Der Dashlane Passkey Power 20 2026

Vor zwei Jahren lautete die Frage bei Passkeys: Wer wird sie einführen?¹ Letztes Jahr: Wie schnell?² Dieses Jahr, mit genug Daten für einen Trend statt nur einen einzelnen Moment, hat sich die Frage gewandelt: Wie weit ist der Übergang tatsächlich vorangeschritten?

Die Antwort ist komplizierter, als Optimisten oder Skeptiker es sich wünschen würden. Passkey-Authentifizierungen haben sich in den letzten 12 Monaten fast verdoppelt. Die Einführung weitet sich auf Branchen aus, die letztes Jahr noch keine Aktivität zeigten. Und dennoch: Bei der Domain mit dem von uns gemessenen höchsten Passkey-Anteil nutzen nach wie vor rund sieben von zehn Anmeldungen keinen Passkey.

Um die Lücke zwischen den bisherigen Fortschritten bei der Passkey-Einführung und dem noch enormen verbleibenden Potenzial geht es in diesem Bericht.

Die Risiken haben sich nicht verändert. Laut Dashlane-Daten verwaltet eine durchschnittliche Person inzwischen mehr als 300 Passwörter, und der Missbrauch von Anmeldedaten gehört nach wie vor zu den drei häufigsten initialen Angriffsvektoren.³

Passkeys sind nach wie vor die überzeugendste Antwort auf dieses Problem. Aufgebaut auf den Standards der FIDO Alliance und des W3C und unter Nutzung von Public-Key-Kryptografie sind sie von Grund auf phishing-resistent, immun gegen Credential-Stuffing-Angriffe und erfordern keinerlei Memorierung. Neu ist, dass wir nun endlich erkennen können, wo diese Vorteile in der Praxis wirksam wurden – und wo nicht.

Der Dashlane Passkey Power 20 2026 basiert auf einer Analyse von Dashlane-Daten, die Millionen aggregierter und anonymisierter web- und mobilbasierter Passkey-Authentifizierungen weltweit von Juli 2025 bis Juni 2026 umfassen, sofern nicht anders angegeben.

Dashlane war der erste Anmeldedaten-Manager, der Passkeys auf allen wichtigen Plattformen unterstützt hat. Das verschafft uns einen ungewöhnlich klaren Einblick in das Authentifizierungsverhalten im Mainstream – sowohl in privaten als auch in Unternehmensumgebungen.

Das diesjährige Power 20 bewertet Domains anders als das Ranking des Vorjahres.

Das Ranking 2025 maß den Anteil jeder Domain an den gesamten Passkey-Authentifizierungen – eine reine Volumenmetrik. Sie beantwortet die Frage: „Wo konzentriert sich die Passkey-Aktivität?" Dabei dominiert die Größe des Unternehmens, weshalb ein einzelner Einzelhändler fast 40 % der Liste des Vorjahres auf sich vereinte.

Das Ranking 2026 misst das Verhältnis von Passkey-Authentifizierungen zur Gesamtzahl der Authentifizierungen je Domain – also eine Durchdringungsrate. Sie beantwortet eine für dieses Jahr relevantere Frage: Wo haben Passkeys Passwörter tatsächlich verdrängt?

Der Volumenanteil misst im Wesentlichen die Unternehmensgröße. Die Durchdringungsrate hingegen misst, ob der passwortlose Übergang bei einem bestimmten Dienst tatsächlich stattfindet – und genau das ist die Frage, die Sicherheitsverantwortliche beim Benchmarking ihrer eigenen Programme wirklich beantwortet haben möchten.

Die beiden Rankings sind nicht vergleichbar, und die Prozentzahlen sollten nicht miteinander in Beziehung gesetzt werden. Eine Domain kann ein enormes Passkey-Volumen erzeugen und dennoch nur einen kleinen Bruchteil ihrer Anmeldungen konvertieren. Die diesjährigen Zahlen sind niedriger als die des Vorjahres, weil sie etwas anderes messen – nicht weil die Einführung langsamer geworden wäre. Das ist sie nicht.

Passkey-Authentifizierungen durch Dashlane-Benutzer haben sich im Jahresvergleich fast verdoppelt und erreichen nun 2,5 Millionen pro Monat. Die Nutzereinführung folgt einer bemerkenswert gleichmäßigen Kurve: rund 20 Prozentpunkte pro Jahr, drei Jahre in Folge.

