Passkeys (FIDO2) als Authentifizierungsmethode in Microsoft Entra ID

Von Mirko Peters · 2026-08-24

Erfahren Sie, wie Sie die FIDO2-Passkey-Authentifizierung in Entra ID implementieren. Bereiten Sie sich darauf vor, dass Passkeys zur Standardanmeldung werden, mit dieser leistungsstarken Authentifizierungsmethode.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Passkeys (FIDO2) – Definition

Passkeys sind moderne, phishing-resistente Anmeldeinformationen auf Basis des FIDO2-Standards. Sie ersetzen Passwörter durch kryptografische Schlüsselpaare. Ein Passkey besteht aus einem privaten Schlüssel, der auf dem Gerät des Benutzers verbleibt, und einem öffentlichen Schlüssel, der beim Dienst gespeichert wird. Bei der Anmeldung fordert der Dienst das Gerät auf, den Besitz des privaten Schlüssels nachzuweisen. So wird eine sichere, passwortlose Authentifizierung möglich.

Kurze Erklärung

FIDO2-Passkeys vereinfachen und stärken die Authentifizierung, indem sie gemeinsame Geheimnisse (Passwörter) überflüssig machen und auf Public-Key-Kryptografie setzen. Sie sind an das Gerät des Benutzers gebunden und durch Gerätesperrmethoden geschützt, etwa biometrische Verfahren (Fingerabdruck, Gesichtserkennung) oder eine lokale PIN. Da die Authentifizierung auf kryptografischen Nachweisen statt auf vom Benutzer eingegebenen Passwörtern beruht, sind Passkeys resistent gegen Phishing, Replay-Angriffe und Credential Stuffing. Lösungen wie Microsoft Entra unterstützen Passkeys für nahtlose, sichere Anmeldungen in Web- und mobilen Apps. Auf Wunsch lassen sich die Schlüssel über vertrauenswürdige Cloud-Plattformfunktionen auch geräteübergreifend synchronisieren.

In der sich wandelnden Landschaft der digitalen Sicherheit sind robuste Authentifizierungsmethoden entscheidend, um Unternehmenswerte und Benutzeridentitäten zu schützen. Dieser Artikel beleuchtet die Implementierung und den Nutzen von Passkeys, insbesondere der FIDO2-Authentifizierung, in Microsoft Entra ID. Wir erklären, was Passkeys sind, wie FIDO2 funktioniert und welche greifbaren Vorteile sie für die Sicherheitslage und ein reibungsloses Anmeldeerlebnis bieten.

Microsoft Entra Passkeys – 9 überraschende Fakten zu Passkeys (FIDO2)

• Passkeys sind mehr als „starke Passwörter“: Sie nutzen Public-Key-Kryptografie, sodass der Server nur einen öffentlichen Schlüssel speichert. Der private Schlüssel verlässt Ihr Gerät niemals.
• Sie sind von Natur aus phishing-resistent: WebAuthn/FIDO2 bindet Anmeldeinformationen an den Ursprung einer Website, sodass eine gefälschte Website keine verwertbaren Authentifizierungsdaten erhalten kann.
• Passkeys lassen sich über die Cloud-Sicherung der Plattform (Apple iCloud-Schlüsselbund, Google-Passwortmanager, Microsoft-Konto) auf Ihre Geräte synchronisieren. Das ermöglicht die Wiederherstellung, schafft aber gleichzeitig eine neue Vertrauensbeziehung zum Cloud-Anbieter.
• Pro Konto und pro Gerät können Sie mehrere Passkeys haben. Für Sicherung und geräteübergreifenden Zugriff empfiehlt es sich, mehrere Passkeys anzulegen, statt sich auf eine einzige Anmeldeinformation zu verlassen.
• Passkeys funktionieren mit biometrischer Verifizierung oder Geräte-PINs, übertragen jedoch keine biometrischen Daten. Das Gerät überprüft Sie lokal und signiert die Anfragen mit dem privaten Schlüssel.
• Sie unterstützen sowohl Plattform-Authentifikatoren (in Smartphones und Notebooks integriert) als auch externe Authentifikatoren (USB- oder NFC-Sicherheitsschlüssel). Das macht plattformübergreifende Strategien für Passkey-Bereitstellungen in Microsoft Entra möglich.
• Die Passkey-Attestierung kann dem vertrauenden Dienst Informationen zum Gerätemodell offenbaren, sofern keine anonymisierte Attestierung verwendet wird. Datenschutzentscheidungen sind bei der Implementierung daher wichtig.
• Die Umstellung von Benutzern weg von Passwörtern kann Kontoübernahmen drastisch reduzieren. Unternehmen benötigen dennoch Ersatzverfahren (Kontowiederherstellung, alternative Authentifikatoren), um Aussperrungen bei verlorenen Geräten zu vermeiden.
• Passkeys unterstützen die Einhaltung regulatorischer und sicherheitstechnischer Rahmenwerke: FIDO2-Authentifizierung gilt als phishing-resistente starke Authentifizierung und kann die Compliance vereinfachen, wenn sie in Microsoft Entra ID eingebunden ist.

Passkeys und FIDO2 verstehen

Was sind Passkeys?

Passkeys stellen einen revolutionären Wandel in der Authentifizierungstechnik dar. Sie sind als sichere und benutzerfreundliche Alternative zu herkömmlichen Passwörtern konzipiert. Im Kern sind Passkeys kryptografische Anmeldeinformationen, mit denen sich Benutzer bei Websites und Anwendungen anmelden können, ohne sich eine einprägsame Zeichenfolge merken zu müssen. Die Authentifizierung basiert stattdessen auf Public-Key-Kryptografie: Für jedes Online-Konto wird ein eindeutiges Schlüsselpaar erzeugt. Ein Schlüssel, der öffentliche Schlüssel, wird beim Dienstanbieter gespeichert (z. B. Microsoft Entra ID). Der andere, der private Schlüssel, verbleibt sicher auf dem Gerät des Benutzers oder in einem sicheren Authenticator. Versucht sich ein Benutzer anzumelden, fordert der Dienst das Gerät auf, den Besitz des privaten Schlüssels nachzuweisen. Dieser Nachweis wird kryptografisch geprüft, ohne dass der private Schlüssel selbst übertragen wird. Dieses Grunddesign macht Passkeys deutlich widerstandsfähiger gegen Phishing und andere auf Anmeldeinformationen abzielende Angriffe und hebt den Standard für den Schutz digitaler Identitäten auf ein neues Niveau. Benutzer können einen Passkey auf verschiedenen Geräten registrieren, von Smartphones bis hin zu dedizierten FIDO2-Sicherheitsschlüsseln. So entsteht eine flexible und robuste Authentifizierungsmethode.

