Passkeys vs. FIDO2: Ausführlicher Vergleich für sichere, passwortlose Authentifizierung

Von Mirko Peters · 2026-04-26 · Aktualisiert 2026-09-13

Vergleichen Sie Passkeys und FIDO2-Sicherheitsschlüssel für phishingresistente, passwortlose Authentifizierung. Behandelt werden WebAuthn, Microsoft Entra ID, Wiederherstellung und Bereitstellung im Unternehmen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Passkeys vs. FIDO2 erfordert eine klare, praxisnahe Entscheidung. Grundlage sind das Nutzungsszenario, die Sicherheitsanforderungen und die Microsoft 365-Umgebung. Definieren Sie zuerst das angestrebte Ergebnis, prüfen Sie die aktuellen Empfehlungen von Microsoft, testen Sie mit repräsentativen Benutzern und legen Sie die Verantwortlichkeiten fest, bevor Sie den Ansatz breit ausrollen.

Praxisnahe Checkliste zu Passkeys vs. FIDO2

• Definieren Sie das Geschäftsszenario und die verantwortliche Person.
• Validieren Sie das Design mit einem repräsentativen Pilotprojekt.
• Prüfen Sie die Auswirkungen auf Sicherheit, Zugriff und Support.

Aktuelle Produktinformationen finden Sie in Microsoft Learn.

Zuletzt geprüft: Juli 2026.

Digitale Konten ohne den Aufwand und das Risiko von Passwörtern zu sichern, wird zum neuen Goldstandard. Wenn Sie sich für moderne Authentifizierung interessieren, sei es privat oder für Ihre Organisation, kommen Sie kaum an FIDO2 und Passkeys vorbei. Die Begriffe fallen häufig, doch was steckt dahinter, und wie schneiden sie im praktischen Einsatz ab, in Bezug auf Sicherheit, Benutzerfreundlichkeit und Bereitstellung, besonders in Microsoft-lastigen Umgebungen?

Dieser Leitfaden erklärt die Grundlagen: wie FIDO2 und Passkeys funktionieren, worin sie sich unterscheiden und warum sie verändern, wie wir uns geräteübergreifend und bei Cloud-Diensten anmelden. Sie erhalten praxisnahe Hinweise zu Bedrohungsmodellen, Compliance, Benutzererfahrung und den Details einer passwortlosen Authentifizierung, die im Alltag tatsächlich funktioniert. Ob Sie Microsoft 365 verwalten, Ihre eigene IT betreiben oder einfach Konten wünschen, die Angreifer nicht so leicht manipulieren können: Sie sind hier richtig.

Was sind FIDO2 und Passkeys?

FIDO2 ist ein offener Standard für die passwortlose Authentifizierung, entwickelt von der FIDO Alliance und dem World Wide Web Consortium (W3C). Sein Kernzweck ist, dass sich Benutzer ohne Passwörter sicher anmelden können, und zwar mithilfe von Public-Key-Kryptografie. Im Zentrum von FIDO2 stehen zwei Protokolle: WebAuthn (für Websites und Anwendungen) und CTAP (für die Kommunikation mit Authentifikatoren wie Smartphones oder Hardware-Schlüsseln).

Passkeys sind eine benutzerfreundliche Umsetzung des FIDO2-Standards. Vereinfacht gesagt ist ein „Passkey“ im Grunde eine FIDO2-Anmeldeinformation, die vom Betriebssystem Ihres Geräts für Sie verwaltet wird, etwa vom iCloud-Schlüsselbund von Apple, dem Google-Passwortmanager oder dem Credential Manager von Microsoft. Passkeys ersetzen eigenständige Passwörter. Sie melden sich an, indem Sie Ihr Gerät entsperren oder biometrische Verfahren wie Face ID, Touch ID oder Windows Hello nutzen.

Der entscheidende Punkt: Alle Passkeys basieren im Hintergrund auf FIDO2, doch nicht jede FIDO2-Anmeldeinformation wird als „Passkey“ vermarktet. Passkeys bieten meist zusätzlichen Komfort, etwa die Synchronisierung zwischen Geräten oder eine einfache Wiederherstellung. Die kryptografischen Mechanismen dahinter, also öffentliche und private Schlüssel, sind jedoch dieselben. Während traditionelle Passwörter Geheimnisse sind, die Sie sich merken, bleibt bei FIDO2 und Passkeys das Geheimnis (der private Schlüssel) auf Ihrem Gerät gesperrt. Dem Server wird nur ein Nachweis übermittelt, niemals der eigentliche Schlüssel.

Zusammengefasst: FIDO2 liefert das standardisierte Werkzeug, und Passkeys bringen dieses Werkzeug auf Ihr Smartphone, Ihr Notebook oder in die Cloud. Dabei versprechen sie passwortlose, phishingresistente Anmeldungen.

Passwörter eliminieren und Phishing-Resistenz erreichen

Der Kern von FIDO2 und Passkeys ist nicht nur eine einfachere Anmeldung, auch wenn das ein willkommener Nebeneffekt ist. Es geht darum, Passwörter endlich abzulösen, die bekanntermaßen anfällig für Phishing, Wiederverwendungsangriffe und Brute-Force-Attacken sind. Mit FIDO2 und Passkeys basiert die Authentifizierung auf Public-Key-Kryptografie: Es wird kein Passwort übertragen oder gespeichert, das ein Angreifer abgreifen oder stehlen könnte.

