Passkeys im Unternehmen: Wie Sie sich endgültig von Passwörtern verabschieden und die Sicherheit erhöhen

Sind Sie müde vom ständigen Zurücksetzen vergessener Passwörter, von Benutzerbeschwerden über komplexe Anforderungen und der ständigen Angst vor Phishing-Angriffen? Sie sind nicht allein. Die Passwortverwaltung ist zu einem der größten sicherheitstechnischen und operativen Schmerzpunkte für Unternehmen geworden, unabhängig von deren Größe. Doch es gibt eine Lösung, die das Ende dieser Ära verspricht. Die Einführung von Passkeys im Unternehmen ist keine Science-Fiction mehr, sondern ein praktischer und notwendiger Schritt in eine sicherere und effizientere digitale Zukunft. Es handelt sich um eine Technologie, die die Art und Weise, wie wir uns bei Geschäftssystemen und Anwendungen anmelden, grundlegend verändert.

In diesem Artikel schauen wir uns an, was genau Passkeys sind, warum sie jedem Passwort deutlich überlegen sind und – was am wichtigsten ist – wie Sie diese strategisch und sicher in Ihre Geschäftsumgebung integrieren können. Wir konzentrieren uns auf praktische Schritte für kleine und mittlere Unternehmen mit konkreten Anwendungsbeispielen in Tools wie Microsoft Entra ID.

Was genau sind 'Passkeys' und warum sind sie besser als Passwörter?

Ein Passkey ist ein moderner Standard für die Anmeldung, der Passwörter ersetzt. Anstatt dass sich der Benutzer eine komplizierte Zeichenkombination ausdenkt (und versucht, sie sich zu merken), erstellt ein Passkey ein einzigartiges kryptografisches Schlüsselpaar: einen öffentlichen und einen privaten Schlüssel.

• Der öffentliche Schlüssel wird auf dem Server der Anwendung oder des Dienstes gespeichert (z. B. Microsoft 365, Google Workspace). Dieser Schlüssel allein ist für die Anmeldung unbrauchbar und stellt keine sensiblen Daten dar.
• Der private Schlüssel bleibt sicher auf dem Gerät des Benutzers gespeichert – auf dem Telefon, Laptop oder einem speziellen Sicherheitsschlüssel (wie einem YubiKey). Dieser Schlüssel verlässt das Gerät niemals.

Wenn sich ein Benutzer anmelden möchte, sendet der Server eine „Herausforderung“ (Challenge), die nur der entsprechende private Schlüssel lösen kann. Der Benutzer bestätigt die Anmeldung einfach per Biometrie (Fingerabdruck, Gesichtserkennung) oder durch Eingabe der PIN seines Geräts. Das Gerät signiert die Herausforderung daraufhin digital und sendet sie an den Server zurück, der die Signatur mit dem öffentlichen Schlüssel überprüft. All dies geschieht in Sekundenschnelle, ohne dass ein Passwort eingegeben werden muss.

Der entscheidende Vorteil ist, dass Passkeys bauartbedingt resistent gegen Phishing-Angriffe sind. Da es kein Passwort gibt, das ein Benutzer auf einer gefälschten Website eingeben könnte, können Angreifer es nicht stehlen. Zudem ist jeder Passkey an eine spezifische Webdomain gebunden, was seinen Missbrauch auf anderen Seiten verhindert.VitalIT Sicherheitsexperte

Vergleich: Traditionelle Passwörter vs. Passkeys

Um den Umfang der Verbesserungen durch Passkeys im Unternehmen besser zu verstehen, werfen wir einen Blick auf einen direkten Vergleich der wichtigsten Aspekte von Sicherheit und Benutzerfreundlichkeit.

Planung der Passkey-Einführung im Unternehmen: Praktische Schritte

Der Übergang in eine passwortlose Zukunft erfordert einen strategischen Ansatz. Ein blinder Sprung ins Ungewisse kann bei Mitarbeitern Verwirrung stiften und Sicherheitslücken schaffen. Wir empfehlen eine schrittweise Einführung in vier Phasen.

Phase 1: Analyse und Planung

Vor der technischen Implementierung ist es entscheidend, den Ist-Zustand zu verstehen und klare Ziele zu setzen.

