Passkeys im Arbeitsalltag: So gelingt der Umstieg von Passwörtern auf sichere Anmeldung

Temps de lecture: 6 minutes

Passwörter gehören noch immer zu den häufigsten Angriffszielen in Unternehmen. Phishing-Mails, wiederverwendete Zugangsdaten und unsichere Passwortspeicher verursachen Risiken, die sich mit komplexeren Passwortregeln nur begrenzt senken lassen. Passkeys bieten einen anderen Ansatz: Sie ersetzen das Passwort durch eine kryptografisch abgesicherte Anmeldung, die an ein Gerät oder einen sicheren Passwortmanager gebunden ist. Für den Arbeitsalltag bedeutet das meist weniger Aufwand für Mitarbeitende und eine deutlich robustere Abwehr gegen Phishing.

Passkeys ersetzen Geheimwissen durch kryptografische Schlüssel

Ein klassisches Passwort ist ein Geheimnis, das eine Person kennt und beim Dienst eingibt. Genau darin liegt das Problem: Dieses Geheimnis kann erraten, abgefangen, weitergegeben oder durch eine täuschend echte Login-Seite abgefragt werden.

Bei Passkeys wird dagegen ein Schlüsselpaar erzeugt. Der öffentliche Schlüssel wird beim jeweiligen Dienst hinterlegt, der private Schlüssel bleibt geschützt auf dem Endgerät, etwa im Sicherheitschip eines Smartphones, Notebooks oder Hardware-Tokens. Beim Anmelden bestätigt die Nutzerin oder der Nutzer den Zugriff per Fingerabdruck, Gesichtserkennung, Geräte-PIN oder Sicherheitsschlüssel.

Der private Schlüssel wird nicht an den Dienst übertragen. Selbst wenn eine Plattform kompromittiert wird, erhalten Angreifer keinen Passwortbestand, den sie weiterverwenden könnten. Zudem ist ein Passkey an die echte Internetadresse des Dienstes gebunden. Eine gefälschte Login-Seite kann daher keinen gültigen Anmeldevorgang auslösen.

Der Einsatz im Unternehmen beginnt mit einer Bestandsaufnahme

Der Umstieg sollte nicht als bloße Änderung der Login-Maske betrachtet werden. Prüfen Sie zuerst, welche Anwendungen Ihr Unternehmen nutzt und welche davon Passkeys oder den zugrunde liegenden Standard FIDO2 beziehungsweise WebAuthn unterstützen.

Besonders sinnvoll ist der Start bei Konten mit weitreichenden Berechtigungen:

Administratorzugänge für Cloud-Dienste und Server
E-Mail-Konten mit Zugriff auf vertrauliche Kommunikation
Zugänge zu Entwicklungsplattformen und Quellcode-Repositories
Finanz-, Personal- und CRM-Systeme
VPN- und Zero-Trust-Portale

Viele große Anbieter unterstützen bereits passwortlose Verfahren, häufig in Verbindung mit Microsoft Entra ID, Google Workspace, Okta oder anderen Identity-Providern. Für ältere Fachanwendungen kann zunächst eine Anmeldung über Single Sign-on helfen. Damit schützen Sie den zentralen Zugang, auch wenn die Anwendung selbst noch kein Passkey-Verfahren anbietet.

Geräte und Identitäten müssen zusammen gedacht werden

Passkeys funktionieren besonders komfortabel, wenn Mitarbeitende mit verwalteten Geräten arbeiten. Ein Firmen-Notebook mit aktivierter Geräteverschlüsselung, aktuellem Betriebssystem und zentralem Mobile-Device-Management bietet eine gute Grundlage.

Berücksichtigen Sie auch unterschiedliche Arbeitsrealitäten. Außendienst, Produktion, Schichtarbeit und externe Dienstleister benötigen nicht zwangsläufig dieselbe Anmeldemethode. Manche Beschäftigte arbeiten ohne persönliches Smartphone, andere nutzen mehrere Geräte oder teilen sich einen Arbeitsplatz. Für solche Fälle eignen sich FIDO2-Sicherheitsschlüssel als physische, personenbezogene Alternative.

Eine klare Einführungsstrategie reduziert Reibung

Ein Pilotprojekt mit einer kleinen, technisch aufgeschlossenen Gruppe ist oft der beste Einstieg. Wählen Sie eine Anwendung mit hohem Sicherheitsnutzen und überschaubarem Nutzerkreis, etwa das Administrationsportal Ihres Cloud-Anbieters. Sammeln Sie dabei Erfahrungen zu Registrierung, Gerätesynchronisation, Supportaufwand und Wiederherstellung verlorener Zugänge.

