Was ist ein Passkey? Grundlagen moderner Authentifizierung

Was ist ein Passkey?

Ein Angreifer erbeutet per Phishing das Passwort eines Mitarbeiters, umgeht die Zwei-Faktor-Authentifizierung per SMS und bewegt sich lateral durch Ihr Netzwerk. Laut dem Verizon DBIR waren bei 88 % der Sicherheitsverletzungen mit zugangsdatenbasierten Angriffsmustern gestohlene Zugangsdaten im Spiel. Bei 57 % der Social-Engineering-Vorfälle kam Phishing zum Einsatz.

Passkeys schließen diesen gesamten Angriffsweg aus. Sie nutzen kryptografische, passwortlose Authentifizierung. Private Schlüssel verlassen die Geräte der Nutzer nie. Dadurch wird der Diebstahl von Zugangsdaten praktisch unmöglich.

Ein Passkey basiert auf Public-Key-Kryptografie. Ihr Gerät erzeugt ein einzigartiges Schlüsselpaar: Der private Schlüssel bleibt in einem hardwaregeschützten Speicher wie einem Trusted Platform Module oder einer Secure Enclave auf Ihrem Gerät. Der öffentliche Schlüssel wird beim Dienstanbieter hinterlegt. Bei der Authentifizierung sendet der Dienst eine Anfrage, die Ihr Gerät mit dem privaten Schlüssel signiert. Keine Passwörter werden über das Netzwerk übertragen. Das verhindert Phishing, Credential Stuffing und Angriffe durch die Wiederverwendung von Passwörtern. Denn private Schlüssel verlassen die Geräte nie und es werden keine wiederverwendbaren Geheimnisse übertragen.

Passkeys setzen den FIDO2-Standard (WebAuthn + CTAP) um und gewährleisten so einheitliche Sicherheit über Plattformen, Browser und Dienste hinweg. Gerätegebundene Passkeys speichern private Schlüssel in Hardware-Sicherheitsmodulen für höchste Sicherheit. Synchronisierte Passkeys verschlüsseln Schlüssel und synchronisieren sie über Plattform-Ökosysteme hinweg, damit sie breiter verfügbar sind.

Der Vergleich mit Passwörtern zeigt, wie Passkeys die Sicherheit verbessern.

Welche Rolle Passkeys in der Cybersecurity spielen

Passkeys stoppen Phishing auf kryptografischer Ebene. Wenn Angreifer Ihre Nutzer mit Phishing-Kampagnen ins Visier nehmen, verhindert die Bindung an die Ursprungsdomain durch das WebAuthn-Protokoll eine Authentifizierung auf gefälschten Domains. Selbst wenn ein Nutzer auf einen Phishing-Link klickt und sich anzumelden versucht, scheitert die Authentifizierung an der kryptografischen Bindung an die legitime Domain.

Private Schlüssel in Hardware-Sicherheitsmodulen lassen sich durch Softwareangriffe nicht auslesen. Bei Datenbankverletzungen können keine wiederverwendbaren Zugangsdaten offengelegt werden. Credential Stuffing scheitert, weil Passkeys für jeden Dienst einzigartig sind.

Reale Vorfälle zeigen, warum das wichtig ist. Im September 2023 wurde MGM Resorts Opfer eines Social-Engineering-Angriffs. Die Angreifer gaben sich gegenüber dem IT-Helpdesk als Mitarbeiter aus und erlangten Zugangsdaten, die zur Ransomware-Verbreitung führten und schätzungsweise 100 Millionen US-Dollar an Verlusten verursachten. 2022 kam es bei einem großen Identitätsanbieter zum Diebstahl von Zugangsdaten über einen kompromittierten externen Auftragnehmer. Hunderte Kunden waren betroffen.

Passkey-geschützte Konten schließen den Diebstahl von Zugangsdaten als Methode für den Erstzugriff aus. Damit entfällt der Angriffsvektor hinter den meisten dieser Sicherheitsverletzungen. Diese Schutzwirkung beruht auf dem Zusammenspiel bestimmter technischer Komponenten.

