YubiKey einrichten

Voraussetzungen

Verwende einen aktuellen Browser und ein unterstütztes Betriebssystem. Ob USB, NFC und externe Passkeys funktionieren, hängt auch vom Dienst und deinem Gerät ab. Sichere zuerst einen alternativen Kontozugang.

Einrichtung

1. YubiKey anschließen

   Stecke ihn in einen passenden USB-Anschluss. Ein NFC-Modell kannst du später auch kontaktlos mit unterstützten Geräten verwenden.

2. Konto öffnen

   Melde dich bei dem Konto an, das du schützen möchtest – etwa Microsoft oder Google.

3. Sicherheitseinstellungen öffnen

   Suche nach „Sicherheitsschlüssel“, „Passkey“ oder „Zwei-Faktor-Authentifizierung“ (2FA), auch „Multi-Faktor-Authentifizierung“ (MFA). Der Name hängt vom Anbieter ab.

4. YubiKey registrieren

   Wähle den Sicherheitsschlüssel und folge dem Dialog. Berühre den Kontakt am YubiKey, sobald du dazu aufgefordert wirst.

Danach einmal anmelden und testen. Sichere vorher eine alternative Zugangsmöglichkeit. Zum Abschlusstest

Bei der normalen Registrierung als Sicherheitsschlüssel oder Passkey ist meist keine vorherige Konfiguration nötig. Beginne direkt beim gewünschten Konto.

Yubico Authenticator hilft bei der Verwaltung. App-Funktionen und Plattformen, Bio-Vorbereitung und erstmalige NFC-Nutzung findest du in den jeweiligen Guides.

Jedes Konto einzeln: Bei Microsoft eingerichtet heißt nicht automatisch bei Google eingerichtet. Registriere deinen YubiKey bei jedem gewünschten Dienst separat.

Anmeldung testen – dein Abschlusstest

1. Prüfe zuerst, ob eine alternative Wiederherstellungsmöglichkeit vorhanden und erreichbar ist.
2. Melde dich vom Konto ab und erneut an.
3. Wähle die Anmeldung mit dem Sicherheitsschlüssel oder dem darauf gespeicherten Passkey, falls der Dienst eine Auswahl anbietet.
4. Prüfe, ob dein YubiKey tatsächlich verlangt und akzeptiert wird.
5. Erst nach einem erfolgreichen Test ist die Einrichtung abgeschlossen.

Vertraute Geräte fragen den Schlüssel möglicherweise nicht bei jeder Anmeldung ab. Prüfe dann die angebotenen Anmeldeoptionen oder die offizielle Hilfe des Dienstes. Entferne keine bisherigen Zugangsmethoden, um den Test zu erzwingen.

Backup / Recovery: Sichere vor dem Test einen alternativen Zugang. Ersatzkey und Wiederherstellung

Offizielle Anleitung: Yubico Setup (extern)

Zur Inhaltsauswahl

Voraussetzungen

Der Sicherheitsschlüssel ist das physische Gerät; FIDO2/WebAuthn ist ein unterstütztes Anmeldeverfahren. Je nach Dienst nutzt du den YubiKey zusätzlich zum Passwort oder für einen Passkey ohne Passwort. Der Passkey-Weg kann außerhalb der klassischen 2FA-Einstellungen liegen.

Bei der klassischen Zwei-Faktor-Anmeldung ergänzt der YubiKey dein Passwort. Dienst, Gerät und Schlüssel müssen die gewählte Verbindung unterstützen.

Einrichtung

1. Melde dich beim Dienst an und öffne die Sicherheitseinstellungen.
2. Öffne die Zwei-Faktor- oder Multi-Faktor-Authentifizierung. Wähle „Sicherheitsschlüssel hinzufügen“ oder die entsprechende Option.
3. Verbinde den YubiKey per USB oder verwende NFC, wenn Dienst, Gerät und Schlüssel es unterstützen.
4. Bestätige die Browser- und Dienstanweisungen. Berühre den Schlüssel, wenn du dazu aufgefordert wirst.
5. Vergib einen Namen wie „Hauptschlüssel“, falls angeboten.

