Passkey Anmeldung: Sicher ohne Passwort anmelden

Ein Microsoft-365-Konto wird nicht nur dann übernommen, wenn ein Passwort zu schwach ist. Häufig reicht eine gut gemachte Phishing-Mail, die eine Mitarbeiterin oder ein Mitarbeiter unter Zeitdruck bestätigt. Die Passkey Anmeldung setzt genau an diesem Problem an: Statt ein Passwort einzugeben, weist das Gerät nach, dass sich die richtige Person anmeldet. Für kleinere und mittlere Unternehmen ist das eine realistische Möglichkeit, das meistgenutzte Angriffsziel deutlich besser abzusichern.

Passkeys sind kein Projekt, das man einfach einschaltet und vergisst. Sie funktionieren sehr gut, wenn Geräte, Konten und Zuständigkeiten sauber geregelt sind. Fehlen diese Grundlagen, entsteht schnell Verwirrung - etwa wenn ein Smartphone verloren geht oder ein neuer Mitarbeiter noch kein eingerichtetes Gerät hat.

Was bei einer Passkey Anmeldung passiert

Bei einer klassischen Anmeldung gibt der Benutzer ein geheimes Passwort ein. Dieses Passwort kann erraten, wiederverwendet oder über eine gefälschte Anmeldeseite abgefangen werden. Selbst zusätzliche Einmalcodes helfen nicht immer: Moderne Phishing-Angriffe fangen Sitzungscookies ab oder bringen Nutzer dazu, eine Anmeldung unbedacht zu bestätigen.

Bei einer Passkey Anmeldung liegt der geheime Schlüssel dagegen geschützt auf einem persönlichen Gerät oder einem Sicherheitsschlüssel. Der jeweilige Dienst kennt nur den dazu passenden öffentlichen Schlüssel. Bei der Anmeldung prüft das Gerät die Anfrage und verlangt eine lokale Bestätigung, zum Beispiel per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Das biometrische Merkmal verlässt das Gerät dabei nicht.

Entscheidend ist noch etwas anderes: Ein Passkey ist an die echte Website oder Anwendung gebunden. Eine täuschend echte Kopie einer Microsoft-Anmeldeseite kann diesen Nachweis nicht sinnvoll verwenden. Genau deshalb sind Passkeys besonders wirksam gegen Phishing.

Warum das für KMU relevant ist

In Unternehmen mit 5 bis 100 Mitarbeitenden sind Zugänge oft über Jahre gewachsen. Ein Teil der Belegschaft arbeitet am Büro-PC, andere im Außendienst, in der Produktion oder von zu Hause. Dazu kommen gemeinsame Funktionspostfächer, externe Partner und Geräte, die nicht immer zentral verwaltet werden. Ein langes Passwort allein schafft in dieser Situation keine verlässliche Sicherheit.

Passkeys reduzieren das Risiko nicht nur technisch. Sie nehmen auch Reibung aus dem Alltag: weniger Passwort-Resets, weniger falsch eingegebene Kennwörter und weniger Rückfragen, wenn ein Zugang gesperrt ist. Das ist besonders dann spürbar, wenn kein großes internes IT-Team bereitsteht.

Für Geschäftsführung und Verantwortliche ist der Nutzen klar: Der Zugriff auf Microsoft 365, Cloud-Anwendungen und sensible Unternehmensdaten wird stärker an eine konkrete Person und ein verwaltetes Gerät gebunden. Das unterstützt eine nachvollziehbare Sicherheitsorganisation. Es ersetzt aber weder eine saubere Rechtevergabe noch Backup, Gerätemanagement und klare Prozesse für Ein- und Austritte.

Passkey, MFA und Windows Hello: Was ist der Unterschied?

Diese Begriffe werden oft vermischt, meinen aber nicht dasselbe. Multifaktor-Authentifizierung, kurz MFA, verlangt mindestens zwei Faktoren. Das kann ein Passwort plus Bestätigung in einer App sein. MFA ist weiterhin eine wichtige Mindestmaßnahme, aber nicht jede MFA-Methode schützt gleich gut vor Phishing.

