VKT Toolkit · 12. September 2026 · 9 Min. LesezeitPasskeys vs. Authenticator-Apps: Welche 2FA ist 2026 besser?
2026 ist das Jahr, in dem Passkeys mainstream geworden sind. Google, Apple und Microsoft haben sie zur bevorzugten Anmeldemethode gemacht, und die Mehrzahl der großen Consumer-Dienste lässt Sie Passwörter und Codes komplett durch Fingerabdruck oder Gesichtsscan ersetzen. Das wirft eine unbequeme Frage auf: Ist die bescheidene Authenticator-App — das kleine Werkzeug, das alle 30 Sekunden einen 6-stelligen Code ausspuckt — endlich überflüssig?
Die ehrliche Antwort lautet: nein. Aber dieses „Nein" braucht eine Erklärung. Passkeys und TOTP-Authenticator-Apps lösen sich überschneidende Probleme auf grundverschiedene Weise, und keine der beiden Methoden ist universell besser. In diesem Leitfaden vergleichen wir beide ehrlich in puncto Sicherheit, Wiederherstellung, Lock-in-Risiko und Alltagskomfort — und erklären, warum die klügste 2FA-Strategie 2026 beide kombiniert.
Was sind Passkeys?
Ein Passkey ist ein Anmelde-Credential auf Basis der FIDO2/WebAuthn-Standards, die Public-Key-Kryptografie nutzen. Wenn Sie einen Passkey bei einem Dienst registrieren, erzeugt Ihr Gerät ein Schlüsselpaar: einen privaten Schlüssel, der Ihr Gerät (bzw. Ihren synchronisierten Schlüsselbund) nie verlässt, und einen öffentlichen Schlüssel, den der Dienst speichert. Bei der Anmeldung sendet der Dienst eine Challenge, Ihr Gerät signiert sie mit dem privaten Schlüssel, und der Server verifiziert sie mit dem öffentlichen Schlüssel.
Zwei Eigenschaften machen das so wirkungsvoll:
- Phishing-Resistenz von Grund auf: Das Credential ist kryptografisch an die exakte Domain gebunden, für die es erstellt wurde. Eine gefälschte Website auf einer ähnlichen Domain kann Ihr Gerät schlicht nicht dazu bringen, sich für die echte anzumelden — ein zu stehlendes Geheimnis gibt es gar nicht erst.
- Nichts einzugeben: Statt einen Code zu kopieren, bestätigen Sie per Fingerabdruck, Gesichtsscan oder Geräte-PIN. Die Anmelde-Zeremonie findet ausschließlich zwischen Ihrem Gerät und der echten Website statt.
Die meisten Consumer-Passkeys sind synchronisierte Passkeys: Sie liegen im iCloud-Schlüsselbund, im Google Password Manager oder im Microsoft-Konto und replizieren sich auf all Ihre Geräte. Das ist bequem — geht das Handy verloren, melden Sie sich auf einem neuen an und die Passkeys sind zurück. Es bedeutet aber auch: Ihre Passkeys sind nur so sicher wie das Ökosystem-Konto, über das sie synchronisiert werden.
Was sind Authenticator-Apps (TOTP)?
TOTP (Time-based One-Time Password) ist die Technik hinter Google Authenticator, Microsoft Authenticator, Authy und browserbasierten Tools wie VKT LocalBox2FA. Es ist ein älteres, einfacheres Modell, definiert in RFC 6238: Beim Setup teilt Ihnen der Dienst einen geheimen Schlüssel mit (meist als QR-Code), und Ihre App kombiniert diesen Schlüssel mit der aktuellen Zeit zu einem 6-stelligen Code, der alle 30 Sekunden wechselt.
TOTP hat echte Stärken, die es relevant halten:
- Universelle Unterstützung: Praktisch jeder Dienst mit 2FA unterstützt TOTP — darunter viele, die noch keine Passkeys anbieten: Banken, Legacy-Unternehmenssoftware, Regierungsportale und unzählige interne Systeme.
- Kein Ökosystem-Lock-in: Der Standard ist offen. Jede TOTP-App kann Codes für jeden Dienst erzeugen. Sie sind nicht an Apple, Google oder Microsoft gebunden.
- Läuft überall: Auf dem Handy natürlich — aber auch im Browser. Wer den Tag am PC verbringt, erzeugt mit einer Erweiterung wie LocalBox2FA dieselben RFC-6238-Codes, ohne das Smartphone anzufassen. Den Arbeitsalltag dazu behandelt unser Leitfaden 2FA in Chrome ohne Handy verwenden.
- Vollständig offline: Codes entstehen aus dem gespeicherten Schlüssel plus Geräteuhr. Kein Netzwerk, keine Cloud, kein Konto nötig.
