IT-Wissen · IT-Sicherheit

Passkeys im Unternehmen: sicherer anmelden ohne klassische Passwörter

Kurz zusammengefasst: Passkeys ersetzen viele Passwörter durch kryptografische Anmeldeschlüssel, die auf Geräten, Sicherheitsschlüsseln oder geeigneten Passwortmanagern geschützt werden. Für kleine Unternehmen und den Mittelstand können sie Phishing-Risiken und Supportaufwand reduzieren. Voraussetzung sind kompatible Anwendungen, verwaltete Geräte, klare Wiederherstellungsprozesse und ein kontrollierter Umgang mit privilegierten Konten.

Was ein Passkey ist und welchen Nutzen er bietet

Ein Passkey ist eine moderne Anmeldemethode auf Basis von WebAuthn und FIDO2. Beim Einrichten erzeugt das Gerät, ein Sicherheitsschlüssel oder ein geeigneter Passwortmanager ein kryptografisches Schlüsselpaar. Der jeweilige Dienst erhält nur den öffentlichen Schlüssel. Der private Schlüssel bleibt für die Webanwendung nicht auslesbar und wird je nach Passkey-Typ in einem geschützten Authenticator oder verschlüsselt beim Passkey-Provider verwaltet. Ein Passwort wird dadurch weder übertragen noch muss es beim Dienst gespeichert werden.

Für Mitarbeitende fühlt sich die Anmeldung meist wie die Entsperrung des eigenen Geräts an: per Fingerabdruck, Gesichtserkennung, PIN oder einer vergleichbaren lokalen Bestätigung. Die biometrische Prüfung findet dabei typischerweise auf dem Gerät statt. Sie ist ein Freigabemechanismus für den privaten Schlüssel und keine automatische Übermittlung biometrischer Daten an den Anmeldedienst.

Der wichtigste Sicherheitsvorteil liegt in der Bindung an die echte Website oder Anwendung. Ein Passkey für die Domain eines Unternehmens kann nicht ohne Weiteres auf einer täuschend ähnlichen Phishing-Seite verwendet werden. Der kryptografische Nachweis ist an den registrierten Dienst beziehungsweise dessen sogenannte Relying-Party-ID gebunden. Damit unterscheiden sich Passkeys wesentlich von Passwörtern und von Einmalcodes, die durch gefälschte Anmeldeseiten abgefangen werden können.

Passkeys sind trotzdem kein vollständiges Sicherheitskonzept. Sie schützen in erster Linie die Authentifizierung. Rollen, Berechtigungen, Geräte, Sitzungen, Protokollierung, Schadsoftware und Notfallprozesse müssen weiterhin angemessen betrieben werden. Ein sicherer Anmeldefaktor verhindert nicht automatisch, dass ein Benutzer zu weitreichende Rechte besitzt oder ein bereits entsperrtes Gerät missbraucht wird.

Kein Passwort muss beim Dienst eingegeben oder gespeichert werden.
Der private Schlüssel bleibt für die Webanwendung nicht auslesbar; bei synchronisierten Passkeys werden verschlüsselte Kopien beim Passkey-Provider verwaltet.
Die Anmeldung ist gegen viele typische Phishing-Szenarien widerstandsfähiger.
Die tägliche Anmeldung kann einfacher und schneller werden.

Wie Passkeys technisch funktionieren

Bei der Registrierung fordert der Dienst den Authenticator des Geräts oder einen externen Sicherheitsschlüssel an. Dieser erzeugt einen privaten und einen öffentlichen Schlüssel für das konkrete Benutzerkonto. Der Dienst speichert den öffentlichen Schlüssel und ordnet ihn dem Konto zu. Der private Schlüssel ist für die Webanwendung nicht auslesbar.

Bei einer späteren Anmeldung sendet der Dienst eine einmalige kryptografische Anfrage. Der Authenticator prüft, für welche Website oder Anwendung die Anfrage gilt. Nach der lokalen Benutzerbestätigung signiert er die Anfrage mit dem privaten Schlüssel. Der Dienst überprüft die Signatur mit dem zuvor gespeicherten öffentlichen Schlüssel. So wird nachgewiesen, dass der passende Authenticator verwendet wurde und der Nutzer die Anmeldung bestätigt hat.

In der Praxis sind zwei Formen besonders relevant. Ein gerätegebundener Passkey bleibt an einem einzelnen Gerät oder Sicherheitsschlüssel gebunden. Ein synchronisierter Passkey kann über ein Plattformkonto oder einen kompatiblen Passwortmanager auf mehreren Geräten verfügbar sein. Dabei werden Schlüsselkopien verschlüsselt synchronisiert. Das erleichtert Gerätewechsel und Wiederherstellung. Gleichzeitig entsteht eine zusätzliche Abhängigkeit vom Schutz dieses Synchronisationskontos.