Passkeys vs. Passwörter

Passwörter sind geteilte Geheimnisse. Sie erstellen ein Passwort und übertragen es an einen Server, der eine gehashte Kopie speichert. Jeder Schritt in dieser Kette ist angreifbar: Nutzer wählen schwache Passwörter, verwenden sie für mehrere Dienste und geben sie auf Phishing-Seiten ein, die sie in Echtzeit abgreifen. Selbst Datenbanken mit gehashten Passwörtern werden kompromittiert und die Passwörter offline geknackt.

Passkeys funktionieren auf jeder Ebene anders. Ihr Gerät erzeugt ein kryptografisches Schlüsselpaar. Der private Schlüssel verlässt das Gerät nie. Der Server speichert nur den öffentlichen Schlüssel. Ohne den zugehörigen privaten Schlüssel ist er für Angreifer nutzlos. Die Authentifizierung erfolgt über eine signierte Anfrage. Dabei wird nichts Wiederverwendbares über das Netzwerk übertragen.

Die praktischen Unterschiede sind erheblich. Nutzer müssen sich komplexe Passwörter merken und sie regelmäßig ändern. Dieser Aufwand begünstigt die Wiederverwendung und die Wahl schwacher Passwörter. Um einen Passkey zu nutzen, genügt ein biometrischer Scan oder die Geräte-PIN. Sie müssen sich kein Passwort merken. Passwortzurücksetzungen machen 20-50 % der Anrufe beim IT-Helpdesk in Unternehmen aus. Passkeys beseitigen diese Kategorie vollständig.

Aus Sicherheitssicht bleiben Passwörter anfällig für Phishing, Brute-Force-Angriffe, Credential Stuffing und Datenbankverletzungen. Passkeys sind gegen alle vier resistent:

• Phishing — Die Bindung an die Domain verhindert, dass Zugangsdaten auf gefälschten Websites verwendet werden
• Brute-Force-Angriffe und Credential Stuffing — Es gibt keine Passwörter, die sich erraten oder erneut verwenden lassen
• Datenbankverletzungen — Server speichern nur öffentliche Schlüssel. Ohne den privaten Schlüssel sind sie nutzlos
• Wiederverwendung von Zugangsdaten — Einzigartige Passkeys für jeden Dienst verhindern, dass ein kompromittiertes Konto Zugang zu anderen eröffnet

Passwörter bieten nur einen Authentifizierungsfaktor (etwas, das Sie wissen). Passkeys kombinieren zwei: etwas, das Sie besitzen (das Gerät mit dem privaten Schlüssel), und etwas, das Sie sind (biometrische Verifizierung). So bieten sie integrierte Multi-Faktor-Authentifizierung in einem Schritt.

Diese Unterschiede führen zu messbaren Sicherheitsvorteilen, wenn Passkeys mit realen Angriffsszenarien konfrontiert sind.

Die Kernkomponenten von Passkeys

Die Passkey-Authentifizierung basiert auf fünf technischen Komponenten, die vor Phishing schützen:

• Kryptografische Schlüsselpaare bilden die Grundlage. Jeder Passkey besteht aus einem mathematisch verknüpften öffentlichen und privaten Schlüssel. Der öffentliche Schlüssel liegt auf dem Server des Dienstanbieters. Der private Schlüssel bleibt auf dem Gerät Ihres Nutzers in einem hardwaregeschützten Speicher.
• Authentifikatoren erzeugen und speichern Passkeys. In Geräte integrierte Plattform-Authentifikatoren nutzen TPMs, Secure Enclaves oder Trusted Execution Environments (TEEs). So bleiben private Schlüssel an bestimmte Hardware gebunden. Mobile Authentifikatoren umfassen USB-Sicherheitsschlüssel und Bluetooth-Token. Beide setzen die CTAP- und WebAuthn-Spezifikationen für Domain-Bindung, Phishing-Resistenz und den kryptografischen Besitznachweis um.
• WebAuthn API stellt die Verbindung zwischen Webanwendungen, Browsern und Authentifikatoren her. Dieser W3C-Standard legt fest, wie Registrierung und Authentifizierung ablaufen, und sorgt für eine einheitliche Implementierung auf verschiedenen Plattformen.
• Vertrauende Partei bezeichnet den Dienst, der die Passkey-Authentifizierung implementiert, Challenges generiert, Antworten validiert und das Register öffentlicher Schlüssel verwaltet.
• Benutzerverifizierung bestätigt, dass der rechtmäßige Benutzer den Authentifikator kontrolliert. Dafür nutzt sie biometrische Authentifizierung, eine Geräte-PIN oder ein Muster. Die Verifizierung erfolgt lokal; biometrische Daten verlassen das Gerät nie.

