Ein Blick aufs Display, ein Fingerabdruck oder die Geräte-PIN: Mit Passkeys wird die Anmeldung bei vielen Onlinediensten angenehm unkompliziert. Bis das Smartphone plötzlich weg ist. Dann stellt sich eine Frage, die bei der Einrichtung häufig zu kurz kommt: Wie kommst du jetzt noch in deine Konten?
Die gute Nachricht: Ein verlorenes Handy bedeutet nicht automatisch, dass alle darauf verwendeten Passkeys und Kontozugänge verloren sind. Entscheidend ist, wo deine Passkeys gespeichert wurden, ob weitere Anmeldemöglichkeiten bestehen und wie du den Zugang zu deinem Passkey-Anbieter wiederherstellen kannst. Ein Ersatzgerät allein löst das Problem nicht in jedem Fall.
Dieser Ratgeber zeigt dir, welche Unterschiede wichtig sind, wie du nach einem Geräteverlust vorgehst und welche Vorbereitung dir später viel Ärger ersparen kann.
Das Wichtigste zuerst: Handy weg heißt nicht automatisch Konto weg
Für den Ernstfall solltest du drei Situationen auseinanderhalten:
- Deine Passkeys sind synchronisiert: Sie können auf weiteren freigegebenen Geräten verfügbar sein oder auf einem Ersatzgerät wieder zugänglich werden. Dafür müssen die Voraussetzungen des verwendeten Passkey-Anbieters erfüllt sein.
- Dein Passkey ist ausschließlich an das verlorene Gerät gebunden: Diesen Schlüssel kannst du nicht einfach auf einem neuen Handy wiederherstellen. Du brauchst einen anderen registrierten Anmeldeweg oder die Kontowiederherstellung des betroffenen Dienstes.
- Du hast einen unabhängigen Ersatz vorbereitet: Ein separat registrierter Sicherheitsschlüssel oder ein anderer funktionierender Zugang kann dich vor einer vollständigen Aussperrung bewahren.
Wichtig: Ein Passkey ist nicht dasselbe wie dein Fingerabdruck. Der Fingerabdruck, die Gesichtserkennung oder eine PIN gibt die Nutzung des gespeicherten Schlüssels frei. Dass dein neues Handy dein Gesicht erkennt, stellt einen fehlenden Passkey deshalb noch nicht wieder her.
Wie funktioniert ein Passkey überhaupt?
Passkeys beruhen auf einem kryptografischen Schlüsselpaar. Der Onlinedienst speichert den öffentlichen Schlüssel. Der dazugehörige private Schlüssel wird von deinem Authentifikator verwaltet, beispielsweise einem Smartphone, einem Passwortmanager oder einem FIDO2-Sicherheitsschlüssel. Bei der Anmeldung wird kryptografisch nachgewiesen, dass du den passenden Schlüssel verwenden kannst. Der private Schlüssel wird dabei nicht an die Webseite geschickt.
Außerdem ist die Anmeldung an den jeweiligen Dienst gebunden. Eine nachgebaute Loginseite auf einer anderen Domain kann den Passkey des echten Dienstes nicht einfach wie ein eingetipptes Passwort abfangen. Das macht Passkeys besonders widerstandsfähig gegen klassisches Zugangsdaten-Phishing.
Die Freigabe per Gesicht oder Fingerabdruck findet bei üblichen Geräteverfahren lokal statt. Die besuchte Webseite bekommt dadurch keinen Fingerabdruck zur Prüfung zugeschickt. Wer die verschiedenen Einsatzgebiete besser einordnen möchte, findet weitere Hintergründe in unserem Beitrag über biometrische Daten und ihre Sicherheitsfragen.