Woran erkennst du, dass es funktioniert?

Der Dienst bestätigt die Registrierung oder zeigt den Schlüssel in deinen Anmeldemethoden.

Anmeldung testen: Zum gemeinsamen Abschlusstest

Backup / Recovery: Sichere vor dem Test einen alternativen Zugang. Ersatzkey und Wiederherstellung

Falls die Methode fehlt: Prüfe die Unterstützung beim Anbieter; bei einem Unternehmenskonto frage deine IT. Hinweise für Unternehmen / IT

Offizielle Anleitung: Yubico Setup (extern)

Zur Inhaltsauswahl

Voraussetzungen

Ein Passkey ist ein digitaler Zugangsschlüssel. Je nach Anbieter kann er auf einem Gerät oder in einem synchronisierten Passwortmanager gespeichert werden. Auf dem YubiKey ist er an diesen Schlüssel gebunden und wird nicht automatisch auf andere Geräte oder Ersatzkeys kopiert. Damit er auf deinem YubiKey gespeichert wird, wähle im Browser ausdrücklich „Sicherheitsschlüssel“ als Speicherort.

Der Dienst muss externe FIDO2-Sicherheitsschlüssel als Passkey-Speicher unterstützen.

Einrichtung

1. Melde dich beim gewünschten Dienst an und öffne dessen Sicherheitseinstellungen.
2. Wähle „Passkey hinzufügen“ oder die entsprechende Funktion.
3. Wähle im Geräte-Dialog „Sicherheitsschlüssel“. Je nach Browser öffnest du dafür zuerst „Anderes Gerät verwenden“ oder eine ähnliche Auswahl.
4. Verbinde deinen YubiKey. Gib seine FIDO2-PIN ein oder lege sie neu fest, wenn der Dialog dich dazu auffordert.
5. Folge den Aufforderungen zur FIDO2-PIN und Berührung. Bei einem eingerichteten Bio kann die Fingerabdruckprüfung angeboten werden. Schließe die Einrichtung ab.
6. Prüfe, ob der Dienst die Registrierung bestätigt. Sichere deinen alternativen Zugang, melde dich ab und teste die Anmeldung.

Achte auf den Speicherort: Bei Windows Hello, Smartphone oder Passwortmanager kann der Passkey dort statt auf dem YubiKey landen.

Fehlt die Auswahl? Prüfe in der Hilfe deines Anbieters, ob Passkeys auf externen Sicherheitsschlüsseln unterstützt werden. Für Microsoft und Google findest du unten die passenden Links.

Woran erkennst du, dass es funktioniert?

Der Dienst bestätigt den neuen Passkey. Prüfe, ob du ausdrücklich den Sicherheitsschlüssel als Speicherort gewählt hast.

Anmeldung testen: Zum gemeinsamen Abschlusstest

Backup / Recovery: Sichere vor dem Test einen alternativen Zugang. Ersatzkey und Wiederherstellung

Offizielle Anleitung: Yubico: Passkeys (extern)

Zur Inhaltsauswahl

Persönliches Microsoft-Konto

Einrichtung:

1. Öffne in deinem Microsoft-Konto die erweiterten Sicherheitsoptionen.
2. Füge eine neue Anmelde- oder Überprüfungsmethode hinzu. Wähle „Gesicht, Fingerabdruck, PIN oder Sicherheitsschlüssel“.
3. Wähle im folgenden Speicher-Dialog den physischen Sicherheitsschlüssel. Nutze bei Bedarf „Ändern“, „Speichern auf eine andere Weise“ oder weitere Optionen.
4. Folge dem Dialog: Verbinde deinen YubiKey über eine unterstützte Verbindung, gib seine FIDO2-PIN ein oder lege sie bei Aufforderung fest und berühre den Schlüssel.
5. Benenne den Schlüssel, falls angeboten, und prüfe die Bestätigung.

Bei älteren Oberflächen kann die Auswahl „Sicherheitsschlüssel verwenden“ heißen. Wähle dort USB oder NFC und folge den PIN-/Berührungsdialogen.

