Passkeys und FIDO2 - phishing-resistente Anmeldung im Unternehmen

Passkeys ersetzen Passwörter durch dienstspezifische kryptografische Schlüsselpaare. Die Anmeldung wird lokal per Fingerabdruck, Gesichtserkennung oder PIN freigegeben. Weil WebAuthn die Anmeldung an die echte Domain bindet, sind Passkeys gegen typische Phishing-Seiten resistent. Das ist ein wichtiger Schutz, aber keine Immunität gegen gestohlene Sitzungen, kompromittierte Endgeräte oder unsichere Wiederherstellungsprozesse.

Passwörter bleiben ein häufig angegriffener Teil der Sicherheitskette. Sie werden wiederverwendet, auf Notizzetteln festgehalten, in unsicheren Dokumenten gespeichert oder schlicht zu einfach gewählt. Der Verizon Data Breach Investigations Report 2025 ordnet missbrauchte Zugangsdaten als einen relevanten initialen Zugangsweg in seinem untersuchten Datensatz ein; daraus lässt sich jedoch keine pauschale Quote für alle Angriffe oder speziell für deutsche KMU ableiten. Passkeys bieten eine passwortlose und phishing-resistente Alternative. In diesem Artikel erfahren Sie, was hinter der Technologie steckt, warum sie gerade für KMU relevant ist und wie Sie die Einführung in Ihrem Unternehmen konkret angehen können.

Was sind Passkeys und wie funktioniert FIDO2?

Passkeys nutzen FIDO-Anmeldestandards. WebAuthn beschreibt die Schnittstelle zwischen Website und Browser; CTAP verbindet einen externen Authenticator mit dem Client. Im Kern ersetzt ein dienstspezifisches kryptografisches Schlüsselpaar das Passwort. Bei gerätegebundenen Passkeys bleibt das private Schlüsselmaterial auf dem Authenticator. Synchronisierte Passkeys können es verschlüsselt über das Ökosystem des Anbieters auf weitere Geräte übertragen. Der öffentliche Schlüssel wird beim jeweiligen Dienst hinterlegt. Bei der Anmeldung signiert der Authenticator eine Challenge; die Freigabe erfolgt lokal per Fingerabdruck, Gesichtserkennung oder PIN. WebAuthn bindet die Anmeldung an die echte Domain und macht sie damit gegen typische Phishing-Seiten resistent.

Warum klassische MFA nicht mehr ausreicht

SMS-Codes, Authenticator-Apps und E-Mail-Bestätigungen erhöhen die Sicherheit gegenüber reinen Passwort-Logins. Bestimmte Echtzeit-Phishing-Angriffe können jedoch auch solche Faktoren abgreifen oder eine gültige Sitzung übernehmen. WebAuthn-Credentials sind an die Origin beziehungsweise Relying Party gebunden und werden einer gefälschten Domain nicht bereitgestellt. Das reduziert dieses Phishing-Risiko deutlich. Der Schutz endet allerdings nicht beim Login: Endgeräte, aktive Sitzungen und Wiederherstellungswege müssen weiterhin abgesichert werden.

Die konkreten Vorteile von Passkeys für den Mittelstand

Für KMU können Passkeys praktische Vorteile über die reine Sicherheit hinaus bieten. Für passwortlos umgestellte Konten entfallen klassische Passwortwechsel und viele passwortbezogene Rücksetzungen. Der tatsächliche Supportaufwand hängt jedoch vom Rollout, von der Geräteverwaltung und vor allem vom Wiederherstellungsprozess ab. Passkeys können als eine risikoorientierte Maßnahme zur Zugriffskontrolle beitragen. Ob Anforderungen aus DSGVO, BSIG oder Verträgen insgesamt erfüllt sind, hängt vom gesamten Sicherheitskonzept ab; eine Passkey-Einführung allein stellt keine Compliance her.

Welche Konten sollten Sie zuerst absichern?

