Mit Passkeys anmelden: Die beste Joomla-Funktion, die du bisher ignoriert hast
- Philip Walton
Seien wir ehrlich: Wenn du eine neue Joomla-Website aufsetzt und in den Anmeldemöglichkeiten eine Option entdeckst, die du nicht sofort einordnen kannst – aktivierst du sie oder deaktivierst du sie lieber und verwendest wie gewohnt ein Passwort?
Falls Letzteres auf dich zutrifft, bist du nicht allein. Und das ist eigentlich schade. Denn Joomla bietet seit Jahren eine hervorragende, phishing-resistente und passwortlose Anmeldemethode. Das Problem war lediglich, dass sie einen Namen hatte, den kaum jemand verstand.
Das hat sich inzwischen geändert. Heute trägt die Funktion endlich den Namen, den auch Apple, Google, Microsoft und die FIDO Alliance verwenden: Passkeys.
Wir haben nichts Neues entwickelt – nur etwas Geniales umbenannt
Das Schöne an dieser Geschichte: Joomla ist nicht erst kürzlich auf den Passkey-Zug aufgesprungen.
Die Technologie ist bereits seit Joomla 4.0 Bestandteil des CMS und basiert auf dem W3C-Standard Web Authentication, kurz WebAuthn. Einen Großteil der Entwicklungsarbeit leistete damals Nicholas K. Dionysopoulos.
Rückblickend war die Funktion ihrer Zeit weit voraus. Nicholas selbst bezeichnete sie als etwa fünf Jahre zu früh für den Markt.
Ich nutze WebAuthn beziehungsweise Passkeys seit Jahren auf meinen eigenen Websites. Als jemand, der sich intensiv mit Joomla-Sicherheit beschäftigt, war es durchaus erfreulich zu beobachten, wie die restliche Branche langsam dort ankam, wo Joomla längst war.
Genau darin lag aber auch das Problem.
Die Anmeldemethode hieß im Backend:
W3C Web Authentication (WebAuthn) Login
Für technisch weniger versierte Anwender klingt das eher abschreckend als einladend. Viele wussten schlicht nicht, was sich dahinter verbarg – und haben die Funktion deshalb nie genutzt.
Nicholas brachte schließlich einen Verbesserungsvorschlag ein (Issue #41077): Die Funktion sollte im Benutzerinterface nicht länger „WebAuthn“ heißen, sondern „Passkey“, genau wie bei den großen Technologieanbietern.
Technisch änderte sich nichts. Doch sprachlich war dieser Schritt enorm wichtig. Denn eine Funktion, die niemand versteht, wird auch niemand aktivieren.
Seit Joomla 6.1 heißt der entsprechende Bereich im Benutzerprofil „Passkey-Anmeldung“, und das zugehörige Plugin trägt den Namen:
System – Passkey (Passwordless) Login
Dieselbe leistungsfähige Technologie – aber endlich mit einem verständlichen Namen.
Manchmal ist genau das der entscheidende Unterschied.
Was ist eigentlich ein Passkey?
Ein Passwort ist ein gemeinsames Geheimnis.
Du kennst es. Die Website kennt es. Und wenn jemand dieses Geheimnis stiehlt – egal von welcher Seite – kann er sich anmelden.
Ein Passkey funktioniert grundlegend anders.
Wenn du einen Passkey für eine Website erstellst, erzeugt dein Gerät automatisch ein Schlüsselpaar:
- einen öffentlichen Schlüssel,
- einen privaten Schlüssel.
Der öffentliche Schlüssel wird auf der Website gespeichert.
Der private Schlüssel verlässt dein Gerät niemals.
Bei der Anmeldung sendet die Website eine kryptografische Herausforderung an dein Gerät. Nach einer Bestätigung per Fingerabdruck, Gesichtserkennung oder PIN signiert dein Gerät diese Herausforderung mit dem privaten Schlüssel. Die Website überprüft anschließend die Signatur anhand des gespeicherten öffentlichen Schlüssels.
Das bedeutet:
Die Website besitzt kein Geheimnis, das gestohlen werden könnte.
