Passkeys im Unternehmen sicher und effizient einführen

Temps de lecture: 7 minutes

Passkeys ersetzen klassische Passwörter durch kryptografische Schlüssel, die fest an ein Gerät, einen Sicherheitsschlüssel oder eine geschützte Cloud-Synchronisierung gebunden sind. Für Unternehmen bieten sie die Chance, Phishing-Risiken zu senken, den Helpdesk zu entlasten und den Anmeldeprozess für Mitarbeitende deutlich angenehmer zu gestalten. Die Einführung verlangt jedoch mehr als das Aktivieren einer neuen Option im Identity-Provider: Sie braucht klare Richtlinien, technische Vorbereitung und eine kontrollierte Umstellung.

Passkeys verändern die Anmeldung grundlegend

Bei einem Passwort kennt der Nutzer ein Geheimnis und gibt es bei jeder Anmeldung ein. Dieses Prinzip ist anfällig für Wiederverwendung, Datenlecks, Social Engineering und gefälschte Login-Seiten. Passkeys folgen einem anderen Modell: Beim Einrichten erzeugt das Gerät ein Schlüsselpaar.

Der private Schlüssel verbleibt geschützt auf dem Gerät, etwa im sicheren Hardware-Bereich eines Smartphones, Computers oder FIDO2-Sicherheitsschlüssels. Der öffentliche Schlüssel wird beim jeweiligen Dienst hinterlegt. Bei der Anmeldung bestätigt der Nutzer seine Identität per Fingerabdruck, Gesichtserkennung, Geräte-PIN oder Sicherheitsschlüssel. Der Server prüft anschließend eine kryptografische Signatur.

Der private Schlüssel wird nicht an den Dienst übertragen. Selbst wenn ein Angreifer die gespeicherten Daten eines Dienstes erbeutet, kann er daraus keinen Passkey ableiten.

Ein weiterer Vorteil liegt im Schutz vor Phishing. Passkeys sind an die echte Domain eines Dienstes gebunden. Eine Anmeldung auf einer täuschend ähnlichen Adresse wie microsoft-login.example funktioniert deshalb nicht mit einem für login.microsoft.com angelegten Passkey.

Die technische Grundlage muss vor dem Rollout stehen

Passkeys basieren im Regelfall auf den Standards FIDO2 und WebAuthn. Viele aktuelle Betriebssysteme, Browser und Unternehmensplattformen unterstützen diese Verfahren bereits. Trotzdem sollten Sie die vorhandene Umgebung sorgfältig prüfen.

Der Identity-Provider wird zum zentralen Steuerungspunkt

Starten Sie mit Ihrem zentralen Identitätsdienst, etwa Microsoft Entra ID, Okta, Ping Identity oder einem vergleichbaren Identity-Provider. Dort legen Sie fest, welche Anmeldemethoden zugelassen sind, für welche Nutzergruppen sie gelten und unter welchen Bedingungen sie verwendet werden dürfen.

Prüfen Sie insbesondere:

• Unterstützt der Identity-Provider Passkeys über WebAuthn?
• Können Passkeys als primäre Anmeldemethode oder nur als zusätzlicher Faktor eingesetzt werden?
• Lassen sich Richtlinien nach Abteilung, Standort, Risiko oder Gerätetyp staffeln?
• Ist eine Anmeldung an Legacy-Anwendungen über Single Sign-on möglich?
• Werden Ereignisse wie Registrierung, Nutzung und Löschung revisionssicher protokolliert?

Ein zentraler Identity-Provider verhindert Insellösungen und erleichtert die spätere Verwaltung erheblich. Anwendungen, die noch ausschließlich eigene Passwortdatenbanken einsetzen, sollten Sie mittelfristig an ein Single-Sign-on-Konzept anbinden.

Geräte und Browser müssen verwaltbar sein

Passkeys funktionieren besonders zuverlässig auf aktuellen, zentral verwalteten Endgeräten. Über Mobile Device Management und Endpoint Management können Sie Mindestversionen für Betriebssysteme durchsetzen, Bildschirmsperren kontrollieren und verlorene Geräte sperren oder löschen.

Berücksichtigen Sie unterschiedliche Nutzungsszenarien. Ein Mitarbeiter mit einem Firmenlaptop und Firmenhandy kann einen gerätegebundenen Passkey oder einen synchronisierten Passkey verwenden. In Produktionsbereichen, im Schichtbetrieb oder an gemeinsam genutzten Arbeitsplätzen sind hingegen FIDO2-Sicherheitsschlüssel oft die bessere Wahl. Sie lassen sich persönlich ausgeben, inventarisieren und bei Bedarf sperren.

Eine gestaffelte Einführung reduziert Risiken und Widerstände

Eine sofortige Abschaltung aller Passwörter kann Betriebsabläufe gefährden. Sinnvoller ist ein Rollout in mehreren Phasen, der technische Erkenntnisse und Rückmeldungen der Nutzer einbezieht.