Synchronisiert oder gerätegebunden: Der entscheidende Unterschied
Die Bezeichnung „Passkey auf meinem Handy“ ist ungenau. Sie sagt nicht, ob dieser Zugang ausschließlich auf dem Gerät liegt oder über einen Anbieter auch auf weiteren Geräten verfügbar ist.
| Speicherart | Was passiert beim Geräteverlust? | Was hilft? |
|---|---|---|
| Synchronisierter Passkey, beispielsweise in einem unterstützten Cloud-Schlüsselbund oder Passwortmanager | Der Verlust eines einzelnen Geräts muss den Schlüssel nicht unzugänglich machen. | Ein weiteres freigegebenes Gerät oder die erfolgreiche Wiederherstellung des Passkey-Speichers. |
| Gerätegebundener Passkey auf einem Smartphone oder Computer | Der Schlüssel lässt sich nicht auf ein Ersatzgerät kopieren. | Ein anderer registrierter Zugang oder die Wiederherstellung beim jeweiligen Onlinedienst. |
| Passkey auf einem FIDO2-Hardware-Sicherheitsschlüssel | Das verlorene Handy ist für diesen Schlüssel nicht der Speicherort. Geht der Sicherheitsschlüssel selbst verloren, ist dessen Passkey nicht einfach wiederherstellbar. | Den vorhandenen Schlüssel an einem kompatiblen Ersatzgerät verwenden oder einen separat registrierten Ersatz nutzen. |
Auch innerhalb eines Geräts können unterschiedliche Speicherorte angeboten werden. Dass du einen Passkey auf einem iPhone angelegt hast, sagt beispielsweise noch nicht abschließend, ob er über Apples Passwortverwaltung oder einen anderen unterstützten Anbieter verwaltet wird. Achte deshalb schon beim Erstellen darauf, welcher Speicheranbieter tatsächlich ausgewählt ist.
Zwei Wiederherstellungen, die du unterscheiden musst
Nach einem Handyverlust können zwei verschiedene Aufgaben auf dich zukommen:
- Den Passkey-Speicher wieder zugänglich machen: Du richtest beispielsweise den verwendeten Passwortmanager auf einem Ersatzgerät ein und erfüllst dessen Anforderungen zum Entschlüsseln deiner gespeicherten Passkeys.
- Ein einzelnes Onlinekonto wiederherstellen: Du kommst nicht mehr an den bisherigen Passkey und nutzt stattdessen die vom betreffenden Dienst angebotenen Ersatzverfahren.
Das klingt ähnlich, führt aber über unterschiedliche Wege. Wenn dein synchronisierter Speicher wieder funktioniert, können mehrere Zugänge zurückkehren. Wenn dieser Weg scheitert, musst du möglicherweise jedes betroffene Onlinekonto einzeln wieder zugänglich machen.
Dabei gilt: Ein erfolgreich zurückgesetztes Kontopasswort garantiert nicht automatisch den Zugriff auf Ende-zu-Ende-verschlüsselte Passkeys. Für deren Entschlüsselung können zusätzliche Nachweise nötig sein. Welche das sind, hängt vom Anbieter und deiner Einrichtung ab.
Handy verloren: So gehst du Schritt für Schritt vor
1. Sichere das vermisste Gerät
Nutze die vorgesehene Geräteortung, um das Smartphone zu suchen und, soweit möglich, aus der Ferne zu sperren beziehungsweise als verloren zu markieren. Bei einem Diebstahl oder dauerhaftem Verlust solltest du außerdem die SIM oder eSIM über deinen Mobilfunkanbieter sperren lassen. Kümmere dich zugleich darum, wie du deine Rufnummer auf einem Ersatzgerät wieder nutzen kannst.
Eine Rufnummer ersetzt keinen Passkey. Sie kann aber für andere Sicherheitsabfragen oder Wiederherstellungsverfahren wichtig sein. Deshalb gehören Mobilfunkzugang und Kontowiederherstellung in denselben Notfallplan.
