YubiKey am Mac und iPhone: Apple Account, SSH, Bitwarden

Codes per SMS und Authenticator-Apps schützen gut vor gestohlenen Passwörtern, aber nicht vor einer gut gemachten Phishing-Seite. Wer Dir eine täuschend echte Anmeldeseite unterschiebt, fragt einfach auch den sechsstelligen Code ab und nutzt ihn sofort. Ein Hardware-Sicherheitsschlüssel wie der YubiKey lässt sich so nicht austricksen. Er prüft bei jeder Anmeldung, ob die Website wirklich die ist, für die er eingerichtet wurde, und antwortet einer falschen Adresse schlicht nicht.

Diese Anleitung zeigt drei Einsatzorte, die für Mac- und iPhone-Nutzer am meisten bringen: den Apple Account, den Passwortmanager Bitwarden oder Vaultwarden und SSH-Zugänge zu Servern. Beim letzten Punkt gibt es eine Falle, über die viele stolpern, weil das SSH von macOS Sicherheitsschlüssel nicht unterstützt. Stand ist macOS 27.2 und iOS 27.

Welchen Schlüssel Du brauchst

Du brauchst zwei Schlüssel. Apple verlangt das ausdrücklich, und es ist auch sonst die einzige vernünftige Lösung. Einer bleibt am Schlüsselbund, der zweite liegt an einem sicheren Ort zu Hause oder bei jemandem, dem Du vertraust. Verlierst Du den einzigen Schlüssel, kommst Du im schlimmsten Fall nicht mehr in Deine Konten.

Für Mac und iPhone ist der YubiKey 5C NFC (Affiliate Link) die naheliegende Wahl, den auch Apple auf seiner Supportseite als Beispiel nennt. Er passt per USB-C an jeden aktuellen Mac und an iPhones ab dem iPhone 15. Ältere iPhones erreicht er per NFC, Du hältst ihn dafür einfach oben an das iPhone. Jeder andere Schlüssel mit FIDO-Zertifizierung funktioniert ebenso, er muss nur die Anschlüsse Deiner Geräte haben.

Teil 1: Apple Account

Was Apple dazu sagt, steht auf der Supportseite Informationen zu Sicherheitsschlüsseln für den Apple Account. Die wichtigsten Voraussetzungen:

• Zwei-Faktor-Authentifizierung ist für Deinen Apple Account bereits eingeschaltet.
• Alle Geräte, auf denen Du mit dem Apple Account angemeldet bist, laufen mindestens mit iOS 16.3, iPadOS 16.3 oder macOS 13.2.
• Kinderaccounts und verwaltete Apple Accounts aus Firmen oder Schulen werden nicht unterstützt.

Ein Punkt, der vorher wichtig ist: Bei der Einrichtung meldet Apple Dich von allen Geräten ab, die Du seit mehr als 90 Tagen nicht benutzt hast. Ein altes iPad in der Schublade musst Du danach mit dem Sicherheitsschlüssel neu anmelden, sofern es eine passende Softwareversion hat.

So richtest Du die Schlüssel auf dem iPhone ein:

1. Öffne Einstellungen, tippe oben auf Deinen Namen und dann auf Anmeldung & Sicherheit.
2. Tippe auf Zwei-Faktor-Authentifizierung, dann auf Sicherheitsschlüssel und auf Sicherheitsschlüssel hinzufügen.
3. Folge den Anweisungen. Du hältst den ersten Schlüssel an das iPhone oder steckst ihn ein, gibst ihm einen Namen und wiederholst das mit dem zweiten Schlüssel.
4. Prüfe am Ende die Liste der Geräte und entscheide, wo Du angemeldet bleiben willst.

Auf dem Mac findest Du dieselbe Funktion unter Systemeinstellungen > Dein Name > Anmeldung & Sicherheit > Zwei-Faktor-Authentifizierung, dort klickst Du neben Sicherheitsschlüssel auf Einrichten.

Ab jetzt brauchst Du für die Anmeldung auf einem neuen Gerät oder auf icloud.com Dein Passwort und entweder einen Schlüssel oder ein vertrauenswürdiges Apple-Gerät, das Du daneben hältst. Codes per SMS gibt es nicht mehr, und genau das ist der Gewinn: Ein Angreifer kann Dir keinen Code mehr abschwatzen.

Teil 2: Bitwarden und Vaultwarden

Der Passwortmanager ist das zweitwichtigste Konto nach dem Apple Account, denn darin liegen alle anderen Zugänge. Laut der Bitwarden-Hilfe zur Anmeldung mit Passkeys ist die zweistufige Anmeldung mit FIDO2-Schlüsseln für alle Nutzer kostenlos. Vaultwarden, die selbst gehostete Variante, unterstützt sie ebenfalls.

1. Melde Dich im Web-Tresor an, also auf vault.bitwarden.com oder Deiner eigenen Vaultwarden-Adresse.
2. Öffne Einstellungen > Sicherheit > Zweistufige Anmeldung.
3. Wähle bei Passkey die Verwaltung aus, bestätige mit Deinem Master-Passwort und registriere nacheinander beide Schlüssel.
4. Wichtig: Lass Dir auf derselben Seite den Wiederherstellungscode anzeigen und bewahre ihn getrennt auf, etwa ausgedruckt zu Deinen Unterlagen. Er ist Dein Notausgang, wenn beide Schlüssel weg sind.

