YubiKey-Alternativen, die sich lohnen

Sie besitzen bereits einen YubiKey, oder Sie haben ihn durchgerechnet und vor dem zweiten Kauf zu rund 69 € für ein Backup zurückgeschreckt. Sie müssen nicht noch einmal bei Yubico kaufen — mehrere andere Hersteller verkaufen FIDO2-Schlüssel, die weniger kosten, mit offener Firmware laufen oder einen Passwort-Speicher gleich mitliefern. Hier steht, was jeder davon tatsächlich bietet, und was er still und leise weglässt.

TL;DR

Google Titan (ca. 25–35 $) ist die günstigste bekannte Wahl, spricht aber nur FIDO2/U2F — kein OpenPGP, PIV oder SSH wie beim YubiKey.
Nitrokey 3C NFC (65 €) ist die Open-Source-Firmware-Option und erreicht bei SSH/OpenPGP dieselbe Protokolltiefe wie YubiKey, zu einem vergleichbaren Preis.
Feitian ePass (ca. 20–35 $) ist der günstigste Weg zu 2–3 Backup-Schlüsseln, mit demselben Protokoll-Kompromiss wie Titan.
OnlyKey (69,99 $, oft im Angebot) legt einen On-Device-Passwort-Speicher zu FIDO2/U2F/TOTP dazu — sinnvoll nur, wenn Sie noch keinen Passwort-Manager nutzen.
Keine dieser Alternativen schlägt YubiKey bei der Protokollbreite; sie gewinnen beim Preis, bei der Offenheit oder bei einem einzelnen Feature.

KEY-STAT: 3 | Protokolle — OpenPGP, PIV/Smart-Card und SSH —, die die meisten YubiKey-Alternativen streichen, um günstiger zu werden; eigene Auszählung anhand der Vergleichstabelle in diesem Artikel.

Was Sie vor dem Wechsel prüfen sollten

Nicht jede "YubiKey-Alternative"-Liste in den Suchergebnissen ist tatsächlich vergleichbar — mehrere Übersichten mischen Enterprise-Identitätsplattformen wie Microsoft Entra ID oder Cisco Duo hinein, die Software-Abos für Unternehmen mit tausenden Mitarbeiter-Logins sind, kein physischer Schlüssel für den Einmalkauf. Die ignorieren wir hier; dieser Guide behandelt ausschließlich Hardware-Schlüssel, die Sie tatsächlich in der Hand halten.

Prüfen Sie vor dem Preisvergleich drei Dinge gegen Ihren eigenen Anwendungsfall:

Protokollunterstützung. FIDO2/WebAuthn und U2F decken die meisten Consumer-Logins ab (Google, Microsoft, GitHub, Passwort-Manager). OpenPGP, PIV/Smart-Card und OATH-TOTP brauchen Sie für SSH-Key-Auth, E-Mail-Signierung oder Enterprise-Smartcard-Login — YubiKey unterstützt all das, die meisten Budget-Alternativen nur FIDO2/U2F.
Anschlusstyp. USB-A, USB-C und NFC-Verfügbarkeit unterscheiden sich von Modell zu Modell, genau wie bei der YubiKey-5-Serie.
Ob der Schlüssel zu Ihrem Hauptschlüssel passen muss. Verlangt Ihre Bank oder Ihr Arbeitgeber ein bestimmtes Protokoll, macht ein Backup-Schlüssel ohne diese Unterstützung den Sinn eines Backups zunichte.

Note

Wenn Sie unserer YubiKey-Einrichtung gefolgt sind und SSH-Zugriff über PIV oder OpenPGP registriert haben, kann ein reiner FIDO2-Backup-Schlüssel (Titan, die meisten Feitian-Modelle, Thetis Pro) nicht als Ihr SSH-Backup dienen — nur Nitrokey 3 oder ein weiterer YubiKey können das.

