Der ultimative Leitfaden zur passwortlosen Authentifizierung in Microsoft 365

Von Mirko Peters · 2026-08-27

Willkommen zurück, liebe Zuhörer und Leser! Wenn Sie unsere neueste Podcast-Folge gehört haben, wissen Sie, dass wir eines der drängendsten Cybersecurity-Themen unserer Zeit ausführlich behandelt haben: die Abschaffung des klassischen Passworts. In diesem begleitenden Blogbeitrag vertiefen wir dieses Gespräch und zeigen Ihnen einen umfassenden, sehr praxisnahen Fahrplan, wie Sie Passwörter in Ihre

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Titelbild: The Ultimate Guide to Passwordless Authentication in Microsoft 365

Machen wir uns nichts vor: Passwörter sind grundsätzlich nicht mehr zeitgemäß. Jahr für Jahr bestätigen Datenschutzverletzungen, dass gestohlene, schwache oder mehrfach verwendete Zugangsdaten nach wie vor der wichtigste Angriffsvektor sind. Phishing-Kampagnen sind inzwischen so ausgefeilt, dass selbst besonders sicherheitsbewusste Mitarbeiter gelegentlich darauf hereinfallen. Hier kommt das Zeitalter von Zero Trust ins Spiel. In einer Zero-Trust-Architektur gilt der Grundsatz „Niemals vertrauen, immer überprüfen“. Eine echte Zero-Trust-Haltung lässt sich kaum erreichen, solange Sie sich auf eine geheime Zeichenfolge verlassen, die Nutzer auf Haftnotizen notieren, auf mehreren Websites wiederverwenden oder auf einer gefälschten Anmeldeseite leichtfertig an einen cleveren Angreifer weitergeben.

Glücklicherweise bietet Microsoft 365 eine leistungsstarke Auswahl an passwortlosen Authentifizierungsmethoden. Wenn Sie Ihre Organisation von Passwörtern wegführen, reduzieren Sie Ihre Angriffsfläche deutlich, verhindern Diebstahl von Zugangsdaten und verbessern – ironischerweise – zugleich die Benutzererfahrung. Schluss mit Passwortzurücksetzungen, die die Zeit Ihres Helpdesks fressen, und Schluss mit frustrierten Mitarbeitern, die montagmorgens von ihren Konten ausgesperrt sind. Schauen wir uns das Werkzeugset an und sehen wir uns an, wie Sie ein nahtloses, passwortloses Unternehmen umsetzen.

Die Werkzeuge für passwortlose Anmeldung in Microsoft 365 im Überblick

Bevor wir uns den Bereitstellungsstrategien widmen, sollten wir die Werkzeuge in unserem Arsenal durchgehen. Microsoft Azure Active Directory (heute bekannt als Microsoft Entra ID) unterstützt mehrere primäre Mechanismen für die passwortlose Authentifizierung. Jeder davon eignet sich für eine etwas andere Nutzergruppe, einen anderen Gerätestatus und einen anderen geschäftlichen Anwendungsfall.

Zuerst gibt es Windows Hello for Business. Das ist der Goldstandard für dedizierte Unternehmensgeräte mit Windows. Es ersetzt Passwörter durch eine starke Zwei-Faktor-Authentifizierung, die aus einer gerätespezifischen Anmeldeinformation besteht, die entweder an ein biometrisches Merkmal (etwa einen Fingerabdruck oder die Gesichtserkennung) oder an eine PIN gebunden ist. Der private Schlüssel verlässt niemals die Gerätehardware und ist dadurch immun gegen Datenlecks auf Serverseite.

Zweitens gibt es FIDO2-Sicherheitsschlüssel und Passkeys. Dabei handelt es sich um hardwarebasierte Token (etwa einen YubiKey) oder plattformbasierte Passkeys, die auf offenen Standards der FIDO Alliance beruhen. Sie sind von Haus aus phishingresistent, weil der kryptografische Challenge-Response-Mechanismus sicherstellt, dass eine Anmeldeinformation nur auf genau der Domäne verwendet werden kann, für die sie registriert wurde. Landet ein Nutzer auf einer Phishing-Seite, verweigert der Schlüssel die Signatur.

Drittens gibt es die Microsoft Authenticator-App. Für Organisationen mit mobil arbeitenden Mitarbeitern, BYOD-Szenarien (Bring Your Own Device) oder hybriden Umgebungen bietet die Zahlenabgleich-Funktion in der Authenticator-App ein reibungsloses Push-Benachrichtigungserlebnis, mit dem Nutzer ihre Identität sicher und schnell bestätigen müssen.