Sie starten die Anmeldung, indem Sie Ihr Gerät entsperren, etwa per Fingerabdruck, Gesichtsscan oder Geräte-PIN. Ihr Gerät weist dann kryptografisch nach, dass es den privaten Schlüssel besitzt. Das funktioniert nur mit dem richtigen Server, der sogenannten Relying Party, und der Schlüssel verlässt das Gerät nie. Selbst wenn ein Angreifer Sie mit einer gefälschten Website täuscht, funktioniert der Schlüssel nicht, weil er an den Ursprung der echten Website gebunden ist.

Damit werden klassische Phishing-Angriffe, etwa das Abgreifen von Anmeldedaten über täuschend echte Websites, praktisch wirkungslos. Es gibt kein Passwort, das gestohlen und anderswo wiederverwendet werden könnte. Angreifer können zudem abgefangene Anmeldedaten nicht erneut verwenden, weil jede Anmeldung eine neue Challenge erhält. Auch Credential Stuffing, bei dem Angreifer mit erbeuteten Passwörtern in großem Stil Anmeldungen versuchen, scheitert mit Passkeys von vornherein.

Organisationen setzen aus nicht nur aus technischen Sicherheitsgründen zunehmend auf diesen Weg, sondern auch aus Gründen der Compliance und des Geschäftsbetriebs. Mit der Einführung von FIDO2 und Passkeys können Unternehmen – insbesondere in Kombination mit Tools wie Microsoft Defender for Office 365 und Microsoft Purview for data governance – eine ganze Klasse anmeldedatenbasierter Angriffe blockieren, ohne die Belastung für ihre Benutzer zu erhöhen.

So funktioniert FIDO2-Authentifizierung im Detail

Um zu verstehen, warum FIDO2 deutlich sicherer ist als herkömmliche Anmeldeverfahren, lohnt sich ein Blick in die Black Box. Im Kern nutzt FIDO2 Public-Key-Kryptografie, um gegenüber einem Dienst die eigene Identität nachzuweisen, ohne jemals die Geheimnisse preiszugeben, mit denen sich Ihre Konten tatsächlich entsperren lassen.

Wenn Sie eine FIDO2-Anmeldung einrichten (oder einen Passkey registrieren), erzeugt Ihr Gerät ein eindeutiges Schlüsselpaar aus einem öffentlichen und einem privaten Schlüssel. Der öffentliche Schlüssel wird an den Dienst übermittelt, bei dem Sie sich anmelden möchten, der private Schlüssel verlässt das Gerät dagegen nie. Bei jeder Anmeldung fordert der Server das Gerät auf, den Besitz des privaten Schlüssels nachzuweisen, in der Regel durch Signieren eines Zufallswerts. Das Ergebnis prüft der Server mit dem öffentlichen Schlüssel, den er gespeichert hat.

All das beruht auf streng kontrollierter Speicherung und Benutzerverifizierung. Ihr privater Schlüssel ist in einer sicheren Enklave abgelegt und nur zugänglich, wenn Sie das Gerät entsperren oder sich biometrisch authentifizieren. Ein wesentlicher Grund dafür, dass FIDO2 und Passkeys in Systemen stark zunehmen, die hardwaregestützte Sicherheit erzwingen können, etwa Microsoft Windows, Apple macOS/iOS und Android.

Im weiteren Verlauf sehen wir uns die Abläufe für Registrierung und Authentifizierung genauer an und erläutern, wie Ihre Anmeldedaten geschützt und an Ihr Gerät gebunden werden.

Ablauf von FIDO2-Registrierung und -Authentifizierung erklärt

1. Registrierung: Wenn Sie sich erstmals bei einem Dienst mit FIDO2 registrieren, erzeugt Ihr Gerät ein neues kryptografisches Schlüsselpaar. Der öffentliche Schlüssel wird an den Dienst (die vertrauende Partei, Relying Party) übermittelt, während der private Schlüssel auf Ihrem Gerät verbleibt.
2. Attestierung: Das Gerät kann dem Dienst mit einem Attestierungszertifikat nachweisen, dass es ein legitimer Authenticator ist. So wird sichergestellt, dass der Berechtigungsnachweis in sicherer Hardware erzeugt wurde.
3. Authentifizierung: Bei der Anmeldung sendet der Dienst eine eindeutige Challenge. Ihr Gerät signiert diese Challenge mit dem privaten Schlüssel, nachdem Sie sich per PIN, Fingerabdruck o. Ä. verifiziert haben.
4. Serverseitige Prüfung: Die signierte Challenge wird an den Server zurückgesendet und dort mit dem gespeicherten öffentlichen Schlüssel geprüft. Stimmt das Ergebnis, sind Sie angemeldet. Es werden keine Geheimnisse ausgetauscht, und es gibt nichts, was sich phishen ließe.

Sichere Speicherung und Gerätebindung für Passkeys

• Hardwaregestützte Sicherheit: Passkeys und FIDO2-Berechtigungsnachweise werden häufig in dedizierter sicherer Hardware gespeichert, etwa im Trusted Platform Module (TPM), in der Secure Enclave (Apple) oder im Titan-M-Chip (Google). Dadurch sind Ihre Schlüssel vom übrigen Gerät getrennt, was Angriffe deutlich erschwert.
• Biometrische Authentifizierung oder PIN: Um Ihren Passkey zu verwenden, müssen Sie ihn entsperren, in der Regel über eine biometrische Methode oder die Geräte-PIN. Die biometrischen Daten selbst verlassen die Hardware nie und werden nicht an den Online-Dienst übertragen. So bleiben Ihre Identitätsmerkmale privat.
• Gerätebindung: Das kryptografische Schlüsselpaar ist an Ihr physisches Gerät gebunden und nicht nur an Ihr Online-Konto. Ein Angreifer müsste daher Ihr Gerät kompromittieren und die lokalen Schutzmechanismen umgehen, um sich Zugang zu verschaffen.
• Schutz beim Export und bei der Synchronisierung von Berechtigungsnachweisen: Bei Plattformen, die Passkeys geräteübergreifend synchronisieren (etwa iCloud-Schlüsselbund oder Google Passwort-Manager), werden die Berechtigungsnachweise durchgehend verschlüsselt. Nur Ihre Geräte können die Passkeys nach ordnungsgemäßer Authentifizierung lesen oder verwenden.
• Sicherheit im Lebenszyklus: Geräte können Anmeldedaten sicher löschen, wenn Sie sie zurücksetzen oder außer Betrieb nehmen. Organisationen können bedingten Zugriff und Governance über Lösungen wie Microsoft Entra ID und Richtlinien für bedingten Zugriff durchsetzen, um die Verwendung von Anmeldedaten zu kontrollieren und Kompromittierungen zu beheben.

