GMX und Web.de haben ihre Anmeldung auf Passkeys umgestellt. Für rund 38 Millionen Konten im deutschsprachigen Raum verliert das getippte Passwort damit seine Rolle als erste Sicherheitshürde. Das ist mehr als eine Komfortfunktion, denn Deutschlands größte E-Mail-Anbieter machen den phishing-sicheren Login massentauglich.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Passkeys sind bei GMX und Web.de seit dem 23. Juli 2026 für alle Nutzerinnen und Nutzer freigeschaltet, kostenlos und ohne Warteliste.[1] Statt Buchstaben und Zahlen genügt künftig ein Fingerabdruck, ein Gesichtsscan oder die Geräte-PIN. Hinter der bequemen Geste steckt ein Sicherheitsgewinn, den das Bundesamt für Sicherheit in der Informationstechnik seit Jahren anmahnt.
Das Wichtigste in Kürze
- Rund 38 Millionen Konten von GMX und Web.de in Deutschland, Österreich und der Schweiz melden sich ab sofort ohne Passwort an.
- Der Passkey nutzt ein kryptografisches Schlüsselpaar, dessen privater Teil das eigene Gerät nie verlässt.
- Weil der Passkey fest an die echte Web-Adresse gebunden ist, laufen gefälschte Phishing-Seiten ins Leere.
- Das klassische Passwort bleibt vorerst als Rückfalloption erhalten.
Was GMX und Web.de freigeschaltet haben
Der Login ohne Passwort steht bei beiden United-Internet-Marken ab sofort bereit, für rund 38 Millionen Postfächer in Deutschland, Österreich und der Schweiz.[1] Den Passkey hinterlegen Nutzer wahlweise auf Smartphone, Tablet, im Browser oder in einem Passwortmanager wie Bitwarden oder Dashlane.
Die Anmeldung selbst bestätigen sie mit Fingerabdruck, Gesichtsscan oder Geräte-PIN. Das gewohnte Passwort funktioniert parallel weiter, ein harter Umstieg bleibt also aus.
Wie schützt ein Passkey vor Phishing?
Ein Passkey besteht aus zwei kryptografischen Schlüsseln. Den öffentlichen Teil speichert der Anbieter, den privaten Teil hält allein Ihr Gerät, und er wandert nie auf die Server von GMX oder Web.de.[1]
Bei jeder Anmeldung signiert das Gerät eine zufällige Einmal-Aufgabe, statt ein festes Geheimnis zu senden. Genau das nennt das BSI ein Challenge-Response-Verfahren, das gegen groß angelegtes Phishing resistent bleibt.[2]
Entscheidend ist die Bindung an die Adresse: Ein Passkey greift nur auf der echten Seite des Dienstes. Auf einer nachgebauten Login-Seite läuft er ins Leere, weil die gefälschte Domain nicht passt.
Passkeys bei den großen Freemailern sind der Kipppunkt, an dem phishing-sichere Anmeldung vom Expertenthema zur Alltagsnorm wird. In Unternehmen, die noch auf SMS-Codes setzen, läuft ab jetzt bewusst das schwächere Verfahren.
Markus Seyfferth, Chefredakteur Dr. Web
Was der Wechsel für Unternehmen bedeutet
Das BSI und die US-Behörde CISA empfehlen seit 2024 ausschließlich phishing-resistente Verfahren für Administratoren, Führungskräfte und sensible Zugänge, konkret FIDO2-Schlüssel oder gerätegebundene Passkeys.[2] Klassische SMS- oder App-Codes gelten nur noch als Mindeststandard, obwohl Phishing weiter zu den häufigsten Angriffen auf deutsche Konten zählt.
Der Schritt der Freemailer trifft einen wunden Punkt. Das E-Mail-Postfach ist der Generalschlüssel, denn über die Funktion zum Zurücksetzen von Passwörtern hängt fast jedes andere Konto daran. Auch Microsoft stellt seine Anmeldung schrittweise auf Passkeys um und baut die SMS-Zwei-Faktor-Authentifizierung ab.
Für Entscheider ergibt sich daraus konkreter Handlungsbedarf. Die eigene Firmen-Anmeldung gehört auf FIDO2 umgestellt, die Belegschaft beim Einrichten der Passkeys aktiv begleitet. Ebenso wichtig sind abgesicherte Wiederherstellungswege, denn ein schwaches Konto-Recovery hebelt den besten Passkey aus. Die Begriffe rund um FIDO2, Passkey und Phishing sortiert das Cybersecurity-Glossar.
Quellen
[1] GMX Newsroom: „Login ohne Passwort-Tippen: GMX und WEB.DE schalten Passkeys für 38 Millionen Nutzerinnen und Nutzer frei“
[2] Bundesamt für Sicherheit in der Informationstechnik: „Die Kryptografie hinter Passkey“