Schließlich gibt es das Temporary Access Pass (TAP). Es ist zwar keine Standardmethode für die tägliche Anmeldung, aber TAP ist die entscheidende Brücke, mit der Sie neue Nutzer einarbeiten, gesperrte Konten wiederherstellen oder neue Hardware bereitstellen können, ohne jemals ein temporäres, unsicheres Legacy-Passwort ausgeben zu müssen.

Windows Hello for Business für Unternehmensgeräte bereitstellen

Wenn Ihre Organisation stark auf Geräte mit Windows 10 und Windows 11 setzt, sollte Windows Hello for Business (WHfB) das Fundament Ihres passwortlosen Wegs sein. Die Bereitstellung von WHfB erfordert sorgfältige Planung rund um Zertifizierungsstellen sowie das Cloud-Trust- oder Key-Trust-Modell, doch der Nutzen ist enorm.

Bei der Implementierung von WHfB stehen Ihnen zwei grundlegende Bereitstellungsmodelle zur Auswahl: Cloud Trust und Hybrid Key Trust. Für moderne, cloudorientierte Organisationen ist das Microsoft Entra Cloud Trust-Modell ein echter Gamechanger. Es vereinfacht die Bereitstellungsarchitektur, weil die Abhängigkeit von der Synchronisierung der Public Key Infrastructure (PKI) mit den Domänencontrollern entfällt. Die Authentifizierung erfolgt stattdessen direkt in der Cloud und nutzt dafür die Erweiterungen des Kerberos-Protokolls.

Für den Einstieg konfigurieren Sie die Richtlinie für Windows Hello for Business über Microsoft Intune. Navigieren Sie zu Ihren Endpunktsicherheitsrichtlinien und stellen Sie sicher, dass die Anforderungen an die PIN-Komplexität festgelegt sind, biometrische Verfahren aktiviert sind und Anti-Spoofing-Funktionen eingeschaltet werden, sofern die Gerätehardware dies unterstützt. Außerdem sollten Sie festlegen, ob Benutzer ein Hardware-Sicherheitsmodul verwenden müssen. Für unternehmenstaugliche Sicherheit ist TPM 2.0 zwingend erforderlich.

Kommunizieren Sie bei der Einführung klar mit Ihren Endbenutzern. Erklären Sie ihnen, dass ihre Windows-PIN ausschließlich an ihr physisches Notebook gebunden ist und nicht über das Netzwerk abgefangen werden kann. Sobald Benutzer sich per Gesichtserkennung oder mit einer kurzen PIN anmelden, die einen sicheren Hardware-Enclave entsperrt, werden sie kein komplexes alphanumerisches Passwort mit 16 Zeichen mehr eintippen wollen.

FIDO2-Sicherheitsschlüssel und Passkeys nutzen

Windows Hello for Business ist für Windows-Endgeräte hervorragend geeignet. Doch wie sieht es mit Mac-Benutzern, Linux-Entwicklern, gemeinsam genutzten Arbeitsstationen oder Mitarbeitenden aus, die zwischen mehreren Geräten wechseln? Genau hier spielen FIDO2-Sicherheitsschlüssel und Passkeys ihre Stärken aus.

FIDO2-Schlüssel stellen die Spitze der phishingresistenten Authentifizierung dar. Da das Authentifizierungsprotokoll auf asymmetrischer Kryptografie basiert, lässt sich das auf dem Sicherheitsschlüssel gespeicherte Anmeldeinformationsobjekt weder durch Phishing abgreifen noch durch einen Man-in-the-Middle-Angriff stehlen oder aus einer Datenbank nach einem Datenleck auslesen. Wenn Benutzer ihren USB-Sicherheitsschlüssel einstecken (oder per NFC antippen) und den Sensor berühren, wird eine kryptografische Bestätigung an Microsoft Entra ID gesendet.

Die Nutzung von FIDO2-Schlüsseln setzt voraus, dass die Funktion in der Authentifizierungsmethoden-Richtlinie von Microsoft Entra aktiviert wird. Sie können diese Richtlinie auf bestimmte Pilotgruppen beschränken, etwa zunächst auf IT-Administratoren und die Geschäftsführung, bevor Sie sie auf die gesamte Organisation ausweiten. Wichtig ist, die Registrierungsanforderungen durchzusetzen. Benutzer sollten ihre Schlüssel entweder noch in einer sicheren Unternehmensumgebung registrieren oder über ein verifiziertes Onboarding-Verfahren.

Sehen Sie sich außerdem Plattform-Passkeys an, die in Betriebssysteme wie iOS, Android und macOS integriert sind. Damit können Benutzer die integrierten biometrischen Sensoren ihres Smartphones (FaceID, TouchID oder die Biometrie von Android) nutzen, um sich browserübergreifend und geräteübergreifend sicher bei Microsoft 365-Diensten anzumelden. Sie schließen so die Lücke zwischen Hardware-Token und alltäglicher Bequemlichkeit.