Bei Apple ist eine Besonderheit wichtig: Entferne ein gestohlenes iPhone nicht vorschnell aus „Wo ist?“. Dadurch würde die Aktivierungssperre aufgehoben. Eine Gerätesperre, das Beenden einer Kontositzung und das Entfernen aus einer Ortungsliste sind unterschiedliche Vorgänge. Prüfe die Beschreibung der jeweiligen Funktion, bevor du bestätigst.
2. Prüfe deine noch verfügbaren Geräte
Hast du einen Laptop, ein Tablet oder ein zweites Smartphone, auf dem deine Passkeys bereits nutzbar sind? Dann versuche zunächst dort eine reguläre Anmeldung. Entscheidend ist, ob der benötigte Passkey tatsächlich verfügbar ist. Dass auf dem Gerät derselbe Browser installiert ist, reicht allein nicht aus.
Auch eine bestehende Sitzung in einem wichtigen Konto kann hilfreich sein. Sie garantiert jedoch nicht, dass du Sicherheitsoptionen sofort ändern darfst: Dafür kann der Dienst eine erneute Bestätigung verlangen. Melde dich daher nicht unnötig von deinen noch funktionierenden Geräten ab, bevor du deine Zugänge geprüft hast.
3. Verwende einen vorbereiteten Ersatzweg
Wenn kein weiterer synchronisierter Zugang funktioniert, prüfe die Alternativen des betreffenden Dienstes. Dazu können ein zusätzlich registrierter Passkey, ein Hardware-Sicherheitsschlüssel, Wiederherstellungscodes oder ein weiterhin eingerichtetes Passwort mit zweitem Faktor gehören.
Welche Kombination angeboten wird, entscheidet der Dienst. Ein Passwort genügt beispielsweise nicht, wenn anschließend ein Bestätigungscode verlangt wird, der nur auf dem verlorenen Smartphone verfügbar war. Suche deshalb nach einem vollständigen Anmeldeweg, nicht nur nach einem einzelnen noch bekannten Geheimnis.
4. Richte den Passkey-Anbieter auf dem Ersatzgerät ein
Melde dich beim tatsächlich verwendeten Anbieter an und folge dessen Freigabe- beziehungsweise Wiederherstellungsprozess. Je nach System kann neben dem Kontozugang eine bisherige Geräte-PIN, eine spezielle Passwortmanager-PIN, ein bereits vertrauenswürdiges Gerät oder eine andere eingerichtete Wiederherstellungsmöglichkeit erforderlich sein.
Vermeide vorschnelle Optionen wie „verschlüsselte Daten zurücksetzen“ oder „alle Passkeys löschen“. Ein solcher Schritt ist nicht zwangsläufig eine Reparatur. Er kann bedeuten, dass vorhandene Passkeys endgültig aus diesem Speicher entfernt werden und für die einzelnen Dienste neu eingerichtet werden müssen.
5. Prüfe Konten und entziehe dem verlorenen Gerät den Zugriff
Kontrolliere nach der Wiederherstellung deine wichtigen Konten: Welche Geräte sind angemeldet? Gibt es unbekannte Sitzungen, neue Wiederherstellungsadressen oder geänderte Sicherheitseinstellungen? Beende betroffene Sitzungen und nutze die angebotenen Verfahren zum Widerruf kompromittierter Zugänge.
Ein Passkey und eine bestehende Sitzung sind getrennte Dinge. Das Entfernen eines Passkeys beendet nicht automatisch jede bereits aktive Anmeldung. Umgekehrt macht das Beenden einer Sitzung einen registrierten Passkey nicht zwangsläufig ungültig.
Was gilt bei Apple, Google und anderen Passwortmanagern?
Apple: Der iCloud-Schlüsselbund muss wieder zugänglich sein
Wenn deine Passkeys über den iCloud-Schlüsselbund synchronisiert werden, können sie auf weiteren entsprechend eingerichteten Apple-Geräten verfügbar sein. Auf einem Ersatzgerät müssen die Anmeldung beim Apple Account und der Zugriff auf den geschützten Schlüsselbund gelingen.