Überblick über die FIDO2-Authentifizierung

Die FIDO2-Authentifizierung ist der grundlegende offene Standard, auf dem das Konzept der Passkeys aufbaut. FIDO2 wurde von der FIDO Alliance in Zusammenarbeit mit dem World Wide Web Consortium (W3C) entwickelt und definiert Protokolle für starke, phishingresistente Authentifizierung im Web. Der Standard nutzt WebAuthn, eine Web-API, und CTAP2, ein Protokoll zwischen Client und Authenticator, um eine sichere Kommunikation zwischen dem Gerät des Benutzers (dem Authenticator) und dem Online-Dienst zu ermöglichen. Wenn eine Organisation Passkeys in Microsoft Entra ID aktiviert, aktiviert sie im Grunde FIDO2-Authentifizierung. Benutzer können so einen Passkey über einen FIDO2-Sicherheitsschlüssel oder ein Gerät, das als Authenticator fungiert, registrieren. Der Benutzer erstellt einen Passkey, der anschließend entweder als primäre Authentifizierungsmethode dient oder als robuste Komponente der Multifaktor-Authentifizierung eingesetzt wird. Die Architektur stellt sicher, dass private Schlüssel den Authenticator niemals verlassen. Das bietet eine wirksame Barriere gegen gängige Cyberbedrohungen und setzt einen neuen Maßstab für die Sicherheit der Authentifizierung. Microsoft Entra ID unterstützt FIDO2 vollständig, sodass Administratoren Passkeys als robuste Anmeldeoption aktivieren können.

Vorteile von Passkeys

Die Einführung von Passkeys in Microsoft Entra ID bringt zahlreiche überzeugende Vorteile mit sich, die vor allem auf mehr Sicherheit und ein verbessertes Benutzererlebnis abzielen. Dieser Schritt ist ein proaktiver Schritt in Richtung einer passwortlosen Zukunft und bietet eine praxisnahe, wirksame Lösung für modernes Identitätsmanagement. Organisationen können Passkeys außerdem als robusten Faktor der Multifaktor-Authentifizierung einsetzen und so ihre gesamte Sicherheitslage stärken. Die Möglichkeit, Passkeys direkt in Microsoft Entra ID zu registrieren, häufig über die Microsoft-Authenticator-App oder einen dedizierten FIDO2-Sicherheitsschlüssel, vereinfacht Bereitstellung und Verwaltung für Entra-Administratoren.

Microsoft Entra Passkeys: Vor- und Nachteile

Vorteile

• Phishingresistente Authentifizierung: Passkeys nutzen gerätegebundene Public-Key-Kryptografie und verhindern so den Diebstahl von Anmeldeinformationen durch Phishing.
• Einfache Benutzung: Die Anmeldung erfolgt häufig über biometrische Verfahren der Plattform oder eine PIN. Das vereinfacht den Anmeldeprozess im Vergleich zu Passwörtern.
• Geräteübergreifende Synchronisierung: Viele Implementierungen (einschließlich solcher, die in Dienste wie Microsoft Entra Passkeys integriert sind) können Anmeldeinformationen für mehr Komfort auf allen Geräten eines Benutzers synchronisieren.
• Geringerer Aufwand für die Passwortverwaltung: Passwörter müssen nicht mehr erstellt, gemerkt oder zurückgesetzt werden. Das senkt Supportkosten und Reibungsverluste.
• Starker Datenschutz: Dem Authenticator wird nur der Ursprung der vertrauenden Seite (Relying Party) offengelegt. Anmeldedaten lassen sich nicht über mehrere Websites hinweg wiederverwenden.
• Abwärtskompatible Einführung: Passkeys lassen sich parallel zu bestehenden Authentifizierungsmethoden einführen und ermöglichen so einen schrittweisen Rollout.

Nachteile

• Gerätabhängigkeit und komplexere Wiederherstellung: Wenn ein Benutzer alle Geräte oder den Zugriff auf die Synchronisierung verliert, kann die Kontowiederherstellung aufwendiger sein als ein Passwort-Reset.
• Uneinheitliche plattformübergreifende Unterstützung: Die Unterstützung wird zwar besser, aber nicht alle Browser, Plattformen und Dienste unterstützen Passkey-Abläufe bereits gleichermaßen gut.
• Komplexe Implementierung: Eine saubere Integration in den Konto-Lebenszyklus, die Wiederherstellung und die Bereitstellung auf mehreren Geräten erfordert sorgfältige Planung und Entwicklung.
• Unternehmensrichtlinien und Compliance: Organisationen müssen unter Umständen ihre Richtlinien für Identity Governance, Gerätverwaltung und Compliance anpassen, um Passkeys breit einzuführen.
• Schulung der Benutzer erforderlich: Manche Benutzer kennen das Konzept nicht und benötigen Anleitung zur Nutzung der Geräte und zu den Wiederherstellungsoptionen.

FIDO2: Vor- und Nachteile

Vorteile

• Starke kryptografische Authentifizierung: FIDO2 setzt auf auf öffentlichen Schlüsseln basierende Anmeldedaten und ist dadurch von Natur aus resistent gegen Phishing und Replay-Angriffe.
• Standardbasiert und interoperabel: Wird von großen Plattformen, Browsern und Sicherheitsschlüsseln breit unterstützt, was eine weitreichende Kompatibilität im Ökosystem ermöglicht.
• Flexible Authentifikatoren: FIDO2 unterstützt Plattform-Authentifikatoren (in Geräte integriert) und rोamingfähige Authentifikatoren (Sicherheitsschlüssel) und bietet damit Wahlmöglichkeiten bei der Bereitstellung.
• Verbesserte Sicherheitslage: Die Abhängigkeit von Passwörtern sinkt, und Angriffe auf Anmeldedatenbanken laufen ins Leere, da Server nur öffentliche Schlüssel speichern.
• Unternehmenstauglichkeit: FIDO2 lässt sich in Identity Provider von Unternehmen integrieren und mit Lösungen wie Microsoft Entra kombinieren, um stärkere Authentifizierungsrichtlinien durchzusetzen.

