Passkeys gelten als deutlich widerstandsfähiger gegen klassisches Phishing als Passwörter und SMS-MFA. Trotzdem verschwinden Social-Engineering-Angriffe nicht. Im September 2026 berichtete Microsoft über Kampagnen, bei denen Angreifer Passkey-Themen als Köder nutzten, um Benutzer zu täuschen und anschließend Cloud-Konten zu kompromittieren.
Passkeys lösen nicht jedes Identitätsproblem
Passkeys schützen besonders gut gegen den Diebstahl wiederverwendbarer Geheimnisse. Ein Angreifer kann aber weiterhin versuchen, Benutzer zu einer gefährlichen Aktion zu bewegen, beispielsweise zur Registrierung einer fremden Authentifizierungsmethode oder zur Freigabe eines unerwarteten Anmeldevorgangs.
Wie moderne Angriffe aussehen
Aktuelle Identitätsangriffe kombinieren Social Engineering mit ungewöhnlichen Anmeldungen, dem Hinzufügen neuer Authentifizierungsmethoden und anschließendem Zugriff auf Cloud-Daten. Werden solche Schritte nicht überwacht, kann ein Angreifer trotz moderner MFA lange unbemerkt bleiben.
Entra ID Ereignisse überwachen
Unternehmen sollten nicht nur fehlgeschlagene Anmeldungen betrachten. Auch neu registrierte Authentifizierungsmethoden, ungewöhnliche Standorte, riskante Sign-ins, neue Geräte und auffällige Microsoft-Graph-Aktivität gehören in die Überwachung.
Benutzer richtig vorbereiten
Schulungen sollten nicht bei „Klicken Sie nicht auf verdächtige Links“ enden. Mitarbeitende müssen wissen, wann eine Passkey-Registrierung legitim ist, wie echte Unternehmenskommunikation aussieht und an wen sie sich bei unerwarteten MFA- oder Registrierungsaufforderungen wenden.
Technische Schutzmaßnahmen
Conditional Access, risikobasierte Richtlinien, Least Privilege und das Monitoring neuer Authentifizierungsmethoden reduzieren das Risiko zusätzlich. Besonders privilegierte Konten sollten strengere Anforderungen erfüllen als normale Benutzerkonten.
Weitere Informationen: Cybersecurity und AI-Angriffe & Schutz.
Fazit
Passkeys sind ein wichtiger Sicherheitsfortschritt, aber kein Ersatz für Identitätsmonitoring und Benutzeraufklärung. Die beste Strategie kombiniert phishing-resistente Anmeldung mit klaren Prozessen und schneller Erkennung ungewöhnlicher Änderungen.
Autor: Salman Dolatpanah Gortlar
Quelle: Microsoft Security Research – Passkey-themed social engineering, September 2026.