Apples Wiederherstellung berücksichtigt zusätzliche Sicherheitsnachweise. Ein zuvor eingerichteter Wiederherstellungskontakt kann dabei helfen, wenn du den Zugang verlierst. Er erhält dadurch keinen freien Einblick in deine gespeicherten Passwörter und Passkeys.
Verlasse dich deshalb nicht allein auf die Aussage „Ich kenne mein Apple-Passwort“. Prüfe vorher die vertrauenswürdigen Rufnummern, verfügbaren Geräte und eingerichteten Wiederherstellungsoptionen. Der genaue Ablauf richtet sich nach deiner Kontokonfiguration.
Google: Kontozugang und Entschlüsselung getrennt betrachten
Im Google Passwortmanager gespeicherte Passkeys lassen sich auf unterstützten Geräten mit demselben Google-Konto nutzen. Für den Zugriff auf vorhandene Passkeys kann zusätzlich die Google-Passwortmanager-PIN oder die Displaysperre eines bisherigen Android-Geräts verlangt werden.
Wichtig ist die Unterscheidung zwischen dem Passwortmanager und der Anmeldung beim Google-Konto selbst. Wenn dein einziger Weg in das Google-Konto auf dem verlorenen Handy lag, brauchst du zunächst einen anderen verfügbaren Anmelde- oder Wiederherstellungsweg.
Google weist außerdem darauf hin, dass ein Zurücksetzen der Passkeys deren Löschung bedeuten kann. Eine vergessene Entschlüsselungs-PIN sollte deshalb nicht durch unüberlegtes Zurücksetzen „gelöst“ werden, solange noch andere freigegebene Geräte oder Wiederherstellungswege geprüft werden können.
Andere Passwortmanager: Die jeweilige Notfallregel zählt
Bei einem eigenständigen Passwortmanager hängt der Zugriff auf dem neuen Handy von dessen Sicherheitsmodell ab. Prüfe die Hilfe des konkreten Anbieters: Was brauchst du für ein neues Gerät? Gibt es einen zusätzlichen Schlüssel oder einen Notfallnachweis? Was passiert, wenn zugleich der zweite Faktor fehlt?
Ein Test ist aussagekräftiger als eine Vermutung. Wenn du einen Passwortmanager bewusst als geräteübergreifenden Speicher nutzt, solltest du vor dem Notfall überprüft haben, wie du ihn auf einem weiteren eigenen Gerät freischaltest.
Kann ein Finder oder Dieb meine Passkeys benutzen?
Der Besitz des Smartphones bedeutet nicht automatisch, dass jemand deine Passkeys verwenden kann. Die Freigabe ist üblicherweise durch die vorgesehenen Geräte- oder Authentifikatorverfahren geschützt. Trotzdem solltest du einen Verlust ernst nehmen.
Besonders kritisch ist, wenn das Gerät entsperrt verloren ging oder eine andere Person deinen Entsperrcode kennt. Außerdem können bereits geöffnete Apps und aktive Kontositzungen unabhängig von einer neuen Passkey-Anmeldung relevant sein. Eine starke Displaysperre und die verfügbaren Diebstahlschutzfunktionen bleiben deshalb wichtig.
Passkeys verbessern den Schutz der Anmeldung. Sie beseitigen jedoch nicht jede andere Angriffsmöglichkeit auf ein Konto. Warum sichere Zugänge so wichtig sind, zeigt auch unser Beitrag über den Handel mit geleakten Zugangsdaten.
Passkeys entfernen: Vorsicht bei synchronisierten Schlüsseln
Nach einem Diebstahl liegt der Gedanke nahe, einfach den Eintrag mit dem Namen des verlorenen Handys zu löschen. Bei synchronisierten Passkeys ist aber Vorsicht nötig: Ein beim Onlinedienst registrierter Schlüssel kann auf mehreren Geräten verfügbar sein. Der Widerruf dieses Schlüssels kann deshalb auch deine verbliebenen Kopien betreffen.
