in frühen Wachstumsphasen ein wichtiger Vorteil.

### 4.3 MyGov erhöht die Sicherheit und verhindert Phishing bei Bürgerkonten

MyGov ist ein australisches [Regierungsportal](https://www.corbado.com/passkeys-for-public-sector), das Zugang zu mehreren [Behördendiensten](https://www.corbado.com/passkeys-for-public-sector) bietet, etwa Medicare, Centrelink und dem Australian Taxation Office. Der Umgang mit sensiblen personenbezogenen Daten unterwirft MyGov strengen Vorschriften und erhöhter öffentlicher Kontrolle.

**Ergebnisse:**

- **Wachsende Akzeptanz:** Passkeys wurden innerhalb von drei Monaten für 200.000 Nutzer eingeführt.
- **Starke Compliance:** Durch kryptografische Bindung an den Ursprung mittels Hardware-Tokens und sicherer App-Lösungen erfüllte MyGov die Essential Eight der ASD und weitere nationale Cybersicherheitsvorgaben.
- **Weniger Phishing-Vorfälle:** Gestohlene Zugangsdaten ließen sich ohne das legitime Hardware-Token oder den gerätegebundenen Schlüssel deutlich schwerer wiederverwenden.
- **Mehr öffentliches Vertrauen:** Die Hervorhebung robuster MFA-Lösungen stärkte das Vertrauen der Nutzer in einer Zeit wachsender Sorgen über Datenlecks.

**Wichtigste Erkenntnis:**\
Für [Behörden](https://www.corbado.com/passkeys-for-public-sector), Unternehmen im [öffentlichen Sektor](https://www.corbado.com/passkeys-for-public-sector) und Organisationen in stark regulierten Branchen ist phishingresistente MFA nicht nur für die Sicherheit entscheidend, sondern auch für die Einhaltung sich weiterentwickelnder Standards.

## 5. Wie Corbado helfen kann

Die Tabelle in Abschnitt 3.5 bewertet drei Optionen abstrakt. Für eine fundierte Entscheidung braucht es eine Version auf Basis des eigenen Logins: Die Zeilen enthalten die tatsächlich genutzten Methoden und die Bewertungen zeigen Abschlussraten statt einer Fünf-Punkte-Skala. [Corbado Observe](https://www.corbado.com/observe), die Observability-Ebene für Authentifizierung, erstellt diese Auswertung.

- **Der tatsächliche Methodenmix:** Jeder Login wird in Teilabläufe eingeteilt: Passwort, Passkey, Social Login, SMS-Einmalcode, E-Mail-Einmalcode, TOTP und App-Bestätigung. Der Anteil und die Erfolgsrate jeder Methode bilden den Ausgangspunkt für die Wahl zwischen den drei Kategorien dieses Beitrags.
- **Wo jede Methode Nutzer verliert:** Login Friction zerlegt jeden begonnenen Login in Kategorien wie Wiederherstellung, Wechsel zu einer anderen Methode, Abbruch, Fehler, Zurücksetzung und problemloser Ablauf. Die Aufschlüsselung nach Methode macht messbar, wie stark passwortlose Verfahren den Aufwand im eigenen Login-Verkehr reduzieren.
- **Der Wert einer phishingresistenten Option im Vergleich:** Method Uplift ordnet Login-Abläufe nach den jeweils verfügbaren Methoden: nur Passwort, Passwort mit Passkey, Passwort mit Social Login oder alle drei. Jedes Bündel wird mit der reinen Passwortanmeldung als Ausgangswert verglichen. Da alle Bündel im selben Zeitraum betrachtet werden, lässt sich die Akzeptanzfrage aus Abschnitt 3.2 für das eigene Produkt beantworten, ohne einen Umstellungstermin für einen Vorher-nachher-Vergleich abwarten zu müssen.
- **Kein Passkey-Programm erforderlich:** Observe funktioniert mit dem bestehenden Login. Besteht dieser aus Passwort und SMS-Code, misst Observe beide. Dort beginnen die meisten Entscheidungen in diesem Beitrag.

[Video: Login methods](https://www.corbado.com/videos/features/login-methods.mp4) ([See Login Methods in Corbado Observe](https://www.corbado.com/observe/login-methods))

Fällt die Entscheidung für Passkeys, übernimmt [Corbado Connect](https://www.corbado.com/connect) die Umsetzung. Gezielte Aufforderungen und [Passkey Intelligence](https://docs.corbado.com/corbado-connect/features/passkey-intelligence) steuern, welche Nutzer das Angebot wann sehen. So wird der in Abschnitt 3.2 beschriebene Vorteil beim Nutzererlebnis in eine bis zu zehnmal höhere Passkey-Akzeptanz umgesetzt.

## 6. Fazit

Nach dem Vergleich herkömmlicher Passwörter, Passkeys, passwortloser Optionen und phishingresistenter MFA fassen wir die Erkenntnisse zusammen.

Jede Methode bietet eigene Vorteile:

- **Passwortlos:** Eine deutliche Verbesserung gegenüber Passwörtern, die den Aufwand für Nutzer und die Supportkosten senkt, aber nicht immer vor Phishing schützt.
- **Phishingresistente MFA:** Bietet ein hohes Sicherheitsniveau für risikoreiche Umgebungen und verhindert, dass Angreifer menschliche Fehler ausnutzen.
- **Passkeys:** Vereinen die Vorteile: Sie sind passwortlos, von Natur aus phishingresistente MFA und werden von Branchenpionieren unterstützt. Sie bieten höchste Sicherheit, ohne das Nutzererlebnis zu beeinträchtigen.

Wer die Authentifizierung jetzt modernisiert, verbessert nicht nur die Sicherheit, sondern positioniert sein Unternehmen auch als zukunftsorientierte, nutzerzentrierte Organisation, die für die digitale Wirtschaft gerüstet ist.