Vergleich synchronisierter Passkeys und softwaregebundener Lösungen

Nicht alle Passkeys sind gleich. Sobald Sie passwortlose Authentifizierung einrichten, werden Ihnen schnell Unterschiede bei der Verwaltung Ihrer Anmeldedaten auffallen. Entscheidend ist vor allem, ob sie über die Cloud auf all Ihren Geräten synchronisiert werden oder auf ein einziges Gerät beschränkt sind. Diese architektonischen Entscheidungen haben spürbare Folgen für Benutzerfreundlichkeit und Risiko.

Synchronisierte Passkeys, wie sie etwa mit der iCloud-Schlüsselbund-Funktion auf Apple-Geräten oder dem Google-Passwortmanager auf Android angeboten werden, ermöglichen den Zugriff auf Ihre Anmeldungen auf Smartphones, Tablets und Computern, oft mit beeindruckendem Komfort. Dafür gehen jedoch Abwägungen bei Sicherheit und Zuverlässigkeit einher, insbesondere ein mögliches Risiko, wenn der Cloud-Anbieter gehackt wird oder die Synchronisierung unterbrochen ist.

Softwaregebundene Passkeys dagegen befinden sich vollständig auf einem einzigen Gerät. Wenn Sie auf ein neues Gerät wechseln möchten, müssen Sie die Passkeys manuell übertragen oder neu registrieren. Das ist manchmal nur ein kleines Ärgernis, für Organisationen mit Tausenden Benutzern und automatisierten Geräteaktualisierungen aber mitunter ein Ausschlusskriterium.

Im Folgenden erläutern wir, warum diese Modelle wichtig sind, welche Risiken jeder Ansatz mit sich bringt und wie Sie das richtige Modell für Ihre Umgebung auswählen, egal ob Sie persönliche Anmeldungen schützen oder passwortlose Anmeldung für ein ganzes Unternehmen einführen.

Synchronisierte Passkeys über Geräte hinweg: Vorteile und Risiken

• Komfort über mehrere Geräte: Synchronisierte Passkeys (etwa über iCloud oder den Google-Passwortmanager) ermöglichen die sofortige Anmeldung von jedem Gerät innerhalb Ihres Ökosystems und sorgen so für ein nahtloses Erlebnis auf Smartphones, Tablets und Laptops.
• Automatische Wiederherstellung: Gerät verloren? Ihre Passkeys sind weiterhin sicher und lassen sich von einem anderen vertrauenswürdigen Gerät wiederherstellen. Das verringert Aussperrungen und den Supportaufwand.
• Risiken durch Cloud-Abhängigkeit: Da die Anmeldedaten über die Cloud übertragen werden, auch wenn sie verschlüsselt sind, steigt das Risiko, wenn der Synchronisierungsanbieter gehackt wird oder ausfällt. Ihre Sicherheitslage hängt damit von einem Drittanbieter ab.
• Geschlossene Plattformökosysteme: Die Synchronisierung funktioniert in der Regel innerhalb desselben Ökosystems am besten, etwa bei reinen Apple- oder reinen Google-Geräten. Wechseln Benutzer zwischen iOS, Android, Windows oder macOS, entstehen Reibungsverluste.

Softwaregebundene Passkeys und Abwägungen bei der Geräte-Synchronisierung

• Nur lokale Sicherheit: Diese Passkeys sind eng an ein einziges Gerät gebunden. Eine kompromittierte Cloud eines Drittanbieters kann sie daher nicht offenlegen. Das eignet sich ideal für Umgebungen mit strengeren Isolationsanforderungen.
• Eingeschränkte Übertragbarkeit: Wenn Sie das Gerät wechseln, müssen Sie Passkeys manuell exportieren, migrieren oder zurücksetzen. Das bedeutet zusätzlichen Aufwand, kann aber die Angriffsfläche verringern.
• Schwierige Wiederherstellung: Geht Ihr Gerät verloren oder fällt aus, gehen auch die lokalen Passkeys verloren. Eine sichere Sicherung oder klare Wiederherstellungsprozesse sind unverzichtbar, um dauerhafte Aussperrungen zu vermeiden.
• Passender Anwendungsfall: Organisationen mit hohen Sicherheitsanforderungen oder regulatorischen Vorgaben, etwa im Finanz- oder Behördenbereich, setzen für privilegierte Konten und sensible Systeme häufig auf dieses Verfahren, trotz des zusätzlichen betrieblichen Aufwands.

Hardware-Sicherheitsschlüssel und externe Authentifikatoren im Überblick

Hardware-Sicherheitsschlüssel sind dedizierte physische Geräte für die passwortlose Authentifizierung mit FIDO2 und Passkey-Systemen. Sie gibt es in verschiedenen Bauformen, meist als USB-, NFC- oder Bluetooth-Dongle, die Sie am Schlüsselbund tragen oder am Arbeitsplatz aufbewahren. Beliebte Modelle sind unter anderem YubiKey, SoloKey und Feitian.