Danach können Sie Passkeys schrittweise auf weitere Bereiche ausweiten. Eine bewährte Reihenfolge lautet:

Freiwillige Registrierung für ausgewählte Mitarbeitende ermöglichen.
Passkeys als bevorzugte Methode neben Passwort und Mehrfaktor-Authentifizierung anbieten.
Für sensible Rollen Passkeys verbindlich vorschreiben.
Passwortbasierte Anmeldung dort abschalten, wo Prozesse und Support stabil laufen.

Kommunikation spielt dabei eine große Rolle. Erklären Sie verständlich, dass der Fingerabdruck oder das Gesicht das Unternehmen nicht verlässt. Die Biometrie wird lokal auf dem Gerät geprüft und dient lediglich dazu, den privaten Schlüssel freizugeben. Diese Information nimmt verbreitete Datenschutzbedenken auf.

Wiederherstellung und Vertretung brauchen feste Regeln

Der Verlust eines Smartphones oder Notebooks darf nicht zum dauerhaften Kontoverlust führen. Gleichzeitig darf der Wiederherstellungsprozess nicht zum Einfallstor für Social Engineering werden. Ein Anruf beim Helpdesk mit frei erfundenen Angaben reicht als Identitätsnachweis nicht aus.

Definieren Sie deshalb einen sicheren Recovery-Prozess. Dazu können eine persönliche Identitätsprüfung, ein zweiter registrierter Sicherheitsschlüssel, die Bestätigung durch Vorgesetzte oder zeitlich begrenzte Wiederherstellungscodes gehören. Für besonders privilegierte Konten empfiehlt sich ein zweiter, getrennt aufbewahrter Passkey.

Auch Vertretungsregelungen sollten nicht über geteilte Konten gelöst werden. Wenn mehrere Personen Zugriff auf ein System benötigen, richten Sie individuelle Konten mit passenden Rollen ein. So bleiben Zugriffe nachvollziehbar und lassen sich bei Personalwechseln sofort entziehen.

Der Support profitiert von einfachen, dokumentierten Abläufen

Passkeys reduzieren langfristig Passwort-Resets, erzeugen aber anfangs neue Supportfragen. Mitarbeitende möchten wissen, wie sie einen Passkey auf einem neuen Gerät aktivieren, was bei einem defekten Smartphone geschieht oder ob private Geräte zugelassen sind.

Erstellen Sie kurze Anleitungen für die häufigsten Situationen. Screenshots, klare Begriffe und eine zentrale Anlaufstelle sind wirkungsvoller als umfangreiche Sicherheitsrichtlinien. Schulen Sie den Helpdesk besonders für Identitätsprüfungen und den Umgang mit verlorenen Sicherheitsschlüsseln.

Behalten Sie außerdem im Blick, ob Passkeys zwischen Geräten synchronisiert werden dürfen. Synchronisierte Passkeys erhöhen den Komfort, etwa beim Wechsel vom Smartphone zum Laptop. Für streng regulierte Bereiche kann eine gerätegebundene Lösung mit Hardware-Token besser passen.

Passkeys machen die Anmeldung sicherer und angenehmer

Der Wechsel von Passwörtern zu Passkeys ist kein einmaliges IT-Projekt, sondern eine Weiterentwicklung der gesamten Zugriffsstrategie. Mit einem begrenzten Pilot, klaren Wiederherstellungswegen und passenden Optionen für verschiedene Arbeitsplätze lässt sich die Einführung kontrolliert gestalten.

Die wichtigsten Punkte für Ihren Umstieg:

Passkeys schützen wirksam vor Phishing, weil sie nur mit der korrekten Website funktionieren.
Beginnen Sie mit administrativen und besonders schutzbedürftigen Konten.
Nutzen Sie Single Sign-on, wenn ältere Anwendungen selbst keine Passkeys unterstützen.
Planen Sie Ersatzgeräte, Kontowiederherstellung und verlorene Sicherheitsschlüssel frühzeitig.
Geben Sie Mitarbeitenden verständliche Hilfen und dem Support verbindliche Prüfschritte.
Vermeiden Sie geteilte Zugänge, auch wenn Vertretungen organisiert werden müssen.

Wer Passkeys strukturiert einführt, senkt nicht nur das Risiko kompromittierter Zugangsdaten. Die Anmeldung wird für viele Mitarbeitende zugleich schneller, einfacher und besser an moderne Arbeitsumgebungen angepasst.