# Von SMS-OTP zu Passkeys im Jahr 2026: Was WebAuthn ersetzt und was SMS weiterhin leistet

> Passkeys ersetzen Passwörter und Einmalcodes für die Anmeldung. SMS verschwindet jedoch nicht – es ändert seine Funktion. Hier ist der Authentifizierungs-Stack von 2026: WebAuthn setzt sich durch, SMS behält seine Verifizierungs- und Wiederherstellungsaufgaben.

- Kanonische URL: https://www.broadnet.me/de/blog/sms-otp-to-passkeys-webauthn-2026
- Sprache: de
- Zuletzt aktualisiert: 2026-10-20
- Herausgeber: BroadNet (https://www.broadnet.me)

- Veröffentlicht: 2026-07-09
- Autor: BroadNet Editorial Team

Passkeys sind WebAuthn/FIDO2-Anmeldeinformationen, die Passwörter und Einmalcodes durch gerätegebundene Public-Key-Kryptografie ersetzen. Dadurch wird verhindert, dass Daten, die für Phishing angreifbar sind, eingegeben oder übertragen werden. Ab 2026 werden sie SMS-basierte Einmalpasswörter (OTP) für die Kontoanmeldung ablösen. SMS bleibt jedoch als Ausweichkanal und zur erneuten Verifizierung erhalten, wenn Passkeys für die Kontoabdeckung, die Kontowiederherstellung oder die geräteübergreifende Anmeldung noch nicht ausreichend geeignet sind.

## Was ein Passkey eigentlich ist

Ein Passkey ist ein durch den W3C-Standard für Webauthentifizierung (WebAuthn) und die FIDO2-Spezifikationen der FIDO Alliance definierter Anmeldeschlüssel. Bei der Registrierung eines Benutzers generiert das Gerät ein öffentliches/privates Schlüsselpaar: Der private Schlüssel verlässt niemals das Authentifizierungsgerät (z. B. ein Smartphone, Laptop oder Hardware-Schlüssel) und wird mit einem lokalen biometrischen Merkmal oder einer PIN entsperrt; der öffentliche Schlüssel wird von der Website gespeichert. Die Anmeldung erfolgt mittels kryptografischem Challenge-Response-Verfahren, sodass kein gemeinsames Geheimnis existiert, das gestohlen, durch Phishing ausgenutzt oder durch Replay-Angriffe kompromittiert werden könnte.

Es gibt zwei Varianten. Synchronisierte Passkeys werden über einen plattformbasierten Schlüsselbund auf allen Geräten eines Nutzers verwendet. Dadurch wird das Problem des Verlusts und der Wiederherstellung gelöst, das Hardware-Schlüssel bisher einschränkte. Gerätegebundene Passkeys bleiben auf einem einzelnen Authentifikator und eignen sich für höchste Sicherheitsanforderungen. Beide Varianten sind resistent gegen Phishing, da die Anmeldeinformationen kryptografisch auf die exakte Website beschränkt sind, für die sie erstellt wurden – sie können nicht für ähnliche Domains verwendet werden.

## Warum die Branche von SMS-OTP abgerückt ist

SMS-Einmalpasswörter weisen eine strukturelle Schwäche auf: Das Geheimnis ist ein kurzer Code, den ein Mensch durch Täuschung preisgeben kann, und die Übertragung war nie auf Phishing-Schutz ausgelegt. Mehrere Faktoren führten dazu, dass sichere Datenflüsse von dieser Technologie verdrängt wurden.

- Der im Juli 2025 finalisierte NIST SP 800-63-4 klassifiziert SMS-Einmalpasswörter als eingeschränktes Authentifizierungsverfahren, das allein nicht den Anforderungen an eine phishingresistente AAL2-Authentifizierung genügt.
- Die FIDO Alliance positioniert Passkeys als per Design phishingresistent, da die Anmeldeinformationen nicht an einen betrügerischen Ursprung weitergegeben werden können.
- Durch SIM-Swapping und OTP-Abfangbetrug können Angreifer Codes erhalten, ohne überhaupt das Gerät des Opfers zu besitzen – eine Bedrohung, die durch Passkeys strukturell beseitigt wird.
- Durch SMS-Pumping (künstlich aufgeblähter Datenverkehr) wurde jeder OTP-Versand zu einer abrechnungsfähigen Angriffsfläche, wodurch ein direkter Kostenanreiz zur Reduzierung des OTP-Volumens geschaffen wurde.