Hält dieser Trend an, werden bis Mitte 2027 vier von fünf Dashlane-Benutzern mindestens einen Passkey gespeichert haben. Da Dashlane von Millionen von Menschen in privaten und Unternehmensumgebungen, auf allen wichtigen Plattformen und Betriebssystemen genutzt wird, bietet dies eines der klarsten verfügbaren Fenster dafür, wie sich die Authentifizierung im Mainstream tatsächlich verändert.

Die aufschlussreichste Zahl im diesjährigen Ranking steht ganz oben. Google führt den Power 20 mit 28 % an – was bedeutet, dass selbst bei der erfolgreichsten großen Domain, die wir messen, rund sieben von zehn Anmeldungen noch immer keinen Passkey verwenden.

Das ist der Stand der passwortlosen Authentifizierung im Jahr 2026. Die Einführung beschleunigt sich, ist aber noch lange nicht abgeschlossen.

Dieses Ranking umfasst nur Domains mit mindestens 400.000 von Dashlane verwalteten Authentifizierungen im letzten Jahr, was auf eine erhebliche Anmeldeaktivität hinweist. Verwandte Domains werden zusammengefasst, z. B. Amazon.com und Amazon.fr. Microsoft umfasst Authentifizierungen von Microsoft.com, Microsoft Online und Live.com.

Jede Domain auf dieser Liste unterstützt Passkeys. Das tun auch Hunderte von Diensten, die es nicht in die Liste geschafft haben. Was die Spitze des Rankings vom Rest unterscheidet, sind die Produktentscheidungen, die darauf aufbauen.

Die führenden Anbieter haben Passkeys als den sichtbaren, offensichtlichen und schnelleren Weg etabliert. Google positioniert Passkeys als sicherere und einfachere Alternative zu Passwörtern.⁴ Amazon hat festgestellt, dass komfortorientierte Botschaften wirkungsvoller sind als der Fokus auf Sicherheit.⁵ HubSpot bewirbt Passkeys auf Web, Mobile und in seinem Outlook Sales Add-In mit dem Hinweis, dass Logins viermal schneller sind als Passwort plus 2FA.⁶

Was an der Spitze dieser Liste am meisten auffällt: Keine der zehn führenden Domains macht Passkeys heute zur Pflicht.

Ein Blick auf die verschiedenen Implementierungen zeigt vier unterschiedliche Ansätze.

Das deutlichste Beispiel für den vierten Ansatz stammt von einem anderen Unternehmen als den Yahoo-Diensten auf dieser Liste. LINE Yahoo, das im Besitz von SoftBank befindliche Unternehmen, das Yahoo Japan betreibt, hat angekündigt, die ausschließliche Passwort-Anmeldung für Yahoo Japan IDs bis Frühjahr 2027 zu beenden.¹³

Diese Knappheit erklärt die Obergrenze von 28 %. Anreize wirken – sie haben jeden Wert auf dieser Seite hervorgebracht – doch ihre Wirkung hat Grenzen, und die führenden Anbieter scheinen diese Grenzen zu erreichen.

Geschäftsanwendungen werden nicht mehr nur durch eine Handvoll sicherheitsorientierter Ausreißer repräsentiert. HubSpot (#3) und Cisco Duo (#9) führen wie im Vorjahr, doch die Kategorie hat sich deutlich ausgeweitet. isolved HCM (#10) und BambooHR (#15) bringen HR- und Gehaltsabrechnungsplattformen erstmals auf die Liste, AWS (#17) vertritt die Cloud-Infrastruktur und Dropbox (#14) steht für Dateifreigabe.

HR und Gehaltsabrechnung ist ein bemerkenswerter Neuzugang. Diese Systeme speichern Daten zur Gehaltsüberweisung, Steuernummern und personenbezogene Daten ganzer Belegschaften – und sie werden von Mitarbeitern genutzt, die keine Sicherheitsspezialisten sind. isolved HCM hat Passkeys als prominente primäre MFA-Option beim Login etabliert und gleichzeitig schwächere Methoden schrittweise abgeschafft.¹¹

Für B2B-Plattformen lösen Passkeys zwei Probleme gleichzeitig: Sie schützen geschäftskritische Daten und reduzieren den IT-Aufwand durch Passwort-Resets, Kontosperrungen und supportbezogene Tickets rund um Anmeldedaten.

