Beim häufigsten Einwand gegen Passkeys ging es nie um die Kryptografie. Es ging um den Ausgang. Wer seine Passkeys in einem Passwort-Manager angelegt hatte, musste bis vor Kurzem für einen Wechsel Konto für Konto durchgehen und jeden Passkey von Hand neu erstellen. Das ist den Leuten aufgefallen, und es hat sie bei Passwörtern gehalten.
Dieser Einwand wird nun abgebaut. Der Mechanismus ist das Credential Exchange Protocol (CXP) der FIDO Alliance, zusammen mit einem passenden Datenformat namens Credential Exchange Format (CXF). Wenn Passkeys neu für dich sind, beginne mit was ist ein Passkey.
Warum Passkeys überhaupt festsaßen
Ein Passwort ist eine Zeichenkette. Was immer du von CSV-Exporten hältst, sie funktionieren, weil sich ein Passwort aufschreiben lässt.
Ein Passkey ist ein privater Schlüssel, der seinen sicheren Speicher nie in lesbarer Form verlassen soll. Genau diese Eigenschaft macht Passkeys widerstandsfähig gegen Phishing und gegen Datenbank-Leaks, und genau sie machte sie auch unbeweglich. Es gab keinen sicheren Weg, einen Passkey an einen anderen Manager zu übergeben, also gab es keinen Ausweg außer der Neuregistrierung.
Der Lock-in war also keine geschäftliche Entscheidung eines einzelnen Anbieters. Er war eine direkte Folge des Sicherheitsmodells. Ihn zu beheben verlangte einen Standard, keine Funktion.
Was CXP und CXF tatsächlich sind
Die beiden Teile erledigen unterschiedliche Aufgaben:
- CXF, das Format. Eine standardisierte Struktur, die beschreibt, wie Anmeldedaten dargestellt werden, damit ein Manager lesen kann, was ein anderer schreibt.
- CXP, das Protokoll. Die sichere Übertragung selbst, die die Anmeldedaten direkt zwischen zwei Anbietern bewegt.
Das erklärte Ziel der FIDO Alliance ist, dass Übertragungen nicht im Klartext erfolgen und standardmäßig sicher sind. In der Praxis heißt das: Die Migration ist keine Datei, die in deinem Download-Ordner liegt.
Laut Bitwarden begann die Arbeit Anfang 2023 als Proof of Concept mit 1Password, Dashlane, Bitwarden und NordPass und wuchs zu einer Zusammenarbeit von neun Organisationen: Apple, Bitwarden, Dashlane, Google, Microsoft, NordPass, 1Password, Samsung und SK Telecom. Diese Liste ist wichtig. Ein Portabilitätsstandard ist wertlos, wenn die größten Speicher für Anmeldedaten außen vor bleiben.
Was tatsächlich ausgeliefert ist
Hier gehen Berichterstattung und Realität gern auseinander, deshalb hier der Stand der Dinge statt der Ankündigungen.
| Plattform oder Manager | Status |
|---|---|
| Android 14+ mit Google Play services 26.21+ | Import und Export gespeicherter Passwörter und Passkeys in kompatible Apps |
| Apple Passwords (iOS, iPadOS, macOS, visionOS) | Übertragungen in kompatible Apps unterstützt |
| Bitwarden | Ausgeliefert, mobil und Desktop |
| Dashlane | Ausgeliefert auf Mobilgeräten |
| NordPass, Samsung | Am Standard beteiligt, Umsetzungen noch nicht bei den Endnutzern |
| Windows Hello | Native Import- und Export-Anbindungen haben mit mobil nicht gleichgezogen |
Der Android-Teil verändert das Bild, denn dort liegen die meisten Anmeldedaten der Welt. Die Versionshinweise zu Google Play services verorten die Unterstützung in Version 26.21, deren Auslieferung am 1. Juni 2026 begann. Entwickler binden sie über die ProviderEventsManager-APIs an, importCredentials und registerExport, in der Bibliothek androidx.credentials.
Achte auf die Form der Voraussetzung: Es geht um eine Play-services-Version, nicht um ein Android-Upgrade. Dein Smartphone muss nicht neu sein. Play services muss aktuell sein, weshalb das auf vielen Geräten ohne Systemupdate leise angekommen ist.
Die ehrlichen Einschränkungen
Erst mobil, später Desktop. Außerhalb des Apple-Ökosystems hinkt der Desktop hinterher. Wenn du unter Windows lebst, ist die Übertragung vorerst Sache des Smartphones.
Die Unterstützung hängt am Anbieter, sie ist nicht universell. Zu den neun Organisationen zu gehören, die den Standard gebaut haben, ist nicht dasselbe, wie ihn ausgeliefert zu haben. NordPass und Samsung sind in der ersten Gruppe und noch nicht in der zweiten. Prüfe die Versionshinweise deines eigenen Managers.
"Kompatible Apps" leistet in diesem Satz echte Arbeit. Beide Seiten müssen es umsetzen. Ein Manager, der exportieren kann, nützt dir nichts, wenn der, zu dem du wechseln willst, noch nicht importieren kann.
Es bewegt sich weiter. Behandle jede Tabelle zur Anbieter-Unterstützung, auch die oben, als Momentaufnahme und nicht als Dauerzustand.
Was sich für dich ändert
Heute nicht viel, im nächsten Jahr ziemlich viel.
Wenn du dich bisher gegen Passkeys gesträubt hast, weil du nicht gefangen sein wolltest, wird dieser konkrete Grund gerade schwächer. Die richtige Reaktion ist nicht, eine Migration zu überstürzen. Sie besteht darin, den Lock-in bei der Wahl nicht mehr so schwer zu gewichten und einen Manager nach den Dingen auszuwählen, die wirklich zählen: wie er deinen Tresor verschlüsselt, ob er auditiert wurde, ob er überall dort funktioniert, wo du arbeitest, und was passiert, wenn du dein Gerät verlierst.