Der Kompromiss liegt im Sicherheitsmodell: Weil derselbe Schlüssel sowohl auf dem Server als auch auf Ihrem Gerät liegt, kann er gephisht, bei einem Serverleak abfließen — oder von Ihnen höchstpersönlich vorgelesen werden, während ein Angreifer in Echtzeit mitlauscht.
Passkeys vs. TOTP: Der direkte Vergleich
| Kriterium | Passkeys | Authenticator-Apps (TOTP) |
|---|---|---|
| Phishing-Resistenz | Hervorragend — Credentials sind domänengebunden, nichts einzugeben oder zu stehlen | Gut — Codes lassen sich aber phishen oder in Echtzeit weiterleiten |
| Plattformübergreifende Unterstützung | Wächst schnell, ist aber zwischen Diensten noch lückenhaft | Universell — praktisch jeder 2FA-Dienst unterstützt es |
| Wiederherstellung / Lock-in-Risiko | Hängt vom Ökosystem-Konto ab; gerätegebundene Schlüssel können endgültig verloren gehen | Schlüssel lässt sich sichern und exportieren; Backup-Codes als Sicherheitsnetz |
| Einrichtungsaufwand | Sehr gering — ein Tipp, wo unterstützt | Moderat — QR scannen oder Schlüssel einfügen, benennen, bestätigen |
| Funktioniert offline | Ja, auf Geräten, die den Passkey bereits besitzen | Ja — Codes werden komplett offline erzeugt |
| Ökosystem-Abhängigkeit | Hoch — synchronisiert über iCloud / Google / Microsoft | Keine — jede App auf jeder Plattform funktioniert |
Wo Passkeys gewinnen
Passkeys sind die bessere Wahl, wenn ein Dienst sie vollständig unterstützt und Sie dem Ökosystem vertrauen, das sie synchronisiert:
- Moderne Dienste: Große Consumer-Plattformen bieten inzwischen ausgereifte Passkey-Abläufe. Wo verfügbar, ist ein Passkey schneller und sicherer als das Eintippen eines Codes.
- Phishing-Immunität: Wenn Sie sich Sorgen um ähnliche Domains und gefälschte Login-Seiten machen oder davor, einem „Support-Mitarbeiter" hastig einen Code vorzulesen — Passkeys schließen diese gesamte Angriffsklasse. Es gibt schlicht keinen Code, den man abgeben könnte.
- Anmeldegeschwindigkeit: Eine einzige Biometrie-Bestätigung ersetzt Passwort + App + Code-Eingabe. Bei Dutzenden Logins pro Woche summiert sich die gesparte Zeit spürbar.
Wo TOTP weiterhin gewinnt
Trotz des Passkey-Schubs haben Authenticator-Apps in mehreren Situationen klare Vorteile:
- Legacy- und Nischendienste: Banken, Regierungsportale, ältere Unternehmenssysteme und unzählige interne Tools bieten weiterhin nur TOTP an. Für diese Konten ist die Authenticator-App nicht das Backup — sie ist die einzige Option.
- Ökosystem-übergreifende Freiheit: TOTP ist es egal, ob Sie Apple, Android, Windows oder Linux nutzen. Ihre Codes werden von keinem Anbieterkonto als Geisel gehalten.
- Funktioniert auf jedem Gerät — auch im Browser: Ein browserbasierter Authenticator wie LocalBox2FA läuft dort, wo Ihre Arbeit stattfindet. Für PC-zentrierte Nutzer schlägt ein Code am Schreibtisch jeden Griff zum Handy.
- Kein Vendor-Lock: Wechseln Sie vom iPhone zu Android oder von Chrome zu Edge, ziehen Ihre TOTP-Schlüssel einfach mit. Versuchen Sie das einmal mit gerätegebundenen Passkeys.
Die faire Zusammenfassung: Wo Passkeys unterstützt werden, sind sie sicherer; wo nicht, ist TOTP universeller. Keines macht das andere überflüssig — beide schließen unterschiedliche Lücken. Einen direkten Vergleich der TOTP-Apps finden Sie in Google Authenticator vs. LocalBox2FA.
Die beste Praxis 2026: Beides schichten
Sicherheitsexperten sind sich weitgehend auf einen mehrschichtigen Ansatz einig — und genau den empfehlen wir:
- Registrieren Sie einen Passkey, wo immer ein Dienst ihn unterstützt. Er wird Ihre primäre, phishing-resistente Anmeldemethode.
- Behalten Sie einen TOTP-Authenticator als Rückfallebene. Viele Dienste erlauben Passkey und Authenticator-App parallel. Wenn Ihr Ökosystem-Konto Probleme macht oder Sie an einem Gerät ohne Ihre Passkeys sitzen, holt Sie TOTP wieder rein.
- Laden Sie Backup-Codes herunter oder drucken Sie sie als letzte Instanz aus. Offline aufbewahren — Schublade, Tresor, verschlüsselte Notiz. Wenn Technik versagt, endet jede geschichtete Strategie hier.