Offizielle Anleitung: Microsoft: Passkey erstellen (extern)

Offizielle Anleitung: Microsoft: Sicherheitsschlüssel (extern)

Geschäfts-, Schul- oder Unikonto

Voraussetzung: Deine Organisation muss Passkeys / FIDO2 für dein Konto und den verwendeten Schlüssel erlauben. Unternehmen / IT: Voraussetzungen

Einrichtung:

1. Öffne „Mein Konto“ → „Sicherheitsinformationen“.
2. Wähle „Anmeldemethode hinzufügen“ → „Passkey“.
3. Wähle im Speicher-Dialog „Sicherheitsschlüssel“, bei Bedarf über „Anderes Gerät“ oder weitere Optionen.
4. Bestätige deine Identität mit der von deiner Organisation verlangten MFA. Folge den PIN- und Berührungsdialogen.
5. Benenne den Schlüssel und schließe die Registrierung ab.

Bei älteren Oberflächen kann die Methode direkt „Sicherheitsschlüssel“ heißen. „Passkey in Microsoft Authenticator“ ist nicht der Speicherweg für deinen YubiKey.

Offizielle Anleitung: Microsoft: Passkey mit Sicherheitsschlüssel registrieren (Englisch) (extern)

Woran erkennst du, dass es funktioniert?

Microsoft bestätigt die Registrierung; der neue Schlüssel erscheint in den Sicherheitsinformationen beziehungsweise Anmeldemethoden.

Anmeldung testen: Zum gemeinsamen Abschlusstest

Backup / Recovery: Sichere vor dem Test einen alternativen Zugang. Ersatzkey und Wiederherstellung

Falls etwas fehlt: Prüfe auch die Auswahl „Passkey“. Fehlt der passende Weg im Arbeits-/Schulkonto, wende dich an deine IT.

Zur Inhaltsauswahl

Voraussetzungen

Für einen Passkey auf dem physischen Schlüssel muss dieser FIDO2 unterstützen. Bei Google Workspace entscheidet deine Organisation, ob die Anmeldung ohne Passwort erlaubt ist; ein Passkey kann dort weiterhin als zweiter Faktor dienen.

Einrichtung

Öffne im Google-Konto „Sicherheit“ bzw. „Sicherheit und Anmeldung“. Suche unter den Anmeldeoptionen nach „Bestätigung in zwei Schritten“ oder „Passkeys und Sicherheitsschlüssel“.

1. Für einen Passkey: Starte „Passkey erstellen“ und wähle gegebenenfalls „Anderes Gerät verwenden“. Wähle dann den physischen Sicherheitsschlüssel.
2. Für die klassische 2FA: Füge einen Sicherheitsschlüssel als zweite Anmeldemethode hinzu.
3. Folge dem angezeigten Dialog, prüfe die Bestätigung und teste deinen YubiKey.

Woran erkennst du, dass es funktioniert?

Google bestätigt den hinzugefügten Schlüssel beziehungsweise Passkey in den Anmeldeoptionen.

Anmeldung testen: Zum gemeinsamen Abschlusstest

Backup / Recovery: Sichere vor dem Test einen alternativen Zugang. Ersatzkey und Wiederherstellung

Google kann neue Schlüssel oder Passkeys erst nach bis zu 7 Tagen zur Anmeldung zulassen. Behalte deine bisherigen Zugangsmöglichkeiten. Menüs können je nach Konto und Gerät variieren.

Google: Sicherheitsschlüssel (extern) · Google: Passkeys (extern)

Zur Inhaltsauswahl

Für ID Austria gelten eigene Voraussetzungen und ein eigener Einrichtungsablauf. Prüfe dort insbesondere, ob dein Modell und seine Firmware geeignet sind.

ID Austria mit YubiKey einrichten

Offizielle ID-Austria-Hilfe (extern)

Zur Inhaltsauswahl

Dieser Hinweis betrifft die IT-Freigabe. Die Registrierung durch Mitarbeitende ist ein eigener Ablauf.

