In diesem Artikel 10 Abschnitte
Passkeys ersetzen Passwörter durch kryptografische Zugangsdaten. Die Anmeldung wird mit dem Mechanismus bestätigt, der auch das Gerät entsperrt – beispielsweise PIN oder Biometrie. Für KMU kann das gleichzeitig weniger Passwortprobleme und einen besseren Schutz gegen Phishing bedeuten. Entscheidend ist aber nicht der Schalter im Administrationsportal, sondern ein sauberer Umgang mit Geräten, Wiederherstellung und Ausnahmen.
Was ein Passkey ist
Ein Passkey ist eine FIDO-Zugangsdatenform, die Dienste über den Webstandard WebAuthn verwenden können. Bei der Registrierung erzeugt der Authentifikator ein Schlüsselpaar. Der öffentliche Schlüssel wird beim Dienst hinterlegt; der private Schlüssel wird vom Authentifikator verwendet und dem Dienst nicht offengelegt. Bei synchronisierten Passkeys kann verschlüsseltes Schlüsselmaterial über den Passkey-Anbieter auf weitere Geräte übertragen werden. Für eine Anmeldung muss der Authentifikator eine an den richtigen Dienst gebundene Anfrage signieren. Das Geheimnis wird nicht in ein Formular eingegeben und kann daher nicht wie ein Passwort von einer gefälschten Seite abgegriffen werden.
PIN oder Biometrie werden in diesem Ablauf verwendet, um den Authentifikator lokal freizugeben. Der Dienst erhält dabei nicht einfach den Fingerabdruck. Die konkrete Speicherung und Verarbeitung hängt von Gerät und Plattform ab und sollte bei regulierten oder besonders sensiblen Einsätzen geprüft werden.
Passkeys sind kein proprietärer Produktname, sondern ein plattformübergreifender Begriff für FIDO-basierte Zugangsdaten. FIDO2 und WebAuthn schaffen eine gemeinsame technische Basis für verschiedene Betriebssysteme, Browser, Identitätsdienste und Sicherheitsschlüssel. Diese Interoperabilität fördert Auswahlfreiheit. Sie garantiert jedoch nicht, dass jede Anwendung jede Passkey-Variante unterstützt.
Synchronisiert oder gerätegebunden?
Für die Planung ist diese Unterscheidung zentral:
- Synchronisierte Passkeys können über ein Plattform-Ökosystem oder einen geeigneten Passwortmanager auf weitere Geräte derselben Person gelangen. Das erleichtert Gerätewechsel und Alltag, erweitert aber die Vertrauensgrenze auf den jeweiligen Synchronisationsdienst.
- Gerätegebundene Passkeys verbleiben auf einem Gerät oder physischen FIDO2-Sicherheitsschlüssel. Sie bieten mehr Kontrolle über den Speicherort, verlangen dafür Ersatzgeräte und einen gut vorbereiteten Verlustprozess.
Es gibt keine passende Variante für alle Konten. Für gewöhnliche Arbeitskonten können synchronisierte Passkeys sinnvoll sein, sofern Verwaltung, Geräteschutz und Recovery den Anforderungen entsprechen. Für privilegierte Administrationskonten kann ein gerätegebundener Sicherheitsschlüssel besser kontrollierbar sein. Microsoft Entra unterstützt gemäss eigener Dokumentation sowohl synchronisierte als auch gerätegebundene Passkeys und ermöglicht eine gruppenbasierte Konfiguration. Andere Identitätsplattformen haben eigene Funktions- und Lizenzmodelle.
Wo KMU beginnen sollten
1. Ziel und Geltungsbereich festlegen
Soll der Passkey zunächst den Zugriff auf Microsoft 365 absichern, eine Kundenanwendung ergänzen oder Passwörter für interne Dienste ablösen? Listen Sie Anwendungen, Nutzergruppen und vorhandene Anmeldeverfahren auf. Prüfen Sie für jede Anwendung, ob sie WebAuthn direkt unterstützt oder über einen zentralen Identitätsdienst angebunden werden kann.
Eine föderierte Anmeldung kann den Rollout vereinfachen, weil Richtlinien an einer Stelle umgesetzt werden. Sie macht den Identitätsdienst zugleich zu einer wichtigen Abhängigkeit. Notfallzugänge und Wiederherstellungswege müssen deshalb unabhängig dokumentiert und getestet sein.