Nachteile

• Aufwand für Bereitstellung und Integration: Die Einbindung von FIDO2 in bestehende Systeme, Single Sign-on und Legacy-Anwendungen kann umfangreiche Entwicklung und Tests erfordern.
• Anforderungen an Benutzergeräte und Hardware: Manche Benutzer benötigen eventuell roamingfähige Schlüssel oder kompatible Geräte, um Plattform-Authentifikatoren zu nutzen.
• Herausforderungen bei der Kontowiederherstellung: Sichere und benutzerfreundliche Wiederherstellungsprozesse aufzubauen, ohne schwache Authentifizierungswege wieder einzuführen, ist schwierig.
• Betriebsaufwand: Die Verwaltung von Hardware-Token, Bereitstellung, Behandlung verlorener Token und Lebenszyklusrichtlinien erzeugt zusätzliche Aufgaben für die IT.
• Uneinheitliche Benutzererfahrung: Unterschiede in der Umsetzung der Benutzeroberfläche für FIDO2-Abläufe in Browsern und Plattformen können zu inkonsistenten Erfahrungen auf verschiedenen Geräten führen.

Passkeys in Microsoft Entra ID einrichten

Passkey registrieren

Um einen Passkey in Microsoft Entra ID zu registrieren, stehen Benutzern verschiedene Methoden zur Verfügung. Die wichtigste Option für synchronisierte Passkeys ist die Microsoft Authenticator-App. Der Vorgang beginnt in der Regel auf der Seite Sicherheitsinformationen des Benutzers oder über bestimmte Aufforderungen während eines Anmeldeversuchs. Danach wird der Benutzer durch die Erstellung des Passkeys geführt, wobei häufig eine biometrische Verifizierung oder eine PIN auf dem Gerät erforderlich ist. Dabei wird das kryptografische Schlüsselpaar sicher erzeugt: Der öffentliche Schlüssel wird bei Microsoft Entra ID registriert, während der private Schlüssel auf dem Gerät des Benutzers oder bei einem sicheren Passkey-Anbieter verbleibt. Bei FIDO2-Sicherheitsschlüsseln wird der physische Schlüssel angeschlossen, und anschließend werden die Anweisungen auf dem Bildschirm befolgt, um das Passkey-Profil anzulegen. Entra-Administratoren können die Richtlinien für die Passkey-Registrierung steuern und so sicherstellen, dass Benutzer Passkeys problemlos registrieren und ihre phishingresistenten Authentifizierungsmöglichkeiten nutzen können.

Passkeys im Authenticator aktivieren

Die Aktivierung von Passkeys in der Microsoft Authenticator-App ist ein entscheidender Schritt für Organisationen, die eine nahtlose und sichere Anmeldung bieten möchten. Entra-Administratoren können im Microsoft Entra Admin Center Richtlinien konfigurieren, mit denen Benutzer einen synchronisierten Passkey direkt über die Authenticator-App registrieren können. Dazu öffnen Sie den Bereich für Authentifizierungsmethoden, in dem sich die Einstellungen für FIDO2 und Passkeys verwalten lassen. Nach der Aktivierung sehen Benutzer in den Sicherheitseinstellungen ihrer Authenticator-App, typischerweise im Abschnitt 'Sicherheitsinformationen', die Option, einen Passkey zu erstellen. So registrieren sie einen synchronisierten Passkey, der anschließend auf mehreren Geräten für die Anmeldung bei Microsoft Entra-Anwendungen genutzt werden kann. Das stärkt die Strategien für die Multifaktor-Authentifizierung deutlich und bringt Sie einer passwortlosen Zukunft näher, wie auch die Ressourcen von Microsoft Learn zeigen.

Passkeys als Standardauthentifizierungsmethode festlegen

Für Organisationen, die ihre Sicherheit stärken und eine wirklich passwortlose Umgebung einführen wollen, ist es das oberste Ziel, Passkeys in Microsoft Entra ID als Standardauthentifizierungsmethode festzulegen. Entra-Administratoren oder Benutzer mit der Rolle Administrator für Authentifizierungsrichtlinien können Authentifizierungsrichtlinien so konfigurieren, dass Passkeys traditionellen Kennwörtern vorgezogen werden. Dazu legen Sie Passkeys im Microsoft Entra Admin Center als bevorzugte Methode fest. Benutzer werden dann möglichst bei jeder Anmeldung aufgefordert, ihren Passkey zu verwenden. Eine schrittweise Einführung kann nötig sein, damit die Benutzer vorbereitet sind. Passkeys als Standardmethode erhöhen jedoch deutlich den Schutz vor Phishing, verringern die Abhängigkeit von weniger sicheren Verfahren und vereinfachen die Benutzererfahrung. Dieser strategische Wandel zeigt, wie Microsoft Entra ID kontinuierlich weiterentwickelt wird, hin zu einem sichereren und effizienteren Identitätsmanagement.

Checkliste: Microsoft Entra Passkeys einrichten

Nutzen Sie diese Checkliste, um Passkeys in Microsoft Entra ID (Microsoft Entra Passkeys) zu planen, auszurollen und zu überprüfen.

Voraussetzungen

• Prüfen Sie, ob der Azure AD- bzw. Microsoft Entra ID-Mandant aktiv ist und Sie over die Rolle Globaler Administrator oder Identitätsadministrator verfügen.
• Prüfen Sie, ob Ihre Lizenzierung und Ihr Abonnement die passwortlose Authentifizierung sowie die FIDO2- und Passkey-Funktionen unterstützen.
• Stellen Sie sicher, dass die Geräte und Browser der Benutzer Passkeys bzw. FIDO2 unterstützen (aktuelle Versionen von Windows, macOS, iOS, Android und Chromium-basierte Browser).
• Vergewissern Sie sich, dass Ihre Organisation einen dokumentierten Plan für die Einführung der passwortlosen Anmeldung sowie eine Kommunikationsstrategie hat.

