Passkeys

Fügen Sie Ihrem Kit-Konto einen Passkey hinzu, erfahren Sie, was eine Passkey-Pflicht bedeutet, und stellen Sie den Zugang wieder her, wenn Sie Ihr Gerät verlieren.

Warum das zählt

Ein Passkey ersetzt Ihr Passwort durch die Entsperrmethode, die Sie ohnehin verwenden: Ihr Gesicht, Ihren Fingerabdruck oder Ihre Geräte-PIN. Sie müssen nichts installieren und sich nichts Neues merken. Anders als ein Passwort oder sechsstelliger Code lässt sich ein Passkey nicht auf einer überzeugenden Fälschung eingeben: Der Browser bindet ihn an die Domain von Kit, sodass eine identisch aussehende Phishing-Seite ihn nie erhält.

Manche Konten verlangen von allen Mitgliedern einen Passkey. Diese Seite erklärt, wie Sie einen Passkey hinzufügen, was die Pflicht für Sie bedeutet und was Sie bei Problemen tun können.

Einen Passkey hinzufügen

Öffnen Sie Kontoeinstellungen → Passkeys und klicken Sie auf Passkey hinzufügen. Geben Sie ihm einen Namen, den Sie später wiedererkennen, etwa MacBook Touch ID oder iPhone, und bestätigen Sie die Aufforderung Ihres Geräts.

Passkeys funktionieren auf mehreren Wegen:

Gerät	Was Sie sehen
iPhone oder iPad	Face ID oder Touch ID
Android	Fingerabdruck, Gesichtserkennung oder Bildschirmsperre
Mac	Touch ID oder das Passwort Ihres Mac
Windows	Windows Hello: Gesicht, Fingerabdruck oder PIN
Sicherheitsschlüssel	Stecken Sie ihn ein und berühren Sie ihn
Ein anderes Gerät	Scannen Sie den QR-Code im Browser und bestätigen Sie auf Ihrem Smartphone

Ein Passkey genügt. Ein zweiter lohnt sich trotzdem: Geht das erste Gerät verloren, wird gestohlen oder gelöscht, können Sie ohne Hilfe weiterarbeiten.

Synchronisierte Passkeys zählen

Passkeys im iCloud-Schlüsselbund oder Google Password Manager werden zwischen Ihren Geräten synchronisiert. Kit akzeptiert sie wie jeden anderen Passkey. Ein auf dem Laptop eingerichteter Passkey kann auch auf einem Smartphone verfügbar sein, das denselben Passwortmanager verwendet.

Sie bleiben an die Domain von Kit gebunden und gegen Phishing geschützt. Sie sind lediglich nicht an ein einzelnes Gerät gebunden. Das ist eine bewusste Abwägung: Rein gerätegebundene Schlüssel sind geringfügig stärker, im Alltag aber deutlich umständlicher. Aussperrungen verhindern oft, dass Teams Passkeys überhaupt einführen.

Tip

Wenn Sie sich auf anderen Websites bereits mit Face ID oder Windows Hello anmelden, haben Sie schon einen Passkey verwendet. Kit nutzt denselben Mechanismus.

Wenn ein Konto einen Passkey verlangt

Eine Passkey-Pflicht ändert nicht, wie Sie sich bei Kit anmelden. Sie ändert, was Ihre Sitzung öffnen darf: Dieses Konto bleibt geschlossen, bis die aktuelle Sitzung mit einem Passkey bestätigt wurde. Ihre anderen Konten bleiben davon unberührt.

Melden Sie sich also wie gewohnt an. Öffnen Sie danach ein Konto mit Passkey-Pflicht und hat dieser Browser noch keinen Passkey bestätigt, hält Kit Sie auf der Seite „[Konto] verlangt einen Passkey“ an. Sie haben genau zwei Möglichkeiten:

Passkey einrichten: wenn Sie noch keinen besitzen. Sie richten ihn direkt auf dieser Seite ein.
Passkey verwenden: wenn Sie bereits einen besitzen. Bestätigen Sie ihn, damit dieser Browser verifiziert ist.