Diese Komponenten wirken in zwei zentralen Prozessen zusammen: Registrierung und Authentifizierung.

So funktionieren Passkeys

Beide Prozesse beruhen auf einem kryptografischen Challenge-Response-Verfahren, bei dem keine Anmeldedaten übertragen werden.

Registrierungsprozess

Bei der Registrierung sendet die vertrauende Partei Anforderungen an den Browser Ihres Benutzers, der WebAuthn aufruft. Der Authentifikator generiert ein eindeutiges Schlüsselpaar, das an die betreffende Domain gebunden ist. Diese Bindung an die Ursprungsdomain verhindert die Wiederverwendung von Anmeldedaten und Phishing.

Der private Schlüssel wird in hardwaregeschütztem Speicher abgelegt. Bei gerätegebundenen Implementierungen sind das Hardware-Sicherheitsmodule, TPMs, Secure Enclaves oder Chips in Sicherheitsschlüsseln. Bei synchronisierten Implementierungen ist es verschlüsselter Cloud-Speicher ohne Exportmöglichkeit. Der Authentifikator sendet den öffentlichen Schlüssel und die Metadaten der Anmeldedaten an die vertrauende Partei zurück. Die Registrierung ist in Sekunden abgeschlossen und bietet eine Anmeldung ohne Passwort oder Passworterstellung.

Authentifizierungsprozess

Wenn sich Ihr Benutzer authentifiziert, generiert die vertrauende Partei eine zufällige Challenge und sendet sie zusammen mit der ID der Anmeldedaten. Nach der Benutzerverifizierung per biometrischem Scan, PIN-Eingabe oder Geräteentsperrung signiert der Authentifikator die Challenge mit dem privaten Schlüssel.

Die signierte Challenge wird zur Validierung an die vertrauende Partei zurückgesendet. Stimmt die Signatur überein, ist die Authentifizierung abgeschlossen. Challenges verfallen innerhalb weniger Minuten und können nicht erneut verwendet werden.

Szenarien für die geräteübergreifende Authentifizierung

Synchronisierte Passkeys verschlüsseln private Schlüssel in Cloud-Schlüsselbünden (iCloud Keychain oder Google Password Manager), damit sie auf mehreren Geräten desselben Ökosystems verfügbar sind. Sie bieten bequemen Zugriff, unterstützen die Attestierung jedoch nur eingeschränkt. Unternehmen können daher nicht immer kryptografisch verifizieren, welche Sicherheitshardware genau verwendet wird. Gerätegebundene Passkeys erfordern bei jeder Anmeldung den physischen Authentifikator. Ihre umfassenden Attestierungsfunktionen bieten höhere Gewissheit: Unternehmen können das genaue Modell des Sicherheitsschlüssels oder das verwendete Hardware-Sicherheitsmodul verifizieren.

Für Unternehmen hängt die Wahl zwischen synchronisierten und gerätegebundenen Anmeldedaten von der Risikotoleranz ab. Umgebungen mit hohen Sicherheitsanforderungen, etwa privilegierte Administratorkonten, profitieren von gerätegebundenen Implementierungen. Synchronisierte Varianten eignen sich für die allgemeine Authentifizierung von Mitarbeitenden, bei der eine einfache Nutzung die Akzeptanz fördert.

Nachdem die Funktionsweise geklärt ist, stellt sich die nächste Frage: Was bringen Passkeys Ihrem Unternehmen?