Ein Smartphone kann je nach Plattform auch als Authenticator für die Anmeldung an einem Computer dienen. Entscheidend ist nicht die konkrete Marke des Geräts, sondern die Unterstützung durch Betriebssystem, Browser, Dienst und Identitätsanbieter. Für Unternehmensumgebungen muss deshalb jede wichtige Anwendung separat geprüft werden.

Die lokale Freigabe per PIN oder Biometrie ersetzt nicht die kryptografische Prüfung. Sie verhindert, dass der private Schlüssel ohne Benutzeraktion verwendet wird. Bei privilegierten Konten können externe FIDO-Sicherheitsschlüssel sinnvoll sein, weil sie sich organisatorisch eindeutig ausgeben, verwalten und wieder einziehen lassen.

Passkeys verwenden asymmetrische Kryptografie statt gemeinsam genutzter Passwörter.
Die Website oder Anwendung wird in den Anmeldevorgang einbezogen.
Gerätegebundene und synchronisierte Passkeys haben unterschiedliche Betriebs- und Wiederherstellungsmodelle.
Externe Sicherheitsschlüssel sind besonders für kontrollierte privilegierte Zugänge relevant.

Einführung in kleinen Unternehmen und im Mittelstand

Eine Einführung sollte mit dem Identitätsbestand beginnen. Zu erfassen sind unter anderem Cloud-Dienste, Microsoft- oder Google-Konten, VPN, Fernzugänge, Administratorkonten, Fachanwendungen, gemeinsam genutzte Konten und technische Zugänge. Für jede Anwendung ist zu klären, ob Passkeys unterstützt werden, welche Passkey-Typen zugelassen sind und welche Alternativen während der Übergangszeit bestehen.

Ein begrenzter Pilot mit wenigen Personen aus unterschiedlichen Rollen liefert belastbare Erkenntnisse. Dabei sollten nicht nur Registrierung und normale Anmeldung getestet werden. Ebenso wichtig sind Gerätewechsel, Verlust oder Zurücksetzen eines Geräts, ein defekter Sicherheitsschlüssel, eine Kontosperre, der Helpdesk-Prozess und das Ausscheiden einer Person.

Für kritische Konten müssen Ersatz- und Wiederherstellungswege vor der Umstellung feststehen. Möglich sind je nach System ein zweiter Passkey, mehrere verwaltete Sicherheitsschlüssel oder ein zentral geregeltes Wiederherstellungsverfahren. Wiederherstellungscodes dürfen nicht in unklaren privaten Ablagen liegen. Sie müssen geschützt, zugeordnet, regelmäßig geprüft und bei einem Rollen- oder Personalwechsel entzogen werden.

Passkeys gehören in die bestehende Benutzer- und Geräteverwaltung. Die Organisation sollte festlegen, welche Geräte, Browser, Passwortmanager und Sicherheitsschlüssel unterstützt werden. Außerdem braucht es eine verantwortliche Stelle für Registrierung, Entzug und Prüfung zusätzlicher Authenticatoren. Besonders bei Administratoren ist zu entscheiden, ob synchronisierte Passkeys ausreichen oder gerätegebundene Schlüssel vorgeschrieben werden.

Die Umstellung muss nicht gleichzeitig für alle Dienste erfolgen. Ein praktikabler Ablauf ist die Priorisierung besonders gefährdeter Konten, ein Pilot, die Auswertung realer Fehlerfälle und anschließend die schrittweise Ausweitung. Während der Übergangsphase müssen Passwörter, SMS-Codes oder andere Rückfallverfahren weiterhin abgesichert werden. Eine neue sichere Methode bringt wenig, wenn der alte unsichere Zugang dauerhaft als Ausweichweg offenbleibt.

Anwendungen und Kontotypen einzeln auf Unterstützung prüfen.
Registrierung, Geräteverlust, Wiederherstellung und Offboarding praktisch testen.
Ersatzmittel und Zuständigkeiten vor dem Rollout festlegen.
Privilegierte, gemeinsam genutzte und technische Konten gesondert bewerten.
Übergangswege konsequent überwachen und später auf Notwendigkeit prüfen.

Sicherheit, Datenschutz und laufender Betrieb

Passkeys können Risiken durch Passwortdiebstahl, Passwortwiederverwendung und viele Phishing-Angriffe deutlich reduzieren. Sie schützen jedoch nicht automatisch vor Schadsoftware, kompromittierten Endgeräten, gestohlenen Sitzungen, betrügerischen Helpdesk-Anfragen oder falsch vergebenen Berechtigungen. Ein Angreifer mit Kontrolle über eine aktive Sitzung kann unter Umständen handeln, ohne den Passkey erneut verwenden zu müssen.

