Passkeys im Unternehmen einführen: 6-Schritte-Anleitung

Passkeys ersetzen das Passwort durch ein kryptografisches Schlüsselpaar nach dem FIDO2/WebAuthn-Standard – eine Anmeldung, die sich nicht abphishen lässt. Das ist mehr als ein Komfort-Feature: Ein Großteil aller Datenschutzverletzungen beginnt laut gängigen Sicherheitsreports mit gestohlenen oder erratenen Passwörtern, und der IT-Support in kleinen und mittleren Unternehmen verbringt spürbar viel Arbeitszeit mit Passwort-Resets. Jeder vergessene Login kostet Produktivität, jeder Phishing-Klick auf ein gefälschtes Login-Formular kostet im schlimmsten Fall die gesamte Domäne. Dieser Leitfaden zeigt in sechs Schritten, wie Sie Passkeys über die passende MFA-Hardware im Unternehmen einführen – von der Bestandsaufnahme bis zum Fallback-Plan für Mitarbeiter ohne Smartphone.

Was sind Passkeys und warum lösen sie das Passwort-Problem?

Passkeys sind kein neues Passwort, sondern der Ersatz dafür. Sie basieren auf dem offenen FIDO2/WebAuthn-Standard: Bei der Registrierung erzeugt das Gerät ein Schlüsselpaar, der private Schlüssel bleibt auf dem Gerät oder Hardware-Token, der öffentliche Schlüssel liegt beim Dienst. Bei jedem weiteren Login wird nur noch mit dem bereits vorhandenen privaten Schlüssel signiert – es entsteht kein neues Geheimnis, das sich abgreifen ließe. Ohne den privaten Schlüssel lässt sich keine Anmeldung fälschen, auch nicht per Phishing-Seite. Das unterscheidet Passkeys grundlegend von Passwörtern plus SMS-Code, die sich mit gefälschten Login-Seiten in Echtzeit abgreifen lassen.

Was ist der Unterschied zwischen Passkeys und klassischen FIDO2-Sicherheitsschlüsseln?

Plattform-Passkeys speichern den privaten Schlüssel direkt im Gerät. Bei Apple (Face ID) und Google synchronisiert dieser Schlüssel meist über die Cloud des Herstellers auf weitere Geräte; bei Windows Hello bleibt er in der Regel geräte- und TPM-gebunden, ohne automatischen Cloud-Sync. Hardware-Security-Keys wie der Swissbit iShield Key 2 speichern den Schlüssel dagegen isoliert auf einem externen USB-Gerät, das nicht mit einem privaten Cloud-Konto verknüpft ist. Für Unternehmen mit Compliance-Anforderungen ist die Hardware-Variante meist die sicherere Wahl.

Schritt 1: Bestandsaufnahme der Anwendungen und Geräte

Bevor Sie ausrollen, brauchen Sie einen Überblick: Welche Anwendungen unterstützen bereits WebAuthn (Microsoft Entra ID, Google Workspace, die meisten modernen SaaS-Tools tun das), und welche hängen noch an einem klassischen Passwort-Feld? Parallel dazu die Geräte-Frage: Nicht jeder Arbeitsplatz hat ein biometrisches Notebook. Für diese Fälle braucht es externe Sicherheitsschlüssel.

Schritt 2: Passende Hardware für jeden Arbeitsplatztyp auswählen

• Reine Windows- oder Mac-Arbeitsplätze mit Kamera oder Fingerabdrucksensor: Ein Plattform-Passkey reicht meist aus
• Gemeinsam genutzte Terminals, Produktionsrechner, Legacy-Hardware: Ein externer FIDO2-Key ist nötig, zum Beispiel der Swissbit iShield Key 2 für USB-A-Anschlüsse
• Mitarbeiter mit hohem Reiseaufkommen oder BYOD-Politik: Ein zusätzlicher Hardware-Key als Fallback, etwa ein YubiKey Bio, verringert das Risiko einer Aussperrung

Ein detaillierter Feature-Vergleich der gängigen Hardware-Keys steht im FIDO2-Security-Keys-Vergleich. Kalkulieren Sie in dieser Phase gleich Ersatz-Keys ein: Pro Mitarbeiter mit Hardware-Anmeldung sollten mindestens zwei Schlüssel eingeplant werden, damit ein verlorener Key nicht sofort zum Support-Notfall wird.

Was kostet die Einführung von Passkeys im Unternehmen?

Die Kosten setzen sich aus drei Blöcken zusammen: Hardware-Keys, interner Zeitaufwand für Pilotphase und Rollout, sowie gegebenenfalls eine höherwertige Lizenzstufe des Identity-Providers. Bei Microsoft Entra ID und Google Workspace ist FIDO2 meist bereits in den Business-Tarifen enthalten, sodass die Hardware-Beschaffung den größten Kostenblock darstellt.

Für ein Team mit 50 Mitarbeitern, von denen ein Drittel externe Hardware-Keys benötigt, liegt die reine Hardware-Investition meist im niedrigen vierstelligen Bereich. Das steht deutlich unter den Folgekosten eines erfolgreichen Phishing-Angriffs. Dem gegenüber stehen laufende Einsparungen: Weniger Passwort-Reset-Tickets entlasten den IT-Support spürbar, und kürzere Login-Zeiten summieren sich über Hunderte Anmeldungen pro Woche zu echter Produktivität. Wer bereits eine MFA-Lösung wie WatchGuard AuthPoint im Einsatz hat, kann Passkeys meist ohne zusätzliche Plattform-Kosten ergänzen, da FIDO2 ein offener Standard ist.