Microsoft Entra ID vorbereiten

• Öffnen Sie das Microsoft Entra Admin Center und navigieren Sie zu Authentifizierungsmethoden > Richtlinien.
• Aktivieren Sie die Authentifizierungsmethode Passkey (FIDO2) und setzen Sie sie für die vorgesehenen Benutzer oder Gruppen auf Zulässig oder Erforderlich.
• Konfigurieren Sie bei Bedarf Benutzer- und Geräteeinschränkungen (Vertrauensanker, Plattform-Authenticator vs. Roaming-Authenticator).
• Prüfen Sie ältere Authentifizierungsrichtlinien, um Konflikte zu vermeiden und sicherzustellen, dass passwortlose Abläufe Vorrang haben.

Bedingten Zugriff und Sicherheitseinstellungen konfigurieren

• Aktualisieren Sie Richtlinien für den bedingten Zugriff, damit die passwortlose Anmeldung dort, wo es sinnvoll ist, zugelassen oder vorgeschrieben wird.
• Ergänzen Sie risikobasierte Zugriffssteuerungen (Azure AD Identity Protection) parallel zur Einführung von Passkeys.
• Testen Sie Richtlinien im Modus „Nur Bericht“, bevor Sie sie erzwingen.

Benutzerbetreuung und Registrierung

• Erstellen Sie eine Schritt-für-Schritt-Anleitung für die Registrierung von Passkeys (Registrierung über Windows Hello, Plattform- oder Browser-Aufforderungen oder externe Sicherheitsschlüssel).
• Stellen Sie Screenshots und Anleitungen für bekannte Geräte für gängige Plattformen bereit (Windows, macOS, iOS, Android).
• Legen Sie eine Richtlinie für mehrere Passkeys pro Benutzer sowie einen Prozess für Sicherung und Wiederherstellung fest.
• Starten Sie einen Pilotbetrieb mit einer kleinen Benutzergruppe und sammeln Sie deren Rückmeldungen.

Tests und Validierung

• Überprüfen Sie die erfolgreiche Registrierung und Anmeldung der Pilotbenutzer auf allen unterstützten Plattformen und Browsern.
• Testen Sie SSO-Szenarien, MFA-Aufforderungen und das Verhalten des bedingten Zugriffs mit Passkeys.
• Stellen Sie sicher, dass alternative Anmeldemethoden (sekundäre MFA, Kontowiederherstellung) funktionieren und sicher sind.
• Überwachen Sie die Anmeldeprotokolle und die Berichte zur Nutzung der Authentifizierungsmethoden in Microsoft Entra.

Rollout und Schulung

• Informieren Sie die Benutzer über den Zeitplan des Rollouts, die Vorteile und die verfügbaren Supportressourcen.
• Stellen Sie den IT-Supportteams Runbooks für häufige Registrierungs- und Fehlerszenarien bereit.
• Setzen Sie Richtlinien schrittweise durch und erweitern Sie den Geltungsbereich von den Pilotgruppen auf die gesamte Organisation.

Überwachung und Wartung

• Prüfen Sie regelmäßig die Microsoft Entra-Anmeldeprotokolle und die Berichte zu Authentifizierungsmethoden auf Auffälligkeiten.
• Erfassen Sie Adoptionskennzahlen und Supporttickets im Zusammenhang mit Passkeys.
• Dokumentation für Änderungen an Betriebssystemen und Browsern, die das Passkey-Verhalten beeinflussen, auf dem aktuellen Stand halten.
• Bedingten Zugriff und Richtlinien für Authentifizierungsmethoden regelmäßig prüfen und aktualisieren.

Fehlerbehebung und Zurücksetzen

• Häufige Fehler (Gerätekompatibilität, Browser-Abfragen, Registrierungsfehler) und deren Lösungen dokumentieren.
• Klare Prozesse für die Kontowiederherstellung und den Notfallzugriff bereitstellen, für Benutzer, die den Zugriff auf ihre Passkeys verlieren.
• Bei kritischen Problemen darauf vorbereitet sein, die Durchsetzung der Authentifizierungsmethode zurückzunehmen, und die Schritte für das Zurücksetzen kommunizieren.

Sicherheits- und Compliance-Aspekte

• Sicherstellen, dass die Einführung von Passkeys mit den Sicherheitsrichtlinien und Compliance-Anforderungen der Organisation übereinstimmt.
• Prüfen, ob die Speicherung von Passkeys und die Attestierungsmethoden den Unternehmensstandards entsprechen.
• Sicherheitshinweise von Drittanbietern für Authenticator-Apps und Gerätehersteller prüfen.

Mit dem Abschluss dieser Checkliste stellen Sie eine erfolgreiche und sichere Einführung von Microsoft Entra Passkeys in Ihrer Organisation sicher.

Arten von Passkeys und ihre Merkmale

Synchronisierte Passkeys im Detail

Synchronisierte Passkeys sind ein großer Fortschritt in Sachen Benutzerfreundlichkeit und Zugänglichkeit innerhalb des Passkey-Ökosystems, insbesondere in Microsoft Entra ID. Diese Passkeys werden so entwickelt, dass sie über die verschiedenen Geräte eines Benutzers hinweg synchronisiert werden, und bieten so eine nahtlose Anmeldung, ohne die robuste Sicherheit der FIDO2-Authentifizierung zu beeinträchtigen. Erstellt ein Benutzer einen Passkey auf einem Gerät, kann dieser über einen sicheren Passkey-Anbieter auf andere authentifizierte Geräte repliziert werden. Dieser Anbieter ist häufig direkt in das Betriebssystem oder in einen dedizierten Passwort-Manager integriert. Wird beispielsweise die Synchronisierung von Passkeys über die Microsoft-Authenticator-App aktiviert, kann ein Benutzer einen Passkey einmal registrieren und anschließend damit von seinem Smartphone, Tablet oder PC aus die Anmeldung bei Microsoft Entra ID durchführen, sofern die Geräte mit demselben Konto verknüpft sind. Diese Funktion erhöht die Praktikabilität von Passkeys als Standardauthentifizierungsmethode erheblich und bringt Organisationen einer wirklich passwortlosen Zukunft näher, da Benutzer stets Zugriff auf ihre phishingresistenten Anmeldeinformationen haben.

