Beste Security Keys für Passkeys: FIDO2-Hardware-Schlüssel im Vergleich

Passkeys lösen das Passwort-Problem grundlegend: Sie sind phishing-resistent, gerätegebunden und erfordern kein Auswendiglernen mehr8. Doch wer Passkeys ausschließlich in der Cloud oder auf einem Smartphone speichert, gibt einen Teil dieser Sicherheit wieder auf. Hardware-Security-Keys nach FIDO2/WebAuthn-Standard speichern Passkeys offline, sind portabel und bieten phishing-resistente Authentifizierung auf NIST-AAL2/AAL3-Niveau. Die Dinge, die wirklich Sicherheit bringen – das sind physische Schlüssel, die man in der Hand hält.

Wir vergleichen fünf Security-Keys für unterschiedliche Budgets und Anwendungsfälle – vom Branchenstandard bis zur robusten Outdoor-Alternative.

Wie wir bewertet haben

Für diesen Vergleich haben wir folgende Kriterien herangezogen:

• Protokoll-Support: FIDO2/WebAuthn ist das Minimum. Wer zusätzlich U2F, Smart Card (PIV), OpenPGP oder OTP benötigt, braucht einen Multi-Protokoll-Schlüssel.
• Anschlüsse: USB-C, USB-A und NFC bestimmen, mit welchen Geräten der Schlüssel kompatibel ist.
• Biometrie: Ein Fingerabdruck-Sensor ermöglicht passwortlose Anmeldung ohne PIN-Eingabe.
• Zertifizierungen & Robustheit: FIDO2 Level 2, IP68-Wasserdichtigkeit und Stoßfestigkeit sind für anspruchsvolle Umgebungen relevant.
• Preis-Leistungs-Verhältnis: Nicht jeder Nutzer braucht alle Protokolle – manchmal genügt ein schlanker FIDO-only-Schlüssel.

> Transparenz: Wir verdienen möglicherweise eine Provision, wenn Sie über Links in diesem Artikel kaufen. Das beeinflusst unsere Bewertung nicht.

1. YubiKey 5 Series — Der Branchenstandard

Der YubiKey 5 ist der Referenz-Schlüssel in der Branche und unterstützt mit Abstand die meisten Protokolle: FIDO2/WebAuthn, U2F, Smart Card (PIV), OpenPGP und OTP1. Wer sowohl moderne Passkey-Dienste als auch Legacy-SSO-Systeme oder PIV-basierte Unternehmensinfrastruktur abdecken muss, kommt an ihm kaum vorbei.

Verfügbar ist die 5er-Serie mit USB-A, USB-C und NFC – je nach Modell auch in Kombination. Die breite Dienst-Integration reicht von Google und Microsoft über GitHub bis hin zu AWS IAM. Für Power-User und IT-Administratoren ist der YubiKey 5 die sicherste Wahl, weil er praktisch jedes Authentifizierungsprotokoll abdeckt, das heute relevant ist.

Urteil: Der beste Allrounder. Wer einen einzigen Schlüssel für alles will – Passkeys, Smart Card, OpenPGP – greift hier zu.

2. YubiKey Bio Series — Komfort durch Biometrie

Die YubiKey Bio Series kombiniert Hardware-Sicherheit mit einem Fingerabdruck-Sensor2. Das bedeutet: Statt bei jeder Anmeldung eine PIN einzugeben, genügt ein kurzes Auflegen des Fingers. Für passwortlose SSO-Szenarien im Alltag ist das spürbar komfortabler.

Die Bio unterstützt FIDO2/WebAuthn und ist damit voll passkey-tauglich. Allerdings verzichtet sie bewusst auf die zusätzlichen Protokolle des YubiKey 5 – kein OpenPGP, kein Smart Card, kein OTP. Wer rein auf Passkeys und WebAuthn setzt und dabei maximalen Bedienkomfort schätzt, findet hier den richtigen Schlüssel.

Urteil: Premium-Wahl für Komfort. Ideal für Nutzer, die täglich passwortlos arbeiten und die PIN-Eingabe als Hürde empfinden.