Vergleichstabelle: YubiKey gegen die Alternativen

Schlüssel	Preis (ca.)	Anschlüsse	FIDO2/U2F	OpenPGP/PIV/SSH	Open-Source-Firmware	Am besten für
YubiKey 5C NFC (Basis)	~69 €	USB-C, NFC	Ja	Ja	Nein	Volle Protokollabdeckung
Google Titan	~25–35 $	USB-A/C, NFC	Ja	Nein	Nein	Günstigste Wahl im Google-Ökosystem
Nitrokey 3C NFC	65 €	USB-C, NFC	Ja	Ja	Ja	Open Source, SSH/OpenPGP auf Augenhöhe
Feitian ePass	~20–35 $	USB-A/C, NFC	Ja	Nein	Nein	Günstige Backup-Schlüssel im Paar
OnlyKey	69,99 $ (UVP)	USB-C	Ja	Teilweise (TOTP)	Nein	Schlüssel + On-Device-Passwortspeicher
Thetis Pro	~33 $	USB-A/C, NFC	Ja	Nein	Nein	Günstiger Allrounder mit allen Anschlüssen

Die Preise sind Näherungswerte und schwanken je nach Region und Händler. Die Nitrokey-3C-NFC- und OnlyKey-Zahlen stammen direkt aus dem Nitrokey-Shop und dem OnlyKey-Shop selbst — prüfen Sie trotzdem den jeweiligen Hersteller-Shop, bevor Sie kaufen, genauso wie wir für die YubiKey-5-Serie Yubicos eigene Preisliste statt eines veralteten Datenblatts herangezogen haben.

Google Titan Security Key

Titan ist die naheliegende "günstigerer YubiKey"-Antwort, und für einen engen Anwendungsfall auch die richtige: Wenn jeder Account, den Sie schützen, bei Google, Microsoft, GitHub oder einem anderen reinen FIDO2/WebAuthn-Dienst liegt, erledigt Titan den Job für weniger Geld.

Der Haken liegt in der Protokollliste, nicht in der Hardware. Titan unterstützt weder OpenPGP noch PIV/Smart-Card oder SSH-Key-Auth wie YubiKey — haben Sie also SSH-Login über Ihren YubiKey eingerichtet, kann Titan dafür nicht Ihr Backup sein.

Tip

Titan ist ein wirklich guter erster Schlüssel für ein technisch weniger versiertes Familienmitglied, das nur Google-/Microsoft-Kontoschutz braucht — günstiger, und es gibt nichts zusätzlich zu konfigurieren.

Nitrokey 3 — die Open-Source-Wahl

Nitrokey veröffentlicht Firmware und Hardware-Dokumentation offen — das zählt, wenn Sie ohnehin lieber ein selbst gehostetes Vaultwarden statt eines geschlossenen Cloud-Tresors betreiben; derselbe Instinkt gilt auch für das, was in Ihrem Sicherheitsschlüssel läuft.

Funktional ist Nitrokey 3 die engste Entsprechung zu YubiKey auf dieser Liste: FIDO2/U2F plus OpenPGP- und SSH-Unterstützung, sodass er tatsächlich als Backup für ein YubiKey-geschütztes SSH-Setup dienen kann, nicht nur für Ihre Web-Logins. Der Kompromiss ist der Preis — bei rund 65 € für die NFC-Variante kaufen Sie im Vergleich zu YubiKey vor allem die offene Firmware, kein Schnäppchen.

Feitian ePass — die günstige Bulk-Option

Feitians ePass-Reihe ist der günstigste Weg, um mehrere Schlüssel in verschiedenen Taschen, Autos oder einem Bankschließfach als Backup zu verteilen. Je nach genauem Modell für rund 20–35 $ können zwei Feitian-Schlüssel weniger kosten als ein einzelner zusätzlicher YubiKey.

Dieselbe Einschränkung wie bei Titan: nur FIDO2/U2F. Behandeln Sie Feitian-Schlüssel als austauschbare Backups für die 2FA von Web-Konten, nicht als Ersatz für einen protokollstarken Hauptschlüssel.

OnlyKey — Schlüssel plus Passwort-Manager

OnlyKey packt FIDO2/U2F/TOTP-Unterstützung und einen verschlüsselten On-Device-Passwortspeicher in einen USB-C-Schlüssel mit physischem PIN-Pad, sodass ein kompromittierter Rechner Ihr Master-Passwort niemals über die Tastatur eingetippt sieht.