Die Bitwarden-Apps für iPhone und Mac fragen bei der nächsten Anmeldung nach dem Schlüssel. Danach bleiben sie angemeldet, und Du entsperrst den Tresor im Alltag wie gewohnt mit Face ID oder Touch ID. Bei Vaultwarden muss die Variable DOMAIN exakt auf die HTTPS-Adresse Deines Servers gesetzt sein, sonst scheitert die Registrierung. Wie Du Vaultwarden richtig einrichtest, steht in Von Enpass zu Vaultwarden: Umzug mit Bitwarden-Apps.

Teil 3: SSH mit dem YubiKey

SSH unterstützt seit Version 8.2 Schlüssel, die auf einem FIDO-Sicherheitsschlüssel liegen. Der private Schlüssel verlässt den YubiKey nie, und bei jeder Anmeldung musst Du ihn berühren. Selbst wenn jemand Deinen Mac übernimmt, kann er sich ohne den Stick nicht an Deinen Servern anmelden.

Die Falle: das SSH von macOS

Das mitgelieferte SSH von macOS kann mit Sicherheitsschlüsseln nicht umgehen. Unter macOS 27.2 mit OpenSSH 10.5 bricht der Versuch, einen solchen Schlüssel anzulegen, mit dieser Meldung ab:

No FIDO SecurityKeyProvider specified
Key enrollment failed: invalid format

Apple hat die nötige Bibliothek schlicht nicht eingebaut. Die Lösung ist das OpenSSH aus Homebrew, das sie mitbringt:

brew install openssh

Prüfe danach, welches SSH Dein Terminal verwendet:

which ssh

Die Antwort muss /opt/homebrew/bin/ssh lauten. Steht dort /usr/bin/ssh, fehlt Homebrew in Deinem Suchpfad. Wie Du das korrigierst, steht im Mac für Entwickler einrichten: der Leitfaden für 2026. Öffne nach der Installation ein neues Terminalfenster.

Den Schlüssel anlegen

Stecke den ersten YubiKey ein und erzeuge einen neuen SSH-Schlüssel:

ssh-keygen -t ed25519-sk -C "yubikey-1"

Der YubiKey blinkt, und Du berührst ihn einmal. Danach fragt ssh-keygen nach einem Speicherort, den Du mit Enter bestätigst, und nach einer Passphrase, die Du leer lassen kannst, weil der eigentliche Schutz im Stick steckt. Es entstehen zwei Dateien: ~/.ssh/id_ed25519_sk ist nur ein Verweis auf den Schlüssel im Stick und ohne den YubiKey wertlos, ~/.ssh/id_ed25519_sk.pub ist der öffentliche Teil.

Wiederhole das mit dem zweiten YubiKey und einem anderen Dateinamen:

ssh-keygen -t ed25519-sk -C "yubikey-2" -f ~/.ssh/id_ed25519_sk_2

Den Schlüssel auf den Server bringen

Kopiere beide öffentlichen Schlüssel auf Deinen Server:

ssh-copy-id -i ~/.ssh/id_ed25519_sk.pub benutzer@server.example.com
ssh-copy-id -i ~/.ssh/id_ed25519_sk_2.pub benutzer@server.example.com

Melde Dich danach an:

ssh -i ~/.ssh/id_ed25519_sk benutzer@server.example.com

Der YubiKey blinkt, Du berührst ihn, und Du bist drin. Auf dem Server muss OpenSSH 8.2 oder neuer laufen, was auf jedem aktuellen Debian und Ubuntu der Fall ist.

Die Konfigurationsdatei anpassen

Viele Mac-Nutzer haben in ~/.ssh/config die Zeile UseKeychain yes, um Passphrasen im Schlüsselbund zu speichern. Diese Option kennt nur Apples SSH. Das SSH aus Homebrew bricht mit der Meldung Bad configuration option: usekeychain ab. Füge deshalb ganz oben in ~/.ssh/config diese Zeile ein:

IgnoreUnknown UseKeychain

Danach ignoriert das Homebrew-SSH die Option, und Apples SSH nutzt sie weiter. Programme, die fest /usr/bin/ssh aufrufen, etwa manche Git-Oberflächen, können den YubiKey-Schlüssel nicht nutzen. Für Git im Terminal stellst Du das passende SSH so ein:

git config --global core.sshCommand /opt/homebrew/bin/ssh

Wenn etwas hakt

Das iPhone erkennt den Schlüssel per NFC nicht. Halte den YubiKey flach an die Oberkante der Rückseite, dort sitzt die NFC-Antenne, und warte, bis das iPhone reagiert.

Bitwarden meldet bei der Registrierung einen Fehler. Bei Vaultwarden liegt es fast immer an der Variablen DOMAIN. Sie muss genau die Adresse enthalten, unter der Du den Tresor im Browser öffnest, inklusive https://.

SSH fragt nach einem Passwort statt nach dem Stick. Prüfe mit ssh -V, ob die Homebrew-Version läuft, und mit ssh -v, welche Schlüssel angeboten werden. Steht der YubiKey-Schlüssel nicht in der Liste, gib ihn mit -i an oder trag ihn in ~/.ssh/config als IdentityFile für den Server ein.

Die eine Regel

Zwei YubiKeys kosten zusammen etwa so viel wie ein gutes Abendessen und machen die drei wichtigsten Zugänge eines Mac-Nutzers gegen Phishing immun. Am meisten bringt der Schlüssel beim Apple Account und beim Passwortmanager, weil dort alles andere dranhängt. Für SSH lohnt er sich vor allem, wenn Du Server mit sensiblen Daten verwaltest. Und denk an die eine Regel, die über allem steht: immer zwei Schlüssel, und der zweite liegt nicht am selben Schlüsselbund.