Schritt 3: Pilotgruppe starten

Rollen Sie Passkeys nie unternehmensweit auf einmal aus. Eine Pilotgruppe von 10 bis 20 Personen aus IT und einer Fachabteilung deckt die meisten Stolperfallen ab, bevor sie zum Support-Ticket-Sturm werden.

Schritt 4: Identity-Provider konfigurieren

In Microsoft Entra ID aktivieren Sie FIDO2-Sicherheitsschlüssel unter den Authentifizierungsmethoden und legen fest, welche Key-Modelle per Attestation zugelassen sind – ein Herstellernachweis, der bestätigt, dass ein Schlüssel echt ist und die USB-Sticks aus dem Elektronikmarkt vom Rollout ausschließt.

Während der Pilotphase lohnt sich ein Vergleich gegen bestehende MFA-Lösungen: Wer bereits eine Push-basierte MFA wie AuthPoint nutzt, sollte Passkeys zunächst als zusätzliche, phishing-resistente Schicht einführen statt als vollständigen Ersatz.

Schritt 5: Unternehmensweiter Rollout und Mitarbeiterschulung

Nach erfolgreicher Pilotphase folgt der Rollout in Wellen von Abteilung zu Abteilung. Kommunizieren Sie klar, warum sich die Anmeldung ändert – Mitarbeiter akzeptieren neue Sicherheitsmaßnahmen deutlich besser, wenn der Nutzen im Vordergrund steht statt der Compliance-Pflicht. Kein Passwort mehr merken, ein schnellerer Login: Das überzeugt eher als jede Anweisung. Eine kurze Schulung von 15 Minuten pro Team reicht meist aus, um Registrierung und täglichen Login zu erklären.

Schritt 6: Fallback-Plan für verlorene Geräte und Recovery-Keys

Der häufigste Fehler bei der Einführung: ein fehlender Wiederherstellungsprozess. Jeder Mitarbeiter sollte mindestens zwei registrierte Passkeys besitzen – einen primären (Smartphone oder Hardware-Key) und einen Recovery-Key, der sicher im Unternehmen hinterlegt wird, etwa ein zweiter WatchGuard AuthPoint Hardware-Token im Tresor der IT-Abteilung. Ohne diesen zweiten Faktor führt ein verlorenes Handy sofort zur Aussperrung und einem Support-Fall, der die Akzeptanz der gesamten Umstellung gefährdet.

Häufige Fragen zur Passkey-Einführung

Funktionieren Passkeys auch ohne Internetverbindung?

Ja, die kryptografische Prüfung läuft lokal zwischen Gerät und Anmeldedienst. Eine Internetverbindung wird nur für den eigentlichen Login-Vorgang beim jeweiligen Dienst benötigt, nicht für die Schlüsselerzeugung selbst.

Müssen wir alle Anwendungen gleichzeitig umstellen?

Nein. Passkeys lassen sich schrittweise pro Anwendung aktivieren. Beginnen Sie mit Microsoft 365 oder dem Identity-Provider, da darüber meist der größte Teil der täglichen Logins läuft.

Was passiert bei Verlust des Hardware-Keys?

Mit einem hinterlegten Zweit-Key oder Recovery-Code meldet sich der Mitarbeiter übergangsweise an und registriert einen neuen Key. Ohne Zweit-Faktor ist ein Reset durch die IT-Administration nötig.

Sind Passkeys mit NIS2 vereinbar?

Passkeys gelten als eine der sichersten Umsetzungen der von NIS2 geforderten Multi-Faktor-Authentifizierung, da sie ohne übertragbares Geheimnis wie ein Passwort auskommen. Details zu den Anforderungen finden sich in der NIS2-Compliance-Checkliste.

Lohnt sich die Umstellung für kleine Teams unter 20 Mitarbeitern?

Ja, gerade kleine Teams profitieren schnell: weniger Passwort-Resets, kein zusätzliches Ticket-System nötig, und die Einrichtung dauert pro Person meist unter fünf Minuten.

Passkeys als Teil der Zero-Trust-Strategie

Die Einführung von Passkeys ist selten ein isoliertes Projekt – sie ist meist der erste sichtbare Schritt einer größeren Zero-Trust-Initiative. Wer Passkeys erfolgreich eingeführt hat, verfügt bereits über die Grundlage für weiterführende Maßnahmen wie Conditional Access (Zugriffsregeln, die Anmeldungen zusätzlich nach Gerätezustand oder Standort bewerten) und eine phishing-resistente Absicherung privilegierter Konten.

Welche 10 bis 20 Mitarbeiter starten bei Ihnen die Pilotphase? Wer unsicher ist, welche Hardware-Keys zur eigenen Microsoft- oder Google-Umgebung passen, bekommt über den Produktberater eine passende Empfehlung. Für die Beschaffung größerer Stückzahlen oder eine Beratung zur Rollout-Planung steht das Team über den Kontakt bereit.