Das ist nur dann ein echtes Feature, wenn Sie noch keinen Passwort-Manager nutzen. Setzen Sie bereits auf Bitwarden oder selbst gehostetes Vaultwarden, ist OnlyKeys Passwortspeicher-Hälfte redundant — Sie würden für ein Feature bezahlen, das Sie nicht nutzen, und die Browser-Integration samt geräteübergreifender Synchronisierung eines dedizierten Passwort-Managers ist im Alltag praktischer als die Eingabe über ein physisches PIN-Pad.

Thetis Pro und andere günstige Allrounder

Thetis Pro (~33 $) vereint USB-A, USB-C und NFC in einem einzigen Gehäuse, was ihn zu einem brauchbaren Universal-Backup macht, wenn Sie nicht sicher sind, welche Anschlüsse Ihre übrigen Geräte haben. Wie Titan und Feitian ist er nur FIDO2/U2F — eine bequeme Wahl, kein protokollgleiches Backup.

Warning

Kaufen Sie keinen reinen FIDO2-Backup-Schlüssel als Ihr einziges Backup, wenn Ihr primärer YubiKey SSH, E-Mail-Signierung oder einen Smartcard-Login schützt. Testen Sie, ob das Backup den Nicht-FIDO2-Dienst tatsächlich authentifiziert, bevor Sie sich darauf verlassen — die Lücke erst während einer echten Aussperrung zu entdecken, ist die teure Art, das zu lernen.

Welchen sollten Sie tatsächlich kaufen?

Sie loggen sich nur bei Google, Microsoft oder GitHub-artigen FIDO2-Konten ein: Google Titan — die günstigste Mainstream-Option, ohne Funktionsverlust für diesen Anwendungsfall.
Sie nutzen SSH-Key-Auth oder OpenPGP und wollen ein echtes Backup, nicht nur ein billigeres: Nitrokey 3 — die einzige Alternative hier, die YubiKeys Protokollabdeckung erreicht.
Sie wollen 2–3 günstige Backup-Schlüssel über Taschen und Orte verteilen: Feitian ePass oder Thetis Pro.
Sie wollen einen Schlüssel, der auch Passwörter speichert, und nutzen noch keinen Passwort-Manager: OnlyKey.
Sie brauchen OpenPGP, PIV oder SSH-Unterstützung und die breiteste Ökosystem-Unterstützung: bleiben Sie bei YubiKey — keine dieser Alternativen schlägt es bei der Protokollbreite, nur beim Preis oder einem einzelnen Feature.

Häufig gestellte Fragen

Gibt es eine günstigere Alternative zu YubiKey?

Ja — Google Titan (ca. 25–35 $) und Feitian ePass (ca. 20–35 $) kosten beide weniger als YubiKey, unterstützen aber weder OpenPGP, PIV noch SSH-Key-Authentifizierung wie YubiKey. Sie passen nur, wenn jeder Ihrer Accounts FIDO2/U2F oder WebAuthn nutzt.

Ist Google Titan so gut wie YubiKey?

Für FIDO2/WebAuthn-Logins (Google, Microsoft, GitHub, die meisten Passwort-Manager) ja. Titan erreicht nicht YubiKeys breitere Protokollunterstützung für SSH, OpenPGP oder Smartcard/PIV-Anwendungsfälle.

Kann ich einen Nicht-YubiKey-Sicherheitsschlüssel mit Bitwarden oder Vaultwarden nutzen?

Ja — Bitwarden und selbst gehostetes Vaultwarden unterstützen jeden FIDO2/WebAuthn-Schlüssel als Login-Methode, einschließlich Titan, Nitrokey, Feitian und Thetis Pro. Das ist unabhängig von OnlyKeys eigenem On-Device-Passwortspeicher.

Funktionieren Open-Source-Sicherheitsschlüssel wie Nitrokey tatsächlich mit SSH?

Ja — Nitrokey 3 unterstützt OpenPGP und SSH-Key-Authentifizierung genau wie YubiKey, was ihn zur einzigen Alternative auf dieser Liste macht, die ein YubiKey-geschütztes SSH-Setup tatsächlich absichern kann statt nur die 2FA von Web-Konten abzudecken.

Alle Angaben ohne Gewähr. Dieser Beitrag dient allgemeinen Informationszwecken und ersetzt keine individuelle technische Beratung.