Verschiedene verfügbare Passkey-Typen

Neben synchronisierten Passkeys sollten Entra-Administratoren die verschiedenen Formen kennen, die ein Passkey annehmen kann, um Authentifizierungsmethoden in Microsoft Entra ID effektiv zu verwalten. Die wichtigste Unterscheidung besteht zwischen synchronisierten und gerätegebundenen Passkeys. Beide Typen nutzen den FIDO2-Standard für phishingresistente Authentifizierung, unterscheiden sich jedoch in ihrer Bereitstellung und Verwaltung. Organisationen können synchronisierte Passkeys aus Gründen der allgemeinen Benutzerfreundlichkeit aktivieren, während sie für hochprivilegierte Konten oder bestimmte Compliance-Anforderungen gerätegebundene Passkeys vorschreiben. So entsteht eine flexible und robuste Authentifizierungsstrategie. Dieser umfassende Ansatz stellt sicher, dass die Organisation Passkeys registrieren kann, die auf unterschiedliche Sicherheitsanforderungen und Benutzerpräferenzen abgestimmt sind.

Verwendung von FIDO2-Sicherheitsschlüsseln

FIDO2-Sicherheitsschlüssel bieten eine besonders sichere und eigenständige Möglichkeit, Passkeys zu verwenden. Sie fungieren als dedizierte Hardware-Authenticator für die FIDO2-Authentifizierung in Microsoft Entra ID. Diese physischen Geräte, meist kleine USB-Token, erzeugen den privaten Schlüssel und speichern ihn sicher in ihrer manipulationsgeschützten Hardware. Muss sich ein Benutzer bei Microsoft Entra ID anmelden, steckt er einfach den FIDO2-Sicherheitsschlüssel ein und folgt den Anweisungen. Dabei ist häufig eine PIN-Eingabe oder eine biometrische Überprüfung direkt am Schlüssel erforderlich.

Dies bietet eine zusätzliche Sicherheitsebene, denn der private Schlüssel verlässt nie die Hardware. Dadurch ist er gegen viele softwarebasierte Angriffe gefeit. Entra-Administratoren können Passkeys gezielt über FIDO2-Sicherheitsschlüssel aktivieren. Das ist eine robuste Option für die Multi-Faktor-Authentifizierung, die sich besonders für kritische Rollen oder Umgebungen empfiehlt, in denen maximale Sicherheit oberste Priorität hat. Die Registrierung eines Passkeys mit einem FIDO2-Sicherheitsschlüssel ist unkompliziert und bietet Benutzern eine leistungsstarke, phishingresistente Authentifizierungsmethode.

Häufige Fehler bei FIDO2-Sicherheitsschlüsseln

FIDO2-Sicherheitsschlüssel sind starke Authentifizierungswerkzeuge, die häufig in Verbindung mit Plattformen wie Microsoft Entra Passkeys eingesetzt werden. Im Folgenden finden Sie typische Fehler und wie Sie sie vermeiden.

• Die Annahme, ein Schlüssel ersetze die Kontowiederherstellung vollständig: Viele glauben, ein FIDO2-Schlüssel allein decke alle Wiederherstellungsszenarien ab. Wenn Sie den Schlüssel verlieren und keine alternativen Wiederherstellungsmethoden aktiviert haben (Sicherungsschlüssel, Wiederherstellungscodes oder plattformverwaltete Passkeys wie Microsoft Entra Passkeys), kann Ihnen der Zugang zum Konto verwehrt bleiben.
• Keine Sicherungsschlüssel oder -methoden registrieren: Nur einen Sicherheitsschlüssel zu registrieren, ist riskant. Hinterlegen Sie immer mindestens einen Sicherungsschlüssel und aktivieren Sie zusätzliche Wiederherstellungsoptionen, um einen Kontoverlust zu verhindern.
• FIDO2-Schlüssel mit Hardware-OTP-Token verwechseln: FIDO2-Schlüssel arbeiten mit asymmetrischer Kryptografie und sind im Gegensatz zu vielen Einmalpasswort-(OTP-)Tokens phishingresistent. Behandeln Sie sie daher in Arbeitsabläufen und Dokumentationen unterschiedlich.
• Universelles Plug-and-play erwarten, ohne die Kompatibilität zu prüfen: Nicht alle Websites oder Plattformen unterstützen jedes FIDO2-Feature. Prüfen Sie Browser-, Plattform- und Dienstunterstützung, insbesondere bei der Integration mit Identitätsdiensten wie Microsoft Entra Passkeys.
• Unsichere Aufbewahrung oder Kennzeichnung von Sicherungsschlüsseln: Ein Sicherungsschlüssel an einem offensichtlichen Ort aufzubewahren oder als „Sicherheitsschlüssel“ zu kennzeichnen, gefährdet die Sicherheit. Bewahren Sie Ersatzschlüssel an sicheren, unauffälligen Orten auf.
• Firmware-Updates und Herstellerhinweise vernachlässigen: Manche Schlüssel erhalten Updates oder haben bekannte Probleme. Herstellerhinweise zu ignorieren, ist riskant. Halten Sie sich an empfohlene Wartungs- und Austauschintervalle.
• Einen Schlüssel von mehreren Benutzern gemeinsam nutzen: Schlüssel sind in der Regel an eine einzelne Benutzeridentität gebunden. Wer einen Schlüssel teilt, untergräbt die individuelle Verantwortlichkeit und kann Audit- und Compliance-Anforderungen verletzen.
• Verwechslung von erkennbaren (Resident Keys) und nicht erkennbaren Schlüsseln (Non-Resident Keys): Resident-Credentials (auffindbare Anmeldeinformationen) werden auf dem Schlüssel gespeichert, Non-Resident-Credentials stützen sich dagegen auf den Server. Die falsche Variante für Ihren Anwendungsfall zu wählen, kann die Portabilität und die Wiederherstellungsoptionen beeinträchtigen.
• Die Annahme, physischer Besitz bedeute uneingeschränkten Zugriff: Ein gestohlener Schlüssel ist möglicherweise weiterhin durch PIN oder Biometrie auf dem Gerät geschützt. Ihn ohne diese Schutzmaßnahmen für sicher zu halten, ist jedoch ein Fehler. Aktivieren Sie immer die verfügbaren PIN- oder Biometrieschutzfunktionen und ziehen Sie Richtlinien zur Gerätesperre in Betracht.
• Benutzerschulung und betriebliche Prozesse vernachlässigen: Schlüssel ohne Schulung auszurollen, führt zu Missbrauch, verlorenen Schlüsseln und einem höheren Supportaufwand. Stellen Sie klare Einarbeitungsunterlagen, Verfahren für verlorene Schlüssel und Integrationstipps bereit, beispielsweise zur Nutzung von Microsoft Entra Passkeys für ein reibungsloseres Benutzererlebnis.

