Zum Inhalt springen
0621 877 55 990
Notfall
DAVINCI Rechenzentrum

Passkeys im Unternehmen: anmelden ohne Passwort – und warum Phishing-Seiten daran scheitern

Ein Passkey ersetzt das Passwort durch einen Schlüssel, der auf dem Gerät bleibt und nur auf der echten Adresse funktioniert. Es gibt nichts mehr, das man auf einer gefälschten Seite eintippen könnte. Das BSI nennt Passkeys einen Gewinn an Sicherheit und Komfort. Im Unternehmen sind sie heute vor allem für die Konten sinnvoll, die Angreifer zuerst suchen.

0621 877 55 990 · rund um die Uhr, 365 Tage im Jahr
Arbeitsplatz im laufenden BetriebKI-generiertes Bild

  • 14Jahre

    unternehmerisch im IT-Betrieb, GmbH seit 2020

  • InternationaleExpertise

    Betreuung in Deutschland, Europa und dem Nahen Osten

  • 99,9 %Verfügbarkeit

    der Cloud-Services, je Kalendermonat

  • 15 Min.Reaktionszeit

    im Notfall, rund um die Uhr

  • ISO 27001zertifiziert

    Partner-Rechenzentren in Deutschland

Das BSI beschreibt Passkeys als passwortloses Anmelden: Man richtet sie einmalig in den Sicherheitseinstellungen eines Dienstes ein und bestätigt danach die Anmeldung etwa mit dem Fingerabdruck oder einem Gesichtsscan. Die sicherheitsrelevanten Berechnungen laufen im Hintergrund. Weil das Passwort ersetzt wird, gibt es nach den Worten des BSI keine Information mehr, die gestohlen, verloren oder erraten werden könnte.

Technisch steht dahinter ein Schlüsselpaar. Der geheime Teil bleibt auf dem Gerät oder dem Sicherheitsschlüssel, der Dienst kennt nur den öffentlichen Teil. Bei der Anmeldung prüft das Gerät, für welche Adresse die Anmeldung gilt, und unterschreibt nur für die echte. Eine Phishing-Seite, die aussieht wie die Anmeldeseite von Microsoft, bekommt keine Unterschrift – der Mensch muss die Fälschung nicht erkennen.

Drei Formen, drei Einsatzzwecke

FormWo der Schlüssel liegtGeeignet für
Sicherheitsschlüssel (Hardware)auf einem kleinen USB- oder NFC-Gerät, nicht kopierbarAdministratoren, Notfallkonten, Mitarbeitende ohne Diensttelefon
Gerätegebundener Passkeyauf einem bestimmten Telefon oder Rechner, etwa im AuthenticatorMitarbeitende mit verwaltetem Diensttelefon
Synchronisierter Passkeyin einem Konto des Herstellers, auf mehrere Geräte verteiltprivate Konten; im Unternehmen nur nach bewusster Entscheidung

Wo Passkeys im Unternehmen heute sinnvoll sind

  • AdministratorkontenSie öffnen das ganze Netz. Der IT-Grundschutz verlangt für Konten mit weitreichenden Berechtigungen Mehr-Faktor-Schutz, etwa mit Token; ein Sicherheitsschlüssel erfüllt das in der stärksten Form.
  • Geschäftsführung und BuchhaltungDie Rollen, auf die CEO-Fraud und Rechnungsbetrug zielen. Ein übernommenes Postfach dort ist besonders teuer.
  • NotfallkontenMicrosoft empfiehlt für Notfallzugriffskonten phishing-beständige Verfahren wie FIDO2-Sicherheitsschlüssel, die sich von denen der normalen Administratorkonten unterscheiden.
  • Alle anderen – schrittweiseWo Dienste es anbieten und Geräte verwaltet sind, als Ersatz für Push-Bestätigungen. Wo nicht, bleibt der Authenticator mit Nummernabgleich.

Einführung in Microsoft Entra ID

Microsoft beschreibt die Aktivierung von Passkeys (FIDO2) als Authentifizierungsmethode im Entra Admin Center. In der Praxis sieht die Reihenfolge so aus:

  1. Methode freischaltenPasskeys (FIDO2) in der Richtlinie für Authentifizierungsmethoden aktivieren, zunächst für eine Pilotgruppe.
  2. Schlüssel zuordnenJe Person zwei Schlüssel oder ein Schlüssel plus Authenticator – nie nur ein einziges Verfahren.
  3. RegistrierenJede Person registriert selbst, bei Bedarf mit einem befristeten Zugangspass, damit kein Passwort mehr nötig ist.
  4. Für Rollen erzwingenPer bedingtem Zugriff festlegen, dass Administratorrollen sich nur noch mit phishing-beständigen Verfahren anmelden können.

