Apples Passwort-App wechselt Passwörter jetzt selbst

Apples Passwort-App bekommt mit der WWDC 2026 eine Funktion, die Sicherheitsverantwortliche aufhorchen lässt: Sie erkennt schwache oder kompromittierte Passwörter, steuert die betroffene Website an, loggt sich ein, navigiert durch die Menüs und ersetzt das Passwort durch ein starkes. Der Nutzer stößt das mit einem Tipp an, den Rest erledigt die App. Bequem, ja. Aber ein automatisierter Login-Akteur, der sich durch fremde Web-Oberflächen klickt, ist sicherheitstechnisch eine zweischneidige Sache.

Verwandt:Passkeys im Mittelstand: das Ende des Passworts  /  PAM ohne Enterprise-Budget: Admin-Rechte im Griff

Was die Passwort-App jetzt eigenständig tut

Bisher zeigte ein Passwort-Manager nur an, dass ein Kennwort schwach oder geleakt war. Den Wechsel musste der Nutzer selbst erledigen. Apple dreht diesen Schritt um. Auf einen Tipp hin ruft die Passwords-App die betroffene Website auf, meldet sich mit dem alten Passwort an, sucht den Menüpunkt für die Passwortänderung, setzt ein neues, starkes Kennwort und speichert es.

Was ist agentische Passwort-Rotation? Darunter versteht man, dass eine Software den Wechsel eines Passworts nicht nur vorschlägt, sondern den Ablauf nach einer Bestätigung selbst ausführt. Der Agent navigiert durch die Login- und Einstellungs-Flows einer fremden Seite und tauscht das Kennwort aus, ohne dass der Nutzer jeden Schritt klickt.

Technisch ist das ein kleiner Roboter, der sich durch fremde Web-Oberflächen klickt. Genau diese Eigenständigkeit ist der Punkt, an dem Komfort und Risiko zusammenfallen.

Die Stärke: schwache Passwörter verschwinden im Hintergrund

Der Sicherheitsgewinn ist real und sollte nicht kleingeredet werden. Das größte Praxisproblem bei Passwörtern ist die Trägheit. Schwache und mehrfach verwendete Kennwörter bleiben jahrelang stehen, weil die manuelle Änderung lästig ist. Ein Agent, der diese Arbeit abnimmt, hebt die Hygiene auf einen Schlag, ganz ohne Disziplin des Nutzers.

Dazu kommt Apples On-Device-Ansatz. Der Kontext bleibt nach Apples Darstellung auf dem Gerät, persönliche Daten verlassen es nicht. Für Privatnutzer ist das ein klarer Fortschritt gegenüber dem Status quo aus klebrigen Zetteln und überall gleichem Passwort.

Das Risiko: mehr Automatik an einer sensiblen Stelle

Die Kehrseite wiegt für Unternehmen schwerer. Ein automatisierter Akteur, der Login-Vorgänge auf fremden Seiten ausführt, bewegt sich an einer sensiblen Stelle. Je mehr dieser Vorgänge automatisch laufen, desto wichtiger werden Kontrolle und Nachvollziehbarkeit darüber, was die App in wessen Namen tut.

Entscheidend ist, wie zuverlässig der Automatismus die echte Zielseite erkennt. Ein automatisierter Login ist nur so sicher wie die Prüfung, dass er wirklich auf der legitimen Seite landet. Für Unternehmen zählt deshalb vor allem, ob sich solche Automatik kontrollieren und protokollieren lässt.

Was das für Enterprise-Identity heißt

Für Sicherheitsverantwortliche ist die Funktion zunächst ein Consumer-Feature, das aber Erwartungen formt. Mitarbeiter werden agentische Bequemlichkeit auch im Firmenkontext einfordern. Die Antwort darauf gehört in die bestehenden Werkzeuge: Managed Apple Accounts und MDM-Profile, eine klare Passwortmanager-Policy und vor allem eine verbindliche Passkey-Roadmap.

Passkeys und passwortlose Verfahren nach dem FIDO2-Standard lösen das Grundproblem an der Wurzel, denn ohne wiederverwendbares Geheimnis gibt es nichts mehr zu rotieren. Apples Schritt lässt sich am besten als Zwischenschritt einordnen. Die agentische Rotation überbrückt eine Welt, die noch auf Passwörtern läuft, das Ziel im Unternehmen bleibt der Ausstieg aus diesem Modell. Zeit dafür ist da: Die neuen Betriebssysteme erscheinen im Herbst 2026 und Siri AI verzögert sich auf iPhone und iPad in der EU wegen des Digital Markets Act.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Was unterscheidet agentische Passwort-Rotation von einem normalen Passwort-Manager?

Ein normaler Manager speichert Kennwörter und warnt vor schwachen oder geleakten Einträgen. Den Wechsel erledigt der Nutzer. Bei der agentischen Variante führt die Software den Änderungsablauf nach einem Bestätigungs-Tipp auf der Website selbst aus, vom Login bis zum Speichern des neuen Passworts.

Welches Sicherheitsrisiko entsteht durch die automatische Rotation?

Die App führt Login-Vorgänge auf fremden Seiten automatisiert aus. Das erhöht die Abhängigkeit von einem Mechanismus und verlangt, dass die App die echte Zielseite zuverlässig erkennt. Kontrolle und Protokollierung solcher Vorgänge werden damit wichtiger.

Verlassen die Passwörter dabei das Gerät?

Nach Apples Darstellung bleibt die Verarbeitung lokal auf dem Gerät, persönliche Daten werden nicht ausgelagert. Die genaue Umsetzung im Detail sollten Unternehmen vor einer Bewertung dennoch anhand der offiziellen Dokumentation prüfen.

Ersetzt die Funktion eine Passkey-Strategie im Unternehmen?

Nein. Sie verbessert die Hygiene in einer Welt, die noch auf Passwörtern läuft. Passkeys nach dem FIDO2-Standard beseitigen das wiederverwendbare Geheimnis ganz und bleiben für Unternehmen das eigentliche Ziel.

Ab wann ist die Funktion relevant für deutsche Firmen?

Die neuen Betriebssysteme erscheinen im Herbst 2026. Siri AI verzögert sich auf iPhone und iPad in der EU wegen des Digital Markets Act. Sicherheitsverantwortliche haben also Zeit, die Funktion zu bewerten und ihre Identity-Strategie darauf abzustimmen.

Lesetipps der Redaktion

LesetippAdaptive MFA: NIS2-Druck als Zero-Trust-Hebel im MittelstandLesetippMaschinen-Identitäten: die Konten, die niemand zähltLesetippNIS2 wird vollstreckt: Erste Verfahren, persönliche Haftung

Mehr aus dem MBF Media Netzwerk

cloudmagazinOpenTofu vs. Terraform: welches IaC-Tool wirklich trägtMyBusinessFutureWenn das Update selbst zum Einfallstor wirdDigital ChiefsEure Organisation verträgt nur zwei Veränderungen im Jahr