An dieser Stelle verdient ein browserbasiertes TOTP-Tool seinen Platz. VKT LocalBox2FA ist eine TOTP-Authenticator-Erweiterung für Chrome und Edge, gebaut auf Manifest V3 mit null Berechtigungen: Alles wird lokal gespeichert, kein Netzwerkzugriff, keine Cloud-Synchronisation — niemals. Dazu gibt es Code-Kopieren per Klick, ein Live-Dashboard mit allen Konten in Echtzeit, Dark Mode und eine Oberfläche in 6 Sprachen. Der Kern ist kostenlos; das Premium ist einmalig $9,99 für die lebenslange Nutzung und ergänzt das Exportieren aller Datensätze als Textdatei samt Re-Import — sinnvoll gerade deshalb, weil Ihre Backup-Schicht portabel sein sollte. Pläne vergleichen Sie auf der Preisseite, das Upgrade gibt es direkt über die Checkout-Seite.
Denken Sie an die Schichten so: Der Passkey ist die Haustür, die TOTP-App ist der Fensterschlüssel, und die Backup-Codes sind der Ersatzschlüssel unterm Fußabtreter. 95 % der Zeit nehmen Sie die Haustür — aber an dem Tag, an dem sie nicht aufgeht, sind Sie froh, dass die anderen beiden existieren.
Vervollständigen Sie Ihre 2FA-Schichten mit LocalBox2FA: TOTP-Codes direkt im Browser — null Berechtigungen, 100 % lokal, Kopieren per Klick, Live-Dashboard, Dark Mode, 6 Sprachen. Kostenloser Kern, Premium einmalig $9,99 lebenslang. Chrome Web Store · Edge Add-ons.
Häufige Fragen
Werden Passkeys Authenticator-Apps ersetzen?
Nicht sofort. Passkeys sind die Richtung, in die die Branche geht, und die meisten großen Dienste unterstützen sie bereits. Doch die Verbreitung ist ungleich: Unzählige ältere Systeme, interne Tools und Legacy-Dienste bieten weiterhin nur TOTP an. Authenticator-Apps bleiben noch jahrelang relevant — als Rückfallebene und als einzige Option dort, wo es keine Passkeys gibt.
Kann ich Passkey und TOTP im selben Konto verwenden?
Bei den meisten Diensten, die beides unterstützen, ja. Sie können einen Passkey als primäre Anmeldemethode registrieren und zusätzlich einen TOTP-Authenticator als Backup-Methode hinterlegen. Einige Seiten erlauben nur einen zweiten Faktor gleichzeitig — prüfen Sie Ihre Kontosicherheitseinstellungen. Mit beiden Methoden haben Sie eine Redundanz, falls eine davon nicht verfügbar ist.
Was passiert, wenn ich das Gerät mit meinen Passkeys verliere?
Werden Ihre Passkeys über iCloud, Google oder Microsoft synchronisiert, können Sie sie auf einem neuen Gerät wiederherstellen, indem Sie sich im selben Ökosystem-Konto anmelden — genau deshalb ist die Sicherheit dieses Kontos so wichtig. Bei gerätegebundenen Passkeys (gespeichert nur auf einem Gerät oder Hardware-Schlüssel) bleibt nur der Rückgriff auf Ihre Backup-Methode. Genau deshalb sind ausgedruckte Backup-Codes unverzichtbar.
Sind Passkeys wirklich phishing-sicher?
Weitgehend ja. Ein Passkey ist kryptografisch an die exakte Domain gebunden, für die er erstellt wurde. Eine gefälschte Website auf einer ähnlichen Domain kann Ihr Gerät nicht dazu bringen, sich für die echte anzumelden. Der klassische Phishing-Trick, einen Einmalcode abzugreifen, funktioniert nicht mehr. Bleibende Risiken sind Social Engineering — wenn jemand Sie dazu bringt, eine Anmeldung zu bestätigen — oder die Kompromittierung des Kontos, über das Ihre Passkeys synchronisiert werden.
Brauche ich 2026 noch Authenticator-Tools wie LocalBox2FA?
Auf jeden Fall. TOTP funktioniert mit jedem Dienst, auf jedem Gerät und in jedem Ökosystem — und ein browserbasierter Authenticator wie VKT LocalBox2FA legt Ihre Codes genau dorthin, wo Sie arbeiten. Er läuft in Chrome und Edge, fordert null Berechtigungen an, speichert alles lokal, greift nicht aufs Netz zu und lädt nie etwas hoch. Für PC-zentrierte Arbeitsabläufe entfällt der Griff zum Handy komplett.
Weitere Tools finden Sie im VKT-Erweiterungskatalog, oder schreiben Sie uns an [email protected].