Passkeys gelten als der vielversprechendste Weg, das Passwort im Unternehmen endlich abzulösen. Statt sich komplizierte Zeichenfolgen zu merken, bestätigen Mitarbeitende ihre Anmeldung per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Das ist bequemer und gleichzeitig deutlich sicherer.
Der Handlungsdruck ist groß. Gestohlene Zugangsdaten und Phishing gehören seit Jahren zu den häufigsten Ursachen erfolgreicher Cyberangriffe. Selbst klassische Zwei-Faktor-Verfahren mit SMS-Codes oder Push-Benachrichtigungen lassen sich von geschickten Angreifern umgehen.
In diesem Beitrag erfährst du, wie die Technik funktioniert, welche Varianten es gibt, wo die Stolpersteine liegen und wie du die Einführung in deinem Unternehmen Schritt für Schritt planst.
Inhaltsverzeichnis
Was sind Passkeys?
Passkeys sind digitale Anmeldeschlüssel, die Passwörter ersetzen. Sie basieren auf den offenen Standards FIDO2 und WebAuthn und nutzen ein Schlüsselpaar: Der private Schlüssel bleibt geschützt auf dem Gerät des Nutzers, der öffentliche liegt beim Dienst. Die Anmeldung wird lokal per Biometrie oder PIN freigegeben, ohne dass ein Geheimnis übertragen wird.
Entwickelt und vorangetrieben wird der Ansatz von der FIDO Alliance, einem Industrieverband, dem große Technologiekonzerne, Banken und Sicherheitsanbieter angehören. Die führenden Betriebssysteme und Browser unterstützen die Technik inzwischen standardmäßig.
Warum Passwörter an ihre Grenzen stoßen
Passwörter haben ein grundsätzliches Problem: Sie sind ein Geheimnis, das Menschen sich merken, eintippen und an vielen Stellen speichern müssen. Genau das macht sie angreifbar. Mitarbeitende verwenden Kennwörter mehrfach, notieren sie oder geben sie auf täuschend echten Phishing-Seiten ein.
Strengere Regeln für Länge und Komplexität haben das Problem kaum gelöst, sondern oft nur die Frustration erhöht. Auch zusätzliche Codes per SMS oder App verbessern die Lage zwar, schützen aber nicht zuverlässig vor Angriffen, bei denen eine gefälschte Seite die Eingaben in Echtzeit weiterreicht. Deshalb setzen Sicherheitsfachleute zunehmend auf Verfahren, bei denen gar kein übertragbares Geheimnis mehr existiert.
Wie funktionieren Passkeys technisch?
Das Prinzip dahinter heißt Public-Key-Kryptografie. Es ist seit Jahrzehnten erprobt und bildet auch die Grundlage für verschlüsselte Webverbindungen.
Registrierung
Bei der Einrichtung erzeugt das Gerät ein neues Schlüsselpaar speziell für diesen einen Dienst. Der öffentliche Schlüssel wird beim Dienst hinterlegt. Der private Schlüssel verlässt das Gerät oder den geschützten Speicher nicht und ist durch Biometrie oder PIN gesichert.
Anmeldung
Bei der Anmeldung sendet der Dienst eine zufällige Aufgabe, eine sogenannte Challenge. Das Gerät signiert sie mit dem privaten Schlüssel, nachdem der Nutzer per Fingerabdruck, Gesicht oder PIN zugestimmt hat. Der Dienst prüft die Signatur mit dem öffentlichen Schlüssel. Passt alles, ist die Anmeldung erfolgreich. Der gesamte Vorgang dauert meist nur wenige Sekunden.
Warum das vor Phishing schützt
Ein Passkey ist fest an die Domain des Dienstes gebunden. Eine gefälschte Website mit ähnlicher Adresse kann den Schlüssel deshalb nicht anfordern. Zudem gibt es kein Geheimnis, das Mitarbeitende versehentlich eintippen oder weitergeben könnten. Selbst wenn Angreifer die Datenbank eines Dienstes erbeuten, finden sie dort nur öffentliche Schlüssel, mit denen sie nichts anfangen können.
Synchronisierte und gerätegebundene Passkeys
Für Unternehmen ist eine Unterscheidung besonders wichtig, weil sie Sicherheit, Komfort und Verwaltung beeinflusst.
Synchronisierte Passkeys
Synchronisierte Passkeys werden über einen Cloud-Dienst, etwa den Passwortmanager eines Betriebssystems oder eines Drittanbieters, auf mehrere Geräte eines Nutzers verteilt. Geht ein Smartphone verloren, bleibt der Zugang über die anderen Geräte erhalten. Das ist komfortabel, bedeutet aber, dass die Sicherheit auch vom Konto beim Synchronisationsdienst abhängt.