Die Einführung von Passkeys muss nicht auf einen Schlag für alle Mitarbeitenden und Systeme erfolgen. Ein risikobasierter Pilot beginnt häufig bei privilegierten Konten und geschäftskritischen Diensten. Danach können weitere Identitäts-, E-Mail-, Remote-Zugriffs-, Finanz- und Personalsysteme folgen, sofern sie das Verfahren unterstützen. Diese gestaffelte Vorgehensweise erlaubt es, Kompatibilität und Recovery zu testen und den Rollout bei Problemen anzupassen.

Schritt für Schritt: Passkeys im Unternehmen einführen

Die praktische Einführung lässt sich in fünf Phasen gliedern. Zuerst erfassen Sie Authentifizierungsmethoden, Geräte, Anwendungen und Schutzbedarf. Danach definieren Sie eine Pilotgruppe und prüfen die aktuellen Plattformanforderungen, etwa anhand der Microsoft-Entra-Dokumentation. In der dritten Phase konfigurieren Sie die zulässigen Authentifizierungsmethoden und Zugriffsrichtlinien. Anschließend rollen Sie Passkeys schrittweise aus und schulen die Mitarbeitenden. Für den dauerhaften Betrieb etablieren Sie getestete Prozesse für verlorene Geräte, neue Mitarbeitende und getrennt geschützte Notfallzugänge.

Hardware-Keys oder Smartphone: Was eignet sich für KMU?

Bei der Wahl des Authenticators stehen KMU vor der Entscheidung zwischen dedizierten Hardware-Security-Keys wie dem YubiKey, Plattform-Passkeys auf verwalteten Geräten und synchronisierten Passkeys. Hardware-Keys können das Schlüsselmaterial gerätegebunden schützen und eignen sich deshalb besonders für Administratoren und Mitarbeitende mit Zugang zu kritischen Systemen. Anschaffung, Ersatz und Ausgabe müssen organisatorisch eingeplant werden. Synchronisierte Passkeys erhöhen den Komfort, erweitern aber den Vertrauensbereich auf das jeweilige Synchronisations-Ökosystem. Die richtige Auswahl hängt von Schutzbedarf, unterstützten Plattformen, Geräteverwaltung und Recovery-Konzept ab.

Häufige Bedenken und wie Sie ihnen begegnen

In der Praxis begegnen uns bei der IT-Sicherheitsberatung immer wieder ähnliche Fragen und Bedenken rund um Passkeys. Beim Verlust eines Geräts braucht es einen vorab getesteten Recovery-Prozess, etwa einen zweiten registrierten Authenticator und getrennt geschützte Notfallkonten. Welche Wiederherstellungswege verfügbar sind, hängt vom Identitätsanbieter ab. Auch Kosten und Kompatibilität variieren nach Lizenzplan, Hardware, Geräteverwaltung und Anwendung. Microsoft dokumentiert die Unterstützung und Kompatibilität von Passkeys in Entra ID; andere Anbieter sollten ebenso anhand ihrer aktuellen Produktdokumentation geprüft werden. Für ältere Anwendungen kann eine zentrale Identitätsplattform helfen, sofern sie das konkrete Protokoll und den Anwendungsfall unterstützt.

Der Zusammenhang mit Zero Trust und dem BSI-Grundschutz

Passkeys können eine Zero-Trust-Strategie unterstützen, weil sie eine starke, dienstgebundene Authentifizierung ermöglichen. Sie sind dabei nur ein Baustein: Gerätezustand, Sitzungssteuerung, Berechtigungen, Protokollierung und Schwachstellenmanagement bleiben erforderlich. Ein Audit muss deshalb die gesamte Zugriffskontrolle und deren tatsächlichen Betrieb bewerten.

Jetzt handeln und den Passwort-Ballast abwerfen

Passkeys werden von großen Plattformen unterstützt, ihre Einsatzreife muss aber für die konkrete Geräte- und Anwendungslandschaft geprüft werden. Beginnen Sie mit Konten hohen Schutzbedarfs, sammeln Sie Erfahrungen in einer Pilotgruppe und weiten Sie den Einsatz schrittweise aus. Die MAGRA-SEC IT-Sicherheitsberatung kann bei Planung, Kompatibilitätsprüfung und Recovery-Konzept unterstützen.