Die wichtigsten Vorteile von Passkeys

Passkeys bieten gegenüber passwortbasierter Authentifizierung messbare Verbesserungen in vier Bereichen, darunter Sicherheit, Betrieb und Compliance.

1. Phishing-Resistenz durch Kryptografie: Passwortbasierte Authentifizierung mit SMS-Codes bleibt anfällig für Phishing in Echtzeit, bei dem Angreifer Anfragen über gefälschte Websites weiterleiten. Passkeys verhindern dies durch die Bindung an die Domain. Die WebAuthn API überprüft vor der Authentifizierung die Zieldomain. Stimmen die Domains nicht überein, schlägt der Vorgang fehl. SMS-Codes, Push-Benachrichtigungen und TOTP bleiben anfällig für Man-in-the-Middle-Angriffe, SIM-Swapping und die Ermüdung durch Push-Benachrichtigungen. Kryptografische Anmeldedaten sind es nicht.
2. Schutz vor dem Diebstahl von Anmeldedaten: Ihre privaten Schlüssel verlassen die Geräte Ihrer Benutzer nie. Bei einem Servereinbruch können keine wiederverwendbaren Anmeldedaten offengelegt werden, da Server nur öffentliche Schlüssel speichern. Infostealer-Malware kann Schlüssel selbst mit Zugriff auf Kernel-Ebene nicht aus Hardware-Sicherheitsmodulen extrahieren. Passkeys verhindern die Techniken zum Sammeln von Anmeldedaten, auf die Angreifer am häufigsten setzen.
3. Höhere betriebliche Effizienz: Der Einsatz von Passkeys reduziert Anfragen zum Zurücksetzen von Passwörtern, da Benutzer kryptografische Anmeldedaten nicht vergessen können. Durch die FIDO-Implementierung des USDA konnten beispielsweise rund 40.000 Benutzer auf passwortlose Authentifizierung umsteigen. Damit entfiel eine ganze Kategorie von Helpdesk-Tickets. Identitätssicherheitsplattformen wie Singularity Identity von SentinelOne ergänzen den präventiven Schutz durch Passkeys um eine autonome Reaktion auf Bedrohungen durch Anmeldedaten, die auf die Authentifizierungsinfrastruktur abzielen.
4. Compliance und Abstimmung auf Sicherheitsniveaus: Passkeys erfüllen die Anforderungen von NIST SP 800-63 AAL3 an Phishing-resistente MFA. CISA bezeichnet FIDO/WebAuthn-Passkeys als Goldstandard für MFA, da sie an Domains gebundene Anmeldedaten bereitstellen, die auf gefälschten Websites nicht verwendet werden können. Wie bereits erwähnt, ist bei der überwiegenden Mehrheit der Sicherheitsverletzungen durch Anmeldedaten deren Diebstahl im Spiel. Passkeys schließen diese Kategorie vollständig aus.

Die Kryptografie mit öffentlichen Schlüsseln bietet zudem überprüfbare Sicherheitseigenschaften, die Passwortrichtlinien nicht erreichen: einen kryptografischen Nachweis der domainspezifischen Authentifizierung, keine gemeinsam genutzten Geheimnisse im Netzwerk und hardwaregestützte Schlüsselgenerierung. Diese Eigenschaften liefern überprüfbare Nachweise bei Audits und vereinfachen die Compliance-Dokumentation für Standards wie SOC 2, HIPAA und PCI DSS.

Diese Sicherheits- und Betriebsvorteile haben die schnelle Verbreitung über Plattformen und Branchen hinweg vorangetrieben.

Plattformunterstützung und Verbreitung von Passkeys

Apple, Google und Microsoft unterstützen Passkeys nativ in ihren Betriebssystemen und Browsern. So erhalten Unternehmen plattformübergreifende Unterstützung für die meisten Geräteumgebungen:

• Apple integriert Passkeys über iCloud Keychain auf iOS, iPadOS und macOS
• Google unterstützt sie über Google Password Manager auf Android und Chrome
• Microsoft unterstützt die Passkey-Authentifizierung über Windows Hello und Entra ID

Neben Plattformanbietern haben auch große Dienste für Privat- und Geschäftskunden die Anmeldung mit Passkeys eingeführt. Amazon, PayPal, GitHub, Shopify und eBay unterstützen Passkeys zur Authentifizierung ihrer Kunden. Das Passkey Directory der FIDO Alliance dokumentiert die zunehmende Verbreitung im Bankwesen, Gesundheitswesen und öffentlichen Sektor. Laut FIDO Alliance haben 53 % der Menschen Passkeys für mindestens ein Konto aktiviert.