Was Hardware-Sicherheitsschlüssel auszeichnet, ist ihre Manipulationssicherheit. Die kryptografischen Geheimnisse (private Schlüssel) werden im Gerät erzeugt und verlassen es nie, selbst wenn der angeschlossene Computer oder das Smartphone kompromittiert ist. Dadurch sind sie besonders widerstandsfähig gegen Phishing und Malware. Deshalb werden sie für Administrator-, Root- oder besonders wertvolle Konten bevorzugt eingesetzt.

Im Gegensatz zu plattformgebundenen Passkeys setzen Hardware-Schlüssel auf Industriestandards wie das Client to Authenticator Protocol (CTAP), um mit Geräten und Browser-APIs (etwa WebAuthn) zu interagieren. Dadurch lassen sie sich grundsätzlich in vielen Systemen einsetzen, nicht nur in Apple-, Google- oder Microsoft-Umgebungen, sofern die Zielanwendung FIDO2 unterstützt.

In manchen Umgebungen, insbesondere in regulierten oder Hochrisikobranchen, ist der Einsatz solcher Schlüssel für Compliance oder die Sicherheitsstufe AAL3 vorgeschrieben (die höchste Vertrauensstufe laut NIST SP 800-63B). Sie sind zwar nicht so komfortabel wie Passkeys, die auf allen Ihren Geräten synchronisiert werden, bieten aber höchste Sicherheit für Rollen, bei denen eine Kompromittierung schlicht keine Option ist.

Lebenszyklus der Anmeldeinformationen und Sicherheit in jeder Phase

Der Umstieg auf FIDO2 und Passkeys bedeutet mehr als bessere Anmeldebildschirme. Entscheidend ist, die Sicherheit über den gesamten Lebenszyklus der Anmeldeinformationen zu verstärken. Jeder Schritt, von der ersten Erstellung eines Passkeys bis zu seiner Verwendung, Speicherung oder Sperrung, bringt eigene Herausforderungen und Angriffsflächen mit sich.

Wer diesen Lebenszyklus versteht, erkennt leichter, wo Organisationen Sicherheitskontrollen und Governance ansetzen sollten. Die Erstellung von Anmeldeinformationen erfordert beispielsweise eine starke Attestierung und Bindung, während die aktive Nutzung auf Phishing-Versuche und Versuche einer Geräteübernahme überwacht werden muss. Speicherung und Backup, bei Passwörtern seit jeher eine Schwachstelle, können mit gerätegebundenen Anmeldeinformationen oder einer robusten Cloud-Verschlüsselung zur Stärke werden.

Zum Lebenszyklusmanagement gehört außerdem die weniger glamouröse, aber entscheidende Seite: Rotation, Sperrung und Kontowiederherstellung. Den Überblick zu behalten, wer welche Schlüssel besitzt, beim Ausscheiden von Mitarbeitenden eine saubere Bereinigung sicherzustellen und auf verlorene oder kompromittierte Geräte reagieren zu können, ohne die Produktivität zu beeinträchtigen, gehört alles zu einem durchdachten passwortlosen Vorgehen.

In Microsoft-Umgebungen greift ein sauberes Lebenszyklusmanagement für Anmeldeinformationen eng in die übergreifende Strategie für Datenzugriff und Governance ein, wie sie Ressourcen wie Microsoft 365 Data Access Governance zeigen. Dort sind Eigentümerschaft, Verantwortlichkeit und Überprüfungsprozesse entscheidend für eine sichere Zusammenarbeit.

Erstellung von Anmeldeinformationen, Angriffe und Zustandsverwaltung

• Sichere Erstellung: Erzeugen Sie FIDO2-Anmeldeinformationen immer in hardwaregestützten Schlüsselspeichern und nutzen Sie eine starke Attestierung, um die Echtheit des Geräts zu bestätigen.
• Phishing-Resistenz: Passkey- und FIDO2-Authentifizierungsabläufe sind von Natur aus resistent gegen Phishing, da keine Geheimnisse übertragen werden und die Signatur-Challenges für jede Sitzung einzigartig sind.
• Replay- und MITM-Angriffe: Einmalige, eindeutige kryptografische Challenges verhindern, dass Angreifer abgefangene Antworten wiederverwenden oder Man-in-the-Middle-Angriffe durchführen.
• Zustandsverwaltung: Prüfen Sie den Status der Anmeldeinformationen regelmäßig, sperren Sie ungenutzte oder kompromittierte Schlüssel und pflegen Sie ein Inventar, besonders für privilegierte Konten oder Konten mit umfassendem Zugriff.

Wiederherstellung, Sperrung und Grenzen von Anmeldeinformationen

Kein System ist perfekt. Selbst die stärksten Passkeys und Sicherheitsschlüssel können verloren gehen, gestohlen oder beschädigt werden. Die Planung von Wiederherstellung und Sperrung ist entscheidend, besonders wenn Sie Ihr Team oder Ihre Organisation im großen Maßstab auf passwortlose Authentifizierung umstellen.

Wenn ein Passkey oder eine FIDO2-Anmeldeinformation verloren geht, hängen die Wiederherstellungsoptionen davon ab, wie sie verwaltet wird. Bei synchronisierten Passkeys, etwa bei iCloud Keychain von Apple oder Google Password Manager, können Sie Ihre Anmeldeinformationen in der Regel auf einem neuen Gerät wiederherstellen, sobald Sie die geräteseitige Authentifizierung und die Wiederherstellungsschritte durchlaufen haben. Das verkürzt Ausfallzeiten, setzt aber Vertrauen in die Sicherheits- und Wiederherstellungsmechanismen des Cloud-Anbieters voraus.