1. Anwendungsinventur: Identifizieren Sie geschäftskritische Anwendungen (innerhalb und außerhalb des Microsoft 365 Ökosystems). Welche unterstützen bereits den FIDO2-Standard bzw. die Anmeldung mit Passkeys? Für welche müssen bestehende Anmeldemethoden beibehalten werden?
2. Bewertung von Benutzern und Geräten: Verfügen alle Mitarbeiter über Dienst-Smartphones (iOS, Android)? Wie sieht die Richtlinie für private Geräte (BYOD) aus? Gibt es Arbeitsplätze (z. B. in der Produktion, im Lager), an denen gemeinsam genutzte Computer verwendet werden?
3. Festlegung einer Pilotgruppe: Wählen Sie eine kleinere, technisch versiertere Benutzergruppe (z. B. IT-Abteilung, Entwickler), um den Einführungsprozess zu testen, Feedback zu sammeln und potenzielle Probleme zu beheben.
4. Richtlinienerstellung: Legen Sie Nutzungsregeln fest. Erlauben Sie das Speichern von Passkeys auf privaten Geräten? Werden Sie für bestimmte Rollen die Verwendung dedizierter FIDO2-Sicherheitsschlüssel (z. B. YubiKey) vorschreiben? Wie sieht der Prozess bei Geräteverlust aus?

Phase 2: Technische Implementierung (Beispiel: Microsoft Entra Passkey)

Wenn Ihr Unternehmen Microsoft 365 nutzt, ist Microsoft Entra ID (früher Azure Active Directory) Ihr zentraler Hub für das Identitätsmanagement. Das Aktivieren von Passkeys ist ein relativ einfacher Prozess.

• Aktivierung der Authentifizierungsmethode: Aktivieren Sie im Microsoft Entra Admin Center unter „Schutz“ > „Authentifizierungsmethoden“ die Methode „FIDO2-Sicherheitsschlüssel“.
• Richtlinienkonfiguration: Legen Sie fest, auf welche Benutzer oder Gruppen sich die Richtlinie bezieht. Beschränken Sie diese zu Beginn auf Ihre Pilotgruppe.
• Einstellungen für Passkeys: Entra ID ermöglicht erweiterte Einstellungen wie „Erzwingung der Nachweisprüfung“ (Attestation Enforcement), mit der Sie die Nutzung auf bestimmte, verifizierte Sicherheitsschlüsselmodelle einschränken können.
• Benutzerregistrierung: Benutzer müssen ihre Geräte oder Sicherheitsschlüssel selbst registrieren. Dies geschieht auf der Seite myaccount.microsoft.com unter den Sicherheitsinformationen. Der Prozess ist einfach und geführt.

Umfassende Cybersicherheit gewährleistenDie Einführung von Passkeys ist ein wichtiger Teil einer modernen Sicherheitsstrategie. Unser Team unterstützt Sie bei der Planung und Implementierung umfassender, auf Ihr Unternehmen zugeschnittener Sicherheitslösungen.

Phase 3: Kommunikation und Mitarbeiterschulung

Technik ist nur die halbe Miete. Der Erfolg der Einführung hängt davon ab, wie sie von den Mitarbeitern angenommen wird. Unterschätzen Sie nicht die Macht guter Kommunikation.

• Erklären Sie das „Warum“: Stellen Sie die Vorteile für die Mitarbeiter dar – einfachere und schnellere Anmeldung, kein Auswendiglernen von Passwörtern mehr.
• Bereiten Sie klare Anleitungen vor: Erstellen Sie kurze, visuelle Anleitungen (PDF, Video) für den Registrierungsprozess von Passkeys auf verschiedenen Geräten (PC mit Windows Hello, Smartphone).
• Organisieren Sie Workshops: Veranstalten Sie für die Pilotgruppe und später für alle Mitarbeiter kurze Live- oder Remote-Präsentationen, in denen Sie den Vorgang demonstrieren und Fragen beantworten.
• Betonen Sie die Wiederherstellungsverfahren: Kommunizieren Sie klar, was Mitarbeiter tun sollen, wenn sie ihr Telefon verlieren oder ihr Laptop kaputt geht. Dies mindert die Angst vor der neuen Technologie.

Phase 4: Überwachung, Support und Erweiterung

Nach erfolgreichem Abschluss der Pilotphase ist es Zeit für die Ausweitung auf das gesamte Unternehmen. Überwachen Sie die Anmeldeberichte in Microsoft Entra ID, um zu sehen, wie viele Benutzer tatsächlich die passwortlose Anmeldung nutzen. Seien Sie bereit, Support für Benutzer zu leisten, die auf Probleme stoßen, und weiten Sie die Passkey-Richtlinie schrittweise auf alle Mitarbeiter und, wo möglich, auf alle Anwendungen aus.