Windows Hello ist die lokale Anmeldung am Windows-Gerät mit Gesicht, Fingerabdruck oder PIN. In einer passenden Microsoft-365-Umgebung kann Windows Hello auch als passwortlose Methode für den Unternehmenszugang dienen. Der Benutzer erlebt das häufig wie eine Passkey Anmeldung, technisch und organisatorisch hängt die konkrete Umsetzung aber von Identitätsplattform, Gerät und Richtlinien ab.

Ein FIDO2-Sicherheitsschlüssel ist ein physischer Schlüssel, meist per USB oder NFC. Er eignet sich gut für Mitarbeitende ohne persönliches Smartphone, für besonders schützenswerte Konten oder als kontrollierter Ersatzweg. Passkeys können außerdem auf Smartphones und anderen persönlichen Geräten gespeichert sein. Welche Variante passt, hängt von den Arbeitsplätzen und der gewünschten Kontrolle ab.

Wo Passkeys besonders sinnvoll starten

Der beste Startpunkt ist nicht zwingend das gesamte Unternehmen auf einmal. Beginnen Sie mit Konten, deren Übernahme besonders schaden würde: Geschäftsführung, Administration, Buchhaltung und Microsoft-365-Administratoren. Gerade Administratorkonten dürfen nicht allein von Passwort und SMS abhängen.

Danach folgen Mitarbeitende mit Zugriff auf E-Mail, Teams, SharePoint und OneDrive. Wer die Unternehmensmailbox kontrolliert, kann oft auch Passwörter für weitere Dienste zurücksetzen. Deshalb hat die Absicherung von Microsoft 365 meist Vorrang vor einzelnen Fachanwendungen.

Für gemeinsam genutzte Konten sind Passkeys kein Freifahrtschein. Ein geteiltes Passwort durch einen geteilten Passkey zu ersetzen, löst das eigentliche Problem nicht: Es bleibt unklar, wer gehandelt hat. Besser ist es, wo möglich, persönliche Konten mit passenden Berechtigungen einzurichten. Falls ein technisches Funktionskonto unvermeidbar ist, braucht es einen dokumentierten Prozess, eingeschränkte Rechte und eine verantwortliche Person.

Voraussetzungen vor der Einführung

Eine gute Einführung beginnt mit einem kurzen Realitätscheck. Welche Anwendungen verwenden die Mitarbeitenden tatsächlich? Welche Konten sind besonders kritisch? Welche Geräte sind zentral verwaltet, und welche privaten Geräte erhalten Zugriff auf Unternehmensdaten? Ohne diese Antworten wird die Anmeldung zwar moderner, aber die Umgebung nicht automatisch sicherer.

Bei Microsoft 365 gehören die Identitäten, Rollen und Wiederherstellungsmethoden auf den Prüfstand. Nicht mehr benötigte Konten müssen deaktiviert sein. Administrative Rechte sollten nur dort vergeben werden, wo sie wirklich nötig sind. Für Notfallzugänge braucht es gesonderte, streng geschützte Konten. Sie sind kein Alltagseingang, sondern die Absicherung für den Ausnahmefall.

Auch die Gerätebasis zählt. Ein verwalteter Firmenlaptop mit aktuellen Sicherheitsupdates ist ein anderer Ausgangspunkt als ein privat genutzter Rechner ohne klare Vorgaben. Mit Microsoft Intune lassen sich Geräte registrieren, Sicherheitsrichtlinien durchsetzen und der Zugriff bei Verlust gezielt entziehen. Das ist keine Pflicht für jeden Betrieb, aber bei mobilen Arbeitsplätzen oft ein sinnvoller Baustein.

Einführung in klaren Schritten

Zuerst sollte die Geschäftsführung festlegen, was erreicht werden soll: weniger Phishing-Risiko, passwortloser Zugang zu Microsoft 365 oder eine einheitliche Anmeldemethode für bestimmte Gruppen. Daraus ergibt sich, welche Methode pro Mitarbeitergruppe geeignet ist. Nicht jede Person braucht dieselbe Lösung.

