Warum Passkeys jetzt relevant sind
Passkeys ersetzen Passwörter nicht nur durch eine bequemere Anmeldung. Sie verändern das Sicherheitsmodell. Statt ein gemeinsames Geheimnis einzugeben, das auf einer gefälschten Login-Seite abgegriffen werden kann, wird bei Passkeys ein kryptografisches Schlüsselpaar verwendet. Der private Schlüssel bleibt am Gerät oder in einem verwalteten Schlüsselbund. Der Dienst sieht nur den öffentlichen Schlüssel. Die Anmeldung ist an die echte Domain gebunden und wird lokal per Fingerabdruck, Gesichtserkennung, PIN oder Sicherheitsschlüssel bestätigt.
Für Unternehmen ist das besonders spannend, weil viele echte Vorfälle mit gestohlenen Zugangsdaten beginnen. Phishing, MFA-Push-Müdigkeit und wiederverwendete Passwörter sind im Alltag schwer vollständig zu kontrollieren. Passkeys reduzieren diese Angriffsfläche deutlich. Trotzdem sind sie kein Selbstläufer. Wer sie ohne Konzept aktiviert, bekommt neue Supportfälle: verlorene Geräte, private Apple- oder Google-Konten, unklare Recovery-Wege und Anwendungen, die Passkeys nur halb unterstützen.
Chancen für KMU und IT-Teams
Der größte Vorteil ist Phishing-Resistenz. Ein Passkey funktioniert nur für den Dienst, für den er erstellt wurde. Selbst wenn ein Benutzer auf einer nachgebauten Microsoft-365- oder Google-Workspace-Seite landet, kann der Angreifer den Passkey nicht sinnvoll weiterverwenden. Das ist ein qualitativer Unterschied zu SMS-Codes, TOTP-Apps oder Push-Freigaben, die Menschen unter Stress trotzdem bestätigen können.
Der zweite Vorteil ist weniger Reibung. Mitarbeiter müssen sich keine komplexen Passwörter merken und tippen weniger Codes ab. Gerade in kleinen Unternehmen, in denen IT-Sicherheit oft als Zusatzaufwand wahrgenommen wird, ist das wichtig. Gute Sicherheit wird eher akzeptiert, wenn sie den Arbeitsalltag erleichtert. Passkeys können außerdem Helpdesk-Aufwand senken, weil Passwort-Resets seltener werden. Das funktioniert aber nur, wenn die Geräteverwaltung und Wiederherstellung vorher geregelt sind.
Risiken, die man vorher klären muss
Passkeys verschieben Risiken. Das Passwort verschwindet nicht immer sofort, sondern bleibt oft als Fallback bestehen. Wenn dieser Fallback schwach ist, ist der Sicherheitsgewinn begrenzt. Deshalb sollte man prüfen, ob der Anbieter Passkeys wirklich als phishing-resistente MFA erzwingen kann oder nur als zusätzliche bequeme Login-Methode anbietet.
Ein zweites Thema ist Geräteeigentum. Dürfen Passkeys auf privaten Smartphones liegen? Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt? Können Administratoren nachvollziehen, welche Authentifizierungsmethoden registriert sind? In Microsoft Entra ID, Google Workspace und vielen SaaS-Diensten unterscheiden sich die Antworten. Für kritische Rollen wie Geschäftsführung, Buchhaltung und Admins sollte man private Schlüsselbunde vermeiden oder zumindest mit klaren Regeln arbeiten.
Außerdem sollte man Synchronisation bewusst bewerten. Synchronisierte Passkeys über Apple, Google oder Passwortmanager sind für viele Benutzer angenehm, können aber private und berufliche Kontexte vermischen. Gerätegebundene Passkeys oder Hardware-Keys sind strenger kontrollierbar, dafür im Alltag etwas weniger komfortabel. Die richtige Wahl hängt davon ab, wie kritisch die Konten sind und wie gut Geräte bereits verwaltet werden.
Auch Recovery ist entscheidend. Ein verlorenes Notebook darf nicht bedeuten, dass niemand mehr auf das Konto kommt. Gleichzeitig darf Wiederherstellung nicht der schwächste Weg in das Konto sein. Unternehmen brauchen daher dokumentierte Verfahren: Identitätsprüfung, temporäre Zugriffsmethoden, Entfernen verlorener Authentifikatoren und Nachregistrierung auf einem neuen Gerät.
