Glossar
Passkey
Auch: Passkeys, FIDO2, Passwortlose Anmeldung
Ein Passkey ist ein Zugangsnachweis, der das Passwort ersetzt. Ein geheimer Schlüssel bleibt auf dem Gerät, der Dienst kennt nur den öffentlichen Teil. Bestätigt wird mit Fingerabdruck, Gesicht oder PIN.
Wie ein Passkey funktioniert
Bei der Einrichtung erzeugt das Gerät ein Schlüsselpaar. Der private Schlüssel verlässt das Gerät nie, der öffentliche liegt beim Dienst. Bei der Anmeldung beweist das Gerät, dass es den privaten Schlüssel besitzt, nachdem Sie sich mit Fingerabdruck, Gesicht oder Geräte-PIN entsperrt haben. Es gibt kein Passwort, das man erraten oder abfangen könnte. Die zugrunde liegenden Standards heißen FIDO2 und WebAuthn.
Warum das gegen Phishing hilft
Ein Passkey ist an die echte Adresse des Dienstes gebunden. Auf einer gefälschten Anmeldeseite funktioniert er schlicht nicht, selbst wenn man sich täuschen lässt. Damit schließt er die Lücke, an der Passwort und Einmalcode scheitern. Mehr zum Hintergrund im Eintrag Phishing.
Zwei Arten
- Gerätegebunden: Der Schlüssel liegt auf einem Sicherheitsschlüssel oder einem einzelnen Gerät. Das gilt als die strengste Variante.
- Synchronisiert: Der Schlüssel wird über das Konto des Geräteherstellers auf mehrere Geräte des Benutzers übertragen. Das ist bequemer, verlagert aber einen Teil der Sicherheit in dieses Konto.
Einführung in Microsoft 365
Microsoft Entra ID unterstützt Passkeys als Anmeldemethode. Sinnvoll ist ein Start bei den Administratoren, danach die übrigen Konten. Als Mehr-Faktor-Authentifizierung gelten Passkeys als die stärkste Stufe. Ein Ersatzweg für verlorene Geräte muss vor dem Start feststehen.
Häufige Fragen aus der Einführung
Viele fragen zuerst nach dem Verlust des Geräts, dann nach gemeinsam genutzten Arbeitsplätzen. Für Letztere eignen sich gerätegebundene Sicherheitsschlüssel, die jede Person bei sich trägt. Für Smartphones hängt es vom Betriebssystem ab, wie Passkeys gespeichert werden. Wichtig ist, dass die Einführung nicht überstürzt wird: Zuerst eine kleine Gruppe, dann eine Auswertung der Rückfragen, danach alle. Und das Passwort darf erst abgeschaltet werden, wenn jeder einen funktionierenden Passkey hat.
Wo Sie stehen
Ob Ihre Konten bereits passwortlos oder wenigstens mit MFA laufen, zeigt der Sicherheitscheck.
Wo steht Ihr Unternehmen bei diesem Thema?
Der kostenlose Check klärt es in wenigen Fragen. Keine Registrierung, kein Download.