Für den Datenschutz ist der konkrete Dienst maßgeblich. Zu prüfen sind Kontodaten, Protokollierung, Geräteverwaltung, Synchronisationsdienst, Administratorrechte und Aufbewahrungsfristen. Die lokale biometrische Freigabe bedeutet nicht, dass alle Anbieter und Plattformen datenschutzrechtlich gleich zu bewerten sind. Die Datenflüsse des eingesetzten Identitäts- und Geräteökosystems müssen nachvollziehbar sein.

Im Betrieb sollte erkennbar sein, wann ein neuer Passkey registriert, wann ein Authenticator entfernt und wann ein Wiederherstellungsweg geändert wurde. Ungewöhnliche Registrierungen, neue Geräte, Änderungen an Sicherheitsinformationen und verdächtige Anmeldungen gehören in das Monitoring. Beim Offboarding müssen Passkeys, Sitzungen, Geräte und alternative Anmeldewege gemeinsam betrachtet werden.

Auch die Kommunikation mit Mitarbeitenden bleibt wichtig. Eine unerwartete Geräteabfrage darf nicht einfach bestätigt werden. Der Helpdesk muss Identitäten zuverlässig prüfen, bevor er Wiederherstellungsmittel ausgibt oder neue Authenticatoren registriert. Passkeys vereinfachen die Anmeldung, ersetzen aber weder Geräteschutz noch Rollenmodell, Protokollierung und Sicherheitsbewusstsein.

Passkeys schützen die Authentifizierung, nicht automatisch das Endgerät oder aktive Sitzungen.
Registrierte Authenticatoren und Wiederherstellungswege müssen nachvollziehbar verwaltet werden.
Synchronisations- und Plattformkonten sind Teil der Sicherheits- und Datenschutzbewertung.
Phishing-resistente Anmeldung sollte mit Geräteschutz, Monitoring und Schulung verbunden werden.

Beispiel aus der Praxis

Beispiel: Ein mittelständischer Handwerksbetrieb mit 35 Beschäftigten nutzt eine Cloud-Büroplattform, einen Fernzugang und eine separate Warenwirtschaft. Die Geschäftsführung möchte nicht alle Anwendungen gleichzeitig umstellen. Zuerst werden die Cloud-Administratorkonten und die Büroarbeitsplätze pilotiert. Für die Administration erhält jede verantwortliche Person zwei verwaltete Sicherheitsschlüssel. Für Standardkonten werden Passkeys auf verwalteten Smartphones und Computern getestet. Vor der Freigabe prüft der Betrieb, wie ein verlorenes Smartphone entzogen wird, ob ein Ersatzgerät vorhanden ist und wie der Zugriff bei Krankheit oder Austritt geregelt wird. Fernzugang und Warenwirtschaft bleiben zunächst unverändert, weil ihre konkrete Passkey-Unterstützung und die Rückfallprozesse noch nicht bestätigt sind. Das Ergebnis ist ein begrenzter, dokumentierter Sicherheitsgewinn für tatsächlich geprüfte Zugänge.

Chancen für Unternehmen

Passkeys können Passwortzurücksetzungen und Supportaufwand bei vergessenen Kennwörtern verringern.
Besonders exponierte Konten wie Administratoren und Fernzugänge können besser gegen viele typische Phishing-Angriffe geschützt werden.
Ein geregeltes Passkey-Modell kann Gerätewechsel und die tägliche Anmeldung vereinfachen.
Die Einführung macht veraltete Konten, gemeinsame Zugänge und unklare Offboarding-Prozesse sichtbar.
Passkeys können die Abhängigkeit von SMS- oder E-Mail-Codes als Anmeldeweg reduzieren, wenn die jeweilige Anwendung dies unterstützt.

Grenzen und Prüfpunkte

Nicht jede Anwendung, jeder Browser, jedes Betriebssystem und jeder Identitätsanbieter unterstützt Passkeys in derselben Form.
Ein verlorenes, defektes oder zurückgesetztes Gerät kann ohne vorbereitetes Ersatz- und Wiederherstellungsverfahren den Zugang erschweren.
Synchronisierte Passkeys erhöhen die Verfügbarkeit, setzen aber ein gut geschütztes Plattform- oder Passwortmanagerkonto voraus.
Passkeys beseitigen keine Risiken durch Schadsoftware, kompromittierte Sitzungen, Social Engineering oder übermäßige Berechtigungen.
Gemeinsame Konten, technische Konten und Spezialanwendungen können ein anderes Identitätsmodell benötigen.
Vor der Umstellung sind insbesondere Export- und Wiederherstellungsfunktionen, Administratorrechte, Protokollierung, Datenschutz, Supportmodell und der kontrollierte Entzug registrierter Passkeys zu prüfen.