Außerdem ist das Löschen im Passwortmanager nicht dasselbe wie der Widerruf beim Onlinedienst. Wenn ein Schlüssel beim Dienst nicht mehr akzeptiert werden soll, muss die passende Registrierung dort entfernt werden. Eine lokale Löschung allein ist dafür kein verlässlicher Ersatz.
Prüfe daher sorgfältig, welchen Eintrag du entfernst. Wenn möglich, teste vorher einen unabhängigen Ersatzweg. Bei Verdacht auf unberechtigten Zugriff darf die Absicherung allerdings nicht unnötig aufgeschoben werden.
So bereitest du dich auf einen Geräteverlust vor
Richte für wichtige Konten einen unabhängigen Ersatz ein
Mehrere synchronisierte Geräte helfen beim Verlust eines einzelnen Smartphones. Sie können aber weiterhin vom selben Passkey-Anbieter abhängen. Für besonders wichtige Konten lohnt sich daher, soweit unterstützt, ein separat registrierter Ersatz in einem anderen Speicher oder auf einem Hardware-Sicherheitsschlüssel.
Ein zweiter Sicherheitsschlüssel muss bei den jeweiligen Konten selbst registriert werden. Er ist nicht automatisch eine Kopie des ersten. Bewahre den Ersatz getrennt von Handy und täglich genutztem Schlüssel auf.
Vermeide eine Wiederherstellung im Kreis
Ein typischer Fehler: Der Zugang zum Passwortmanager liegt nur im E-Mail-Konto, dessen Zugang wiederum ausschließlich im gesperrten Passwortmanager gespeichert ist. Oder sämtliche Wiederherstellungscodes liegen als Screenshot auf dem Handy, dessen Verlust du absichern möchtest.
Gehe für deine wichtigsten Konten gedanklich durch: „Das Handy ist weg. Wie komme ich jetzt hinein?“ Jeder Schritt muss mit etwas möglich sein, das dir tatsächlich noch zur Verfügung steht. Eine Ersatzadresse hilft wenig, wenn sie am selben verlorenen Gerät und ohne weiteren Zugang hängt.
Bewahre Wiederherstellungsdaten sicher und erreichbar auf
Wenn ein Dienst Wiederherstellungscodes anbietet, bewahre sie so auf, dass sie bei Geräteverlust verfügbar sind und nicht offen herumliegen. Eine geschützte physische Notfallablage kann dafür geeignet sein. Entscheidend sind die Art der Daten und dein persönliches Umfeld.
Notiere auch, welcher Passkey-Anbieter zu welchem wichtigen Konto gehört. Dafür genügt eine Übersicht ohne geheime Schlüssel. Sie spart dir im Notfall die Suche, ob ein Zugang in der Apple-Passwortverwaltung, im Google Passwortmanager oder in einem anderen Speicher liegt.
Teste den Notfall, ohne funktionierende Zugänge zu löschen
Lege dein Handy zur Seite und versuche eine Anmeldung an einem weiteren eigenen Gerät. Prüfe auch den vorgesehenen Ersatzweg. Lösche dafür keine Passkeys, setze keinen Schlüssel zurück und melde dich nicht vorschnell überall ab.
So erkennst du, ob dein Plan tatsächlich ohne Smartphone funktioniert. Die Frage, wo du Daten speicherst und wovon deren Verfügbarkeit abhängt, spielt auch bei anderen Sicherheitsentscheidungen eine Rolle. Dazu passt unser Vergleich von Cloud und On-Premise.
Checkliste: Funktioniert dein Zugang auch ohne Handy?
- Ich weiß, welcher Anbieter meine wichtigen Passkeys speichert.
- Ich kenne den Unterschied zwischen synchronisierten und ausschließlich gerätegebundenen Passkeys.
- Für mein Haupt-E-Mail-Konto besteht ein getesteter Ersatzweg.
- Ich kann den Passkey-Anbieter auch ohne das verlorene Smartphone wieder zugänglich machen.