Zwei Neueinsteiger auf der diesjährigen Liste zeigen, wohin sich die passwortlose Authentifizierung als Nächstes entwickelt.

Login.gov (#11) bringt US-Bundesbehörden in die Power 20. Seine Bedeutung könnte noch erheblich zunehmen, da das US Office of Management and Budget (OMB) einen Richtlinienentwurf zirkuliert hat, der Login.gov zum Single Sign-On-Dienst der Bundesregierung für die meisten öffentlich zugänglichen Dienste mit Authentifizierungspflicht machen würde.¹⁴ Eine Passkey-Implementierung in diesem Ausmaß würde einen großen Teil der amerikanischen Bevölkerung mit passwortloser Authentifizierung in Berührung bringen – ähnlich wie Googles Standardentscheidung von 2023 es für Verbraucher getan hat.

OpenAI (#19) ist die erste KI-Plattform, die erscheint. OpenAI kündigte die Passkey-Unterstützung im April als Teil seines Advanced Account Security-Programms an, wobei Passkeys für Mitglieder des Trusted Access for Cyber-Programms standardmäßig vorgeschrieben sind.¹⁵ Die deutlichste Anforderung, die wir im gesamten Datensatz gefunden haben, gilt damit für eine sicherheitssensible Benutzergruppe – nicht für die breite Öffentlichkeit.

Im vergangenen Jahr haben wir Google vollständig aus dem Ranking herausgehalten. Das Authentifizierungsvolumen übertraf alles andere bei weitem, und die Rolle als SSO-Anbieter machte einen direkten Vergleich irreführend.

Die diesjährige Kennzahl beseitigt dieses Problem. Eine Durchdringungsrate belohnt keine Skalierung, daher tritt Google zu denselben Bedingungen an wie alle anderen – und landet trotzdem auf Platz eins. Die 28 % sind der stärkste verfügbare Beleg dafür, dass Standardeinstellungen wirken. Google hat Passkeys im Oktober 2023 zur Standard-Anmeldeoption für persönliche Konten gemacht, und drei Jahre später erzeugt diese Entscheidung noch immer die höchste Konversionsrate, die wir messen.¹⁶

Microsoft erschien im vergangenen Jahr auf Platz #5 der am schnellsten wachsenden Dienste, nachdem Passkeys im Mai 2025 zur Standard-Anmeldemethode für alle neuen Konten gemacht wurden.¹⁷ In diesem Jahr taucht das Unternehmen auf Platz #16 im Hauptranking auf.

Diese Entwicklung ist für alle aufschlussreich, die ihren eigenen Rollout bewerten. Standardmäßig aktivierte Entscheidungen erzeugen keine sofortige nennenswerte Durchdringung. Sie zeigen sich zunächst als Wachstum und wandeln sich im Laufe des Folgejahres in einen nachhaltigen Marktanteil um, wenn die bestehende Nutzerbasis sich erneuert.

Apples Passkeys konnten das eigene Ökosystem historisch nicht verlassen, was eine plattformübergreifende Verwaltung von Anmeldedaten für Verbraucher und IT-Administratoren gleichermaßen erschwerte.

Mit iOS 26, das im September 2025 veröffentlicht wurde, führte Apple Unterstützung für sichere Portabilität von Anmeldedaten ein. Damit können Benutzer Passkeys und andere Anmeldedaten mithilfe des Anmeldedaten-Austauschs zwischen der Apple-Passwörter-Anwendung und Drittanbietern wie Dashlane übertragen. Google folgte diesem Beispiel. Im Jahr 2026 fügte Google Unterstützung für den Anmeldedaten-Austausch für den Google Passwort-Manager unter Android hinzu. 

Der praktische Effekt: Passkeys werden zu portablen Assets statt zu Plattform-Verpflichtungen. Für Organisationen, die beim Thema Passwortlosigkeit wegen Abhängigkeitsbedenken gezögert haben, ist dieser Einwand weitgehend entkräftet.

Die Power 20 misst, wie weit jeder Dienst bereits gekommen ist. Dieses Ranking misst, wie schnell er sich vorwärtsbewegt. Für diese Analyse hat Dashlane das dreimonatige Wachstum bei Passkey-Authentifizierungen von Q1 2026 bis Q2 2026 untersucht.