Gerätegebundene Passkeys
Gerätegebundene Passkeys verlassen ein bestimmtes Gerät nie. Typisch sind Hardware-Sicherheitsschlüssel im USB- oder NFC-Format oder Schlüssel, die im Sicherheitschip eines verwalteten Laptops gespeichert sind. Sie bieten die höchste Kontrolle und eignen sich besonders für Administratoren und privilegierte Konten.
Welche Variante passt?
- Für die breite Belegschaft: Synchronisierte oder auf Firmengeräten gespeicherte Passkeys bieten einen guten Kompromiss aus Sicherheit und Komfort.
- Für Admins und sensible Rollen: Gerätegebundene Hardware-Schlüssel mit klaren Regeln für Ausgabe, Verlust und Ersatz.
- Für externe Partner: Je nach Risiko unterschiedliche Anforderungen, die vertraglich und technisch festgelegt werden.
Viele Identitätsplattformen erlauben es, für bestimmte Gruppen nur ausgewählte Arten von Passkeys zuzulassen. So setzt du deine Sicherheitsrichtlinie technisch durch.
Vorteile von Passkeys für Unternehmen
Der Umstieg bringt Vorteile, die weit über die reine IT-Sicherheit hinausgehen.
- Phishingresistenz: Die Bindung an die Domain macht klassische Phishing-Angriffe auf Zugangsdaten weitgehend wirkungslos.
- Keine Passwortwiederverwendung: Für jeden Dienst entsteht ein eigener Schlüssel. Ein Datenleck bei einem Anbieter gefährdet keine anderen Konten.
- Weniger Supportaufwand: Zurückgesetzte und vergessene Passwörter gehören in vielen Unternehmen zu den häufigsten Anfragen an den IT-Support.
- Schnellere Anmeldung: Ein Fingerabdruck oder Blick in die Kamera geht schneller als das Eintippen eines langen Passworts plus Code.
- Bessere Akzeptanz: Sicherheit, die bequem ist, wird eher genutzt und seltener umgangen.
Biometrische Daten verlassen das Gerät dabei nicht. Fingerabdruck oder Gesichtsbild dienen nur dazu, den lokalen Schlüssel freizugeben, und werden nicht an den Dienst übertragen. Das ist auch für die Abstimmung mit Datenschutz und Betriebsrat ein wichtiges Argument.
Herausforderungen bei der Einführung von Passkeys
So überzeugend das Konzept ist: In der Praxis gibt es Hürden, die du früh einplanen solltest.
Nicht alle Anwendungen sind bereit
Moderne Cloud-Dienste und Identitätsplattformen unterstützen Passkeys zunehmend. Ältere Fachanwendungen, lokale Systeme oder Branchenlösungen bieten oft noch keine Unterstützung. Hier hilft häufig ein zentraler Identitätsanbieter mit Single Sign-on, der die moderne Anmeldung vor ältere Anwendungen schaltet.
Wiederherstellung und Geräteverlust
Was passiert, wenn ein Mitarbeiter sein Smartphone verliert oder der Sicherheitsschlüssel defekt ist? Ohne sicheren Wiederherstellungsprozess entsteht eine neue Schwachstelle. Angreifer versuchen gezielt, über Helpdesk-Anrufe oder schwache Recovery-Verfahren an Konten zu gelangen.
Gemischte Geräteflotten
In vielen Unternehmen arbeiten Mitarbeitende mit verschiedenen Betriebssystemen, privaten Smartphones und Firmengeräten. Die Synchronisation zwischen unterschiedlichen Plattformen ist besser geworden, funktioniert aber nicht in jeder Kombination reibungslos. Teste die Abläufe für deine typischen Gerätekonstellationen. Kläre außerdem, welche Browser und Betriebssystemversionen mindestens vorausgesetzt werden, und halte diese Vorgaben in deiner Geräterichtlinie fest.
Gewohnheiten und Vertrauen
Viele Menschen haben gelernt, dass ein Passwort Sicherheit bedeutet. Eine Anmeldung ohne Passwort wirkt auf manche zunächst unsicher. Gute Kommunikation und Schulung sind deshalb mindestens so wichtig wie die Technik. Wie du Veränderungen in der Belegschaft erfolgreich begleitest, zeigt unser Beitrag zum Change-Management.
Passkeys im Unternehmen einführen: 7 Schritte
Ein schrittweises Vorgehen reduziert Risiken und sorgt für hohe Akzeptanz. Diese Reihenfolge hat sich bewährt:
- Bestandsaufnahme machen: Erfasse, welche Anwendungen, Identitätsanbieter und Geräte im Einsatz sind und welche davon Passkeys bereits unterstützen.