Danach bringt Kit Sie zurück zur gewünschten Seite. Über den Link Konto wechseln öffnen Sie ein Konto ohne diese Pflicht.

Die Pflicht gilt sofort, sobald der Kontoinhaber sie einschaltet, ohne Übergangsfrist oder Countdown. Niemand wird aus dem Konto entfernt; Plätze, Rollen und Einladungen ändern sich nicht. Betrifft Sie die Pflicht, erhalten Sie in der Regel vorher eine E-Mail: „Fügen Sie einen Passkey hinzu, um [Konto] weiter zu verwenden“.

Note

Die Sperre gilt pro Konto und Browser. Wenn Sie einen Passkey auf Ihrem Laptop bestätigen, ist Ihr Smartphone nicht automatisch verifiziert. Ein Arbeitsbereich ohne Pflicht fragt nie danach.

Passkeys später hinzufügen und entfernen

Ihren ersten Passkey können Sie in jeder bereits angemeldeten Sitzung hinzufügen. Danach müssen Sie jeden weiteren Passkey sowie jede Löschung mit einem vorhandenen Passkey bestätigen.

Ihre Situation	Was die Passkey-Verwaltung freigibt
Noch kein Passkey	Jede angemeldete Sitzung (die erstmalige Einrichtung)
Mindestens ein Passkey	Jedes Mal eine Passkey-Bestätigung

Der zweite Schritt ist der Kern der Funktion. Sonst könnte jemand mit Ihrem gestohlenen Passwort einen eigenen Passkey hinterlegen und die Sperre passieren; die Pflicht wäre dann nur eine zusätzliche Stufe statt einer Schutzwand. Sobald Sie einen Passkey besitzen, öffnet weder Ihr Passwort noch eine Anmeldung über Google oder GitHub diese Seite.

Wenn Sie alle Passkeys verlieren

Der Verlust Ihres einzigen Geräts ist lästig, aber kein Desaster. Sie können sich weiter anmelden, Ihr Profil und Ihre Einstellungen aufrufen und Konten ohne Passkey-Pflicht verwenden. Konten mit dieser Pflicht bleiben gesperrt.

Bitten Sie einen Inhaber oder Administrator dieses Kontos um einen Pass zur erneuten Einrichtung. Rechnen Sie damit, dass die Person Ihre Identität vorher telefonisch oder persönlich prüft; dafür ist der Pass da. Der Pass wird auf der Verwaltungsseite ausgestellt, aber dort nie angezeigt: Kit sendet ihn direkt und in Ihrer Sprache per E-Mail an Sie, mit dem Betreff „Ihr Pass zum Einrichten eines neuen Passkeys für [Konto]“.

Öffnen Sie ihn, während Sie als Sie selbst bei Kit angemeldet sind. Dann gilt:

Schritt	Was passiert
Link öffnen	Sie sehen eine Bestätigungsseite. Der Pass ist noch nicht verbraucht; Mail-Scanner, Link-Vorschauen oder Sicherheitssoftware können ihn durch einen Abruf nicht ungültig machen.
„Diesen Pass verwenden“ anklicken	Damit legen Sie sich fest. Der Pass wird verbraucht und ein 15-minütiges Zeitfenster beginnt.
Neuen Passkey einrichten	Kit lässt Sie die normale Bestätigung mit dem verlorenen Passkey überspringen. Nach der Einrichtung schließt sich das Zeitfenster.

Der Pass kann einmal innerhalb von 24 Stunden verwendet werden. Ein neuer Pass macht jeden noch offenen Pass sofort ungültig. Läuft er ab, wurde er verbraucht oder ersetzt oder öffnet ihn die falsche Person, erscheint immer dieselbe neutrale Meldung: „Dieser Link ist nicht mehr gültig“. Kit nennt bewusst keinen Grund, da dies Fremden Informationen über einen Pass verraten würde. Bitten Sie den Kontoinhaber um einen neuen. Laufen die 15 Minuten ab, bevor Sie die Einrichtung abgeschlossen haben, bitten Sie ebenfalls um einen neuen Pass.