Wenn du Passkeys zum ersten Mal über mehrere Ökosysteme hinweg einrichtest, deckt unsere Einrichtungsanleitung für Passkeys bei Google, Apple und Microsoft die Grundlagen ab. Für einen Anbieter, der Credential-Exchange-Importe bereits bewirbt, siehe unsere Notiz zum ExpressKeys-Update.
Wie du Passkeys in der Praxis umziehst
Die genauen Menüs unterscheiden sich je nach App, und sie werden sich weiter ändern, also nimm das als Form des Ablaufs und nicht als festes Rezept.
- Aktualisiere beide Apps und Play services. Unter Android prüfe, ob du Play services 26.21 oder neuer hast. Diesen Schritt überspringen die Leute.
- Prüfe, ob das Ziel importieren kann. Export-Unterstützung allein bringt dich nirgendwohin.
- Übertrage, exportiere nicht in eine Datei. Wird dir nur eine CSV angeboten, nutzt du kein CXP, und du hast nun eine Klartext-Datei mit deinen Geheimnissen, die du vernichten musst.
- Prüfe nach, bevor du irgendetwas löschst. Melde dich zuerst bei zwei oder drei Konten mit dem neuen Manager an.
- Erst dann entferne die alten Kopien. Und prüfe, was der alte Manager behalten hat.
Punkt vier kostet die Leute ihre Konten. Ein Passkey, den du vor dem Test gelöscht hast, ist ein Passkey, den du von Hand neu registrierst, und genau dieses Problem sollte der Standard lösen.
Quellen
- Spezifikationen der FIDO Alliance zu Credential Exchange Protocol (CXP) und Credential Exchange Format (CXF)
- Bitwarden, "Security vendors join forces to make passkeys more portable for everyone" (beteiligte Organisationen, Ursprung des Proof of Concept)
- Versionshinweise zu Google Play services, Version 26.21 (Import und Export von Passwörtern und Passkeys unter Android)
- Android-Entwicklerdokumentation,
androidx.credentialsProviderEventsManager(importCredentials,registerExport)
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Ein Manager mit integrierter 2FA & Passkeys → NordPassTOTP & Passkeys speichern · XChaCha20 · Gratis-Tarif→Häufig gestellte Fragen
Kann man Passkeys jetzt zwischen Passwort-Managern umziehen?
Auf Mobilgeräten weitgehend ja. Der Mechanismus ist das **Credential Exchange Protocol (CXP)** der FIDO Alliance und sein Datenformat **CXF**. Unter Android besagen die Versionshinweise zu Google Play services, dass Geräte mit **Android 14 oder höher und Google Play services 26.21 oder höher** gespeicherte Passwörter und Passkeys in kompatible Apps importieren und aus ihnen exportieren können. Apple Passwords unterstützt Übertragungen unter iOS, iPadOS, macOS und visionOS. Auf dem Desktop hinkt die Unterstützung außerhalb von Apple noch hinterher.
Warum brauchten Passkeys überhaupt einen Übertragungsstandard?
Weil der übliche Notausgang nicht existierte. Passwörter kannst du in eine CSV-Datei exportieren, so schlecht das auch ist, aber der private Schlüssel eines Passkeys soll seinen sicheren Speicher nie in lesbarer Form verlassen. Ohne Standard bedeutete ein Wechsel, dass du nach dem Anlegen deiner Passkeys in einem Manager **jedes Konto von Hand neu registrieren** musstest. Dieser Lock-in war der mit Abstand häufigste Einwand gegen Passkeys.
Ist das sicherer als der Export einer CSV-Datei?
Genau darum geht es. Ein CSV-Export schreibt jedes Geheimnis im Klartext in eine Datei auf der Festplatte. Die FIDO Alliance beschreibt CXP so, dass Anmeldedaten **nicht im Klartext und standardmäßig sicher** übertragen werden, und zwar direkt zwischen den Anbietern statt über eine Datei, an deren Löschung du denken musst.
Welche Passwort-Manager unterstützen das?
**Bitwarden** und **Dashlane** haben die Unterstützung ausgeliefert, und **Apple Passwords** unterstützt Übertragungen auf den Plattformen von Apple. **NordPass** und **Samsung** haben an der Entwicklung des Standards mitgewirkt, ihre Umsetzungen hatten die Endnutzer zum Zeitpunkt des Schreibens aber noch nicht erreicht. Prüfe lieber die Versionshinweise deines eigenen Managers, statt etwas anzunehmen, denn hier bewegt sich vieles schnell.
Unterstützt Windows Import und Export von Passkeys schon?
Nicht auf gleichem Niveau wie mobil. Native Import- und Export-Anbindungen für Windows Hello haben mit den mobilen Rollouts noch nicht gleichgezogen. Wenn du unter Windows arbeitest, rechne damit, die Übertragung vorerst vom Smartphone aus zu erledigen.
Sollte ich den Manager wechseln, nur weil ich es kann?
Nein. Portabilität nimmt einen Grund weg, **nicht** zu wechseln, sie ist kein Grund zu wechseln. Sinnvoll ist, den Lock-in nicht länger für dich entscheiden zu lassen: Wähle den Manager, den du wegen Sicherheit und Bedienbarkeit wirklich willst. Wenn du noch abwägst, ob du Passkeys überhaupt nutzen sollst, siehe [sind Passkeys sicher](/de/blog/sind-passkeys-sicher).
