Synchronisierte und gerätegebundene Passkeys in Microsoft Entra ID: Welche sollten Sie verwenden?

Von Mirko Peters · 2026-10-28

Vergleichen Sie synchronisierte und gerätegebundene Passkeys in Microsoft Entra ID. Erfahren Sie, welche Authentifizierungsmethode sich für den Arbeitsalltag der Benutzer eignet und welche für IT-Administratoren.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Bei der Einführung moderner Authentifizierung ist die Wahl zwischen synchronisierten und gerätegebundenen Passkeys in Microsoft Entra ID die wichtigste architektonische Entscheidung, vor der IT-Verantwortliche stehen. Beide Optionen beseitigen verwundbare Passwörter und wehren KI-gestützte Phishing-Angriffe ab. Sie unterscheiden sich jedoch deutlich darin, wie sie mit Geräteverlust, Cloud-Synchronisierung und administrativer Transparenz umgehen.

Das Wichtigste in Kürze

• Synchronisierte Passkeys speichern Anmeldedaten in vertrauenswürdigen Cloud-Konten wie iCloud oder Google. Dadurch lassen sie sich auf mehrere Geräte übertragen und überstehen den Verlust eines Telefons.
• Gerätegebundene Passkeys verbleiben ausschließlich auf einer einzelnen physischen Einheit, etwa einem Hardware-Sicherheitsschlüssel oder der Microsoft Authenticator-App, und lassen sich nicht synchronisieren.
• Microsoft empfiehlt synchronisierte Passkeys für allgemeine Mitarbeiter im Unternehmen, da sie sehr bequem sind und die Reibung im Alltag verringern.
• IT-Administratoren und Konten mit hohen Berechtigungen sollten gerätegebundene Hardware-Schlüssel verwenden, um die vollständige Kontrolle über die Anmeldedaten zu behalten.
• Microsoft Entra ID unterstützt beide Arten von Anmeldedaten. Unternehmen können so die Produktivität der Benutzer mit strengen Sicherheitsrichtlinien in Einklang bringen.

Synchronisierte Passkeys im Unternehmenskontext verstehen

Synchronisierte Passkeys vereinen Sicherheit und Komfort wie kaum eine andere Lösung für den modernen Arbeitsplatz. Wenn ein Benutzer auf seinem Mobilgerät oder Arbeitsplatzrechner einen synchronisierten Passkey erstellt, wird der private Schlüssel verschlüsselt und im Konto eines vertrauenswürdigen Cloud-Anbieters gespeichert, etwa im Apple iCloud-Schlüsselbund, im Google-Passwort-Manager oder bei Drittanbieterlösungen wie 1Password und Dashlane. Diese zugrunde liegende Architektur sorgt dafür, dass die Anmeldedaten nahtlos mit dem Benutzer über dessen gesamtes Ökosystem mitwandern.

Kauft ein Mitarbeiter einen neuen Laptop oder ersetzt er ein beschädigtes Smartphone, stellt die Anmeldung am Cloud-Konto sofort den Zugriff auf seine Passkeys wieder her. Laut Daten, die Microsoft hervorhebt, registrieren etwa 99 Prozent der Benutzer erfolgreich synchronisierte Passkeys. Die Anmeldung ist dabei rund vierzehnmal schneller als mit herkömmlichen Passwörtern in Kombination mit Multifaktor-Authentifizierung. Für Standard-Wissensarbeiter, die mit Microsoft 365-Anwendungen wie Teams und Outlook arbeiten, entfallen durch synchronisierte Passkeys Reibungsverluste, während sich die allgemeine Sicherheit der Organisation erhöht.

Diese Bequemlichkeit bringt allerdings einen Haken in Sachen Transparenz für IT-Administratoren mit sich. Da sich synchronisierte Passkeys über Cloud-Ökosysteme hinweg replizieren, verlieren Administratoren die genaue Kontrolle darüber, welche Geräte eine Kopie des privaten Schlüssels besitzen. Diese fehlende Hardware-Isolation macht synchronisierte Varianten für Rollen mit hohen Berechtigungen wenig geeignet, bei denen absolute Gewissheit über die Grenzen der Anmeldedaten unverzichtbar ist.

Die Rolle gerätegebundener Passkeys für privilegierte Benutzer

Im Gegensatz zu ihren cloudsynchronisierten Pendants sind gerätegebundene Passkeys dauerhaft an eine einzelne physische Hardware gebunden. Der private Schlüssel wird direkt auf dem Gerät erzeugt und kann es physisch nicht verlassen. Dazu zählen dedizierte physische Hardware-Sicherheitsschlüssel ebenso wie Passkeys, die lokal in der Microsoft Authenticator-App gespeichert sind.