Sie können Ihren letzten Passkey nicht löschen

Solange mindestens eines Ihrer Konten einen Passkey verlangt, verhindert Kit das Löschen Ihres letzten Passkeys:

Dies ist Ihr letzter Passkey, und einer Ihrer Arbeitsbereiche verlangt von allen Mitgliedern einen Passkey. Fügen Sie zuerst einen weiteren Passkey hinzu oder bitten Sie den Inhaber des Arbeitsbereichs, die Pflicht aufzuheben.

Das ist keine Bürokratie: Eine Löschung würde Sie aus diesem Konto aussperren, und nur der Inhaber könnte den Zugang wiederherstellen. Fügen Sie zuerst einen Ersatz hinzu und entfernen Sie danach den alten Passkey.

Diese Anmeldemethoden erfüllen die Pflicht nicht

Eine Passkey-Pflicht verlangt ausdrücklich einen Passkey. Die folgenden Methoden bringen Sie zu Kit, aber nicht in ein Konto mit dieser Pflicht:

Methode	Warum sie nicht genügt
Passwort und Authenticator-Code	Beides kann abgegriffen oder wiederverwendet werden; keines davon ist ein Passkey.
Mit Google oder GitHub anmelden	Bequem, aber der Kontoinhaber kontrolliert weder den Anbieter noch dessen Sicherheitsniveau.
Google One Tap	Wie oben: es bleibt OAuth für Endverbraucher.
Vertrauenswürdiger Browser	Ein vertrauenswürdiger Browser überspringt nur den Zwei-Faktor-Code. Das sagt nichts über Passkeys aus.
Gespeicherte Sitzung	Eine Sitzung aus einem „Angemeldet bleiben“-Cookie fortzusetzen, ist kein neuer Nachweis.

Die Lösung ist immer dieselbe: Bestätigen Sie auf der Sperrseite Ihren Passkey. Unter Anmeldesicherheit erfahren Sie mehr über vertrauenswürdige Browser und Anmeldewarnungen.

„Mein API-Token oder KI-Assistent gibt 403 zurück“

Nichts wurde widerrufen. Ein API-Token oder eine Verbindung zu einem KI-Assistenten handelt in Ihrem Namen, kann aber keinen Passkey vorlegen. Kit prüft daher nur: Besitzt die Person, die das Token oder die Verbindung erstellt hat, einen Passkey?

Bis Sie einen hinterlegen, werden Anfragen Ihrer Tokens und MCP-Verbindungen an dieses Konto abgewiesen: Die API antwortet mit 403, Ihr Assistent meldet einen Autorisierungsfehler. Sobald Sie unter Kontoeinstellungen → Passkeys einen Passkey hinzufügen, funktioniert schon der nächste Aufruf. Das Token bleibt gültig, der Assistent bleibt verbunden; Sie müssen nichts neu ausstellen oder autorisieren.

Important

Diese Prüfung ist schwächer als die im Browser. Ein Browser muss einen Passkey nachweisen; ein Token muss nur einer Person gehören, die einen Passkey besitzt. Das ist eine Grenze des Zugangsmittels, kein Versehen.

Kurz-Check

Fügen Sie unter Kontoeinstellungen → Passkeys einen Passkey hinzu und verwenden Sie die vorhandene Entsperrmethode Ihres Geräts
Richten Sie auf einem anderen Gerät einen zweiten ein, damit ein verlorenes Smartphone nicht zum Supportfall wird
Denken Sie daran: Für spätere Änderungen an Ihren Passkeys benötigen Sie einen Passkey, nicht Ihr Passwort
Sperrt ein Konto Sie aus, bestätigen Sie Ihren Passkey auf der Sperrseite. Konten ohne diese Pflicht bleiben offen
Alle Passkeys verloren? Bitten Sie den Kontoinhaber um einen Pass zur erneuten Einrichtung
Gibt ein API-Token oder KI-Assistent 403 zurück? Hinterlegen Sie einen Passkey; nichts wurde widerrufen