Für Sicherheitsteams in Unternehmen ist passwortlose Authentifizierung damit kein Zukunftsthema mehr. Identitätsanbieter wie Microsoft Entra ID, Okta und Ping Identity bieten eine native FIDO2/WebAuthn-Integration. So ist die unternehmensweite Einführung schon heute möglich.

Die wachsende Unterstützung durch Plattformen beseitigt jedoch nicht die Komplexität der Einführung.

Herausforderungen und Grenzen von Passkeys

Bei der Einführung von Passkeys in Unternehmen gibt es vier zentrale Hürden. Sie erfordern Planung und Investitionen.

1. Einschränkungen bei der Integration von Altsystemen: Legacy-Anwendungen, die sich nicht in moderne Authentifizierungsdienste integrieren lassen, sind das größte Hindernis bei der Einführung. Aufgrund von Einschränkungen durch Altsysteme setzen viele Unternehmen auf hybride Systeme, die Passwörter und kryptografische Anmeldedaten kombinieren. Das erhöht die betriebliche Komplexität, da Sie mehrere Authentifizierungskomponenten gleichzeitig betreiben müssen. Mainframe-Anwendungen, industrielle Steuerungssysteme und eingebettete Geräte verfügen häufig nicht über die Ressourcen, um WebAuthn-Protokolle zu implementieren. Sie müssen entscheiden, ob Sie isolierte Bereiche mit Passwortauthentifizierung beibehalten, in Authentifizierungs-Gateways investieren oder akzeptieren, dass bestimmte Systeme nicht durch Passkeys abgedeckt werden. Wenn Sie diese Lücken frühzeitig einplanen, vermeiden Sie blinde Flecken bei der Sicherheit während der Einführung.
2. Uneinheitliche Implementierung auf verschiedenen Plattformen: Trotz WebAuthn-Standardisierung unterscheiden sich die Implementierungen je nach Plattform und Browser. Synchronisierte Passkeys funktionieren nur innerhalb eines Plattform-Ökosystems: Über iCloud Keychain synchronisierte private Schlüssel sind auf Android-Geräten mit Google Password Manager nicht zugänglich und umgekehrt. Diese Unterschiede führen zu schwer vorhersehbaren Authentifizierungsabläufen und erschweren die unternehmensweite Einführung.
3. Komplexität der Kontowiederherstellung: Bei Geräteverlust oder Hardwareausfall droht der Verlust des Kontozugangs. Deshalb sind zuverlässige Wiederherstellungsverfahren nötig. Viele Nutzer befürchten, den Zugang zu verlieren. Diese Sorge kann die Akzeptanz von Passkeys hemmen. Wer die Wiederherstellung erst spät berücksichtigt, muss mit mehr Supportanfragen und geringerer Akzeptanz rechnen. Die Verfahren sollten daher von Anfang an eingeplant werden.
4. Organisatorisches Veränderungsmanagement: Nutzer können ungewohnte Authentifizierungsabläufe ablehnen, besonders wenn sie deren Sicherheitsvorteile nicht kennen. Supportmitarbeiter müssen vor der Einführung im Umgang mit Fehlern, Wiederherstellungsverfahren und plattformspezifischem Verhalten geschult werden. Die Zusammenarbeit von UX-, Entwicklungs- und Produktteams überwindet Akzeptanzhürden wirksamer als eine rein technische Umsetzung.

Wenn Sie diese Herausforderungen kennen, vermeiden Sie die häufigsten Fehler bei der Einführung.