Sicherheitsschlüssel machen die Lage komplexer: Geht ein Hardware-Schlüssel verloren, müssen Sie zuvor hinterlegte Ersatzschlüssel oder festgelegte Notfallverfahren des Administrators haben. Andernfalls können Sie vollständig ausgesperrt sein. Die Sperrung übernimmt der Server: Sobald Sie einen Schlüssel als verloren melden, wird der öffentliche Schlüssel aus Ihrem Profil entfernt, und die verlorene Anmeldeinformation ist wertlos.

Nachteilig ist, dass eine zu starke Abhängigkeit von Backup- und Wiederherstellungsfunktionen die Sicherheit untergraben kann. Wiederherstellungsprozesse müssen gegen Social Engineering und Insider-Bedrohungen abgesichert sein. Regelmäßige Überprüfungen und Automatisierung mit Werkzeugen wie Microsoft Purview Audit helfen Organisationen, die Nutzung von Anmeldeinformationen, Sperrereignisse und potenzielle Risiken für Compliance- oder forensische Untersuchungen im Blick zu behalten.

Letztlich bedeutet die Wahl einer Strategie für Wiederherstellung und Sperrung, Benutzerfreundlichkeit und robuste Kontrollen in Einklang zu bringen – eine Lösung für alle gibt es nicht. Die Abbildung von Szenarien für den Verlust eines Geräts und die Bereitstellung gestaffelter Kontowiederherstellung sind für jede ernsthafte passwortlose Einführung unverzichtbar.

Passkeys vs. Sicherheitsschlüssel: Die richtige Option wählen

Wenn die Entscheidung ansteht, hängt die Wahl zwischen Passkeys und Hardware-Sicherheitsschlüsseln von Ihrem Anwendungsfall, den Anforderungen an die Benutzerfreundlichkeit und der Bedrohungslage ab. Beide basieren auf einer gemeinsamen Grundlage – FIDO2-Protokollen und asymmetrischer Kryptografie –, verhalten sich im Alltag aber sehr unterschiedlich.

Passkeys spielen ihre Stärken dort aus, wo Benutzer über mehrere Geräte hinweg nahtlos zugreifen müssen – etwa Endbenutzer mit Smartphones, Tablets, Laptops und Cloud-Apps wie Microsoft 365. Ihre Stärke liegt in der Benutzerfreundlichkeit: Entsperren Sie Ihr Gerät, und Sie sind angemeldet – auch über eine Vielzahl privater oder dienstlicher Geräte hinweg.

Sicherheitsschlüssel bieten dagegen die höchste Sicherheit – entscheidend für Administratoren, privilegierte Benutzer oder alle, bei denen eine Kompromittierung unter keinen Umständen tragbar ist. Ihre Portabilität macht sie ideal für Szenarien, in denen Sie sich von nicht verwalteten oder öffentlichen Systemen aus authentifizieren müssen. Der Nachteil: Wenn Sie den Schlüssel vergessen, verlieren oder beschädigen, kann die Wiederherstellung des Zugriffs deutlich aufwendiger sein.

In regulierten und risikoreichen Umgebungen sorgen Sicherheitsschlüssel als Teil eines Zero-Trust-Ansatzes (wie in Zero Trust for Microsoft 365 beschrieben) für eine kontinuierliche Überprüfung, die mit sich schnell ändernden Bedrohungsmodellen Schritt hält, und reduzieren gleichzeitig die Reibung für Benutzer.

Anwendungen für Unternehmen und regulierte Branchen: 1Kosmos 1Key und darüber hinaus

1. 1Kosmos 1Key für hohe Vertrauenswürdigkeit: Diese Lösung bietet FIDO2-konforme, passwortlose Authentifizierung, die strenge AAL3-Anforderungen nach NIST SP 800-63B erfüllt. Sie kombiniert biometrische Identitätsprüfung, Gerätevertrauen und dynamische Authentifizierungsfaktoren für privilegierte Benutzer und Konten mit hohem Risiko.
2. Verbesserte Integration in Unternehmensumgebungen: 1Key lässt sich reibungslos in Microsoft-Business-Plattformen integrieren und automatisiert die Bereitstellung von Identitäten, die Verwaltung des Zugriffslebenszyklus und die Sperrung für skalierbare Cloud-Bereitstellungen.
3. Einhaltung gesetzlicher Vorgaben: Die Plattform unterstützt sofort einsatzbereite Compliance-Zuordnungen für regulierte Branchen – Finanzwesen, Gesundheitswesen und öffentliche Verwaltung. Sie ermöglicht Identitätsprüfung, lückenlose Protokollierung und Audit-Trails, die strenge Berichtspflichten erfüllen.
4. Sicherer Zugang für Bürger und Mitarbeitende: Organisationen, die Cloud-Apps oder bürgerorientierte Portale bereitstellen, erhalten passwortlosen Zugang und behalten gleichzeitig Identitätsprüfung und Governance bei. Das reduziert den betrieblichen Aufwand durch verlorene Anmeldedaten und Passwortzurücksetzungen.
5. Synergie von Power Platform und Governance: Wenn Sie Lösungen wie 1Key in umfassendere Governance-Rahmenwerke einbinden (wie in Power Platform governance best practices beschrieben), hilft das, identitätsgetriebene Sicherheit mit den Richtlinien für Unternehmensdaten, Konnektoren und Umgebungen abzustimmen.