Beginnen Sie mit einer Pilotgruppe aus IT, Informationssicherheit und freiwilligen Mitarbeitenden verschiedener Fachbereiche. Diese Gruppe sollte unterschiedliche Geräte, Standorte und Anwendungsszenarien abdecken. Dokumentieren Sie Fehlermeldungen, Supportfälle und Sonderfälle wie Offline-Arbeit oder Gerätewechsel.

Danach können Sie Passkeys zunächst als bevorzugte Methode anbieten. Mitarbeitende registrieren ihren Passkey bei der nächsten Anmeldung oder über ein Self-Service-Portal. Erst wenn Akzeptanz, Supportprozesse und Anwendungsabdeckung ausreichend hoch sind, schränken Sie passwortbasierte Anmeldungen schrittweise ein.

Kommunikation ist dabei ein praktischer Sicherheitsfaktor. Erklären Sie klar, dass Fingerabdruck- oder Gesichtsdaten das Endgerät nicht verlassen. Der Dienst erhält nur den kryptografischen Nachweis der erfolgreichen lokalen Entsperrung. Diese Information nimmt vielen Beschäftigten Bedenken gegenüber biometrischen Verfahren.

Wiederherstellung und Notfallzugänge brauchen klare Regeln

Auch bei Passkeys kann ein Gerät verloren gehen, beschädigt werden oder nicht verfügbar sein. Ohne einen durchdachten Wiederherstellungsprozess entsteht schnell ein neues Sicherheitsrisiko: Angreifer könnten den Helpdesk zur Kontoübernahme missbrauchen.

Definieren Sie deshalb einen mehrstufigen Wiederherstellungsprozess. Er kann beispielsweise eine Identitätsprüfung über Vorgesetzte, einen persönlichen Abgleich, einen zeitlich begrenzten Wiederherstellungscode oder einen zweiten registrierten Sicherheitsschlüssel umfassen. Welche Methode angemessen ist, hängt von Rolle und Schutzbedarf ab.

Für privilegierte Konten gelten strengere Anforderungen. Administratoren sollten mindestens zwei getrennte, hardwarebasierte FIDO2-Schlüssel besitzen. Zusätzlich empfiehlt sich ein kontrolliertes Break-Glass-Konto für außergewöhnliche Störungen. Dieses Konto braucht ein besonders langes, einmaliges Passwort, starke Überwachung und einen klar dokumentierten Freigabeprozess.

Vermeiden Sie schwache Ersatzwege wie Sicherheitsfragen oder den Versand von Login-Links an ungesicherte private E-Mail-Adressen. Sie unterlaufen den Sicherheitsgewinn der passwortlosen Anmeldung.

Passkeys ersetzen nicht jede Schutzmaßnahme

Passkeys senken das Risiko gestohlener Zugangsdaten deutlich, lösen aber nicht jedes Identitätsproblem. Ein kompromittiertes, entsperrtes Gerät kann weiterhin missbraucht werden. Ebenso bleiben Rechteverwaltung, Gerätesicherheit, Netzwerkschutz und Sensibilisierung relevant.

Kombinieren Sie Passkeys daher mit Conditional Access. Sie können etwa verlangen, dass sich besonders sensible Anwendungen nur von konformen, verschlüsselten und aktuell gepatchten Geräten aus öffnen lassen. Bei ungewöhnlichen Anmeldeversuchen, neuen Standorten oder erhöhtem Risiko kann zusätzlich eine stärkere Verifikation verlangt werden.

Auch die Vergabe von Berechtigungen sollte regelmäßig überprüft werden. Eine sichere Anmeldung schützt nicht davor, dass Nutzer zu umfangreiche Zugriffsrechte besitzen.

So gelingt die passwortlose Anmeldung im Unternehmen dauerhaft

Der Erfolg einer Passkey-Einführung hängt von einer Verbindung aus Technik, Prozessen und Nutzererfahrung ab. Wer zunächst die Identitätsplattform konsolidiert, realistische Pilotgruppen auswählt und Wiederherstellungswege absichert, schafft eine belastbare Grundlage für die schrittweise Ablösung von Passwörtern.

Die wichtigsten Punkte auf einen Blick:

• Passkeys nutzen asymmetrische Kryptografie und übertragen keine geheimen Schlüssel an den Dienst.
• Phishing-Angriffe verlieren an Wirkung, weil Passkeys an die korrekte Domain gebunden sind.
• Ein zentraler Identity-Provider vereinfacht Richtlinien, Protokollierung und Single Sign-on.
• Verwaltete Geräte und FIDO2-Sicherheitsschlüssel decken unterschiedliche Arbeitsmodelle ab.
• Wiederherstellungsprozesse müssen sicherer sein als ein einfacher Passwort-Reset.
• Conditional Access und eine saubere Rechteverwaltung bleiben unverzichtbare Ergänzungen.

Mit einer strukturierten Einführung können Sie Passwörter schrittweise aus den wichtigsten Geschäftsprozessen entfernen, ohne Sicherheit oder Produktivität gegeneinander auszuspielen.