Dazu gehört

Häufige Fragen

Was passiert, wenn der Sicherheitsschlüssel verloren geht?
Deshalb gehören zu jeder Person zwei Verfahren. Der verlorene Schlüssel wird im Verzeichnis entfernt, die Anmeldung läuft über das zweite Verfahren, und ein neuer Schlüssel wird registriert.
Funktionieren Passkeys mit allen unseren Anwendungen?
Mit Microsoft 365 und vielen Cloud-Diensten ja. Ältere Fachanwendungen mit eigener Anmeldung meist nicht – sie werden über eine zentrale Anmeldung oder einen vorgeschalteten Zugang geschützt.
Sind synchronisierte Passkeys im Unternehmen in Ordnung?
Sie liegen im Konto eines Herstellers und können auf private Geräte gelangen. Für Administratoren und besonders gefährdete Rollen bevorzugen wir gerätegebundene Passkeys oder Sicherheitsschlüssel; für andere ist es eine Abwägung, die bewusst getroffen werden sollte.
Brauchen wir dann noch Passwörter?
Für eine Übergangszeit ja, für Anwendungen ohne Passkey-Unterstützung und als Rückfall. Ziel ist, dass die wichtigsten Konten im Alltag ohne Passwort auskommen.

Quellen und Nachweise

  1. BSI: Passkeys – anmelden ohne Passwort · Bundesamt für Sicherheit in der Informationstechnikamtlich
  2. Microsoft Learn: Aktivieren von Passkeys (FIDO2) in Microsoft Entra ID · Microsoft
  3. FIDO Alliance: Passkeys · FIDO Alliance
  4. BSI IT-Grundschutz-Baustein ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023), Anforderung ORP.4.A21 · Bundesamt für Sicherheit in der Informationstechnikamtlich

Ihr nächster Schritt

Sprechen wir über Ihre IT.

Schildern Sie uns Ihr Anliegen – Sie erhalten innerhalb der nächsten zwei Stunden eine Antwort von jemandem, der entscheiden kann.

Das gehört dazu

MFA einführenMehrfaktor-Anmeldung ist schnell eingeschaltet und schnell verflucht, wenn sie schlecht eingeführt wird: Wer am Montag sein Telefon nicht dabei hat, kommt nicht an seine Mails, und das Multifunktionsgerät scannt nicht mehr ins Postfach. Mit einer klaren Reihenfolge, dem richtigen Verfahren je Rolle und einer Liste der Ausnahmen geht es ohne Stillstand.Ansehen →
PasswortmanagerIn fast jedem Haus gibt es sie: die Excel-Liste mit Zugängen, den Zettel unter der Tastatur, das Passwort für das Lieferantenportal, das per Mail an drei Kollegen ging. Ein Passwortmanager für das Unternehmen ersetzt das alles – wenn er nicht als privates Programm je Person, sondern als gemeinsames Werkzeug mit Tresoren, Rechten und einem Notfallweg eingerichtet wird.Ansehen →
Rollen & AdminkontenAngreifer suchen nach dem ersten Zugang immer dasselbe: ein Konto mit Administratorrechten. In vielen Häusern finden sie es schnell – weil der IT-Verantwortliche mit demselben Konto Mails liest, mit dem er Server verwaltet. Getrennte Konten, Rechte nach Bedarf und zwei Notfallzugänge machen diesen Schritt deutlich schwerer.Ansehen →
Bedingter ZugriffMehrfaktor-Anmeldung beantwortet die Frage „Wer bist du?“. Bedingter Zugriff stellt die nächsten: Von welchem Gerät? Aus welchem Land? Mit welchem Verfahren? Für ein Haus mit Microsoft 365 ist er das Werkzeug, mit dem aus einzelnen Einstellungen eine Zugangsregel wird – vorausgesetzt, die Lizenz passt und niemand sperrt sich aus.Ansehen →
VPN oder Zero TrustDas VPN war jahrelang die Antwort auf die Frage, wie man von außen ins Firmennetz kommt: einmal drin, alles erreichbar. Genau das nutzen Angreifer, die ein VPN-Passwort erbeuten. Zero Trust dreht die Frage um und prüft jede Anmeldung einzeln. Für ein mittelständisches Haus heißt das selten „VPN abschaffen“, sondern: das VPN absichern, Rechte dahinter begrenzen, Cloud-Anwendungen ohne VPN schützen.Ansehen →
OffboardingEin Konto, das nach dem Ausscheiden weiterlebt, ist einer der bequemsten Wege in ein Unternehmen: Niemand vermisst es, niemand sieht, wer es benutzt. Offboarding ist deshalb keine Personalformalie, sondern eine Sicherheitsmaßnahme – mit einer festen Liste, einer Uhrzeit und einem Verantwortlichen.Ansehen →
Zugang & IdentitätDie meisten Angriffe auf ein mittelständisches Haus brechen nicht durch eine Firewall, sie melden sich an – mit einem gestohlenen Passwort. Wer Zugänge im Griff hat, nimmt diesen Weg: Mehrfaktor-Anmeldung für alle, ein Passwortmanager statt Zettel, getrennte Administratorkonten, Regeln für den Zugriff von außen und ein Offboarding, das am letzten Arbeitstag wirklich alles schließt.Ansehen →

Passkeys für die Konten, die zählen

Wir richten Passkeys oder Sicherheitsschlüssel zuerst für Administratoren, Geschäftsführung und Buchhaltung ein, regeln Ersatzschlüssel und Rückfallweg und dokumentieren, wer womit angemeldet ist.

Störung sofort melden