Verbesserung des Benutzererlebnisses und der Authentifizierung über mehrere Geräte

Wenn Benutzer und Administratoren sich in einem Punkt einig sind, dann darin, dass Passwörter nerven. Passkeys sollen das ändern, indem sie Anmeldungen einfach, intuitiv und weniger belastend machen – besonders über mehrere Geräte und Cloud-Plattformen hinweg. Mit Passkeys müssen sich Benutzer keine komplizierten Zeichenfolgen merken und nach jeder vierteljährlichen Kampagne zum Thema „Sicherheitsbewusstsein“ auch keine Passwörter mehr zurücksetzen.

Ein großer Vorteil von Passkeys ist die Authentifizierung über mehrere Geräte. Once im Schlüsselbund Ihres Kontos gespeichert (ob bei Apple, Google oder Microsoft), erhalten Sie nahezu sofortige Anmeldungen auf allen Geräten innerhalb desselben Ökosystems. Die Freigabe von Anmeldungen allein per Gesichtsscan oder Fingerabdruck beschleunigt nicht nur den Prozess, sondern reduziert auch deutlich die Reibung für Benutzer, die zwischen Geräten oder Standorten wechseln.

Aus Sicht der Akzeptanz ist die Reduzierung von Reibung entscheidend. Viele IT-Teams befürchten Widerstand gegen erzwungene Passwortrichtlinien oder steigende Helpdesk-Tickets wegen gesperrter Konten. Passkeys entschärfen dieses Problem: Benutzer müssen sich weder mit Passwörtern noch mit ständiger Anmeldeermüdung oder Zurücksetzungsschleifen auseinandersetzen. Hürden bei der Einführung liegen eher in der Kompatibilität der Ökosysteme oder der initialen Geräteeinrichtung – und beides verbessert sich derzeit rasant.

Kluge Organisationen planen ihre Einführung zuerst mit Pilotprojekten für Passkeys in kleinen Teams, sammeln Feedback und automatisieren die Geräteregistrierung. So bleibt der Prozess stabil und benutzerfreundlich, ohne Abstriche bei der Sicherheit.

Häufige Fragen, Sicherheitsschlüssel vs. Passkeys und Sicherheit beim Remotezugriff

• Sind Passkeys und Sicherheitsschlüssel dasselbe? Nicht ganz. Passkeys sind digitale FIDO2-Anmeldeinformationen, die von Ihrem Gerät bzw. Ihrer Cloud verwaltet werden. Sicherheitsschlüssel sind physische Geräte, die Sie für die Authentifizierung anstecken oder antippen. Beide basieren auf derselben kryptografischen Grundlage.
• Kann ich Passkeys auf Apple-, Google- und Windows-Geräten verwenden? Eingeschränkt. Synchronisierte Passkeys funktionieren innerhalb eines Ökosystems am besten. Plattformübergreifende Unterstützung gibt es zwar, sie ist aber nicht überall verlässlich, und die Browserunterstützung für FIDO2-Funktionen unterscheidet sich.
• Kann jemand meinen Passkey aus der Ferne stehlen? Solange Ihr Gerät (und das damit verbundene Cloud-Backup-Konto) nicht kompromittiert ist, ist ein Diebstahl von Passkeys aus der Ferne äußerst unwahrscheinlich. Die Schlüssel selbst verlassen Ihr Gerät niemals unverschlüsselt.
• Sind Passkeys für mobiles Arbeiten und Cloud-Zugriffe sicher? Ja, sofern sie mit Gerätерichtlinien und Werkzeugen wie Microsoft Defender und Purview kombiniert werden. Dann bieten Passkeys eine robuste Authentifizierung aus der Ferne und reduzieren das Risiko durch Phishing, Malware und Identitätsdiebstahl deutlich.
• Können Passwortmanager Passkeys speichern? Neuere Versionen von Managern wie 1Password, iCloud-Schlüsselbund und Google Passwortmanager unterstützen inzwischen Passkeys. Prüfen Sie bei der Integration in Ihren Identitätsablauf jedoch immer die Kompatibilität und die Unterstützung von FIDO2/WebAuthn.

Fazit, Sicherheitsvergleich und abschließende Empfehlungen

1. Das Wichtigste zur Sicherheit: Passkeys und FIDO2-Anmeldeinformationen beseitigen Passwörter und deren Schwachstellen. Bei der Benutzerfreundlichkeit liegen Passkeys für die meisten Anwender vorn, während Hardware-Sicherheitsschlüssel in Szenarien mit hohen Sicherheitsanforderungen nach wie vor die erste Wahl sind.
2. Benutzerfreundlichkeit vs. Portabilität: Synchronisierte Passkeys ermöglichen nahtlose Anmeldungen auf mehreren Geräten und eignen sich daher gut für den durchschnittlichen Anwender oder eine Unternehmensflotte. Hardware-Schlüssel sind portabler, erfordern aber, dass Sie einen physischen Token griffbereit haben.
3. Einführungsstrategie: Setzen Sie in regulierten Umgebungen auf mehrstufige Sicherheit: Kombinieren Sie Passkeys für allgemeine Benutzer, Sicherheitsschlüssel für Administratoren und Unternehmenslösungen wie 1Kosmos 1Key für AAL3-konforme Abläufe.
4. Lebenszyklus und Wiederherstellung: Planen Sie Wiederherstellungs- und Widerrufsprozesse vor der Migration. Backups und Audits (siehe Governance for AI and access control) sind entscheidend, um Ausfallzeiten und Compliance-Abweichungen zu vermeiden.
5. Zukunftssicherheit: Beobachten Sie die sich entwickelnden Standards für Interoperabilität und Compliance, insbesondere in Microsoft 365- und Azure-Umgebungen, um neuen Herausforderungen bei Identität und Bedrohungen einen Schritt voraus zu sein.