Entra-Passkeys unter Windows verwenden

Passkeys mit Windows Hello for Business integrieren

Die Integration von Entra-Passkeys mit Windows Hello for Business bietet eine wirkungsvolle Kombination, um die Sicherheit zu erhöhen und die Anmeldung auf Windows-Geräten zu vereinfachen. Entscheidet sich eine Organisation, Passkeys in Microsoft Entra ID zu aktivieren, insbesondere über Windows Hello for Business, erhalten Benutzer gerätegebundene Passkeys. Diese nutzen die bereits in ihre Windows-Umgebung integrierte, robuste Biometrie- oder PIN-Authentifizierung. Für die Anmeldung mit dem Passkey genügt es daher, dass sich Benutzer mit ihrer vertrauten Windows-Hello-Methode authentifizieren, etwa mit einem Fingerabdruck, der Gesichtserkennung oder einer PIN. Diese Integration ist eine nahtlose und hochgradig phishingresistente Authentifizierungsmethode, da der private Schlüssel des Passkeys das Gerät nie verlässt und durch die sichere Hardware von Windows Hello for Business geschützt wird. Entra-Administratoren können Richtlinien konfigurieren, die diese Integration erlauben. So fällt es Benutzern leicht, einen Passkey zu registrieren und direkt von ihren Windows-Geräten aus eine wirklich passwortlose Zukunft zu erleben.

Zugriff auf Entra-Passkeys unter Windows

Der Zugriff auf Entra-Passkeys unter Windows-Geräten ist so konzipiert, dass er unkompliziert und sicher abläuft, egal ob über synchronisierte Passkeys oder gerätegebundene Passkeys über Windows Hello for Business. Bei synchronisierten Passkeys finden Benutzer, die Passkeys in Microsoft Authenticator oder einem anderen Passkey-Anbieter aktiviert haben, ihr Passkey-Profil direkt auf ihrem Windows-Gerät. So können sie sich problemlos bei Microsoft Entra-Anwendungen anmelden. Wenn eine Authentifizierung angefordert wird, bietet Windows die Option, den Passkey zu verwenden. Dafür genügt oft eine einfache Bestätigung oder eine biometrische Überprüfung. Bei Windows Hello for Business ist der Zugriff noch stärker integriert, da der Passkey direkt an das sichere Element des Geräts gebunden ist. Benutzer melden sich bei Microsoft Entra ID und anderen Diensten an, indem sie sich einfach mit Windows Hello authentifizieren. Das sorgt für ein einheitliches und sehr sicheres Anmeldeerlebnis im gesamten Windows-Ökosystem und stärkt deutlich die phishingresistente Authentifizierung.

Sicherheitsupdates und Best Practices

Um beim Einsatz von Entra-Passkeys unter Windows das höchste Sicherheitsniveau zu erreichen und optimale Funktionalität sicherzustellen, ist die Einhaltung von Sicherheitsupdates und Best Practices entscheidend. Entra-Administratoren sollten darauf achten, Windows-Betriebssysteme, die Microsoft Authenticator-App und die Firmware aller FIDO2-Sicherheitsschlüssel aktuell zu halten, um von den neuesten Sicherheitsverbesserungen und Fehlerbehebungen zu profitieren. Eine regelmäßige Überprüfung und Anpassung der Authentifizierungsrichtlinien im Microsoft Entra Admin Center stellt sicher, dass die Registrierung und Nutzung von Passkeys den Sicherheitsanforderungen der Organisation entsprechen. Ebenso wichtig ist es, Benutzer zu schulen: Sie sollten wissen, wie sie einen Passkey sicher erstellen, worin sich synchronisierte und gerätegebundene Passkeys unterscheiden und warum der Schutz ihrer Geräte so wichtig ist. Microsoft Learn bietet umfangreiche Ressourcen zu diesen Sicherheitsupdates und Best Practices. Sie unterstützen Organisationen dabei, eine belastbare und passwortlose Authentifizierungsstrategie innerhalb ihrer Microsoft Entra ID-Umgebung umzusetzen.

Fehlerbehebung und Support

Häufige Probleme mit Passkeys

Beim Bereitstellen und Verwalten von Passkeys in Microsoft Entra ID stoßen Entra-Administratoren und Benutzer gelegentlich auf typische Probleme, die eine Fehlerbehebung erfordern. Eine häufige Herausforderung besteht darin, sicherzustellen, dass Benutzer einen Passkey erfolgreich registrieren können. Das gelingt vor allem dann nicht, wenn Gerätekompatibilität oder Richtlinienkonfigurationen nicht korrekt aufeinander abgestimmt sind. Benutzer können Schwierigkeiten haben, wenn ihr FIDO2-Sicherheitsschlüssel nicht erkannt wird oder wenn es zu Konflikten mit bereits vorhandenen Authentifizierungsmethoden kommt. Ein weiteres verbreitetes Problem betrifft synchronisierte Passkeys, die nicht auf alle vorgesehenen Geräte übertragen werden. Ursache sind oft Verbindungsprobleme oder falsche Einstellungen des Passkey-Anbieters. Außerdem löschen Benutzer ihr Passkey-Profil manchmal versehentlich. Zudem kann es schwierig werden, Passkeys als Standardauthentifizierungsmethode festzulegen, wenn Ausweichoptionen nicht richtig konfiguriert sind. Diese möglichen Hürden zu kennen, ist der erste Schritt, sie gezielt zu beheben und eine reibungslose passwortlose Anmeldung sicherzustellen.

