Microsoft macht Passkeys zur Standard-Anmeldung in Entra ID und schaltet die eigene SMS- und Voice-Authentifizierung zum 1. Februar 2027 ab. Die Termine und die vier Schritte zur Umstellung haben wir im Beitrag Microsoft schaltet SMS- und Voice-MFA ab beschrieben. Hier geht es um die Frage dahinter: Was ist ein Passkey eigentlich, und warum ist er sicherer als jeder Code, den Sie bisher getippt haben?

Die kurze Antwort: Ein Passkey lässt sich nicht abgreifen, weil es nichts zum Abgreifen gibt. Kein Passwort, kein Code, kein Geheimnis, das über eine gefälschte Seite abfließen könnte. Warum das so ist, steckt in der Technik, und die ist weniger kompliziert, als der Begriff vermuten lässt.

Was ein Passkey eigentlich ist

Ein Passkey ersetzt das Passwort durch ein kryptografisches Schlüsselpaar. Bei der Einrichtung erzeugt Ihr Gerät, ein Sicherheitsstick oder Ihr Passwortmanager zwei zusammengehörige Schlüssel: einen privaten Schlüssel, der das Gerät nie verlässt, und einen öffentlichen Schlüssel, den der Dienst speichert. Das BSI beschreibt es genau so: Der private Schlüssel wird sicher verwahrt, der öffentliche Schlüssel wird der Webseite zur Verfügung gestellt.

Bei jeder Anmeldung schickt der Dienst eine zufällige Aufgabe, eine sogenannte Challenge. Ihr Gerät signiert diese Aufgabe mit dem privaten Schlüssel, der Dienst prüft die Signatur mit dem öffentlichen Schlüssel. Es wird also kein Geheimnis übertragen, das ein Angreifer abfangen und wiederverwenden könnte. Auf dem Server liegt nur der öffentliche Schlüssel, und mit dem kann sich niemand anmelden. Selbst ein erfolgreicher Einbruch bei einem Anbieter gibt einem Angreifer kein nutzbares Login in die Hand, weil dort schlicht kein Anmeldegeheimnis gespeichert ist.

Technisch ist das der offene Standard FIDO2 mit dem Browser-Baustein WebAuthn. “Passkey” ist der Name, den Microsoft, Apple und Google für die anwenderfreundliche Variante desselben Verfahrens benutzen. Ein Passkey ist also kein neues Produkt, sondern FIDO2 ohne den Hardware-Stick als Pflicht. Freigegeben wird die Signatur durch Fingerabdruck, Gesicht oder Geräte-PIN, das Merkmal verlässt das Gerät nie.

Warum Passkeys Phishing standhalten

Der entscheidende Punkt steckt nicht im Schlüsselpaar, sondern in der Bindung an die Domain. Ein Passkey wird bei der Einrichtung fest mit der Adresse des Dienstes verknüpft. Ihr Gerät prüft bei jeder Anmeldung, ob die Webseite wirklich die ist, für die der Passkey erstellt wurde. Auf einer gefälschten Seite passt die Adresse nicht, und der Passkey verweigert schlicht die Signatur. Das BSI formuliert es so, dass ein Passkey nur für den einen, korrekten Zugang genutzt werden kann. Der Nutzer muss nicht erkennen, dass die Seite gefälscht ist. Das Gerät erkennt es.

Genau hier versagen die bisherigen Verfahren. Ein Passwort tippen Sie überall ein, wo das Feld danach aussieht, auch auf einer Fälschung. Ein SMS-Code ebenso. Und selbst eine Authenticator-App schützt nicht gegen einen Adversary-in-the-Middle-Angriff: Dabei schaltet sich ein Angreifer mit einem Reverse-Proxy wie Evilginx unsichtbar zwischen Nutzer und echten Dienst. Das Opfer sieht die echte Anmeldeseite, gibt Passwort und Code ein, und der Angreifer leitet beides in Echtzeit weiter und stiehlt am Ende den Sitzungs-Cookie. Ein Zahlencode merkt nicht, dass er über eine Zwischenstation läuft. Ein Passkey merkt es, weil die Domain der Zwischenstation nicht stimmt.