- Identitätsplattform zentralisieren: Bündle Anmeldungen möglichst über einen zentralen Identitätsanbieter mit Single Sign-on. So musst du die neue Methode nur an einer Stelle einführen.
- Richtlinien festlegen: Definiere, welche Arten von Passkeys für welche Rollen zulässig sind und welche Geräte verwaltet sein müssen.
- Wiederherstellung absichern: Lege fest, wie Mitarbeitende bei Geräteverlust sicher wieder Zugang erhalten, etwa über einen zweiten registrierten Schlüssel oder eine verifizierte Identitätsprüfung.
- Mit einer Pilotgruppe starten: Beginne mit IT-Team und Administratoren, die besonders gefährdet sind und Feedback technisch einordnen können.
- Schrittweise ausrollen und schulen: Erweitere den Kreis abteilungsweise, begleitet von kurzen Anleitungen, Videos und Ansprechpartnern.
- Passwörter zurückdrängen: Deaktiviere Passwort-Anmeldungen dort, wo Passkeys stabil funktionieren, und überwache verbleibende Ausnahmen.
Der letzte Schritt ist entscheidend. Solange ein Passwort als Alternative bestehen bleibt, können Angreifer weiterhin versuchen, dieses abzugreifen. Der volle Sicherheitsgewinn entsteht erst, wenn schwächere Verfahren konsequent abgeschaltet werden.
Kommunikation an die Belegschaft
Technik allein überzeugt niemanden. Erkläre in einfachen Worten, warum das Unternehmen umstellt, was sich für den Einzelnen ändert und welche Vorteile entstehen. Kurze Anleitungen mit Screenshots, ein Ansprechpartner pro Abteilung und feste Sprechstunden in der ersten Woche senken die Hemmschwelle erheblich.
Besonders wirksam sind Botschafterinnen und Botschafter aus den Fachbereichen, die die neue Anmeldung früh nutzen und Kolleginnen und Kollegen unterstützen. Sie erkennen auch Probleme im Alltag, die in Tests nicht auffallen.
Typische Fehler bei der Umstellung
- Kein Plan für Verlustfälle: Der Helpdesk improvisiert bei verlorenen Geräten und öffnet damit Angreifern eine Hintertür.
- Dauerhafte Parallelwelt: Passwörter bleiben aus Bequemlichkeit für alle Anwendungen aktiv, sodass der Sicherheitsgewinn verpufft.
- Fehlende Gerätesteuerung: Schlüssel landen auf unverwalteten oder veralteten Geräten ohne Sperrbildschirm.
- Zu großer Start: Ein unternehmensweiter Rollout ohne Pilot überlastet den Support und schadet der Akzeptanz.
Passkeys in die Sicherheitsstrategie einbetten
Die neue Anmeldung ist ein wichtiger Baustein, aber kein Ersatz für ein ganzheitliches Sicherheitskonzept. Angreifer weichen auf andere Wege aus, etwa auf gestohlene Sitzungs-Cookies, Schadsoftware auf Endgeräten oder Social Engineering beim Helpdesk.
Diese Maßnahmen ergänzen die Einführung sinnvoll:
- Verwaltung und Absicherung aller Endgeräte, die Passkeys speichern
- Kurze Sitzungsdauern und erneute Bestätigung bei sensiblen Aktionen
- Klare Prozesse und Identitätsprüfungen für Helpdesk-Anfragen
- Monitoring ungewöhnlicher Anmeldeversuche
- Regelmäßige Sensibilisierung der Mitarbeitenden
Einen strukturierten Überblick über die wichtigsten Schutzmaßnahmen gibt dir unser Leitfaden zu Cybersecurity für KMU. Grundlegende Empfehlungen zur sicheren Anmeldung veröffentlicht auch das Bundesamt für Sicherheit in der Informationstechnik.
Was die Umstellung kostet
Die Kosten hängen stark von deiner Ausgangslage ab. Viele Identitätsplattformen unterstützen die moderne Anmeldung bereits in bestehenden Lizenzen. Zusätzliche Ausgaben entstehen häufig für Hardware-Sicherheitsschlüssel privilegierter Nutzer, für die Anbindung älterer Anwendungen sowie für Projektarbeit, Schulung und Support in der Einführungsphase.
Dem gegenüber stehen weniger Anfragen zum Zurücksetzen von Kennwörtern, kürzere Anmeldezeiten und vor allem ein geringeres Risiko teurer Sicherheitsvorfälle. Rechne deshalb nicht nur die Projektkosten, sondern auch die vermiedenen Folgekosten in deine Bewertung ein.
Hardware als Grundlage
Moderne Business-Geräte bringen Sicherheitschips, Fingerabdrucksensoren und Infrarotkameras mit, die die Anmeldung mit Passkeys komfortabel machen. Berücksichtige diese Funktionen bei der nächsten Beschaffungsrunde. Worauf du sonst noch achten solltest, erfährst du in unserem Ratgeber zum Business-Laptop.
