Passkeys im Unternehmen einführen: sicher starten, ohne Nutzer auszusperren

Fachlich geprüft von Robin Roeder, Geschäftsführer der SCREENUS GmbH · zuletzt geprüft am 11.09.2026.

Passkeys können viele klassische Phishing-Angriffe wirkungsvoll ausbremsen, weil sie keine wiederverwendbaren Passwörter oder Einmalcodes übertragen. Im Unternehmen entsteht daraus aber erst dann ein belastbares Anmeldeverfahren, wenn Geräte, Registrierung, Wiederherstellung und Ausnahmen gemeinsam geplant sind.

Warum Passkeys besser gegen Phishing schützen können

Bei WebAuthn erzeugt ein Authenticator ein Schlüsselpaar für den jeweiligen Dienst. Der private Schlüssel bleibt beim Authenticator; der Dienst speichert den öffentlichen Schlüssel und prüft eine kryptografisch signierte Herausforderung. Die Anmeldung ist außerdem an die Webadresse des Dienstes gebunden. Eine täuschend ähnliche Phishing-Seite kann den passenden Nachweis deshalb nicht einfach übernehmen.

NIST ordnet kryptografische Verfahren mit Bindung an den Verifier als phishing-resistent ein. Manuell eingegebene Einmalcodes erfüllen diese Eigenschaft nicht, weil sie an einen Angreifer weitergegeben werden können. Passkeys verhindern dennoch nicht jeden Identitätsangriff: Ein kompromittiertes Endgerät, gestohlene Sitzungstoken, zu weitreichende Berechtigungen oder ein schwacher Helpdesk-Prozess bleiben relevante Risiken.

Gerätegebunden oder synchronisiert?

Gerätegebundene Passkeys

Der private Schlüssel verbleibt auf einem bestimmten Gerät oder Sicherheitsschlüssel. Das erleichtert bei besonders schützenswerten Konten die Kontrolle darüber, wo die Anmeldeinformation liegt. Dafür müssen Ausgabe, Ersatz, Rückgabe und Verlust solcher Geräte organisiert werden. Für Administratoren und andere Konten mit hohem Schadenpotenzial kann dieses Modell sinnvoll sein.

Synchronisierte Passkeys

Synchronisierte Passkeys können verschlüsselt über ein Plattformkonto auf mehrere Geräte gelangen. Das ist für viele Mitarbeitende komfortabler und reduziert das Risiko, beim Austausch eines einzelnen Geräts ausgesperrt zu werden. Unternehmen müssen dafür den verwendeten Synchronisationsdienst, die zugelassenen Konten und Geräte sowie den Schutz dieses Ökosystems in ihre Bewertung einbeziehen. NIST lässt synchronisierte Authenticatoren für bestimmte Schutzniveaus zu, unterscheidet sie aber ausdrücklich von nicht exportierbaren Schlüsseln.

Eine einzige Vorgabe für alle Beschäftigten ist selten nötig. FIDO und Microsoft beschreiben vielmehr ein Vorgehen nach Benutzergruppe, Gerät und Schutzbedarf. In einer Umgebung können daher synchronisierte Passkeys für Standardkonten und gerätegebundene Schlüssel für privilegierte Rollen nebeneinander bestehen.

Das Betriebsmodell vor dem Rollout festlegen

1. Personen und Rollen einteilen. Trennen Sie Standardnutzer, Administratoren, externe Mitarbeitende, gemeinsam genutzte Arbeitsplätze und Notfallkonten.
2. Anwendungen und Geräte prüfen. Erfassen Sie die tatsächlich genutzten Browser, Betriebssysteme, Mobilgeräte, Fachanwendungen und Anmeldewege. Nicht jede Altanwendung unterstützt moderne Authentifizierung unmittelbar.
3. Zulässige Authenticatoren bestimmen. Legen Sie fest, ob synchronisierte Passkeys, gerätegebundene Sicherheitsschlüssel oder beides verwendet werden. Bei verwalteten Umgebungen gehören Geräte- und Kontorichtlinien dazu.
4. Registrierung absichern. Definieren Sie, wie die Identität vor der ersten Registrierung geprüft wird. Microsoft Entra kann dafür unter anderem einen zeitlich begrenzten Temporary Access Pass verwenden.
5. Wiederherstellung testen. Planen Sie mindestens einen unabhängig nutzbaren Ersatzweg, sperren Sie verlorene Authenticatoren und prüfen Sie nach einem Verlust auch bestehende Sitzungen und weitere Anmeldemethoden.
6. Notfallzugänge getrennt behandeln. Notfallkonten benötigen eine eigenständige, dokumentierte und regelmäßig getestete Aufbewahrung. Sie dürfen nicht vom selben Gerät oder Synchronisationskonto abhängen wie die normale Anmeldung.