Es gibt schlicht nichts zu stehlen.
Ein anschaulicher Vergleich: Stell dir einen Türsteher vor, der deine Unterschrift erkennt, aber weder deinen Namen noch deine Adresse kennt. Selbst wenn jemand in seine Kabine einbricht, findet er dort keine wertvollen Informationen.
Schutz vor Phishing
Besonders clever ist, dass ein Passkey immer an die exakte Webadresse gebunden ist, für die er erstellt wurde.
Wenn dich ein Angreifer auf eine täuschend echte Kopie deiner Website locken möchte, funktioniert dein Passkey dort nicht.
Einfach nicht.
Die Anmeldung kann nicht auf einer gefälschten Domain verwendet werden. Dadurch wirst du auch nicht Opfer klassischer Phishing-Angriffe.
Für ein CMS, das von Vereinen, Unternehmen, Behörden und Organisationen genutzt wird, ist das ein enormer Sicherheitsgewinn.
Und genau diese Art von Schutz konnte keine noch so oft wiederholte Empfehlung wie „Bitte wähle ein starkes Passwort“ jemals zuverlässig bieten.
Schneller und erfolgreicher als Passwörter
Auch die Praxiserfahrungen sprechen für sich.
Microsoft berichtet, dass Passkey-Anmeldungen in etwa 98 Prozent der Fälle erfolgreich abgeschlossen werden. Bei klassischen Passwortanmeldungen liegt die Erfolgsquote dagegen lediglich bei rund 32 Prozent.
Darüber hinaus sind Passkeys deutlich schneller. Es entfällt das Eingeben von Passwörtern und Einmalcodes.
Kein Vertippen.
Kein Vergessen.
Kein Zurücksetzen.
Schneller und sicherer gleichzeitig – eine Kombination, die man in der IT nicht allzu häufig findet.
Passkeys sind inzwischen längst kein Nischenthema mehr.
Zum World Passkey Day 2026 schätzte die FIDO Alliance die Zahl der weltweit genutzten Passkeys auf über fünf Milliarden. Rund drei Viertel aller Nutzer haben bereits mindestens einen Passkey eingerichtet.
Alle großen Plattformen unterstützen die Technologie mittlerweile standardmäßig.
Joomla war einfach früher dran.
Ist das nicht dasselbe wie MFA?
Eine berechtigte Frage.
Wer seit Joomla 4.2 die Mehrfaktor-Authentifizierung (MFA) nutzt, verwendet bereits ähnliche Technologien.
Wenn du beispielsweise einen Sicherheitsschlüssel berührst oder eine Freigabe auf deinem Smartphone bestätigst, nutzt du ebenfalls WebAuthn.
Der Unterschied liegt im Einsatzbereich.
Bei MFA bleibt das Passwort bestehen. Die Authentifizierung erfolgt in zwei Schritten:
- Passwort eingeben
- Zweiten Faktor bestätigen
Passkeys gehen einen Schritt weiter.
Der Passkey ersetzt das Passwort vollständig.
Keine zusätzliche Sicherheitsstufe nach dem Passwort.
Kein Passwort mehr.
Dadurch verschwinden auch sämtliche Probleme, die mit Passwörtern verbunden sind.
Passkeys in Joomla aktivieren
Die Einrichtung ist erfreulich unkompliziert.
Voraussetzungen
Damit Passkeys funktionieren, muss:
- die Website per HTTPS erreichbar sein,
- ein gültiges SSL-Zertifikat vorhanden sein (z. B. Let’s Encrypt),
- die PHP-Erweiterung OpenSSL installiert sein,
- sowie entweder GMP oder BCmath verfügbar sein.
Bei den meisten Hosting-Anbietern sind diese Voraussetzungen bereits erfüllt.
Einrichtung
- Stelle sicher, dass das Plugin „System – Passkey (Passwordless) Login“ aktiviert ist.
- Melde dich einmalig mit Benutzername und Passwort an.
- Öffne dein Benutzerprofil.
- Wechsle zum Bereich „Passkey-Anmeldung“.