## Passkeys vs. SMS-OTP, im direkten Vergleich

| Dimension | SMS-OTP | Passkey (WebAuthn/FIDO2) |
|---|---|---|
| Geheimes Modell | Gemeinsamer Code, von Menschen eingegeben | Privater Schlüssel, niemals übermittelt |
| Phishing-Resistenz | Niedrige Code-Strukturen können sozial manipuliert werden | Hoch — Ursprungsgebundene Anmeldeinformationen |
| SIM-Swap-Engpässe | Verletzlich | Nicht zutreffend – keine Abhängigkeit von der Telefonnummer |
| Benutzerreibung | Warten Sie, lesen Sie den Code und geben Sie ihn ein. | Eine biometrische/PIN-Geste |
| Erreichen | Universal – jedes Mobilteil mit einem Signal | Erfordert ein registriertes, kompatibles Gerät |
| Beste Rolle | Ausweichlösung, Wiederherstellung und erneute Verifizierung | Anmeldung zum Hauptkonto |

Der Kompromiss besteht in Reichweite versus Widerstandsfähigkeit. Ein Passwort ist sicherer, erfordert aber, dass der Nutzer ein kompatibles Gerät registriert hat und dieses griffbereit hat; SMS erreicht jedes Telefon mit Empfang, weist aber die oben genannten Schwächen auf. Genau dieser Unterschied ist der Grund, warum beide Technologien nebeneinander existieren und nicht einfach die eine die andere verdrängt.

## Was SMS in einer Welt mit Passkeys noch kann

Das Entfernen des SMS-OTP vom primären Login entfernt SMS nicht aus dem System. Die Funktion von SMS verschiebt sich von der Authentifizierung selbst hin zur Unterstützung des Lebenszyklus der Authentifizierung und deckt Fälle ab, in denen Passkeys nicht ausreichen.

1. Kontowiederherstellung – wenn ein Benutzer alle Geräte verliert, auf denen sich ein Passkey befindet, ist eine verifizierte Telefonnummer ein üblicher und gut verstandener Weg, um wieder Zugriff auf das Konto zu erhalten.
2. Geräteübergreifendes Bootstrapping – die Bestätigung einer Telefonnummer hilft bei der Einrichtung eines neuen Geräts, bevor ein Passkey darauf registriert wird.
3. Ausweichlösung für nicht registrierte Benutzer – Benutzer, die noch keinen Passkey erstellt haben oder ein geliehenes Gerät verwenden, benötigen dennoch einen funktionierenden Anmeldepfad.
4. Step-up und erneute Verifizierung – ein zweites Signal für eine riskante Aktion, das zusätzlich zum Passkey eingesetzt wird, anstatt diesen zu ersetzen.
5. Transaktionsbenachrichtigungen und -warnungen – Lieferaktualisierungen, Betrugswarnungen und Bestätigungen, die von vornherein nie eine Authentifizierung darstellten.

> Der [OTP- und Verifizierungs-](https://www.broadnet.me/products/otp)-Stack von BroadNet verwendet zunächst eine stille Netzwerkauthentifizierung mit automatischem SMS-Fallback. Wenn Sie also weiterhin einen Telefonnummernfaktor benötigen – Wiederherstellung, Bootstrap oder Step-Up – erhalten Sie eine phingresistente Netzwerkprüfung, wo die Betreiber dies unterstützen, und eine garantierte SMS-Erreichbarkeit überall sonst, alles durch eine einzige Integration.