Passkeys schrittweise einführen

1. Ist-Zustand messen. Prüfen Sie, welche Benutzer bereits geeignete Geräte und mehrere belastbare Anmeldewege besitzen.
2. Pilotgruppe auswählen. Beginnen Sie mit technisch unterschiedlichen, gut erreichbaren Personen und nicht ausschließlich mit der IT-Abteilung.
3. Registrierung begleiten. Dokumentieren Sie typische Fehler bei Einrichtung, Gerätewechsel und Wiederherstellung. Der Helpdesk braucht klare Prüfschritte statt improvisierter Ausnahmen.
4. Ergebnisse beobachten. Kontrollieren Sie Registrierungsquote, fehlgeschlagene Anmeldungen, ungewöhnliche Wiederherstellungen und die Nutzung alter Verfahren.
5. Richtlinien zunächst beobachten. Wo die Plattform es unterstützt, sollten Zugriffsregeln erst im Berichtsbetrieb geprüft und danach für Pilotgruppen erzwungen werden.
6. Schwächere Fallbacks gezielt abbauen. Entfernen Sie Kennwort- oder SMS-Ausnahmen erst, wenn die betroffenen Benutzer die neuen Wege nachweislich beherrschen und ein geprüfter Notfallprozess existiert.

Microsoft empfiehlt für die Einführung phishing-resistenter Verfahren eine gestufte Bereitstellung mit Pilotgruppen und mindestens zwei registrierten Authentifizierungsmethoden je Benutzer. Änderungen an Richtlinien für zugelassene Schlüssel verdienen besondere Vorsicht: Werden vorhandene Authenticatoren nachträglich ausgeschlossen, können sie unmittelbar unbrauchbar werden.

Der Lebenszyklus endet nicht nach der Registrierung

Passkeys müssen in Eintritt, Rollenwechsel, Gerätewechsel und Austritt eingebunden werden. Bei einem neuen Gerät ist zu klären, ob ein vorhandener Passkey synchronisiert werden darf oder eine neue Registrierung erforderlich ist. Bei Verlust werden der betroffene Authenticator und gegebenenfalls weitere Sitzungen gesperrt. Beim Austritt sind Passkeys, Sicherheitsschlüssel, vertrauenswürdige Geräte und andere Anmeldemethoden gemeinsam zu widerrufen.

Besonders wichtig ist die Dokumentation: Wer darf welche Art von Passkey registrieren? Wer genehmigt eine Wiederherstellung? Welche Ereignisse werden protokolliert und wie lange? Ohne diese Antworten wird aus einer guten Technik schnell ein schwer durchschaubarer Sonderfallbetrieb.

Wie SCREENUS unterstützen kann

Wir unterstützen Unternehmen bei der Bestandsaufnahme von Identitäten und Anmeldeverfahren, beim Entwurf von Pilotgruppen, Authenticator-Richtlinien und Wiederherstellungswegen sowie bei der technischen Einführung in verwalteten Umgebungen. Dabei betrachten wir Passkeys nicht isoliert, sondern zusammen mit Geräteverwaltung, Berechtigungen, Protokollierung und Notfallzugängen.

Identity & Access Management ansehen Passkey-Einführung besprechen

Häufige Fragen

Dieser Beitrag dient der allgemeinen technischen Information und ist keine Rechts- oder Compliance-Beratung. Funktionen, Begriffe, Lizenzvoraussetzungen und Verwaltungswege können sich je nach Plattform und Tarif ändern; prüfen Sie die aktuelle Dokumentation für Ihre konkrete Umgebung.