Passkeys aktivieren und gezielt ausrollen

Das Aktivieren und gezielte Ausrollen von Passkeys in Microsoft Entra ID ist eine wichtige administrative Aufgabe, die eine sorgfältige Konfiguration im Microsoft Entra Admin Center erfordert. Entra-Administratoren oder Benutzer mit der Rolle Administrator für Authentifizierungsrichtlinien müssen im Bereich der Authentifizierungsmethoden die Passkeys für ihre Organisation aktivieren. Dabei wählen sie FIDO2-Sicherheitsschlüssel aus oder erlauben Benutzern, einen synchronisierten Passkey über die Microsoft Authenticator-App zu registrieren. Das gezielte Ausrollen von Passkeys für bestimmte Benutzergruppen ist eine Best Practice. So lässt sich die Einführung schrittweise umsetzen und sicherstellen, dass nur die richtigen Benutzer einen Passkey erstellen können. Dazu weisen Sie Richtlinien bestimmten Benutzergruppen zu. Damit wird sichergestellt, dass nur autorisierte Personen Passkeys registrieren und sie als primäre oder mehrstufige Authentifizierungsmethode verwenden können. Ein gezieltes Ausrollen erleichtert den Übergang zu einer passwortlosen Umgebung und passt zu den organisatorischen Sicherheitsupdates.

Hilfe bei der Einrichtung von Passkeys

Für Entra-Administratoren und Benutzer, die bei der Einrichtung von Passkeys Unterstützung benötigen, stehen verschiedene Ressourcen bereit, die einen reibungslosen Umstieg auf diese phishingresistente Authentifizierungsmethode ermöglichen. Microsoft Learn bietet umfassende Dokumentation und Tutorials, die jeden Schritt beschreiben, von der Aktivierung von Passkeys in Microsoft Entra ID bis zur Behebung häufiger Probleme. Das Microsoft Entra Admin Center bietet kontextbezogene Hilfe und Anleitungen zur Konfiguration von Authentifizierungsrichtlinien und zur Verwaltung der Passkey-Registrierung. Für komplexere Probleme stehen zusätzlich die Microsoft-Supportkanäle zur Verfügung, die fachkundige Unterstützung beim Einrichten und Pflegen von Passkeys in Microsoft Entra bieten. Mit diesen Ressourcen können Organisationen Herausforderungen meistern, synchronisierte Passkeys wirksam aktivieren und Passkeys erfolgreich zur Standardauthentifizierungsmethode machen. So stärken sie ihre Sicherheitslage deutlich und führen eine moderne, passwortlose Anmeldung ein.

Häufige Fragen

Passkey-Profil: Erstellen und Verwalten eines Passkey-Profils

Entra-Passkey unter Windows: Aktivieren und Verwenden von Entra-Passkey auf Windows-Geräten

Funktionsweise von Passkeys: Passkeys geräteübergreifend und synchronisierte Passkeys

Was ist ein Microsoft Entra-Passkey, und worin unterscheidet er sich von einem FIDO2-Passkey?

Ein Microsoft Entra-Passkey ist eine moderne, phishingresistente Anmeldeinformation. Sie wird entweder auf einem Gerät oder bei einem Cloud-Passkey-Anbieter gespeichert und über Microsoft Entra ID verwaltet. Er nutzt Public-Key-Kryptografie ähnlich wie ein FIDO2-Passkey, ist aber in Funktionen von Microsoft 365 und Entra integriert. Dadurch ermöglicht er die Passkey-Anmeldung und die cloudbasierte Synchronisierung über mehrere Geräte hinweg.

Wie aktiviere ich die Passkey-Anmeldung für meine Organisation?

Um die Passkey-Anmeldung zu aktivieren, erstellen Sie in Microsoft Entra ein Passkey-Profil. Konfigurieren Sie das Passkey-Profil so, dass darin die Richtlinie festgelegt ist, einschließlich der Frage, ob Benutzer synchronisierte Passkeys verwenden dürfen. Optional können Sie Microsoft Intune einbinden, um Gerätesteuerungen durchzusetzen. Administratoren entscheiden, ob Passkeys zur Standardauthentifizierung werden oder optional bleiben.

Was bedeutet „Synchronisierte Passkeys zulassen“, und wie konfiguriere ich diese Option?

„Synchronisierte Passkeys zulassen“ ist eine Richtlinienentscheidung. Sie ermöglicht Benutzern, Passkeys bei einem Cloud-Passkey-Anbieter zu speichern, sodass sie synchronisierte Passkeys geräteübergreifend nutzen können. Konfigurieren Sie dies, indem Sie die Option im Passkey-Profil aktivieren. Stellen Sie außerdem sicher, dass Benutzer zur Registrierung eines Passkeys aufgefordert werden und der Cloud-Passkey-Anbieter unterstützt wird.

Können Benutzer einen Passkey direkt registrieren, oder werden sie zur Registrierung aufgefordert?

Benutzer können einen Passkey direkt über die Kontosicherheitseinstellungen ihres Microsoft Entra-Kontos registrieren. Alternativ werden sie während der Anmeldung zur Registrierung eines Passkeys aufgefordert, wenn die Organisation Passkeys als Standardauthentifizierung erzwingt oder das Passkey-Profil eine Registrierungsaufforderung auslöst.

Wie funktionieren Passkeys unter Windows, und unterstützt Microsoft Entra Windows Hello?

Unter Windows nutzen Passkeys Windows Hello als Authenticator. Bei Verwendung von Entra-Passkey unter Windows kann das Gerät einen gebundenen Passkey erzeugen, der im TPM oder bei einem Cloud-Passkey-Anbieter gespeichert wird. Microsoft Entra ID unterstützt Windows Hello, um Authenticator-Passkeys zu erstellen und zu verwenden.

Was sind gebundene Passkeys, und wo werden Passkeys gespeichert?

Gebundene Passkeys sind an den Authenticator eines bestimmten Geräts gebunden, etwa Windows Hello, und werden in der Regel im hardwaregestützten, sicheren Speicher (TPM) abgelegt. Synchronisierte bzw. in der Cloud gespeicherte Passkeys werden beim Cloud-Passkey-Anbieter gespeichert, der dem Microsoft Entra-Konto des Benutzers zugeordnet ist.

Wie erstelle ich ein Passkey-Profil, und kann es auf mehrere Richtlinien eingegrenzt werden?

Sie erstellen ein Passkey-Profil im Microsoft Entra-Portal, indem Sie Authentifizierungsmethoden und Einstellungen auswählen. Passkey-Profile lassen sich auf mehrere Gruppen oder Umgebungen eingrenzen. Sie können also bereichsbezogene Passkey-Profile erstellen oder drei Passkey-Profile, um unterschiedliche Regeln für verschiedene Benutzergruppen anzuwenden.