## Wie man die Migration sequenziert

Klassifizieren Sie die Datenflüsse zunächst nach Sicherheitsbedarf. Verlagern Sie die primäre Anmeldung für sensible Konten auf Passkeys, behalten Sie die Telefonnummer als Authentifizierungsfaktor für Wiederherstellungs- und nicht registrierte Benutzer bei und behandeln Sie SMS gemäß den aktuellen Standards als weniger sichere Methode und nicht als Hauptzugangspunkt. Falls Sie die Telefonnummernebene noch konzipieren, bietet unsere Antwort zu [Was ist OTP?](https://www.broadnet.me/answers/what-is-otp) einen Überblick über die Optionen, [Nummernverifizierung](https://www.broadnet.me/answers/number-verification) erklärt die netzwerkbasierte Alternative zu Codes, und BroadNets [MyOTP](https://www.broadnet.me/products/myotp) Komplettlösung für die Verifizierung übernimmt die Fallback-Zustellung, sodass Sie sich auf die Passkey-Einführung konzentrieren können.

## Häufig gestellte Fragen

### Ersetzen Passkeys SMS-Einmalpasswörter vollständig?

Nicht ganz. Passkeys ersetzen SMS-OTP für die primäre Anmeldung, SMS spielt aber weiterhin eine Rolle bei der Kontowiederherstellung, dem geräteübergreifenden Startvorgang, der Zwei-Faktor-Authentifizierung und der Kontaktaufnahme mit Nutzern, die keinen Passkey registriert haben. Realistisch betrachtet wird im Jahr 2026 die Passkey-basierte Authentifizierung im Vordergrund stehen, wobei die Telefonnummer als weniger sichere Ausweichlösung und nicht als Hauptauthentifizierungsmethode beibehalten wird.

### Sind Passwörter phishing-resistent?

Ja. Ein Passkey ist kryptografisch an die exakte Quelle gebunden, für die er erstellt wurde. Daher kann er seine Signatur nicht an eine gefälschte oder nachgeahmte Domain weitergeben – der Mechanismus, der Phishing- und Man-in-the-Middle-Angriffe ermöglicht, wird somit deaktiviert. Die FIDO Alliance und W3C WebAuthn entwickeln Passkeys von Grund auf resistent gegen Phishing, was bei SMS-OTP nicht der Fall ist.

### Was geschieht mit dem SMS-OTP zur Kontowiederherstellung?

Das bleibt üblicherweise so. Wenn ein Nutzer alle Geräte verliert, auf denen seine Passwörter gespeichert sind, ist eine vorab verifizierte Telefonnummer ein gängiger Wiederherstellungsweg. Der entscheidende Unterschied liegt im Umfang: SMS wird nun zur Wiederherstellung des Zugriffs unter zusätzlichen Prüfungen verwendet, nicht mehr als alltäglicher Anmeldefaktor. Dadurch ist das Risiko von Phishing und Datenmissbrauch auf einen kleinen, überwachten Bereich beschränkt.

### Lässt NIST SMS noch zur Authentifizierung zu?

SMS ist zwar zulässig, aber eingeschränkt. NIST SP 800-63-4 (finalisiert im Juli 2025) behandelt SMS-Einmalpasswörter als eingeschränktes Authentifizierungsverfahren, das allein die Anforderungen der Phishing-Resistenz-AAL2-Norm nicht erfüllt. Es kann jedoch weiterhin als weniger sichere oder alternative Authentifizierungsmethode dienen, genau wie Passkeys.

## Referenzen

- FIDO Alliance – Übersicht zu Passkeys: [fidoalliance.org](https://fidoalliance.org/passkeys/)
- W3C — Web Authentication (WebAuthn) Level 3: [w3.org](https://www.w3.org/TR/webauthn-3/)
- NIST — SP 800-63-4 Richtlinien für digitale Identität (final, Juli 2025): [csrc.nist.gov](https://csrc.nist.gov/pubs/sp/800/63/4/final)
- IETF — RFC 6238, TOTP: Zeitbasierter Einmalpasswort-Algorithmus: [datatracker.ietf.org](https://datatracker.ietf.org/doc/html/rfc6238)