Bund, Länder und Kommunen arbeiten seit dem Inkrafttreten der novellierten eIDAS-Verordnung (Verordnung (EU) 2024/1183) am 20.
Mai 2024 daran, das klassische Passwort in ihren Verwaltungsportalen durch passwortlose Verfahren zu ersetzen.
Der Umstieg auf sogenannte Passkeys, den das Bundesamt für Sicherheit in der Informationstechnik (BSI) seit Jahren als sicherheitstechnisch überlegen einstuft, kommt jedoch langsamer voran als geplant — nicht wegen der Technik selbst, sondern wegen zweier Randbedingungen: veralteter Dienstausweise auf Behördenseite und fehlender geeigneter Endgeräte auf Nutzerseite.

Was sind Passkeys?

Passkeys sind Zugangsschlüssel nach dem Industriestandard FIDO2 beziehungsweise WebAuthn.
Statt eines Kennworts, das der Nutzer kennt und das eine Behörde speichern muss, wird ein kryptografisches Schlüsselpaar erzeugt: Der private Teil verbleibt auf dem Gerät des Nutzers und wird per Fingerabdruck, Gesichtserkennung oder Geräte-PIN freigegeben, der öffentliche Teil liegt beim Diensteanbieter.
Weil kein wiederverwendbares Geheimnis übertragen wird, laufen Phishing-Angriffe und Angriffe auf gestohlene Passwortdatenbanken ins Leere.
Genau dieser Sicherheitsgewinn ist das Argument, mit dem der Bundes-CIO im Bundesministerium des Innern und für Heimat (BMI) die Ablösung passwortbasierter Anmeldung in Portalen nach dem Onlinezugangsgesetz (OZG) begründet.

Warum die Dienstausweise zum Hindernis werden

Die erste Bremse liegt in der Verwaltung selbst.
In vielen Behörden dient der Dienstausweis zugleich als Authentifizierungsmittel für interne Fachverfahren.
Ein erheblicher Teil dieser Chipkarten stammt aus Beschaffungszyklen, die vor der Verbreitung von FIDO2 lagen; sie setzen auf ältere Smartcard-Verfahren und lassen sich nicht per Software-Update zu Passkey-fähigen Sicherheitsschlüsseln machen.
Solange Sachbearbeiter für dieselben Vorgänge zwei getrennte Anmeldewelten bedienen müssen, bleiben passwortbasierte Zugänge als Rückfallebene bestehen — und eine Rückfallebene, die nie abgeschaltet wird, hebt den Phishing-Schutz des neuen Verfahrens weitgehend auf.
Marktteilnehmer verweisen zudem darauf, dass ein flächendeckender Kartentausch an Beschaffungsrecht, Budgetzyklen und Zertifizierungsanforderungen hängt, nicht an der Verfügbarkeit der Hardware, ein Muster, das sich auch bei den Kommunen zeigt, die weiterhin an Windows 10 festhalten.

Wer ohne Smartphone zurückbleibt

Die zweite Bremse betrifft die Nutzerseite.
Passkeys setzen in der Praxis ein Gerät mit sicherem Schlüsselspeicher voraus, üblicherweise ein aktuelles Smartphone oder einen separaten Hardware-Token.
Ältere Menschen, die Verwaltungsleistungen überdurchschnittlich häufig in Anspruch nehmen, verfügen jedoch seltener über ein solches Gerät oder nutzen Modelle, die keine Betriebssystem-Updates mehr erhalten.
Alternativen wie USB-Sicherheitsschlüssel müssen gekauft, registriert und im Verlustfall ersetzt werden — ein Prozess, für den Kommunen bislang kaum Verwaltungsverfahren vorhalten.
Behördenvertreter warnen deshalb vor einer digitalen Zugangslücke: Wird das Passwort abgeschaltet, ohne dass ein gleichwertiger analoger oder assistierter Weg besteht, verlieren Teile der Bevölkerung faktisch den Onlinezugang zu Leistungen — Verbraucherschützer fordern aus diesem Grund ein gesetzliches Recht auf analoge Behördengänge.

Damit steht die Verwaltung vor einem Zielkonflikt.
Das mit der BundID verknüpfte Nutzerkonto und die künftige europäische Identitäts-Wallet, deren Start das Bundesinnenministerium auf Herbst 2026 verschoben hat, setzen beide auf gerätegebundene Verfahren.
Ein vollständiger Passwortabschied gelingt nur, wenn parallel Ausweisinfrastruktur erneuert und Unterstützungsangebote für Menschen ohne geeignetes Endgerät aufgebaut werden.
Branchenbeobachter halten es deshalb für wahrscheinlich, dass Passkeys in Behördenportalen zunächst als zusätzliche Option neben dem Passwort laufen — mit dem Risiko, dass der Sicherheitsgewinn auf Jahre hinaus nur auf dem Papier steht.