Die am schnellsten wachsende Domain des letzten Jahres, Roblox, wuchs in einem Quartal um 856 %. Der diesjährige Spitzenreiter, BetMGM, kommt auf 391 %.

Dieser Rückgang ist ein Zeichen von Reife, nicht von Verlangsamung. Die größten Wachstumszahlen stammen von Plattformen, die einen einzigen dramatischen Schritt unternehmen – entweder Passkeys dort einschalten, wo es sie bisher nicht gab, oder sie direkt vorschreiben. Solche Sprünge sind begrenzt, und was sie ablöst, ist breiter und beständiger. Selbst Platz 20 auf dieser Liste wuchs in einem einzigen Quartal um fast zwei Drittel.

Das Wachstum konzentriert sich nicht mehr auf wenige Vorreiter. Stattdessen verteilt es sich auf nahezu jeden Sektor, den wir messen.

Glücksspiel belegt zum ersten Mal den Spitzenplatz, und BetMGMs Wachstum von 391 % spiegelt ein Muster wider, das sich durch diese gesamte Liste zieht. Die Einführung von Passkeys schreitet dort am schnellsten voran, wo Konten Geld, Anmeldedaten oder regulierte personenbezogene Daten enthalten. Online-Wettkonten beinhalten Zahlungsarten und Guthaben, stehen unter aktiver behördlicher Aufsicht und sind attraktive Ziele für Kontoübernahmen.

Der Finanzsektor ist das deutlichste Beispiel für dieses Muster: Er belegt fünf der zwanzig Plätze – mehr als jede andere Kategorie. Experian (383 %), SBI Securities (114 %), Principal (74 %), PayPal (66 %) und Klarna (64 %) umfassen Kreditauskünfte, Brokerage, Versicherungen, Zahlungsabwicklung und Buy-now-pay-later.

Das Bild im Finanzsektor hat sich gegenüber dem Vorjahr verändert. Im Jahr 2025 wurde das Wachstum in diesem Sektor durch weitreichende Vorgaben vorangetrieben – am sichtbarsten durch Gemini, das Passkeys oder Authenticator-Anwendungen für alle Benutzer vorschrieb. Gemini ist in der ersten Tabelle dieses Berichts nicht unter den Top-20-Domains vertreten. In diesem Jahr gibt es keinen vergleichbaren Paukenschlag. Stattdessen taucht der Finanzsektor gleichzeitig in fünf Teilbereichen auf – weniger spektakulär, aber deutlich nachhaltiger.

„Einem KI-Agenten eine echte Transaktion anzuvertrauen bedeutet zu wissen, wer dahintersteckt, und sicherzustellen, dass er nur das tun kann, was diese Person erlaubt hat", sagt Andrew Shikiar, Executive Director und CEO der FIDO Alliance. „Phishing-resistente offene Standards sind der Weg, wie wir Benutzern, Händlern und Banken Vertrauen in agentgeführte Transaktionen geben."

Gesundheit und Pharmazie gewinnt an Bedeutung: CVS (132 %), MyChart (100 %) und Caremark (71 %) belegen alle Plätze unter den Top 15. Zwei der drei – CVS und Caremark – gehören zu CVS Health; es handelt sich also um zwei Organisationen und nicht um drei unabhängige Schritte.

Der Zeitpunkt ist bemerkenswert. Die vorgeschlagene Aktualisierung der HIPAA Security Rule, die die Mehrfaktor-Authentifizierung von einer Kann- zu einer Muss-Anforderung machen würde, ist auf Bundesebene noch nicht abgeschlossen.¹⁸ Gesundheitsorganisationen wechseln zur phishing-resistenten Authentifizierung, bevor ein entsprechendes Mandat vorliegt – nicht als Reaktion darauf.

Patientenportale enthalten Rezeptverläufe, Versicherungsdetails und Zahlungsarten und werden von einer Nutzerschaft genutzt, die jeden technischen Kenntnisstand abdeckt. Diese Kombination macht die Adoptionszahlen hier beeindruckender, als die reinen Prozentwerte vermuten lassen.

Gustos Wachstum von 354 % ist der drittgrößte Wert auf dieser Liste und spiegelt die starken Ergebnisse von isolved HCM (Platz 10) und BambooHR (Platz 15) in der obigen Power-20-Liste wider.