Nächste Schritte und weiterführende Literatur zur Identitätssicherheit

• Microsoft-Dokumentation: Lesen Sie die offizielle Dokumentation zu FIDO2, Passkeys und passwortlosen Einführungen in Microsoft 365 und Azure.
• Podcasts zur Identitätssicherheit: Hören Sie praxisnahe Diskussionen zu Auditing und Governance bei M365.fm: Auditing User Activity with Microsoft Purview.
• Technische Leitfäden: Lesen Sie technische Blogbeiträge zur Einrichtung und Fehlerbehebung von FIDO2- und Passkey-Authentifizierung im Unternehmensmaßstab.
• Best Practices zur Compliance: Studieren Sie NIST SP 800-63B und prüfen Sie, wie führende passwortlose Lösungen mit den Vertrauensniveaus (IAL, AAL) übereinstimmen.
• Community-Foren: Treten Sie Foren zu Sicherheit, Microsoft 365 und Identitätsverwaltung bei, stellen Sie Fragen und tauschen Sie sich mit Kollegen über praktische Umsetzungstipps aus.

🎧 Das könnte Sie auch interessieren

• Identity Governance in Microsoft Entra

  Lernen Sie praxisnahe Verantwortlichkeits- und Zugriffskontrollen für Microsoft 365 kennen.

• Microsoft 365 Governance Operating Model

  Erfahren Sie, welche Entscheidungen die Einführung von Technologie nachhaltig machen.

• AI Agents – Simply Explained

  Verstehen Sie den Governance-Kontext für KI-gestützte Arbeit.

Passkeys vs. FIDO2: Praxisnahe Empfehlungen für Unternehmen

Passkeys und FIDO2-Sicherheitsschlüssel bieten beide eine phishingresistente Authentifizierung, unterscheiden sich aber in Bezug auf Übertragbarkeit, Wiederherstellung, Gerätekontrolle und Benutzerfreundlichkeit. Ein belastbarer Rollout legt das Anmeldeinformationsmodell, den Registrierungsprozess, das Wiederherstellungsverfahren, die Anforderungen für privilegierte Benutzer und die Ausnahmen für Legacy-Anwendungen fest.

Checkliste für die Umsetzung

1. Erfassen Sie Identitätsanbieter, Browser, Geräte und unterstützte Anwendungen.
2. Wählen Sie für jedes Risikoprofil synchronisierte oder gerätegebundene Anmeldeinformationen.
3. Registrieren Sie mehrere Authentifikatoren, bevor Sie die Anmeldung erzwingen.
4. Schützen Sie die Wiederherstellung und die Identitätsprüfung am Helpdesk.
5. Testen Sie zuerst mit privilegierten Benutzern und messen Sie Fehler, bevor Sie breit ausrollen.

Häufige Fehler

• Passwortlose Anmeldung erzwingen, ohne einen Wiederherstellungsweg bereitzustellen.
• Annehmen, dass jeder Browser und jede Legacy-Anwendung dieselben Anmeldeinformationen unterstützt.
• Gemeinsam genutzte Authentifikatoren zulassen, die die Nachvollziehbarkeit schwächen.
• Gerätelebenszyklus und Verfahren für verlorene Authentifikatoren ignorieren.

Häufige Fragen

Was ist ein Passkey?

Ein Passkey ist eine FIDO-Anmeldeinformation, die auf Public-Key-Kryptografie basiert und mit einer Geste, einem biometrischen Merkmal oder einer lokalen PIN am Gerät entsperrt wird.

Was ist FIDO2?

FIDO2 ist der Authentifizierungsstandard, der auf WebAuthn und dem Client-to-Authenticator-Protokoll (CTAP) basiert und eine phishingresistente Anmeldung ermöglicht.

Sind Passkeys und FIDO2 dasselbe?

Passkeys sind ein benutzerfreundliches Anmeldeverfahren auf Basis der FIDO-Standards. FIDO2 beschreibt das umfassendere technische Ökosystem und die Authentifizierungsprotokolle.

Sind Passkeys sicherer als Passwörter?

Ja. Passkeys nutzen an die Herkunft gebundene Public-Key-Kryptografie. Eine Website kann daher kein wiederverwendbares Geheimnis erhalten, das Angreifer stehlen oder wiedergeben können.

Sind Passkeys phishingresistent?

Ja, sofern sie korrekt implementiert sind. Die Anmeldeinformation ist an den Ursprung der legitimen Website gebunden und gibt einer Phishing-Seite kein Passwort preis.

Ist ein YubiKey ein FIDO2-Passkey?

Ein YubiKey kann FIDO2-Anmeldeinformationen speichern und als Sicherheitsschlüssel dienen. Ob er als Passkey bezeichnet wird, hängt von der Anmeldeinformation und der Produktterminologie ab.

Sind Passkeys sicherer als ein YubiKey?

Keine der beiden Lösungen ist pauschal sicherer. Synchronisierte Passkeys verbessern die Wiederherstellung und die Benutzerfreundlichkeit, während hardwaregebundene Schlüssel eine starke Gerätekontrolle und Trennung bieten.

Was ist ein synchronisierter Passkey?

Ein synchronisierter Passkey wird über einen zugelassenen Anmeldeinformationsmanager oder ein Plattform-Ökosystem gesichert, sodass er auf mehreren Geräten verfügbar sein kann.

Was ist ein gerätegebundener Passkey?

Ein gerätegebundener Passkey verbleibt auf einem Authentifikator oder Gerät und wird nicht mit einer anderen Plattform synchronisiert.

Ersetzt FIDO2 Passwörter vollständig?

Für unterstützte Anwendungen kann FIDO2 Passwörter ersetzen. Organisationen benötigen dennoch Strategien für Wiederherstellung, Legacy-Authentifizierung und den Lebenszyklus von Konten.