Die Zukunft ist passwortlos (passwordless): FIDO2 und das breitere Ökosystem

Es ist wichtig zu verstehen, dass Passkeys keine Erfindung von Apple, Google oder Microsoft sind. Sie sind das Ergebnis der Arbeit der FIDO Alliance (Fast Identity Online), einer Industrievereinigung mit dem Ziel, offene und interoperable Standards für die Authentifizierung zu schaffen. Das bedeutet, dass ein Passkey, den Sie auf einem iPhone erstellen, für die Anmeldung an einem Windows-PC funktioniert und umgekehrt (über Bluetooth oder QR-Code). Diese Interoperabilität ist entscheidend für den langfristigen Erfolg des passwortlosen Konzepts.

Die Unterstützung für diese Technologie wächst täglich. Neben Betriebssystemen integrieren immer mehr Websites und Anwendungen sie in ihre Dienste, von Social-Media-Anbietern bis hin zu Banking-Plattformen. Mit der Einführung von Passkeys im Unternehmen lösen Sie nicht nur ein aktuelles Passwortproblem, sondern positionieren Ihr Unternehmen auf der richtigen Seite der technologischen Entwicklung und bereiten es auf die Zukunft vor.

Was passiert, wenn ein Mitarbeiter sein Gerät mit dem Passkey (z. B. Smartphone) verliert?

Das ist keine Sicherheitskatastrophe. Erstens ist das Gerät durch PIN oder Biometrie geschützt. Zweitens kann der IT-Administrator den Passkey für dieses Gerät im System (z. B. Microsoft Entra ID) widerrufen. Der Benutzer kann einen anderen registrierten Passkey für den Zugriff verwenden (z. B. auf einem Laptop oder Sicherheitsschlüssel) oder die IT weist ihm einen befristeten Zugriffspass (Temporary Access Pass) zu, damit er ein neues Gerät registrieren kann.

Sind Passkeys sicher, wenn jemand mein Telefon stiehlt und meine PIN kennt?

Geräte-PINs sind eine Schwachstelle in jedem System. Daher wird empfohlen, nach Möglichkeit Biometrie (Fingerabdruck, Gesicht) zu verwenden. In Geschäftsumgebungen können IT-Abteilungen mit Mobile Device Management (MDM) Tools Richtlinien für die PIN-Komplexität sowie automatische Sperrung/Löschung des Geräts nach mehreren Fehlversuchen erzwingen.

Muss ich für jeden Dienst einen neuen Passkey erstellen?

Ja, und das ist ein Vorteil. Jeder Passkey ist einzigartig für die Kombination aus Benutzerkonto und Website/Anwendung. Dank Synchronisierung (z. B. über iCloud Keychain, Google Password Manager oder Microsoft-Konto) müssen Sie sich jedoch nicht um jeden einzeln kümmern. Sobald Sie einen Passkey auf einem Gerät erstellen, ist er automatisch auf Ihren anderen Geräten innerhalb desselben Ökosystems verfügbar.

Müssen wir sofort alle Passwörter und MFA-Apps aufgeben?

Nein. Der Übergang wird schrittweise erfolgen. Passwörter werden noch einige Zeit als Reservemethode und für den Zugriff auf ältere Anwendungen, die Passkeys nicht unterstützen, bestehen bleiben. Eine gute Strategie besteht darin, Passkeys zunächst als primäre und einfachste Anmeldemethode zu aktivieren, während bestehende Methoden als Backup beibehalten werden.

Was ist der Unterschied zwischen einem Passkey auf dem Telefon und einem FIDO2-Sicherheitsschlüssel (z. B. YubiKey)?

Funktionell sind sie sich sehr ähnlich, da beide auf dem FIDO2-Standard basieren. Ein Passkey auf einem Telefon oder Computer („Platform Authenticator“) nutzt die integrierte Sicherheits-Hardware des Geräts. Ein physischer Sicherheitsschlüssel („Roaming Authenticator“) ist ein separates, dediziertes Gerät, das zwischen Computern mitgenommen werden kann und oft noch resistenter gegen Missbrauch ist. Für Benutzer mit höchsten Sicherheitsanforderungen (z. B. Systemadministratoren, Geschäftsleitung) wird die Verwendung physischer FIDO2-Schlüssel dringend empfohlen.