Die IT muss Passkeys (FIDO2) in Microsoft Entra für die Zielgruppe und den verwendeten Schlüssel erlauben. Für die Registrierung über Sicherheitsinformationen muss auch die Self-Service-Einrichtung zugelassen sein. Richtlinien können Attestation und zulässige Modelle einschränken.

Wird der passende Weg nicht angeboten, wende dich an deine IT-Administration. Ändere keine Sicherheitsrichtlinien auf Verdacht.

Offizielle Anleitung: Microsoft Entra: Passkeys (FIDO2) aktivieren (Englisch) (extern)

Zur Inhaltsauswahl

Voraussetzungen und Funktionen

Für die normale Registrierung als Sicherheitsschlüssel brauchst du die App meistens nicht. Sie hilft beim Verwalten der FIDO2-PIN und gespeicherter Passkeys, bei Bio-Fingerabdrücken und bei Authenticator-Codes auf unterstützten Modellen.

Es gibt sie für Windows, macOS, Linux, Android sowie iOS/iPadOS. Der Funktionsumfang hängt vom Modell, Betriebssystem und Anschluss ab.

App einrichten

1. Beziehe die App über die offizielle Yubico-Seite oder den dort verlinkten offiziellen App Store.
2. Installiere sie und verbinde deinen YubiKey.
3. Öffne die App und wähle die gewünschte Funktion. Fehlt sie, prüfe die Modell- und Plattformunterstützung.

Offiziellen Yubico Authenticator herunterladen (extern)

Kompatibilität prüfen (extern)

Passkeys werden beim jeweiligen Dienst erstellt. Yubico Authenticator dient zur Verwaltung: gespeicherte Passkeys können auf Desktop und Android angezeigt und gelöscht werden. Bio-Fingerabdrücke werden ebenfalls auf Desktop und Android verwaltet. PIN-Funktionen und unterstützte Anschlüsse unterscheiden sich je Plattform.

Authenticator-Codes / OATH-TOTP

Diese zeitlich wechselnden Einmalcodes heißen auch TOTP. Du brauchst ein Modell mit OATH-Unterstützung, beispielsweise aus der YubiKey 5 Series. Die Security Key Series unterstützt FIDO2 und FIDO U2F, aber keine OATH-Codes. Auch PIV und Yubico OTP gehören nicht zu ihrem Funktionsumfang.

Das OATH-Secret wird auf dem YubiKey gespeichert; die App zeigt die daraus erzeugten Codes an.

Einrichtung

1. Wähle beim Dienst „Authenticator-App“ als 2FA-Methode. Du solltest einen QR-Code für die Einrichtung sehen.
2. Verbinde deinen YubiKey und öffne Yubico Authenticator.
3. Öffne „Accounts“ → „Add account“ (Konto hinzufügen): auf Desktop/Android unter „Setup“, auf iOS/iPadOS im Drei-Punkte-Menü. Scanne den QR-Code oder gib das vom Dienst bereitgestellte Secret manuell ein. Speichere den Eintrag.
4. Gib den angezeigten Einmalcode beim Dienst ein, um die Einrichtung zu bestätigen.
5. Bewahre die Wiederherstellungs- oder Backup-Codes des Dienstes sicher auf.

Fehlt der QR-Code oder akzeptiert der Dienst den Code nicht? Prüfe seine eigene Einrichtungsanleitung. Der Ablauf ist nicht bei jedem Anbieter gleich. Yubico: Authenticator-Codes (extern)

Bei manueller Eingabe müssen Typ, Algorithmus, Zeitintervall und Codelänge den Dienstvorgaben entsprechen.

Woran erkennst du, dass es funktioniert?

Der Dienst akzeptiert den angezeigten Code und bestätigt die Aktivierung. Teste anschließend die Anmeldung mit einem neuen Code.

Backup / Recovery: Sichere vor dem Test einen alternativen Zugang. Ersatzkey und Wiederherstellung

Zur Inhaltsauswahl

Die FIDO2-PIN ist die PIN deines Sicherheitsschlüssels. Sie gehört zum YubiKey und ist nicht automatisch dein Microsoft-, Google- oder anderes Kontopasswort.