2. Pilotgruppe bewusst wählen
Starten Sie mit Mitarbeitenden, die unterschiedliche Geräte und Arbeitsweisen abdecken. Ein Pilot nur mit der IT zeigt nicht, wie Passkeys auf gemeinsam genutzten Arbeitsplätzen, im Aussendienst oder bei Stellvertretungen funktionieren. Halten Sie fest, welche Browser, Betriebssysteme, Smartphones und Fachanwendungen erfolgreich getestet wurden.
Für den Pilot sind klare Erfolgskriterien hilfreicher als ein schneller Vollausbau: Können Teilnehmende den Passkey selbst registrieren? Funktioniert die Anmeldung auf den freigegebenen Geräten? Ist ein Geräteverlust ohne unsichere Abkürzung lösbar? Werden bestehende Anmeldungen und Protokolle korrekt ausgewertet?
3. Recovery vor dem Rollout definieren
Ein starker Passkey schützt wenig, wenn der Wiederherstellungsweg nur eine schwache Identitätsprüfung verlangt. Die Wiederherstellung ist ein separater Prozess des jeweiligen Dienstes; sie kann beispielsweise über einen bereits registrierten zweiten Authentifikator oder ein administrativ kontrolliertes Verfahren erfolgen. Legen Sie fest:
- wie die Identität einer Person bei Verlust geprüft wird;
- wer einen neuen Authentifikator freigeben darf;
- ob ein zweiter Passkey oder Sicherheitsschlüssel verlangt wird;
- wie verlorene Geräte und alte Passkeys gesperrt werden;
- welche Notfallkonten existieren und wer deren Nutzung kontrolliert.
Bei Austritten muss der Offboarding-Prozess alle registrierten Anmeldeverfahren berücksichtigen. Ebenso wichtig ist ein Verfahren für neue oder zurückgesetzte Geräte. Recovery gehört in die Betriebsdokumentation, nicht in das Gedächtnis einer einzelnen Administratorin oder eines einzelnen Administrators.
4. Richtlinien nach Risiko staffeln
Erlauben Sie nicht automatisch jede technisch registrierbare Variante. Identitätsplattformen können je nach Produkt und Lizenz Richtlinien für Nutzergruppen, Authentifikatortypen oder sensible Ressourcen anbieten. Administrationsportale, Backup-Systeme und Finanzanwendungen können strengere Vorgaben erhalten als weniger kritische Dienste.
Während der Übergangsphase bleiben häufig Passwörter oder andere MFA-Verfahren aktiv. Dokumentieren Sie, für wen diese Ausnahmen gelten und wann sie überprüft werden. Sonst bleibt der alte Weg dauerhaft der einfachste – und bestimmt weiterhin das tatsächliche Sicherheitsniveau.
Digitale Souveränität praktisch berücksichtigen
Passkeys reduzieren die Abhängigkeit vom geteilten Geheimnis «Passwort», beseitigen aber nicht jede Plattformbindung. Fragen Sie bei der Auswahl:
- Unterstützt der Dienst standardkonformes WebAuthn?
- Können verschiedene zertifizierte Authentifikatoren eingesetzt werden?
- Lassen sich gerätegebundene und synchronisierte Varianten bewusst steuern?
- Sind Registrierung, Widerruf und Ereignisse nachvollziehbar?
- Gibt es einen dokumentierten Weg zu einer anderen Plattform, ohne Konten auszusperren?
Offene Standards ermöglichen Wettbewerb und Interoperabilität, während kontrollierte Recovery die Handlungsfähigkeit im Störungsfall erhält. Dennoch müssen Passkeys meist für jeden Dienst neu registriert werden; ein Anbieterwechsel ist deshalb planbar, aber nicht automatisch aufwandsfrei.
Passkeys sind ein Betriebsmodell
Nach dem Rollout gehören Registrierung, Gerätewechsel, Widerruf, Support und Protokollauswertung in den normalen Betrieb. Schulen Sie den Support darauf, keine schwache Umgehung zu schaffen. Prüfen Sie zudem, welche Anwendungen weiterhin Passwörter verlangen und wie diese Restbestände geschützt werden.
CORESTREAM unterstützt Sie bei Kompatibilitätsprüfung, Pilot, Richtlinien und Recovery-Design – mit Fokus auf offene Standards und nachvollziehbare Kontrolle. Mehr dazu finden Sie unter Modern Workplace und Sicherheit & Resilienz.