Was sollte ich tun, wenn Benutzer keinen Passkey registrieren können?

Wenn Benutzer keinen Passkey registrieren können, prüfen Sie zunächst, ob ihrem Konto das Passkey-Profil für die Registrierung zugewiesen ist. Kontrollieren Sie, ob ihre Geräte die Anforderungen erfüllen, etwa Windows Hello oder einen kompatiblen Authenticator. Bestätigen Sie, dass die Einstellungen des Cloud-Passkey-Anbieters und von Microsoft Entra ID die direkte Registrierung des Passkeys zulassen. Stellen Sie zudem sicher, dass keine Gerätekonfigurationsrichtlinien in Microsoft Intune die Authenticator-Funktionen blockieren.

Werden Passkeys in Microsoft Entra zur Standardauthentifizierung?

Microsoft hat signalisiert, dass Passkeys für viele Benutzer zur Standardanmeldung werden. Administratoren können Passkeys proaktiv als Standardauthentifizierung konfigurieren, indem sie Passkeys im Passkey-Profil als primäre Methode festlegen. So wird die Standardauthentifizierung mit Passkeys gemäß der Richtlinie der Organisation wirksam.

Wie funktionieren synchronisierte Passkeys in Microsoft Entra mit mehreren Geräten und Microsoft 365-Apps?

Mit synchronisierten Passkeys lassen sich die Passkeys eines Benutzers über einen Cloud-Passkey-Anbieter synchronisieren, sodass sich der Benutzer auf mehreren Geräten anmelden kann. Bei Microsoft 365-Apps übernehmen Microsoft Entra ID und der Cloud-Anbieter die Passkey-Anmeldung. Benutzer können Passkeys für Microsoft 365 verwenden, ohne sie auf jedem Gerät neu registrieren zu müssen.

Kann ich die Verwendung von Passkeys erzwingen, und wie detailliert kann die Richtlinie sein?

Ja, Sie können die Verwendung von Passkeys erzwingen, indem Sie Richtlinien in Passkey-Profilen und bedingten Zugriffsrichtlinien in Microsoft Entra ID konfigurieren. Die Richtlinien lassen sich fein abstufen: Mit gezielt zugewiesenen Passkey-Profilen erzwingen Sie Passkeys für bestimmte Benutzer, Gruppen oder Szenarien. Außerdem können Sie einschränken, welche Authenticator oder Cloud-Passkey-Anbieter zulässig sind.

Worin unterscheidet sich das Client-to-Authenticator-Protokoll von der Passkey-Anmeldung?

Das Client-to-Authenticator-Protokoll (CTAP) ist ein technisches Protokoll, mit dem Authenticator und Clients (Browser und Geräte) miteinander kommunizieren. Die Passkey-Anmeldung dagegen ist der Vorgang, bei dem sich Endbenutzer mit einem Passkey authentifizieren. CTAP bildet die Grundlage für FIDO2-Passkeys und Authenticator-Passkeys, die in den Anmeldeabläufen mit Passkeys zum Einsatz kommen.

Wie kann ich Passkeys in Microsoft Entra anzeigen und für Benutzer verwalten?

Administratoren können den Registrierungsstatus von Passkeys über die Authentifizierungsmethoden und Berichte in Microsoft Entra ID einsehen und Passkeys verwalten. Benutzer sehen ihre Passkeys in den Sicherheitseinstellungen ihres Microsoft Entra-Kontos. Dort können sie einen Passkey registrieren oder einen Passkey entfernen, der entweder auf dem Gerät oder beim Cloud-Passkey-Anbieter gespeichert ist.

Werden Passkeys von Microsoft Entra ID unterstützt, und welche Authenticator sind kompatibel?

Ja, Microsoft Entra ID unterstützt Passkeys auf Basis der FIDO2-Standards. Viele Authenticator sind kompatibel, darunter Windows Hello, Plattform-Authenticator und externe Sicherheitsschlüssel. Auf Basis dieser Standards unterstützt Microsoft Entra ID sowohl gebundene Passkeys als auch Cloud-synchronisierte Anmeldeinformationen.

Was passiert, wenn der Passkey eines Benutzers bereits auf einem anderen Gerät registriert ist?

Ist ein Passkey bereits auf einem anderen Gerät registriert und möchte der Benutzer ihn auch dort verwenden, muss er entweder synchronisierte Passkeys nutzen (sofern zulässig) oder einen neuen Passkey auf dem neuen Gerät registrieren. Administratoren sollten bei der Konfiguration von Passkey-Profilen und cloudbasierten Synchronisierungsoptionen die Szenarien mit mehreren Geräten berücksichtigen.

Kann Intune zur Verwaltung von Geräten verwendet werden, die Passkeys und Windows Hello nutzen?

Ja, Microsoft Intune kann die Gerätekonformität und Konfiguration für Geräte verwalten, die Passkeys und Windows Hello nutzen. Mit Intune-Richtlinien stellen Sie sicher, dass die Sicherheitsanforderungen des Geräts erfüllt sind, bevor die Passkey-Anmeldung zugelassen wird. Sie lassen sich mit den Entra-Passkey-Einstellungen für Windows kombinieren, um eine einheitliche Bereitstellung zu erreichen.

Wie unterstütze ich Passkeys für mehrere Anwendungen und Dienste in meiner Organisation?

Um Passkeys für mehrere Anwendungen zu unterstützen, stellen Sie sicher, dass diese Anwendungen föderiert oder in Microsoft Entra ID integriert sind. Aktivieren Sie die Passkey-Anmeldung in Ihren Authentifizierungseinstellungen und erstellen Sie Passkey-Profile, in denen festgelegt ist, ob Benutzer Passkeys für mehrere Apps und Microsoft 365-Dienste verwenden dürfen.

Was ist ein Cloud-Passkey-Anbieter, und brauche ich einen?

Ein Cloud-Passkey-Anbieter speichert Passkeys und synchronisiert sie über die Geräte eines Benutzers. Die Nutzung eines Cloud-Passkey-Anbieters ist optional, wird aber empfohlen, wenn Benutzer synchronisierte Passkeys auf mehreren Geräten verwenden sollen, statt nur an einzelne Geräte gebundene Passkeys.