Rechtliche und organisatorische Aspekte
Auch wenn biometrische Merkmale lokal bleiben, solltest du Datenschutz und Mitbestimmung früh einbinden. Dokumentiere, welche Daten wo verarbeitet werden, und kläre mit dem Betriebsrat, ob und wie private Smartphones für die Anmeldung genutzt werden dürfen.
Bei der Nutzung privater Geräte stellen sich zudem Fragen zur Haftung, zum Zugriff auf Firmendaten und zur Rückgabe bei Ausscheiden. Klare Richtlinien schaffen hier Sicherheit für beide Seiten. Bei rechtlichen Detailfragen solltest du Fachleute aus Datenschutz und Arbeitsrecht hinzuziehen.
Für regulierte Branchen kann es zudem Vorgaben zur starken Authentifizierung geben. Prüfe, wie sich die neue Anmeldemethode in bestehende Audits und Nachweispflichten einfügt. Dokumentiere die Entscheidung, damit spätere Prüfungen nachvollziehbar bleiben.
Fazit: Passkeys machen Sicherheit endlich bequem
Passkeys lösen ein Problem, an dem Unternehmen seit Jahrzehnten scheitern: Passwörter sind entweder sicher oder praktisch, selten beides. Die neue Technik verbindet hohe Sicherheit mit einfacher Bedienung und macht Phishing-Angriffe auf Zugangsdaten weitgehend wirkungslos.
Der Umstieg ist dennoch kein Selbstläufer. Ältere Anwendungen, gemischte Geräteflotten und vor allem die Wiederherstellung bei Geräteverlust erfordern sorgfältige Planung. Mit einer zentralen Identitätsplattform, klaren Richtlinien und einem schrittweisen Rollout gelingt der Wechsel.
Für Entscheiderinnen und Entscheider heißt das: Starte jetzt mit einer Bestandsaufnahme und einer Pilotgruppe, mache Passkeys zum Standard für neue Anwendungen und schalte Passwörter dort ab, wo die Alternative stabil funktioniert.
Häufige Fragen zu Passkeys
Was sind Passkeys und wie unterscheiden sie sich von Passwörtern?
Passkeys sind digitale Anmeldeschlüssel auf Basis der Standards FIDO2 und WebAuthn. Statt ein Geheimnis einzutippen, bestätigst du die Anmeldung per Fingerabdruck, Gesichtserkennung oder PIN auf deinem Gerät. Der private Schlüssel verlässt das Gerät nicht, und weil jeder Schlüssel an eine bestimmte Domain gebunden ist, laufen Phishing-Versuche ins Leere.
Sind Passkeys sicherer als Zwei-Faktor-Authentifizierung?
In vielen Fällen ja. Klassische Verfahren mit SMS-Codes, Einmalpasswörtern oder Push-Nachrichten lassen sich durch gefälschte Websites oder gezielte Manipulation umgehen. Passkeys sind an die echte Domain gebunden und übertragen kein Geheimnis. Sie gelten deshalb als phishingresistent. Entscheidend bleibt ein sicherer Prozess für Wiederherstellung und Geräteverlust.
Was passiert, wenn ein Mitarbeiter sein Smartphone verliert?
Das hängt von der Art des Passkeys ab. Synchronisierte Schlüssel bleiben über andere Geräte des Nutzers verfügbar. Bei gerätegebundenen Schlüsseln hilft ein zweiter registrierter Schlüssel oder ein abgesicherter Wiederherstellungsprozess mit Identitätsprüfung. Lege diesen Prozess vor dem Rollout fest, damit er nicht zur neuen Schwachstelle wird.
Werden biometrische Daten an den Dienst übertragen?
Nein. Fingerabdruck oder Gesichtsbild dienen nur dazu, den Schlüssel auf dem Gerät lokal freizugeben. Der Dienst erhält lediglich eine kryptografische Signatur. Trotzdem solltest du Datenschutzbeauftragte und Betriebsrat frühzeitig einbinden und klar regeln, ob und wie private Geräte für die Anmeldung genutzt werden dürfen.
Wie lange dauert die Einführung von Passkeys im Unternehmen?
Das hängt von Größe, Anwendungslandschaft und Geräteflotte ab. Ein Pilot mit IT-Team und Administratoren lässt sich oft schnell umsetzen. Der vollständige Rollout inklusive Schulung, Anbindung älterer Anwendungen und Abschaltung von Passwörtern zieht sich meist über mehrere Monate. Ein schrittweises Vorgehen reduziert dabei Risiken und Supportaufwand.