Mobilen Zugriff mit Microsoft Authenticator erschließen

Nicht jeder Mitarbeitende in Ihrem Unternehmen sitzt an einem Schreibtisch mit einem eigenen Notebook oder einem Hardware-Sicherheitsschlüssel. Frontline-Mitarbeitende, Technikerinnen und Techniker im Außendienst sowie externe Mitarbeitende arbeiten häufig in mobilen Umgebungen. Für diese Benutzer ist die Microsoft Authenticator-App das ideale Mittel für die passwortlose Anmeldung.

Um Microsoft Authenticator in einen passwortlosen Zustand zu versetzen, müssen Sie die Telefonanmeldung konfigurieren. Ist die Telefonanmeldung aktiviert, gibt der Benutzer seinen Benutzernamen ein. Statt nach einem Kennwort gefragt zu werden, erhält er eine Benachrichtigung auf sein Mobilgerät. Die Authenticator-App fordert den Benutzer auf, die auf seinem Anmeldebildschirm angezeigte Zahl einzugeben. Anschließend ist eine biometrische Bestätigung erforderlich (FaceID, Fingerabdruck oder PIN).

Diese Implementierung beseitigt das Risiko von Push-Fatigue-Angriffen vollständig. Dabei überfluten Angreifer einen Benutzer so lange mit Push-Benachrichtigungen, bis dieser versehentlich eine davon genehmigt. Durch die Zahlenabgleich-Funktion muss der Benutzer den Anmeldebildschirm *tatsächlich* betrachten, die Zahl ablesen und auf seinem Telefon eingeben. Wenn er sich gerade nicht anmeldet, tippt er einfach auf „Ich bin es nicht“. Dadurch können automatisierte Risikorichtlinien in Microsoft Entra ID ausgelöst werden, die den Angreifer blockieren und das Konto markieren.

Achten Sie beim Einsatz von Microsoft Authenticator für die passwortlose Anmeldung darauf, dass gerätebezogene Sicherheitsrichtlinien durchgesetzt werden. Verlangen Sie innerhalb der Authenticator-App selbst eine App-Sperre. Zudem sollten Sie sicherstellen, dass das mobile Gerät über Microsoft Intune verwaltet wird oder durch bedingten Zugriff geschützt ist, der konforme Betriebssystemversionen voraussetzt.

Onboarding und Wiederherstellung mit einem temporären Zugangscode (TAP) verwalten

Eines der häufigsten Bedenken von Organisationen, wenn sie eine passwortlose Strategie in Betracht ziehen, ist das Henne-Ei-Dilemma beim Onboarding. Wie authentifizieren Sie einen brandneuen Mitarbeiter, der noch keinen Sicherheitsschlüssel, kein registriertes Telefon und keine Windows-Hello-PIN besitzt? Traditionell gaben Organisationen ein temporäres, leicht zu erratendes Initialkennwort aus. Das schafft jedoch genau zu Beginn des Mitarbeiter-Lebenszyklus ein angreifbares Zeitfenster.

Hier kommt der Temporary Access Pass (TAP) ins Spiel. Ein TAP ist eine zeitlich begrenzte, auf Passcodes basierende Authentifizierungsmethode, die Sie in Microsoft Entra ID konfigurieren können, damit Benutzer ihre passwortlosen Authentifizierungsmethoden registrieren können. Ein TAP kann nur einmal verwendet werden (oder mehrfach, wenn er für bestimmte Migrationsszenarien konfiguriert ist), hat eine strikte Gültigkeitsdauer von Minuten bis Stunden und kann sicher von einem Administrator oder Helpdesk erstellt werden.

Schauen wir uns ein reales Onboarding-Szenario mit einem TAP an:

Die Personalabteilung startet einen Workflow für neue Mitarbeitende, und die IT legt das Benutzerkonto in Microsoft Entra ID an.
Ein Administrator erstellt einen Temporary Access Pass mit einer Ablaufzeit von einer Stunde und übermittelt ihn dem neuen Mitarbeiter sicher über einen Out-of-Band-Kanal, etwa eine verschlüsselte Textnachricht oder ein verschlüsseltes Onboarding-Portal.
Der neue Mitarbeiter meldet sich an seinem neuen Laptop oder Browser ausschließlich mit dem TAP an.
Da der TAP die Anforderungen an eine starke Authentifizierung erfüllt, wird der Benutzer sofort aufgefordert, seine dauerhaften passwortlosen Anmeldedaten zu registrieren, etwa durch die Einrichtung von Windows Hello for Business, die Registrierung eines FIDO2-Schlüssels oder die Registrierung der Microsoft-Authenticator-App.
Nach der Registrierung läuft der TAP ab, und der Benutzer arbeitet vom ersten Tag an vollständig ohne Kennwort.