- Klicke auf „Neuen Passkey hinzufügen“.
- Folge den Anweisungen deines Browsers oder Geräts.
Anschließend kannst du deinem Passkey einen aussagekräftigen Namen geben, beispielsweise:
- Arbeitslaptop
- Smartphone
- Sicherheitsschlüssel
Danach erscheint auf dem Joomla-Loginformular die Möglichkeit, dich direkt mit deinem Passkey anzumelden.
Ganz ohne Passwort.
Welche Geräte können verwendet werden?
Die gute Nachricht: Fast alle modernen Geräte unterstützen Passkeys.
Dazu gehören beispielsweise:
- Touch ID oder Face ID auf Mac, iPhone und iPad
- Windows Hello auf Windows-PCs
- biometrische Entsperrung auf Android-Geräten
- Hardware-Sicherheitsschlüssel wie YubiKeys
- Smartphones als Authentifikator für andere Geräte
Zusätzlich können Passkeys heute über Dienste wie:
- iCloud Keychain
- Google Passwortmanager
- Bitwarden
- 1Password
zwischen Geräten synchronisiert werden.
Einmal eingerichtet, stehen sie somit auf mehreren Geräten zur Verfügung.
Sollte man mehrere Passkeys anlegen?
Ja.
Nicht primär aus Sicherheitsgründen, sondern aus praktischen.
Wenn dein einziges Gerät verloren geht oder defekt ist, möchtest du dich nicht aussperren.
Eine sinnvolle Strategie könnte sein:
- ein Passkey auf dem Computer,
- ein Passkey im Passwortmanager,
- ein Hardware-Schlüssel als Backup.
Alle diese Passkeys basieren auf derselben phishing-resistenten Technologie. Es gibt also keinen „schwachen“ Passkey, der die Sicherheit des Kontos reduziert.
Der eigentliche Schwachpunkt bleibt häufig das klassische Passwort, sofern es weiterhin aktiviert ist.
Ein Angreifer wird meist versuchen, den einfachsten Weg zu wählen. Solange Passwortanmeldungen erlaubt sind, konzentriert er sich auf das Passwort – nicht auf die Passkeys.
Deshalb lohnt es sich langfristig, Passkeys als primäre Anmeldemethode zu nutzen und schwächere Alternativen möglichst zu vermeiden.
Wohin entwickelt sich Joomla?
Die Umbenennung zu „Passkey“ ist erst der Anfang.
Langfristig soll Joomla die Anmeldung ausschließlich mit einem Passkey ermöglichen – sogar ohne Eingabe eines Benutzernamens.
Der nächste logische Schritt wäre dann die Möglichkeit, Passwortanmeldungen für einzelne Benutzerkonten vollständig zu deaktivieren.
Und genau das ist der eigentliche Gewinn:
Wenn ein Konto kein Passwort besitzt,
- kann kein Passwort gestohlen werden,
- kann kein Passwort wiederverwendet werden,
- kann kein Passwort per Brute Force erraten werden.
Eine ganze Kategorie von Angriffen verschwindet schlicht aus dem Bedrohungsszenario.
Wir bekämpfen das Problem nicht mehr.
Wir beseitigen es.
Probier es aus!
Deshalb mein Vorschlag:
Wenn du das nächste Mal in deinem Joomla-Backend unterwegs bist, überspringe die Passkey-Funktion nicht einfach.
Nimm dir fünf Minuten Zeit, richte einen Passkey ein und melde dich einmal mit Fingerabdruck oder Gesichtserkennung an.
Beim ersten Mal fühlt es sich fast ein wenig wie Magie an.
Nach kurzer Zeit wird es völlig normal.
Und irgendwann fragst du dich, warum du überhaupt jemals Passwörter eingetippt hast.
Joomla bietet diese Technologie bereits seit Jahren. Höchste Zeit also, sie auch zu nutzen.
Originalartikel von Philip Walton im Joomla-Magazine: https://magazine.joomla.org/issues/2026/june-2026/login-with-passkeys-the-best-joomla-feature-you-have-been-ignoring
Übersetzt mit Unterstützung der KI.