Passkeys Unternehmen steht im Mittelpunkt dieses praxisorientierten GORTNET-Leitfadens. Der Beitrag zeigt, welche Entscheidungen IT-Verantwortliche und Unternehmen treffen sollten und wie sich technische Risiken nachvollziehbar begrenzen lassen.
Autor: Salman Dolatpanah Gortlar · GORTNET
Warum Passkeys die Anmeldung verändern
Passkeys verwenden kryptografische Schlüsselpaare und binden die Anmeldung an legitime Dienste. Im Gegensatz zu klassischen Kennwörtern wird kein gemeinsam genutztes Passwort zur Anmeldung übertragen. Das erschwert viele Phishing-Angriffe.
Praxis-Tipp: Dokumentieren Sie dafür Verantwortlichkeiten, messbare Prüfkriterien und eine nachvollziehbare Freigabe. Starten Sie mit einem begrenzten Pilotprojekt, kontrollieren Sie technische Abhängigkeiten und überprüfen Sie Ergebnisse vor jeder produktiven Änderung.
Die Entra-ID-Umstellung 2026 und 2027
Microsoft hat die breitere Passkey-Einführung im September 2026 begonnen. Die Abschaffung Microsoft-eigener SMS- und Sprachzustellung ist für Februar 2027 angekündigt; Ausnahmen und Mandantenbedingungen sind in der aktuellen Dokumentation zu prüfen.
Praxis-Tipp: Dokumentieren Sie dafür Verantwortlichkeiten, messbare Prüfkriterien und eine nachvollziehbare Freigabe. Starten Sie mit einem begrenzten Pilotprojekt, kontrollieren Sie technische Abhängigkeiten und überprüfen Sie Ergebnisse vor jeder produktiven Änderung.
FIDO2, Plattform-Passkeys und Security Keys
Plattformgebundene Passkeys können mit unterstützten Geräten und Authentifikatoren genutzt werden. Hardware-Sicherheitsschlüssel sind für privilegierte Konten und Wiederherstellungswege häufig besonders interessant. Geräteverwaltung und Notfallverfahren gehören zur Auswahl.
Praxis-Tipp: Dokumentieren Sie dafür Verantwortlichkeiten, messbare Prüfkriterien und eine nachvollziehbare Freigabe. Starten Sie mit einem begrenzten Pilotprojekt, kontrollieren Sie technische Abhängigkeiten und überprüfen Sie Ergebnisse vor jeder produktiven Änderung.
Bestandsaufnahme vor der Migration
Unternehmen sollten Authentifizierungsmethoden und Anmeldeprotokolle prüfen, Benutzergruppen klassifizieren und veraltete SMS- oder Sprachverfahren identifizieren. Externe Nutzer, Dienstkonten und Spezialanwendungen brauchen eine gesonderte Betrachtung.
Praxis-Tipp: Dokumentieren Sie dafür Verantwortlichkeiten, messbare Prüfkriterien und eine nachvollziehbare Freigabe. Starten Sie mit einem begrenzten Pilotprojekt, kontrollieren Sie technische Abhängigkeiten und überprüfen Sie Ergebnisse vor jeder produktiven Änderung.
Pilotgruppen und gestaffelte Einführung
Ein kontrollierter Pilot umfasst IT, verschiedene Endgeräte und repräsentative Fachbereiche. Hilfetexte, Registrierungsanleitungen und Supportprozesse müssen verständlich sein. Erst nach erfolgreichen Tests sollte der Rollout ausgeweitet werden.
Praxis-Tipp: Dokumentieren Sie dafür Verantwortlichkeiten, messbare Prüfkriterien und eine nachvollziehbare Freigabe. Starten Sie mit einem begrenzten Pilotprojekt, kontrollieren Sie technische Abhängigkeiten und überprüfen Sie Ergebnisse vor jeder produktiven Änderung.
Recovery ohne Sicherheitsrückschritt
Der Rücksetzprozess darf nicht schwächer sein als die reguläre Anmeldung. Mehrere registrierte Authentifikatoren, geprüfte Recovery-Prozesse und abgesicherte Administratorkonten reduzieren Ausfallrisiken.
Praxis-Tipp: Dokumentieren Sie dafür Verantwortlichkeiten, messbare Prüfkriterien und eine nachvollziehbare Freigabe. Starten Sie mit einem begrenzten Pilotprojekt, kontrollieren Sie technische Abhängigkeiten und überprüfen Sie Ergebnisse vor jeder produktiven Änderung.
Conditional Access und Monitoring
Passkeys ersetzen nicht bedingten Zugriff, Geräteprüfung oder Schutz privilegierter Rollen. Unternehmen müssen riskante Anmeldungen, Gerätezustände und Änderungen der Methodenrichtlinien weiterhin überwachen.
Praxis-Tipp: Dokumentieren Sie dafür Verantwortlichkeiten, messbare Prüfkriterien und eine nachvollziehbare Freigabe. Starten Sie mit einem begrenzten Pilotprojekt, kontrollieren Sie technische Abhängigkeiten und überprüfen Sie Ergebnisse vor jeder produktiven Änderung.
Erfolg messbar machen
Relevant sind Registrierungsquote, verbleibende phishbare Methoden, Supportfälle, Anmeldeabbrüche und Anzahl privilegierter Konten mit phishingresistenter Authentisierung.
Praxis-Tipp: Dokumentieren Sie dafür Verantwortlichkeiten, messbare Prüfkriterien und eine nachvollziehbare Freigabe. Starten Sie mit einem begrenzten Pilotprojekt, kontrollieren Sie technische Abhängigkeiten und überprüfen Sie Ergebnisse vor jeder produktiven Änderung.
Weiterführende Informationen und Beratung
Weitere Fachartikel: AI Agent Security 2026: OWASP-Risiken und Schutzmaßnahmen · Immutable Backup gegen Ransomware: So planen Firmen · EU AI Act 2026: KI-Governance praktisch umsetzen
Offizielle Quelle: https://learn.microsoft.com/en-gb/entra/identity/authentication/concept-sms-voice-retirement
Sie möchten den Ansatz für Ihre Infrastruktur bewerten? Kontaktieren Sie GORTNET und schildern Sie Ihre technische Fragestellung.