HR- und Gehaltsabrechnungsplattformen nähern sich Passkeys von beiden Seiten gleichzeitig an und zeigen dabei sowohl rasantes Wachstum als auch eine hohe Durchdringung. Diese Systeme speichern Kontodaten für Direktüberweisungen, Steuernummern und vollständige Personalakten – und werden von Mitarbeitern genutzt, die sich selten anmelden und möglicherweise keine Sicherheitsschulung erhalten haben. Unter genau diesen Bedingungen versagen Passwörter am häufigsten.

Meta (310 %) und X (112 %) verzeichnen starke Zahlen, doch keine der Plattformen führt das Feld so an wie soziale Plattformen in früheren Jahren. Die Sektoren, die heute das Tempo bestimmen, sind jene mit direktem finanziellen oder regulatorischen Risiko – was darauf hindeutet, dass die Passkey-Einführung durch Risikoabwägungen und nicht durch Trends bei Verbrauchertechnologie vorangetrieben wird.

Air France (69 %), Mon Identifiant SNCF (68 %), Ticketmaster (218 %) und Petco (101 %) belegen die anhaltende Dynamik bei Verbrauchern in Europa und Nordamerika. Broadcom (80 %) und Trimble (67 %) bringen Halbleiter und Industrietechnologie erstmals auf die Liste.

Die Breite ist das Entscheidende. Neunzehn verschiedene Kategorien sind in den diesjährigen zwei Rankings vertreten. Die Einführung von Passkeys ist keine Geschichte mehr, in der ein Sektor vorangeht und andere folgen.

Vor zwei Jahren berichteten wir über erste Fortschritte. Letztes Jahr stellten wir fest, dass aus Fortschritten ein Auftrag geworden war. Die Daten dieses Jahres stützen eine präzisere – und anspruchsvollere – Schlussfolgerung.

Die Passkey-Authentifizierungen haben sich fast verdoppelt. Die Akzeptanz ist zwei Jahre in Folge um jeweils rund zwanzig Prozentpunkte gestiegen. In unseren beiden Rankings sind neunzehn Kategorien vertreten – von Behörden-Identitätsdiensten über Lohnbuchhaltungsplattformen bis hin zu Patientenportalen. Kein seriöser Beobachter kann heute noch behaupten, Passkeys seien eine Technologie für frühe Anwender.

Und dennoch: Die leistungsstärkste große Domain, die wir messen, weist eine Passkey-Login-Rate von lediglich 28 % auf. Die Spitzenreiter haben diesen Wert durch Überzeugungsarbeit erreicht – durch bessere Platzierung, schnellere Abläufe, klarere Vorteile und die schrittweise Abschaffung schwächerer Alternativen. Jede dieser Maßnahmen hat gewirkt, aber keine hat die Aufgabe vollständig erfüllt.

Die Organisationen an der Spitze dieser Liste haben bewiesen, dass Passkeys in jeder Art von Nutzerbasis im großen Maßstab eingesetzt werden können, ohne jemanden zu zwingen. Sie haben damit aber auch gezeigt, wo die Grenzen dieses Ansatzes liegen.

Für IT- und Sicherheitsverantwortliche hat sich die strategische Frage entsprechend verändert. Es geht nicht mehr darum, ob Passkeys unterstützt oder gefördert werden sollen. Es geht darum, wie weit eine Organisation bereit ist, das Passwort parallel dazu abzuschaffen – und in welchem Zeitrahmen. Die Dienste, die diese Frage als Erste beantworten, werden in den nächsten Rankings ganz oben stehen.

Da der Missbrauch von Anmeldedaten nach wie vor zu den häufigsten initialen Angriffsvektoren zählt, lassen sich die Kosten eines halbherzigen Vorgehens an der verbleibenden Angriffsfläche ablesen. Ein Passkey, der neben einem Passwort angeboten wird, reduziert das Risiko kaum. Ein Passkey, der das Passwort ersetzt, hingegen erheblich.

Bei Dashlane werden wir diesen Wandel weiterhin verfolgen und über das berichten, was die Daten zeigen – einschließlich der weniger komfortablen Erkenntnisse. Der Dashlane Passkey Power 20 2026 zeichnet das Bild einer Branche, die bewiesen hat, dass passwortlose Authentifizierung funktioniert. Was jetzt folgt, ist die schwierigere Aufgabe, diesen Wandel zu vollenden.