Häufige Fehler bei der Implementierung von Passkeys

Selbst gut geplante Passkey-Einführungen können scheitern, wenn Teams Nutzererlebnis, Fehlerbehandlung und die Sicherheit von Ausweichverfahren vernachlässigen. Diese vier Fehler treten besonders häufig auf.

• Nutzer vor der Einführung nicht informieren: Wer die Einführung ankündigt, ohne auf Bedenken der Nutzer einzugehen, riskiert Verwirrung und Widerstand. Nutzer sehen ungewohnte Authentifizierungsaufforderungen ohne Erklärung. Viele fordern dann eine Passwortzurücksetzung an oder wenden sich an den Support. Erklären Sie frühzeitig, was bei Geräteverlust zu tun ist und wie die Wiederherstellung funktioniert. Berücksichtigen Sie dabei die Abläufe unter iOS, Android und Windows.
• Allgemeine Fehlermeldungen verwenden: Authentifizierungsabläufe, die nur "Etwas ist schiefgelaufen" statt konkreter Handlungshinweise anzeigen, schwächen das Vertrauen der Nutzer. Präzise Meldungen wie "Diese Anmeldedaten gehören zu einem anderen Konto" oder "Die Richtlinie für Ihr Gerät erfordert ein Update" zeigen den nächsten Schritt und erhalten das Vertrauen auch bei Fehlern.
• Wiederherstellung unzureichend testen: Ohne gründliche Tests der Wiederherstellung können Nutzer nach der Einführung von Passkeys den Zugang verlieren. Geräte gehen unerwartet verloren, Ersatz-Authentifikatoren fallen aus und die Cloud-Synchronisierung kann gestört sein. Testen Sie die Wiederherstellung anhand realer Fehlerszenarien. Stellen Sie dafür Schritt-für-Schritt-Anleitungen und visuelle Hilfen bereit.
• Unsichere Ausweichverfahren für die Authentifizierung beibehalten: Wenn eine Implementierung auf schwache Ein-Faktor-Verfahren zurückgreift, etwa ausschließlich auf Einmalcodes per E-Mail oder SMS, bleibt sie anfällig für genau die Angriffe, die Passkeys verhindern sollen. Verlangen Sie auch bei Ausweichverfahren mehrere Faktoren. Gestalten Sie die Wiederherstellung bewusst weniger bequem als die reguläre Authentifizierung. So bleibt der Zugang im Notfall erhalten, ohne die routinemäßige Nutzung des Ausweichverfahrens zu fördern.

Bewährte Vorgehensweisen vermeiden diese Fehler und schaffen eine widerstandsfähige Implementierung.

Best Practices für Passkeys

Erfolgreiche Einführungen in Unternehmen folgen ähnlichen Mustern: bei der Reihenfolge der Einführung, der Auswahl der Nutzergruppen, der Wiederherstellung und der Plattformintegration.

Passkeys schrittweise einführen

Führen Sie Passkeys in mehreren Phasen ein. Schaffen Sie zunächst mit App-basierten Authentifikatoren eine Grundlage für MFA. So bauen Sie die nötigen organisatorischen Fähigkeiten auf. Führen Sie Passkeys anschließend mit phishingresistenter MFA für sensible Anwendungen ein. Behalten Sie während der Umstellung die Passwortanmeldung als Ausweichverfahren bei.

Mit zunehmender Verbreitung sollten Sie Prozesse für den Lebenszyklus und die Wiederherstellung festlegen:

• Geräte aus der Ferne entsperren und Anmeldedaten ausstellen
• Widerrufsverfahren mit vollständigen Audit-Trails für Compliance-Anforderungen
• Anmeldedaten unternehmensweit zentral verwalten
• Passwortbasierte Authentifizierung nur noch als Ausweichverfahren für Notfälle nutzen

Definieren Sie für jede Phase klare Erfolgskriterien, bevor Sie zur nächsten übergehen.