Unterstützt Microsoft Entra ID Passkeys?

Microsoft Entra ID unterstützt FIDO2-Sicherheitsschlüssel und passkeybezogene Authentifizierungsoptionen, abhängig von der Mandantenkonfiguration und den aktuellen Dienstfunktionen.

Welche Beziehung besteht zwischen WebAuthn und Passkeys?

WebAuthn ist die Browser- und Plattform-API, mit der Websites und Identitätsanbieter Public-Key-Anmeldeinformationen erstellen und verwenden können.

Was passiert, wenn ein Benutzer ein Passkey-Gerät verliert?

Der Benutzer benötigt einen weiteren registrierten Authentifikator oder ein zugelassenes Wiederherstellungsverfahren. Unternehmen sollten mehrere Authentifikatoren registrieren, bevor sie die passwortlose Anmeldung erzwingen.

Können Passkeys auf mehreren Geräten verwendet werden?

Synchronisierte Passkeys können auf allen unterstützten Geräten verfügbar sein, gerätegebundene Anmeldeinformationen müssen dagegen auf jedem Authentifikator separat registriert werden.

Können Passkeys zwischen Benutzern geteilt werden?

Nein. Anmeldeinformationen sollten eine einzelne Person oder eine zugelassene Workload-Identität repräsentieren. Gemeinsam genutzte Authentifikatoren schwächen die Nachvollziehbarkeit.

Schützen Passkeys vor Replay-Angriffen mit Anmeldeinformationen?

Ja. Der private Schlüssel verbleibt auf dem Authentifikator, und jede Authentifizierung enthält eine Challenge, die einfaches Wiederabspielen verhindert.

Kann ein Passkey gestohlen werden?

Ein Angreifer kann ein Gerät stehlen, die Anmeldeinformation ist jedoch in der Regel durch einen lokalen Entsperrfaktor geschützt und gibt kein wiederverwendbares Passwort preis.

Was ist passwortlose Authentifizierung?

Bei der passwortlosen Authentifizierung wird ein Benutzer über einen kryptografischen Authentifikator, biometrische Daten, eine PIN oder einen Sicherheitsschlüssel verifiziert, statt über ein auswendig gelerntes Passwort.

Welche Nachteile haben Passkeys?

Herausforderungen sind Wiederherstellung, Plattforminteroperabilität, Szenarien mit gemeinsam genutzten Geräten, Legacy-Anwendungen und das Verständnis der Benutzer während des Rollouts.

Wie sollten Unternehmen die Wiederherstellung von Passkeys handhaben?

Verlangen Sie mehrere Authentifikatoren, definieren Sie die Identitätsprüfung am Helpdesk, schützen Sie die Wiederherstellungsmethoden und überwachen Sie Registrierungs- und Zurücksetzungsereignisse.

Können Passkeys mit Mobilgeräten funktionieren?

Ja. Unterstützte mobile Betriebssysteme können Passkeys über plattformeigene Authenticator oder externe Sicherheitsschlüssel erstellen und verwenden.

Funktionieren Passkeys browserübergreifend?

Die Unterstützung hängt vom Browser, Betriebssystem, Identitätsanbieter und Anmeldeinformationstyp ab. Testen Sie die relevanten Nutzerszenarien vor dem Rollout.

Sind Passkeys für Administratoren geeignet?

Ja. Besonders wertvoll sind sie für privilegierte Benutzer, die phishingresistente Authentifizierung und getrennte administrative Identitäten verwenden sollten.

Wie wirken sich Passkeys auf die bedingte Zugriffssteuerung aus?

Sie können starke Authentifizierungsanforderungen erfüllen, sofern der Identitätsanbieter den Authenticator erkennt und die Bedingungen der Richtlinie erfüllt sind.

Wie sollten Passkeys ausgerollt werden?

Beginnen Sie mit privilegierten Benutzern und Benutzern mit hohem Risiko, legen Sie eine Wiederherstellung fest, führen Sie einen Pilotbetrieb mit repräsentativen Geräten durch und erweitern Sie dann mit Kennzahlen zur Registrierung und zum Support.

Was sollte nach der Bereitstellung überwacht werden?

Überwachen Sie Registrierungen, Authentifizierungsfehler, Wiederherstellungsereignisse, Umgehungen von Richtlinien, das Aufkommen am Help Desk und das Anmelderisiko.

Ersetzen Passkeys die MFA?

Ein Passkey kann eine phishingresistente Multi-Faktor-Authentifizierung bieten, wenn er den Besitz des Authenticators mit einem lokalen Entsperrfaktor kombiniert.

Können Passkeys Dienstkonten schützen?

Passkeys für Benutzer ersetzen keine Workload-Identitäten. Verwenden Sie für Dienste verwaltete Identitäten, Zertifikate oder andere geeignete nicht-menschliche Anmeldeinformationen.

Was ist der wichtigste Nutzen für Unternehmen?

Der wichtigste Nutzen ist die Reduzierung des Phishing- und Passwortzurücksetzungsrisikos bei gleichzeitig verbesserter Anmeldesicherheit und Nutzererfahrung.

Was ist der erste Implementierungsschritt?

Erfassen Sie Anwendungen und Benutzer, prüfen Sie die Unterstützung durch den Identitätsanbieter, legen Sie die Wiederherstellung fest und testen Sie eine kleine Gruppe im Pilotbetrieb, bevor Sie die passwortlose Anmeldung erzwingen.

Weitere relevante Ressourcen von M365.fm: M365.fm Learning Hub, Microsoft 365 governance checklist und Microsoft Copilot security model.