Passwortlos anmelden: Passkeys im Mittelstand sicher einführen

Nein. Passkeys (FIDO2) sind laut Microsoft in allen Editionen von Microsoft Entra ID enthalten, auch in der kostenlosen Stufe, und Windows Hello for Business funktioniert ebenfalls ohne Entra ID P1. Eine Lizenz brauchen Sie erst, wenn Sie die phishing-resistente Anmeldung über Regeln des bedingten Zugriffs verbindlich machen wollen: Dafür ist Microsoft Entra ID P1 nötig, das in Microsoft 365 Business Premium und E3 enthalten ist.

Hat er wie empfohlen ein zweites Verfahren registriert, etwa Windows Hello for Business am Notebook, meldet er sich damit an, löscht den alten Passkey und richtet auf dem neuen Gerät einen neuen ein. Fehlt jedes Verfahren, stellt die IT-Betreuung nach einer festgelegten Identitätsprüfung einen befristeten Zugangspass aus. Mit ihm richtet der Mitarbeiter einmalig einen neuen Passkey ein.

Für die meisten Mitarbeitenden ja: Microsoft stuft sie als phishing-resistent ein, und Apple verschlüsselt den Schlüsselbund Ende-zu-Ende. Ihre Herkunft lässt sich bei der Einrichtung aber nicht prüfen, und auf einem Firmen-iPhone mit privatem Apple-Konto landet der Firmen-Passkey im privaten Schlüsselbund. Für Administratoren und Geschäftsführung empfehlen wir deshalb gerätegebundene Passkeys, etwa in Microsoft Authenticator oder auf Hardware-Sicherheitsschlüsseln.

Sie ist deutlich besser als ein Passwort allein, und der Zahlenabgleich bremst das versehentliche Bestätigen. Gegen eine gefälschte Anmeldeseite, die Eingaben in Echtzeit an Microsoft weiterreicht, schützt sie aber nicht. Ein Passkey ist an die echte Microsoft-Adresse gebunden und wird auf einer gefälschten Seite gar nicht angeboten. Die Umstellung ist einfach, weil der Passkey in derselben App liegen kann.

Ein Notfallkonto ist ein reines Cloud-Administratorkonto für den Fall, dass sich kein regulärer Administrator mehr anmelden kann, etwa bei einer Störung oder nach dem Ausscheiden der zuständigen Person. Microsoft empfiehlt mindestens zwei solcher Konten, abgesichert mit einem Passkey auf einem Hardware-Sicherheitsschlüssel und ausgenommen von blockierenden Zugriffsregeln. Jede Anmeldung sollte eine Benachrichtigung auslösen, und die Konten sollten regelmäßig getestet werden.