Überblick
Passkeys schützen Konten besser vor Phishing als Kennwörter, SMS-Codes oder Sprachanrufe. Für Microsoft 365 und andere Cloud-Dienste sind sie deshalb ein wichtiger Schritt zu einer sichereren Anmeldung.
Passkeys einfach im Microsoft-Tenant zu aktivieren, reicht jedoch nicht aus. Entscheidend ist auch:
Wer darf einen neuen Passkey registrieren – und wie wird verhindert, dass ein Angreifer seinen eigenen Schlüssel in einem fremden Konto hinterlegt?
Genau hier entsteht eine zusätzliche Angriffsfläche.
So kann ein Angriff auf Passkeys ablaufen
Ein Angreifer gibt sich beispielsweise telefonisch als IT-Support aus und behauptet, wegen einer Sicherheitsumstellung oder eines Problems mit dem Benutzerkonto helfen zu müssen.
Anschließend führt er die betroffene Person auf eine gefälschte Microsoft-Seite oder bittet sie, einen Code beziehungsweise eine Wiederherstellungsphrase einzugeben. Während die Person glaubt, den eigenen Zugang abzusichern, registriert der Angreifer seinen eigenen Passkey im Konto des Benutzers.
Ein späterer Kennwortwechsel entfernt diesen zusätzlichen Schlüssel nicht automatisch. Der Angreifer kann dadurch einen dauerhaften Zugang behalten – selbst wenn das ursprüngliche Kennwort bereits geändert wurde.
Besonders kritisch ist das bei:
- Administratoren
- Konten der Geschäftsführung oder Finanz- und Personalabteilung
- Benutzern mit Zugriff auf geschäftskritische Anwendungen
- Externen Benutzern und Gastkonten
- Konten, die bisher SMS oder Sprachanrufe zur Anmeldung verwenden
Was Unternehmen jetzt umsetzen sollten
1. Registrierung von Sicherheitsinformationen schützen
Nicht nur die Anmeldung muss abgesichert werden, sondern auch die Registrierung eines neuen Passkeys braucht geeignete Schutzmaßnahmen.
Mit einer passenden Conditional-Access-Richtlinie lässt sich beispielsweise festlegen, dass neue Sicherheitsinformationen nur von einem verwalteten und konformen Gerät oder mit einer phishing-resistenten Authentifizierung registriert werden dürfen.
Damit reicht ein gestohlenes Kennwort allein nicht mehr aus, um einen neuen Passkey im Konto anzulegen.
2. Administratoren zuerst absichern
Administratoren sind ein wichtiges Ziel für Angreifer. Für diese Konten empfehlen wir grundsätzlich phishing-resistente Verfahren, wie:
- FIDO2-Sicherheitsschlüssel
- Windows Hello for Business
- freigegebene gerätegebundene Passkeys
- zertifikatbasierte Mehrfaktor-Authentifizierung
SMS und Sprachanrufe sollten für privilegierte Konten nicht als gleichwertiger Fallback bestehen bleiben.
Notfallkonten benötigen eine eigene Regelung. Sie müssen verfügbar bleiben, sollten aber mit separaten FIDO2-Sicherheitsschlüsseln geschützt, sicher verwahrt und regelmäßig getestet werden.
3. Gerätegebundene Passkeys gezielt einsetzen
Bei einem gerätegebundenen Passkey verbleibt der private Schlüssel auf dem jeweiligen Gerät oder Sicherheitsschlüssel. Das Unternehmen kann dadurch besser nachvollziehen, wo der Schlüssel verwendet wird, und ihn bei Verlust gezielt entfernen.
Synchronisierte Passkeys können für Standardbenutzer sinnvoll sein, wenn Anbieter, Geräte, Datenschutz, Support und Wiederherstellung geregelt sind. Für Administratoren und besonders schützenswerte Konten empfehlen wir jedoch grundsätzlich eine gerätegebundene Variante.
Private, nicht freigegebene Passwortmanager sollten nicht ungeprüft als Unternehmensstandard zugelassen werden.
4. Temporary Access Pass kontrolliert ausgeben
Ein Temporary Access Pass, kurz TAP, unterstützt die Erstregistrierung und die Wiederherstellung eines Zugangs. Er ist jedoch kein Ersatz für eine sichere Identitätsprüfung.
Für die breite Belegschaft sollte ein TAP grundsätzlich:
- nur einmal verwendbar sein
- eine kurze Gültigkeit besitzen
- nur nach Prüfung über einen zweiten, unabhängigen Kanal ausgegeben werden
- vollständig dokumentiert werden
Der Helpdesk darf einen TAP nicht allein aufgrund eines eingehenden Telefonanrufs oder leicht kopierbarer Kontodaten ausstellen.
Eine klare Unternehmensregel hilft zusätzlich:
Der IT-Support ruft nicht unaufgefordert an, um eine Passkey-Registrierung oder die Herausgabe eines Sicherheitscodes zu veranlassen.
