Passkey Index 2026: ein Drittel der Anmeldungen ohne Passwort, und ein Raster für den Einstieg

Am 15. Oktober 2026, zur Eröffnung ihrer Konferenz Authenticate, hat die FIDO Alliance die zweite Ausgabe ihres Passkey Index veröffentlicht und ihre weltweite Schätzung angehoben: rund 7 Milliarden Passkeys sind inzwischen im Einsatz, gegenüber 5 Milliarden im Mai. Hinter der spektakulären Zahl liegt der eigentliche Wert des Berichts woanders: fünfzehn große Verbraucherdienste, darunter Banken, Messenger, Telekommunikationsanbieter und Zahlungsplattformen, haben ihre realen Anmeldedaten geteilt. Für ein Produktteam lässt sich damit erstmals vergleichen, was Passkeys versprechen und was sie im großen Maßstab liefern.

Was die Zahlen sagen

• Mehr als jede dritte erfolgreiche Anmeldung läuft über einen Passkey: im Schnitt 36 % über alle Teilnehmer, gegenüber 26 % in der Ausgabe 2025.
• Passkeys gelingen häufiger: 93 % der Versuche sind erfolgreich, gegenüber 78 % bei Passwörtern und klassischer Multi-Faktor-Authentifizierung, SMS-Codes eingeschlossen. Sie sind fast dreimal schneller und sparen im Schnitt 27 Sekunden pro Anmeldung.
• Die Berechtigung ist nahezu flächendeckend: 90 % der aktiven Konten können einen Passkey anlegen, und 42 % der berechtigten Konten besitzen einen, also rund 38 % aller Konten.
• Die Lücke zwischen Einrichtung und Nutzung schließt sich: 38 % ausgestattete Konten bei 36 % der Anmeldungen, gegenüber 34 % und 26 % im Vorjahr.
• Der Sicherheitsgewinn wird endlich gemessen: alle acht Teilnehmer, die Phishing erfassen, melden seit der Einführung weniger erfolgreiche Angriffe, und die vier, die Kostendaten geteilt haben, sehen ihre Rechnung für SMS-Codes sinken.
• Der nächste Schritt steht fest: neun von dreizehn Teilnehmern wollen innerhalb von zwölf Monaten Konten ganz ohne Passwort anbieten.

Die FIDO Alliance benennt die Grenzen selbst: Die Durchschnitte sind ungewichtet, ein kleiner Dienst zählt also so viel wie eine globale Plattform, und das Panel ist von neun auf fünfzehn Teilnehmer gewachsen, was den Vergleich mit 2025 eher richtungsweisend als strikt macht. Die Größenordnungen weisen jedoch alle in dieselbe Richtung.

Die eigentliche Hürde ist nicht mehr technisch

Der Bericht benennt eine konkrete Ursache für die Lücke zwischen ausgestatteten Konten und tatsächlichen Anmeldungen: Zwei Teilnehmer räumen ein, dass ihre Anmeldestrecke weiterhin das Passwort oder einen Code vor dem Passkey anbietet, selbst Nutzern, die einen besitzen. Mit anderen Worten: Die Technik ist da, Browser und Betriebssysteme unterstützen sie, aber der Anmeldebildschirm schiebt weiter die alte Methode nach vorn. Dabei verpufft der Sicherheitsgewinn eines Passkeys, solange ein phishbares Passwort auf demselben Konto akzeptiert bleibt. Das ist eine Frage der Gestaltung der Anmeldestrecke, also eine Produktentscheidung, kein Infrastrukturprojekt.

Das FIDO-Raster: vier Stufen zur Selbsteinschätzung

Um Teams über diese Schwelle zu helfen, veröffentlicht die FIDO Alliance auf Passkey Central ein Bewertungsraster mit vier aufeinander aufbauenden Stufen. Es ist ein Werkzeug zur Selbstdiagnose, keine Zertifizierung.

• Bronze, das funktionale Fundament: mehrere Passkeys pro Konto, um Aussperrungen zu vermeiden, eine sichtbare Verwaltungsseite, ausdrückliche Rückfalloptionen und eine einheitliche Wortwahl.
• Silber, das empfohlene Ziel zum Start: automatisches Ausfüllen im Anmeldefeld, Aufforderung zum Anlegen eines Passkeys zum passenden Zeitpunkt, Fehlerbehandlung und Barrierefreiheit.
• Gold: automatische Umwandlung eines gespeicherten Passworts in einen Passkey nach erfolgreicher Anmeldung, mit Benachrichtigung, Anbindung der Signal API zum Entfernen ungültig gewordener Passkeys und eine dem Risiko angemessene Kontowiederherstellung.
• Platin: Abschaffung phishbarer Faktoren, also Passwörter und SMS-Codes, und Abstimmung zwischen den verschiedenen Domains derselben Marke.

Das Raster listet auch häufige Fehler auf: das blockierende Fenster, das die Passkey-Erstellung erzwingt, die Beschränkung auf einen einzigen Passkey pro Konto oder die stille Umwandlung ohne Hinweis an den Nutzer.

Wer betroffen ist

Jeder Dienst, der Personen authentifiziert: Kundenportal, Mitgliederbereich, interne Fachanwendung, SaaS-Werkzeug. Entscheider finden hier ein beziffertes Argument zu SMS-Kosten und Betrug; Produktteams eine lesbare Roadmap; Sicherheitsteams einen Praxisbeleg für die Phishing-Resistenz. Organisationen, die Passkeys für ihre Mitarbeitenden ausrollen, haben auf Passkey Central jetzt einen eigenen Bereich mit Einführungsleitfaden und dokumentierten Fallbeispielen.

Womit Sie anfangen

1. Messen Sie drei Kennzahlen: Anteil berechtigter Konten, Anteil ausgestatteter Konten, Anteil erfolgreicher Anmeldungen per Passkey. Ohne diese Zahlen lässt sich keine Entscheidung begründen.
2. Ordnen Sie sich im Raster ein. Die beiden Lücken, die das Raster selbst als häufigste nennt, sind die Beschränkung auf einen Passkey pro Konto und das Fehlen einer Verwaltungsseite.
3. Machen Sie den Passkey zum Standardweg für alle, die einen besitzen, mit dem automatischen Ausfüllen des Browsers. Dort entscheidet sich die Lücke zwischen 38 % und 36 %.
4. Bereiten Sie das passwortlose Konto für die Nutzergruppen vor, die bereit sind, beginnend mit Konten mit hohem Risiko, und legen Sie die Wiederherstellung fest, bevor Sie den Rückfallweg entfernen.
5. Budgetieren Sie die SMS-Einsparung: Sie ist oft der Posten, der das Projekt finanziert.

Wir begleiten Produkt- und Technikteams bei dieser Bestandsaufnahme und bei der Gestaltung der Anmeldestrecke, vom Bronze-Fundament bis zum passwortlosen Konto. Sprechen wir über Ihre Anmeldestrecke.