Bestimmte Passkey-Vorgänge brauchen diese PIN; nicht jede YubiKey-Anmeldung verlangt sie. Beim ersten Einrichten kann der Browser dich auffordern, eine festzulegen. In Yubico Authenticator kannst du sie verwalten.

Für die FIDO2-PIN gibt es insgesamt 8 Fehlversuche. Nach 3 falschen Eingaben in Folge musst du den YubiKey entfernen und neu verbinden. Das gibt dir keine neuen 8 Versuche. Eine korrekte PIN-Eingabe setzt den Zähler zurück.

Nach 8 Fehlversuchen ist die FIDO2-Anwendung blockiert. Um sie wieder nutzbar zu machen, wäre ein FIDO2-Reset nötig. Ein FIDO2-Reset macht die bisherigen FIDO2-Anmeldungen mit diesem Schlüssel unbrauchbar und entfernt gespeicherte Passkeys sowie bei Bio auch Fingerabdrücke. Sichere zuerst einen anderen Kontozugang; danach musst du den Schlüssel bei den betroffenen Diensten erneut registrieren. Andere YubiKey-Anwendungen werden nicht pauschal gelöscht. Ausnahme: Beim YubiKey Bio Multi-protocol Edition sind FIDO2 und PIV gekoppelt; der Reset betrifft beide Anwendungen.

Setze deinen YubiKey nicht einfach zurück, wenn etwas nicht funktioniert. Nutze deinen alternativen Kontozugang und kläre zuerst die Wiederherstellung. Offizielle PIN-Hilfe (extern)

PIN ändern – Desktop / Android

1. Verbinde den YubiKey und öffne Yubico Authenticator → „Passkeys“.
2. Entsperre mit deiner aktuellen FIDO2-PIN.
3. Wähle „Manage“ → „Change PIN“. Bei schmalem Fenster liegt „Manage“ im rechten Menü.
4. Gib die aktuelle PIN und die neue PIN ein. Bestätige die neue PIN und speichere.

Aktuelle PIN vergessen? Rate nicht weiter. Nutze zuerst deinen alternativen Kontozugang und beachte die Reset-Warnung oben. Für iOS/iPadOS gilt ein anderer Menüweg; prüfe die offizielle PIN-Hilfe.

Backup / Recovery: Sichere vor dem Test einen alternativen Zugang. Ersatzkey und Wiederherstellung

Offizielle Anleitung: Yubico: Folgen eines Anwendungs-Resets (extern)

Zur Inhaltsauswahl

Voraussetzungen und Einrichtung

NFC bedeutet kontaktloses Verbinden. Dafür müssen dein YubiKey, dein Smartphone und der gewählte Dienst diese Nutzung unterstützen.

1. Aktiviere NFC am Smartphone, sofern dein Gerät dafür eine Einstellung hat.
2. Starte die Registrierung oder Anmeldung beim Dienst.
3. Halte den YubiKey an den NFC-Bereich des Smartphones, sobald ein Sicherheitsschlüssel verlangt wird.
4. Folge den Bildschirmhinweisen; halte den Schlüssel gegebenenfalls erneut an das Gerät.

Neuer NFC-Key mit Firmware 5.7.0 oder neuer: Bei diesen Modellen ist NFC für den Transport zunächst eingeschränkt. Verbinde den Schlüssel vor der ersten NFC-Nutzung mindestens 3 Sekunden mit einem stromversorgten USB-Anschluss.

Yubico: erstmalige NFC-Nutzung (extern)

Zur Inhaltsauswahl

Voraussetzungen und Einrichtung

Nur für Bio-Modelle: Richte vor der Nutzung mit Fingerabdruck zuerst eine FIDO2-PIN und mindestens einen Fingerabdruck ein.

1. Verbinde den YubiKey Bio mit deinem Computer und öffne Yubico Authenticator.
2. Öffne „Fingerprints“ (Fingerabdrücke). Lege die PIN fest, falls noch keine vorhanden ist.
3. Entsperre „Fingerprints“ mit der PIN und wähle „Setup“ → „Add fingerprint“. Folge den Aufforderungen, den Sensor wiederholt zu berühren, bis die App die Erfassung bestätigt.
4. Registriere den Bio anschließend bei deinem gewünschten Konto, wie oben beschrieben.