5. Registrierungen und Änderungen überwachen
Eine neue Passkey-Registrierung ist nicht automatisch verdächtig. Sie wird es, wenn sie beispielsweise kurz nach einer riskanten Anmeldung, von einem unbekannten Gerät, aus einer ungewöhnlichen Region oder von einer auffälligen IP-Adresse erfolgt.
Überwacht werden sollten insbesondere:
- neue Passkeys und andere Authentifizierungsmethoden
- Löschungen und Änderungen an Sicherheitsinformationen
- TAP-Ausstellungen
- Registrierungen bei Administratoren und besonders schützenswerten Konten
- Änderungen an Conditional-Access-Richtlinien und Passkey-Profilen
- Anmeldungen von unbekannten Geräten oder ungewöhnlichen Standorten
Mindestens eine regelmäßige Kontrolle der Methodenregistrierungen sollte vorgesehen werden.
6. Verlorene und fremde Schlüssel entfernen
Bei Verlust eines Mobiltelefons, FIDO2-Schlüssels oder anderen registrierten Geräts muss der zugehörige Passkey aus dem Konto entfernt werden.
Bei einem Verdacht auf eine Kontoübernahme sollten zusätzlich die aktiven Sitzungen widerrufen und das Kennwort zurückgesetzt werden.
Beim Austritt eines Mitarbeiters müssen nicht nur Konto und Geräte geprüft werden. Auch registrierte Passkeys, FIDO2-Schlüssel, Sitzungen, Gruppenmitgliedschaften und Anwendungszugriffe gehören in den Offboarding-Prozess.
Microsoft schafft SMS und Sprachanrufe schrittweise ab
Nach der derzeitigen Microsoft-Planung soll die Zustellung von SMS- und Sprachanruf-Codes schrittweise beendet werden. Im Zusammenhang damit werden der 1. Februar 2027 für die meisten Konten sowie der 1. Juli 2027 für Globale Administratoren und externe Benutzer genannt.
Diese Termine und die konkrete Betroffenheit sollten für jeden Tenant anhand der aktuellen Microsoft-Informationen geprüft werden.
Unabhängig vom exakten Stichtag ist die Richtung klar: SMS und Sprachanrufe sind keine zukunftsfähige Grundlage für den Schutz privilegierter Unternehmenskonten.
Unternehmen sollten deshalb nicht warten, bis ein Dienst abgeschaltet wird. Die Umstellung auf phishing-resistente und kontrolliert verwaltete Authentifizierung braucht Planung, Kommunikation und einen sicheren Wiederherstellungsprozess.
Passkey-Sicherheit ist ein Prozess, kein Schalter
Eine sichere Umsetzung umfasst mehr als die technische Aktivierung einer Funktion. Notwendig sind vier miteinander verbundene Bausteine:
- Technik: Passkey-Profile, Conditional Access und sichere Authentifizierungsstärken.
- Prozesse: Registrierung, Wiederherstellung, Verlust und Offboarding.
- Überwachung: Erkennung ungewöhnlicher Methodenänderungen und Anmeldungen.
- Menschen: Klare Regeln für Helpdesk und Beschäftigte sowie Awareness gegen Vishing.
Aus Sicht der Informationssicherheit betrifft das unter anderem Identitätsmanagement, sichere Authentifizierung, Zugriffskontrolle, Protokollierung, Überwachung und Incident Response. Diese Themen sind daher auch für ISO-27001-, BSI- und TISAX-orientierte Unternehmen relevant.
Unsere Empfehlung für Unternehmen
Wir empfehlen, die Umsetzung in vier Schritten anzugehen.
1. Sofort prüfen
• Welche Administratoren und Notfallkonten existieren?
• Welche Konten verwenden noch SMS oder Sprachanrufe?
• Sind synchronisierte oder private Passkeys zugelassen?
• Wer darf neue Sicherheitsinformationen registrieren?
• Kann der Helpdesk einen TAP ohne belastbare Identitätsprüfung ausstellen?
2. Privilegierte Konten absichern
Administratoren und besonders schützenswerte Benutzer sollten zuerst auf phishing-resistente Authentifizierung umgestellt werden. Notfallkonten und Ersatzschlüssel müssen eingerichtet und getestet sein.
3. Registrierung kontrollieren
Die Registrierung neuer Sicherheitsinformationen sollte über Conditional Access geschützt und zunächst im Nur-Bericht-Modus getestet werden. Danach erfolgt der gestufte Rollout über Pilotgruppen und ausgewählte Abteilungen.
4. Betrieb dauerhaft organisieren
Passkey-Registrierungen, Methodenänderungen, Wiederherstellungen und Offboarding müssen in Helpdesk, Monitoring und ISMS verankert werden. Ausnahmen benötigen einen Risikoeigner, eine Begründung und ein Ablaufdatum.
Ihr nächster Schritt
Wenn Sie Microsoft Entra ID einsetzen, sollte die Passkey-Konfiguration jetzt geprüft werden – besonders dann, wenn SMS oder Sprachanrufe noch eine Rolle spielen oder Ihr Helpdesk Wiederherstellungen telefonisch bearbeitet.
Schreiben Sie uns oder rufen Sie uns an. Wir sprechen gerne mit Ihnen über Ihren Passkey-Sicherheitscheck.