Für IT-Administratoren und Konten, die den Zugang zum Unternehmensnetzwerk kontrollieren, sind gerätegebundene Passkeys der Goldstandard. Verliert ein Mitarbeiter ein Telefon, auf dem ein gerätegebundener Passkey in der Authenticator-App eingerichtet ist, verschwindet genau dieser Berechtigungsnachweis zusammen mit dem Gerät. Es gibt kein Cloud-Backup, das ihn automatisch wiederherstellt. Dadurch entfällt das Risiko einer cloudbasierten Replikation von Anmeldeinformationen vollständig.

Dieser Ansatz bringt Herausforderungen bei der Wiederherstellung mit sich, wenn der physische Token verloren geht oder beschädigt wird. Er bietet jedoch die kompromisslose Sicherheit, die für die Verwaltung der Azure-Infrastruktur und für die Rolle des globalen Administrators erforderlich ist. Organisationen können diese strengen Vorgaben in Microsoft Entra ID durchsetzen, indem sie Attestierungseinstellungen nutzen, um hardwaregestützte Authentifizierung zwingend vorzuschreiben.

Die Zielkonflikte bei Microsoft Entra ID managen

Passkeys erfolgreich im gesamten Unternehmen einzuführen, erfordert, sich der betrieblichen Zielkonflikte bewusst zu sein, die jedes Format mit sich bringt. Die Einführung von Passkeys ist kein Zukunftskonzept mehr: Microsoft Entra ID macht Passkeys zur Standardanmeldung und stellt die SMS- und Sprachcodes schrittweise ein. Unternehmen müssen daher eine Strategie mit zwei Schienen entwickeln.

Für die breite Masse der Mitarbeitenden sorgt die Einführung synchronisierter Passkeys für eine hohe Akzeptanz, reduziert Helpdesk-Tickets zum Zurücksetzen von Passwörtern und verbessert die Erfolgsquote bei der Authentifizierung deutlich. Das Nutzungserlebnis bleibt schnell und stützt sich auf vertraute biometrische Abfragen wie Gesichtserkennung oder Fingerabdruckscan.

Für privilegierte Benutzer hingegen schafft die verpflichtende Nutzung gerätegebundener Hardware-Sicherheitsschlüssel eine harte Barriere gegen ausgefeilte Cyberbedrohungen. Unternehmen müssen klare Wiederherstellungsprozesse für verlorene Hardware-Token festlegen. So stellen sie sicher, dass Administratoren in Entra ID schnell Zugriffe widerrufen können, ohne die Integrität des Identitätssystems zu gefährden.

Fazit

Die Wahl zwischen synchronisierten und gerätegebundenen Passkeys ist keine Suche nach einer universellen Lösung, sondern eine Frage der Zuordnung: Die richtige Sicherheitsmaßnahme für das jeweilige Benutzerprofil. Wenn Sie synchronisierte Passkeys für die tägliche Produktivität und gerätegebundene Hardware-Schlüssel für Administrationsteams einsetzen, erreichen Sie optimale Sicherheit, ohne die Benutzerfreundlichkeit zu opfern. Um die technischen Hintergründe dieser Berechtigungsnachweise genauer kennenzulernen, können Sie die vollständige Episode anhören im M365 FM Podcast, in der Experten die moderne Sicherheit der Microsoft-Cloud diskutieren.

Häufige Fragen

Kann ich synchronisierte Passkeys für Administratorkonten in Microsoft Entra ID verwenden?

Technisch ist das möglich, Microsoft empfiehlt IT-Administratoren und hoch privilegierten Rollen jedoch dringend gerätegebundene Hardware-Schlüssel, um die unautorisierte Replikation von Anmeldeinformationen in der Cloud zu verhindern.

Was passiert mit einem synchronisierten Passkey, wenn ich mein Smartphone verliere?

Es passiert nichts Dramatisches. Da synchronisierte Passkeys sicher im Konto Ihres vertrauenswürdigen Cloud-Anbieters gesichert sind, stellt die Anmeldung auf einem neuen Gerät mit demselben Konto Ihre Passkeys sofort wieder her.

Sind gerätegebundene Passkeys mit der Microsoft Authenticator-App kompatibel?

Ja. In der Microsoft Authenticator-App gespeicherte Passkeys gelten als gerätegebunden. Das bedeutet, dass sie an das jeweilige Telefon gebunden bleiben und nicht mit externen Cloud-Schlüsselbunden synchronisiert werden.

Können Administratoren bestimmte Passkey-Typen in Microsoft Entra ID erzwingen?

Ja. Administratoren können Attestierungsrichtlinien in Microsoft Entra ID verwenden, um die Anmeldung in Hochsicherheitsumgebungen ausschließlich auf gerätegebundene Passkeys zu beschränken.