Die PIN dient auch als Ersatz, wenn dein Fingerabdruck bei einer FIDO2-Anmeldung nicht erkannt wird. Normale YubiKeys ohne Bio-Sensor benötigen keine Fingerabdruck-Einrichtung.

Yubico: Bio-PIN und Fingerabdrücke (extern)

Zur Inhaltsauswahl

Zweiten Key registrieren

Yubico empfiehlt einen Ersatzschlüssel. Er hilft dir, wenn der Hauptschlüssel verloren geht, beschädigt oder gerade nicht verfügbar ist.

Für Passkeys und Sicherheitsschlüssel registrierst du den zweiten YubiKey bei jedem wichtigen Konto zusätzlich – grundsätzlich wie den ersten. Benenne ihn etwa „Ersatzschlüssel“ und teste ihn ebenfalls. Ein Ersatzschlüssel ist keine automatische Kopie.

TOTP auf zwei geeigneten Keys

Beide Keys benötigen denselben ursprünglichen QR-Code beziehungsweise dasselbe Secret. Ein Benutzername allein reicht nicht. Das Secret kann nicht nachträglich aus dem Hauptkey kopiert werden.

Ist das ursprüngliche Secret nicht mehr vorhanden, richte die Authenticator-Methode beim Dienst mit gesichertem Alternativzugang neu ein und konfiguriere beide Keys mit dem neuen Secret. Bewahre die Wiederherstellungscodes des Dienstes sicher auf.

Wenn ein Key verloren geht

Melde dich über den Ersatzkey oder einen anderen vorbereiteten Zugang an. Entferne den verlorenen Schlüssel in den Sicherheitseinstellungen des jeweiligen Dienstes und registriere einen Ersatz. Ohne verbleibenden Zugang gilt die Wiederherstellung des Anbieters.

Offizielle Anleitung: Yubico: Backup-Key und TOTP (extern)

Offizielle Anleitung: Yubico: OATH-Anleitung (extern)

Zur Inhaltsauswahl

• Methode fehlt: Prüfe die Anbieterunterstützung und bei Microsoft auch die Auswahl „Passkey“. Bei Arbeits-/Schulkonten frage die IT. Microsoft-Guide · IT-Voraussetzungen
• Passkey am falschen Ort: Prüfe, ob du im Speicher-Dialog den physischen Sicherheitsschlüssel statt Hello, Telefon oder Passwortmanager gewählt hast. Passkey-Guide
• NFC reagiert nicht: Prüfe NFC-Unterstützung, den NFC-Bereich des Smartphones und entferne testweise eine störende Hülle. Beachte bei neuen NFC-Keys die einmalige USB-Aktivierung. NFC-Guide
• PIN unbekannt oder blockiert: Rate nicht weiter und führe keinen vorsorglichen Reset aus. Sichere einen alternativen Zugang und prüfe die Reset-Folgen. PIN-Hilfe · Recovery
• QR-/TOTP-Problem: Prüfe den QR-Code oder das Secret des Dienstes. Bei manueller Eingabe müssen die OATH-Einstellungen passen. Authenticator-Guide
• YubiKey beim Test nicht verlangt: Prüfe die angebotenen Anmeldeoptionen und den Passkey-Speicherort. Vertraute Geräte fragen den Schlüssel möglicherweise nicht jedes Mal ab. Entferne keine bisherigen Zugangsmethoden, um den Test zu erzwingen. Abschlusstest
• Google-Freigabe ausstehend: Neue Schlüssel oder Passkeys können bis zu 7 Tage benötigen. Die Wartezeit tritt nicht zwingend auf; behalte deine bisherigen Zugänge. Google-Guide

Weitere Hilfe / FAQ. Sende niemals PIN, Passwörter oder Wiederherstellungscodes.

Zur Inhaltsauswahl