Auch für die Wiederherstellung von Konten ist der TAP ein echter Fortschritt. Verliert ein Mitarbeiter seinen Sicherheitsschlüssel oder bekommt ein neues Telefon, muss der Helpdesk kein Ersatzkennwort ausgeben. Er erstellt einfach einen TAP, mit dem sich der Benutzer sicher authentifizieren und sein Ersatzgerät oder seinen Ersatz-Token selbst einrichten kann.

Bewährte Methoden für den Aufbau einer umfassenden passwortlosen Strategie

Ein ganzes Unternehmen von Kennwörtern zu lösen, gelingt nicht auf Knopfdruck. Es erfordert einen strategischen, phasenweisen Rollout. Wie wir im Podcast besprochen haben, sind Change Management und die Durchsetzung von Richtlinien genauso wichtig wie die Technologie selbst. Hier sind die wichtigsten bewährten Methoden, damit Ihre Umstellung auf passwortlose Anmeldung ein voller Erfolg wird.

1. Einen phasenweisen Rollout planen

Versuchen Sie nicht, die passwortlose Anmeldung unternehmensweise an einem einzigen Wochenende per „Big Bang“ einzuführen. Beginnen Sie mit Ihren IT- und Sicherheitsteams. Sie kennen die Technik, können Sonderfälle beheben und dienen als interne Fürsprecher. Danach rollen Sie die Lösung auf die Führungsebene und technikaffine Fachbereiche aus. Sobald die operativen Stolpersteine beseitigt sind, weiten Sie den Rollout auf die allgemeinen Büroangestellten aus und nehmen sich zuletzt die Frontline oder spezialisierte Produktionsumgebungen vor.

2. Conditional-Access-Richtlinien gezielt einsetzen

Passwortlose Richtlinien müssen eng in Microsoft Entra Conditional Access integriert werden. Erstellen Sie Richtlinien, die für den Zugriff auf sensible Cloud-Apps phishingresistente Authentifizierungsmethoden verlangen, während Sie veraltete Methoden für weniger kritische Anwendungen während einer Übergangsphase vorübergehend zulassen können. Nutzen Sie Sitzungssteuerungen, um die Lebensdauer von Sitzungen zu begrenzen und eine erneute Authentifizierung zu erzwingen, sobald Risikosignale deutlich zunehmen.

3. In Benutzerschulung und Change Management intensiv investieren

Technologische Veränderungen scheitern, wenn Menschen außen vor gelassen werden. Benutzer sind an Kennwörter gewöhnt; sie verwenden sie seit Jahrzehnten. Sie müssen erklären, *warum* Sie diesen Wechsel vollziehen. Stellen Sie die passwortlose Anmeldung nicht als IT-Vorgabe dar, sondern als Schutzmaßnahme, die ihnen den Alltag erleichtert: keine komplizierten Kennwörter mehr, die man vergisst, keine erzwungenen vierteljährlichen Kennwortwechsel und blitzschnelle Anmeldungen.

4. Ausweichlösungen und Sonderfälle einplanen

Rechnen Sie immer damit, dass etwas schiefgeht. Was passiert, wenn ein Benutzer auf einer Geschäftsreise sein Telefon zerbricht? Was, wenn ein Hardware-Sicherheitsschlüssel in eine Pfütze fällt? Etablieren Sie klare, sichere Abläufe mit Temporary Access Passes und verifizierten Identitätsprüfungen durch den Helpdesk, damit Benutzer schnell wieder Zugang erhalten, ohne die Sicherheit der Organisation zu gefährden.

Indem Sie Windows Hello for Business, FIDO2-Sicherheitsschlüssel, Microsoft Authenticator und Temporary Access Pässe kombinieren, können Sie endlich das Kapitel der anfälligen, veralteten Passwort-Ära abschließen. Die Werkzeuge sind verfügbar, die Architektur ist erprobt und die Sicherheitsvorteile sind unbestreitbar. Es ist an der Zeit, in die Zukunft einer echten, passwortlosen Zero-Trust-Architektur zu treten.

Vielen Dank fürs Mitlesen! Falls Sie noch nicht abonniert haben, abonnieren Sie unbedingt den Podcast, teilen Sie diesen Beitrag mit Ihrem Security-Team und bleiben Sie dran für unsere nächste Deep-Dive-Episode, in der wir uns fortgeschrittenem Threat Hunting in Microsoft Defender widmen!