Zuerst Nutzergruppen mit hohem Risiko berücksichtigen

Führen Sie Passkeys zuerst für Nutzer mit privilegierten Zugriffsrechten, IT-Administratoren und Führungskräfte ein. Bei diesen besonders attraktiven Zielen ist das Risiko eines Diebstahls von Anmeldedaten am höchsten. Der Verizon DBIR zeigt, dass 57 % der Social-Engineering-Vorfälle Phishing beinhalten und Phishing bei 16 % aller Sicherheitsverletzungen als Methode für den Erstzugriff dient. Sichern Sie geschäftskritische Anwendungen wie E-Mail, VPN, HR-Systeme und Finanzanwendungen ab, bevor Sie weniger sensible Dienste einbeziehen.

Zuverlässige Infrastruktur für die Wiederherstellung aufbauen

Implementieren Sie mehrere Wiederherstellungsverfahren, ohne Hintertüren über Passwörter zu schaffen. Verlangen Sie, dass Nutzer neben ihrem primären Plattform-Authentifikator zusätzliche Hardware-Sicherheitsschlüssel registrieren. So führt der Verlust eines Geräts nicht zum vollständigen Verlust des Zugangs.

Bei einer administrativen Wiederherstellung sollte die Identität über mehrere Wege geprüft werden: durch Kontrolle eines Lichtbildausweises, Bestätigung durch die Führungskraft und Überprüfung von Sicherheitsfragen. Cloud-synchronisierte Passkeys stellen den Zugang automatisch wieder her, wenn sich Nutzer auf einem Ersatzgerät mit demselben Plattformkonto anmelden. Nutzen Sie gerätegebundene Passkeys für privilegierte Zugriffe, bei denen eine hardwaregestützte Authentifizierung erforderlich ist.

Identitätsplattformen integrieren

Binden Sie Identitätsplattformen für Unternehmen wie Microsoft Entra ID über Richtlinien für bedingten Zugriff ein. Risikobasierte Authentifizierung kann bei erhöhtem Risiko eine phishingresistente Passkey-Verifizierung erzwingen und bei geringem Risiko einen einfacheren Ablauf bieten. Die Integration liefert außerdem zentrale Audit-Trails, die Passkey-Authentifizierungen mit Anwendungszugriffen und Nutzerverhalten verknüpfen.

Prozesse zur kontinuierlichen Verbesserung etablieren

Erfassen Sie Kennzahlen zur Akzeptanz: Registrierungsraten, Erfolgsquoten bei der Authentifizierung, Häufigkeit von Wiederherstellungen und Eskalationen an den Helpdesk. Passen Sie die Authentifizierungsabläufe anhand von Betriebsdaten und Nutzerfeedback an, während sich die Plattformunterstützung und die organisatorischen Fähigkeiten weiterentwickeln.

Passkeys stärken Ihre Authentifizierung, doch Angreifer beschränken sich nicht auf gestohlene Anmeldedaten.

Verringern Sie das Identitätsrisiko in Ihrer gesamten Organisation

Erkennen und reagieren Sie auf Angriffe in Echtzeit mit ganzheitlichen Lösungen für Active Directory und Entra ID.

Demo anfordern

Das Wichtigste auf einen Blick

Passkeys verhindern den Diebstahl von Anmeldedaten und Phishing durch kryptografische Authentifizierung. Private Schlüssel verlassen dabei nie die Geräte der Nutzer. Da keine Passwörter über das Netzwerk übertragen werden, entfällt eine der häufigsten Methoden, die Angreifer für den Erstzugriff ausnutzen. Die Einführung in Unternehmen sollte schrittweise erfolgen und bei besonders gefährdeten Nutzern und geschäftskritischen Anwendungen beginnen. Dabei müssen Einschränkungen älterer Systeme, Unterschiede zwischen Plattformen und Hürden bei der Nutzerakzeptanz gezielt berücksichtigt werden.

Fehlende Nutzerschulungen, allgemeine Fehlermeldungen und schwache alternative Authentifizierungsmethoden können die Sicherheitsvorteile von Passkeys untergraben. Identity-Security-Plattformen ergänzen den präventiven Schutz durch Passkeys: Sie erkennen Angriffe auf die Authentifizierungsinfrastruktur jenseits der Anmeldedaten, darunter die Kompromittierung von Active Directory, Rechteausweitung und laterale Bewegungen.