Passkeys bei GMX und web.de: Sicherheitsgewinn oder Tür zu Big Tech?

GMX und web.de haben Passkeys eingeführt. Die Meldung kam über Heise, der Ton war erwartbar: Mehr Sicherheit, mehr Komfort, keine Passwörter mehr. Alles klingt gut. Und technisch betrachtet ist Passkeys tatsächlich eine sinnvolle Entwicklung.

Aber ich habe ein Problem damit. Nicht mit dem Standard. Mit dem, was dahinter passiert.

Was Passkeys eigentlich sind

Kurz für alle, die das noch nicht kennen: Ein Passkey funktioniert über ein kryptografisches Schlüsselpaar. Der private Schlüssel bleibt auf dem Gerät, der öffentliche liegt beim Dienst. Zur Anmeldung braucht es nur den Fingerabdruck, die Kamera oder die Geräte-PIN. Kein Passwort wird eingegeben, kein Passwort kann gestohlen werden.

Das ist deutlich phishing-resistenter als ein klassisches Passwort. Und auch besser als viele SMS-basierte Zweifaktor-Verfahren, die sich per SIM-Swap angreifen lassen. Soweit, so gut.

Das eigentliche Problem: Wer verwaltet den Schlüssel?

Hier fängt das Nachdenken an. Wenn ein normaler GMX-Nutzer einen Passkey einrichtet, passiert meistens folgendes: Der Schlüssel landet in der iCloud, in Googles Passwort-Manager oder bei Microsoft. Warum? Weil das die eingebauten Lösungen der Smartphones und Browser sind, die automatisch angeboten werden.

Und genau da liegt der Knackpunkt: Der Passkey-Standard selbst ist offen und sicher. Aber die Infrastruktur, über die er für Milliarden von Nutzern läuft, gehört Apple, Google und Microsoft.

Das heißt konkret:

Wer einen Passkey über Apple anlegt, synchronisiert seinen Login über iCloud
Wer ihn über Google anlegt, liegt in Googles Infrastruktur
Wer einen Gerätewechsel macht, braucht das Ökosystem des ursprünglichen Anbieters

Aus Sicherheitssicht: kein Problem. Aus Datenschutzsicht: eine Frage wert.

Millionen Nutzer verstehen das nicht

Und genau das ist mein eigentlicher Kritikpunkt. Nicht die Technik. Die Menschen.

GMX und web.de haben zusammen um die 40 Millionen aktive Nutzer in Deutschland. Das sind nicht 40 Millionen IT-Fachleute. Das sind Rentnerin Else, die noch nie von iCloud-Sync gehört hat. Das ist der Handwerker, der froh ist, wenn seine E-Mails funktionieren. Das ist der Jugendliche, der einfach klickt, was das Handy ihm sagt.

Diesen Menschen wird jetzt ein Feature präsentiert, das sich als Komfortgewinn verkauft. Und während sie auf "Weiter" klicken, legen sie den Grundstein dafür, dass ihr E-Mail-Login über einen US-Konzern läuft. Sie wissen das nicht. Niemand erklärt es ihnen.

Die Ökosystemfalle

Der Begriff Lock-in klingt abstrakt, aber das Prinzip ist simpel: Wer seinen Passkey für GMX in der iCloud hat, wird es sich zweimal überlegen, ob er zum Android-Wechsel wechselt. Wer alles in Google hat, bleibt in Google. Das ist kein Bug dieser Systeme, das ist ein Feature aus Konzernsicht.

Und die Kopplung geht weiter: Wenn dein Login über Googles Infrastruktur läuft, hat Google Metadaten darüber, wann du dich wo anmeldest, mit welchem Gerät, aus welchem Land. Das ist nicht dasselbe wie "Google liest deine E-Mails". Aber es ist auch nicht nichts.

Gibt es bessere Alternativen?

Ja. Der Passkey-Standard zwingt niemanden zu Apple oder Google. Es gibt lokale Optionen:

Hardware-Security-Keys wie ein YubiKey: Der private Schlüssel verlässt nie das Gerät, kein Ökosystem nötig, kein Sync in US-Clouds
KeePassXC: Lokale Passkey-Verwaltung, Open Source, läuft auf dem eigenen Rechner
Vaultwarden: Selbst gehosteter Passwort- und Passkey-Manager, europäische Infrastruktur möglich

Der Heise-Ratgeber "Passkeys mit Open-Source-Tools nutzen" zeigt genau das. Technisch machbar. Für Normalnutzer aber eine zu hohe Hürde.

Was GMX und web.de besser machen sollten

Wenn ein Anbieter mit 40 Millionen Nutzern ein solches Feature einführt, trägt er Verantwortung. Das wäre wünschenswert:

Klare Aufklärung: Welcher Anbieter synchronisiert meinen Schlüssel? Was passiert mit den Metadaten? Kann ich auch einen Hardware-Key nutzen?

Europäische Option: Eine eigene, DSGVO-konforme Sync-Infrastruktur anbieten, statt den Nutzer automatisch zu Apple/Google zu schicken.

Opt-in statt Opt-out: Passkeys sollten als bewusste Entscheidung eingerichtet werden, nicht als Standard-Klickpfad, der die Masse in Big-Tech-Ökosysteme lenkt.

Mein Fazit

Passkeys sind eine gute Technologie. Das bestreite ich nicht. Aber gute Technologie, schlecht umgesetzt, schafft neue Abhängigkeiten. Und wenn 40 Millionen Menschen ihren Login-Schlüssel für ihren deutschen E-Mail-Anbieter de facto bei einem US-Konzern hinterlegen, ohne das zu wissen oder zu verstehen, dann ist das kein Fortschritt. Dann ist das die nächste Stufe der digitalen Entmündigung.

Die Frage ist nicht: Passkey ja oder nein? Die Frage ist: Wer kontrolliert den Schlüssel? Und wer fragt den Nutzer überhaupt danach?

Wer Passkeys nutzen möchte ohne Big-Tech-Abhängigkeit, findet beim Heise-Ratgeber und bei KeePassXC gute Einstiegspunkte für lokale Lösungen.

Bildnachweise

Foto: panumas nikhomkhai via Pexels