3. Feitian ePass FIDO NFC Plus USB-C (K40+) — Preis-Leistungs-Sieger

Feitian ist der bekannteste YubiKey-Alternative-Hersteller, und der ePass FIDO NFC Plus USB-C (K40+) zeigt warum4. Er bietet NFC und USB-C sowie PIV Smart Card-Support – Features, die sonst vor allem dem teureren YubiKey 5 vorbehalten sind. FIDO2-Kompatibilität macht ihn voll passkey-tauglich.

Für Nutzer, die Smart Card-Funktion brauchen, aber nicht den vollen YubiKey-Preis zahlen möchten, ist der Feitian die logische Alternative. Die Verarbeitung ist solide, die Dienst-Integration deckt die gängigen FIDO2-Anwendungen ab.

Urteil: Bester Preis-Leistungs-Wert. Wer PIV Smart Card und FIDO2 in einem Schlüssel will, ohne YubiKey-Preise zu zahlen, wird hier fündig.

4. Yubico Security Key Series — Der Einsteiger-Schlüssel

Die Yubico Security Key Series ist ein bewusst reduzierter, FIDO-only-Schlüssel3. Kein OpenPGP, kein Smart Card, kein OTP – dafür ist er kostengünstig und wasser- sowie stoßfest. Für Unternehmen, die phishing-resistente MFA skalieren müssen, ist er die wirtschaftlichste Option.

Auch für Privatnutzer, die ausschließlich Passkeys und WebAuthn-MFA nutzen wollen und keine Legacy-Protokolle benötigen, ist dieser Schlüssel völlig ausreichend. Die FIDO2/WebAuthn-Zertifizierung stellt sicher, dass er mit allen gängigen Diensten funktioniert.

Urteil: Beste Budget-Wahl. Ideal für Einsteiger und Unternehmen, die nur FIDO2 brauchen und pro Schlüssel sparen wollen.

5. GoTrust Idem Key — Robust für raue Umgebungen

Der GoTrust Idem Key ist FIDO2 Level 2 zertifiziert und bietet IP68-Wasserdichtigkeit5. Mit USB-C und NFC verbindet er sich flexibel mit Desktops, Laptops und Smartphones. Für Nutzer, die in anspruchsvollen Umgebungen arbeiten – Baustelle, Werkstatt, Outdoor-Einsatz – ist die Robustheit ein echtes Unterscheidungsmerkmal.

Die FIDO2 L2-Zertifizierung bedeutet, dass der Schlüssel höhere Sicherheitsanforderungen erfüllt als die Basisstufe. Das ist besonders für Organisationen relevant, die Compliance-Vorgaben einhalten müssen.

Urteil: Robuste Alternative. Wer einen Schlüssel braucht, der auch Nässe und Stößen standhält, findet im Idem Key die richtige Wahl.

Vergleich im Überblick

Fazit

Passkeys sind ein gewaltiger Fortschritt gegenüber Passwörtern8. Doch erst ein Hardware-Schlüssel macht sie phishing-resistent und offline speicherbar. Die Wahl des richtigen Modells hängt vom Anwendungsfall ab:

• Maximale Kompatibilität: YubiKey 5 Series – deckt jedes Protokoll ab.
• Maximaler Komfort: YubiKey Bio Series – passwortlos per Fingerabdruck.
• Bestes Preis-Leistungs-Verhältnis: Feitian ePass FIDO NFC Plus – PIV zum kleineren Preis.
• Kleinstes Budget: Yubico Security Key – FIDO-only genügt für die meisten.
• Maximale Robustheit: GoTrust Idem Key – IP68 für raue Umgebungen.

Wer sensible Konten absichert – Banking, Unternehmens-SSO, AWS – sollte mindestens einen Hardware-Schlüssel als Backup bereithalten. Die Dinge, die wirklich Sicherheit bringen, sind physisch.

Willst du eine Anschlussfrage, die der Artikel nicht beantwortet hat? Frag die Engine — sie kennt den Kontext des Artikels.