Danach wird eine kleine Pilotgruppe eingerichtet. Sinnvoll sind IT-Verantwortliche, Geschäftsführung und einige Mitarbeitende mit unterschiedlichen Arbeitsweisen. Im Pilot fällt auf, ob etwa ältere Geräte, geteilte Arbeitsplätze oder externe Fachanwendungen besondere Anforderungen haben. Diese Erkenntnisse sind wertvoller als eine breit ausgerollte Richtlinie, die am ersten Montag für viele Rückfragen sorgt.

Die Kommunikation sollte konkret sein. Mitarbeitende müssen wissen, wie sie sich künftig anmelden, was bei einem Gerätewechsel passiert und warum niemand nach dem Passkey oder der Geräte-PIN fragen darf. Ein Passkey reduziert technische Angriffsflächen, schützt aber nicht vor Social Engineering, wenn jemand einen Anrufer vorschnell als IT-Support akzeptiert.

Erst nach dem Pilot folgt die Einführung in Gruppen. Passwortlose Anmeldung kann schrittweise verpflichtend werden, sobald ein verlässlicher Ersatzweg vorhanden ist. Es ist vernünftig, für eine Übergangsphase mehrere zugelassene Methoden anzubieten. Wichtig ist, dass diese Ausnahmen ein Ablaufdatum haben. Dauerhafte Sonderregeln werden schnell zur Schwachstelle.

Was bei Verlust, Wechsel und Notfällen geregelt sein muss

Ein verlorenes Smartphone oder ein defekter Laptop darf nicht dazu führen, dass ein Mitarbeiter tagelang nicht arbeiten kann. Gleichzeitig darf der Helpdesk nicht auf Zuruf neue Anmeldemethoden hinterlegen. Genau hier zeigt sich, ob ein Konzept praxistauglich ist.

Definieren Sie vorab, wie die Identität bei einer Wiederherstellung geprüft wird. Legen Sie fest, wer diese Prüfung durchführen darf und wie der Verlust eines Geräts gemeldet wird. Bei verwalteten Mobilgeräten und Notebooks kann der Unternehmenszugriff im Bedarfsfall entfernt oder das Gerät gesperrt werden. Der alte Passkey muss anschließend aus den zugelassenen Anmeldemethoden entfernt werden.

Auch beim Austritt eines Mitarbeiters braucht es einen festen Ablauf: Konto sperren, aktive Sitzungen beenden, Geräte zurücknehmen und Zugriffsrechte prüfen. Eine gute Anmeldung schützt nur, solange die zugehörige Identität sauber verwaltet bleibt.

Grenzen, die man offen ansprechen sollte

Passkeys machen Passwörter nicht über Nacht in jeder Anwendung überflüssig. Manche ältere Branchenlösungen, lokale Anwendungen oder externe Portale unterstützen sie noch nicht. Dort bleiben starke, einzigartige Passwörter und geeignete MFA-Verfahren notwendig. Ein Passwortmanager kann für diese Übergangszeit sinnvoll sein.

Auch ein Passkey verhindert keine Fehlüberweisung, keine falsch vergebenen SharePoint-Berechtigungen und keinen Schadcode, der durch eine ungesicherte Lücke ins Netz gelangt. Er ist ein sehr guter Schutz für den Anmeldevorgang, aber kein Ersatz für Updates, Backup, E-Mail-Schutz und Sicherheitsbewusstsein.

Für viele Betriebe in Vorarlberg ist deshalb ein abgestimmter Weg sinnvoller als eine Einzellösung: Identitäten in Microsoft 365 aufräumen, Geräte verwalten, risikoreiche Konten zuerst absichern und die Mitarbeiter nicht mit einer plötzlichen Umstellung alleinlassen. Cloudschmiede begleitet solche Schritte mit einem festen Ansprechpartner und einer Umsetzung, die zum tatsächlichen Arbeitsalltag passt.

Die beste Passkey-Lösung ist am Ende die, die Mitarbeitende täglich korrekt verwenden und die auch am Tag eines Geräteverlusts noch funktioniert. Wenn dieser Ablauf vor dem Rollout geklärt ist, wird aus einer neuen Anmeldemethode ein spürbarer Sicherheitsgewinn.