Der gleiche Mechanismus räumt weitere Angriffe gleich mit ab. Es gibt keinen Code, den ein falscher IT-Support am Telefon abfragen könnte, also läuft Vishing ins Leere. Es gibt keine Push-Meldung, die man aus Versehen bestätigt, also endet die MFA-Fatigue. Und weil pro Dienst ein eigenes Schlüsselpaar entsteht, gibt es kein wiederverwendetes Passwort, das nach einem Datenleck anderswo passt. Dass ein gestohlenes Passwort heute reicht, um ein Unternehmen lahmzulegen, haben wir beim Schutz vor Ransomware beschrieben. Passkeys setzen genau an dieser Wurzel an.

Infografik mit KI erstellt.

FIDO2-Stick, Authenticator oder Passwortmanager

Passkeys gibt es in zwei Bauformen, und der Unterschied ist für die Praxis wichtiger als er klingt.

Gerätegebundene Passkeys verlassen ihr Gerät nie. Dazu gehören FIDO2-Sicherheitsschlüssel als USB- oder NFC-Stick, der Passkey im Microsoft Authenticator und der in Windows integrierte Entra-Passkey. Das ist die höchste Sicherheitsstufe, weil der Schlüssel physisch an einem Ort bleibt. Der Preis dafür ist, dass ein neues Gerät einen neuen Passkey braucht.

Synchronisierte Passkeys werden über einen Anbieter zwischen Ihren Geräten geteilt. Genau hier kommt der Passwortmanager ins Spiel: iCloud-Schlüsselbund, der Google Passwortmanager und Manager wie Bitwarden oder 1Password speichern Passkeys und synchronisieren sie über Handy, Laptop und Tablet. Der Manager, den viele bisher als Passwort-Tresor kennen, wird damit zum Schlüsselbund für die passwortlose Anmeldung. Für die meisten Belegschaften ist der synchronisierte Passkey aus dem Passwortmanager der praktikable Einstieg, während Administratoren, Geschäftsführung und andere schützenswerte Konten den gerätegebundenen Hardware-Stick bekommen.

Beide Varianten sind FIDO2 und beide sind phishing-resistent. Der Unterschied liegt nicht in der Sicherheit gegen Phishing, sondern in Komfort und Wiederherstellung. Ein synchronisierter Passkey ist bequem und übersteht ein verlorenes Gerät. Ein gerätegebundener Passkey ist die stärkere Zusage, weil der Schlüssel nachweislich nie kopiert wurde.

Der ehrliche Teil

Passkeys lösen das Phishing-Problem an der Wurzel, aber sie sind kein Schalter, den man einmal umlegt.

Die größte Baustelle ist die Wiederherstellung. Geht das einzige Gerät mit dem Passkey verloren und gibt es keinen zweiten, steht der Nutzer vor der Tür. Jeder Account braucht deshalb mindestens zwei registrierte Passkeys oder einen sauber definierten Wiederherstellungsweg über die Administration. Synchronisierte Passkeys entschärfen das, verlagern aber das Vertrauen auf den Sync-Anbieter, dessen Konto seinerseits stark abgesichert sein muss.

Nicht jede Anwendung kann heute mit Passkeys umgehen. Ältere Branchensoftware, VPN-Einwahlen oder Dienste ohne FIDO2-Unterstützung bleiben zunächst außen vor und brauchen eine Übergangslösung. Hardware-Sticks kosten zudem Geld pro Kopf und müssen beschafft, ausgegeben und im Fall eines Weggangs wieder eingesammelt werden. Nichts davon spricht gegen Passkeys. Es spricht dafür, die Einführung zu planen, statt sie zu überstürzen.

So unterstützen wir Sie

Passkeys ausrollen heißt nicht, einen Haken zu setzen. Es heißt: die richtige Methodenrichtlinie setzen, gerätegebundene Schlüssel für privilegierte Konten und synchronisierte Passkeys für die Breite verteilen, saubere Wiederherstellungswege definieren und die Menschen mitnehmen. Wir schauen uns Ihre Authentifizierungs-Landschaft an, klären welche Altanwendungen eine Übergangslösung brauchen, und begleiten die Umstellung so, dass am Ende niemand vor einem blockierten Login steht.

Mehr zu unseren Security-Leistungen oder direkt ein Erstgespräch anfragen. 15 Minuten, kein Vertriebsdruck.

Quellen: BSI zur Kryptografie hinter Passkeys sowie Microsoft Learn zur FIDO2-Anmeldung in Entra ID.