- Benötigte Wiederherstellungsdaten liegen nicht ausschließlich auf dem Handy.
- Ein zusätzlicher Sicherheitsschlüssel ist bei den betreffenden Konten registriert und getrennt aufbewahrt.
- Meine Wiederherstellungsadressen und Rufnummern sind aktuell.
- Ich weiß, wie ich das Gerät sperren und die SIM beziehungsweise eSIM sperren lassen kann.
- Ich habe die Anmeldung ohne Smartphone ausprobiert.
Häufige Fragen zu Passkeys bei Handyverlust
Reicht ein neues Handy mit derselben Rufnummer?
Nein. Passkeys werden nicht auf der SIM-Karte gespeichert. Deine Rufnummer kann bei Sicherheitsabfragen helfen, stellt aber weder einen gerätegebundenen Passkey noch automatisch deinen verschlüsselten Passkey-Speicher wieder her.
Hilft mir der QR-Code am Computer, wenn das Handy weg ist?
Wenn der QR-Code für die Anmeldung mit einem Passkey auf einem anderen Gerät gedacht ist, brauchst du dieses Gerät weiterhin. Der Code holt den verlorenen Schlüssel nicht zurück. Ein anderes verfügbares Gerät mit passendem Passkey kann dagegen je nach Dienst und Verfahren genutzt werden.
Kann ich Passkeys ausdrucken?
Ein Passkey ist kein Kennwort zum Abschreiben. Druckbare Wiederherstellungscodes sind separate Zugangsmöglichkeiten des jeweiligen Dienstes. Auch die Möglichkeit, Passkeys zwischen Speichern zu übertragen, hängt von der Unterstützung der beteiligten Anbieter ab.
Sind Passkeys nach dem Wechsel von Android zu iPhone automatisch da?
Nicht pauschal. Entscheidend ist, ob dein bisheriger Passkey-Anbieter auf dem neuen Gerät unterstützt wird oder eine geeignete Übertragung möglich ist. Der Wechsel des Betriebssystems überführt nicht automatisch alle Einträge in die Passwortverwaltung des neuen Anbieters.
Kann der Support meinen verlorenen Passkey zurückholen?
Einen ausschließlich auf verlorener Hardware vorhandenen privaten Schlüssel kann der Support nicht einfach rekonstruieren. Der Dienst kann möglicherweise einen anderen Weg zur Kontowiederherstellung anbieten. Ob das gelingt, hängt von seinen Regeln und deinen verfügbaren Nachweisen ab. Ohne geeigneten Ersatz ist auch ein dauerhafter Zugangsverlust möglich.
Soll ich nach der Passkey-Einrichtung mein Passwort löschen?
Das sollte keine pauschale Entscheidung sein. Prüfe zunächst die Regeln des Dienstes und deine vollständigen Ersatzwege. Wenn ein Passwort als Alternative bestehen bleibt, sollte es einzigartig und angemessen geschützt sein. Entferne keinen funktionierenden Zugang, bevor die vorgesehenen Alternativen eingerichtet und getestet sind.
Fazit: Der Ersatzweg gehört zur Einrichtung dazu
Passkeys können die tägliche Anmeldung einfacher und sicherer machen. Ob du nach einem Handyverlust schnell wieder Zugang bekommst, entscheidet sich jedoch an der Speicherung und deiner Vorbereitung. Synchronisierung hilft beim Verlust eines einzelnen Geräts. Ein unabhängiger Ersatzweg schützt zusätzlich, wenn auch der Zugang zum Passkey-Speicher Probleme macht.
Prüfe deshalb vor allem dein Haupt-E-Mail-Konto, den verwendeten Passkey-Anbieter und besonders wichtige Dienste. Wenn du dich dort auch ohne Smartphone anmelden kannst, ist der Verlust des Geräts weiterhin ärgerlich – aber nicht automatisch der Verlust deines digitalen Zugangs.