Technische Voraussetzungen
Vor dem Rollout sollte die IT eine kurze Bestandsaufnahme machen. Welche Identitätsplattform ist führend? Werden Geräte zentral verwaltet? Welche Browser und Betriebssysteme sind im Einsatz? Passkeys funktionieren heute breit, aber die Verwaltungsqualität hängt stark vom Ökosystem ab. Windows Hello for Business, Apple Platform SSO, Android Enterprise, FIDO2-Sicherheitsschlüssel und verwaltete Browser-Profile sind nicht austauschbar, auch wenn sie für Benutzer ähnlich aussehen.
Für viele KMU ist ein gemischter Ansatz sinnvoll. Standardbenutzer registrieren einen gerätegebundenen Passkey auf dem verwalteten Firmenlaptop. Personen mit hohem Risiko bekommen zusätzlich einen Hardware-Sicherheitsschlüssel als Backup oder verpflichtenden Faktor. Für Admin-Konten sollte es eigene, stärker geschützte Geräte oder separate FIDO2-Keys geben. Wichtig ist, dass Passkeys nicht isoliert betrachtet werden. Conditional Access, Gerätekonformität, MDM, Passwort-Policies und Logging gehören zum selben Konzept.
Rollout-Plan in fünf Phasen
Phase eins ist ein Pilot mit wenigen technisch fitten Benutzern. Dabei geht es nicht um perfekte Abdeckung, sondern um echte Alltagsszenarien: Anmeldung am Laptop, Zugriff auf Microsoft 365 oder Google Workspace, VPN, Passwortmanager, CRM und zentrale SaaS-Tools. Jeder Fehler wird dokumentiert, besonders Recovery und Gerätewechsel.
Phase zwei definiert Regeln. Welche Benutzergruppen starten zuerst? Welche Geräte sind erlaubt? Gibt es private Smartphones als Übergangslösung? Welche Konten müssen Hardware-Keys verwenden? Diese Regeln gehören in eine kurze interne Richtlinie, nicht nur in ein Ticket.
Phase drei ist die technische Aktivierung. Admins konfigurieren Passkey-Methoden, erlaubte Authentifikatoren, Conditional-Access-Regeln und Monitoring. Parallel werden alte MFA-Methoden nicht sofort abgeschaltet, sondern bewertet. SMS sollte möglichst rasch verschwinden, TOTP kann als Übergang bleiben, Push-MFA braucht Nummernabgleich oder zusätzliche Kontrollen.
Phase vier ist die breite Registrierung. Hier zählt Kommunikation: kurze Anleitung, klare Termine, erreichbarer Support. Besser ist ein geplanter Registrierungsslot als eine E-Mail mit der Bitte, irgendwann etwas einzurichten. Phase fünf härtet nach. Sobald genügend Abdeckung erreicht ist, werden schwächere Fallbacks eingeschränkt und kritische Rollen strenger behandelt.
Betrieb und Kontrolle
Nach dem Rollout beginnt der eigentliche Betrieb. Die IT sollte regelmäßig prüfen, welche Benutzer noch keine Passkeys haben, welche unsicheren Methoden aktiv sind und ob Anmeldungen aus ungewöhnlichen Ländern oder von nicht verwalteten Geräten stattfinden. Für Admins braucht es eigene Reviews. Ein Admin-Konto mit altem Passwort-Fallback kann den gesamten Rollout entwerten.
Auch Offboarding muss angepasst werden. Beim Austritt werden Geräte zurückgesetzt, Passkeys entfernt, Sicherheitsschlüssel eingesammelt und Sessions widerrufen. Bei Geräteverlust sollte der Ablauf ähnlich klar sein: Gerät sperren, Authentifikator entfernen, Konto prüfen, neues Gerät registrieren. Diese Prozesse sollten nicht erst im Notfall erfunden werden.
Fazit: Passkeys sind ein Prozess
Passkeys sind einer der sinnvollsten nächsten Schritte gegen Phishing und Kontoübernahmen. Für KMU können sie Sicherheit und Bedienbarkeit gleichzeitig verbessern. Der Erfolg hängt aber am Betriebskonzept: verwaltete Geräte, klare Recovery-Wege, saubere Fallback-Regeln und regelmäßige Kontrolle. Wer mit einem kleinen Pilot startet, kritische Rollen zuerst sauber absichert und alte Methoden schrittweise zurückdrängt, bekommt einen realistischen Rollout statt einer reinen Checkbox im Admin-Portal.
Ich unterstütze KMU in Oberösterreich und im DACH-Raum bei IT-Automatisierung, Infrastruktur und pragmatischer IT-Betreuung.
Mehr über mich