Security Key Rollout im Unternehmen: Planung für 50 Mitarbeiter

Ein Security Key Rollout im Unternehmen scheitert selten an der Technik. Meist scheitert er an der Stückzahl: Wer pro Person nur einen Schlüssel bestellt, sperrt beim ersten Verlust einen Mitarbeiter für Tage aus. Dann richtet der Helpdesk unter Zeitdruck eine Ausnahme ein, meist per SMS oder Passwort, und genau diese Hintertür nutzen Angreifer später. Kurz gesagt: zwei Keys pro Person, drei für Admins, rund 7 % Reserve. Für 50 Mitarbeiter sind das 110 Keys, ab etwa 2.200 € netto. Passende Modelle finden Sie in der Kategorie Identity & Access.

Wie viele Security Keys braucht ein Unternehmen pro Mitarbeiter?

Planen Sie zwei Security Keys pro Mitarbeiter: einen für den täglichen Einsatz und einen registrierten Backup-Key, der sicher verwahrt wird. Dazu kommt ein Reservebestand von etwa fünf bis zehn Prozent für Verlust, Defekt und Neuzugänge. Für 50 Mitarbeiter ergibt das rund 105 bis 110 Schlüssel statt 50.

Der Backup-Key ist kein Luxus. Passkeys auf einem Hardware-Key nach FIDO2 (offener Anmeldestandard ohne Passwort) sind an das Gerät gebunden und lassen sich nicht kopieren. Das ist ihr Sicherheitsvorteil. Geht der einzige registrierte Key verloren, bleibt nur eine erneute Registrierung über einen anderen, sicheren Kanal.

Stückzahl nach Rolle: wer wie viele Keys bekommt

Nicht jede Rolle braucht dieselbe Ausstattung. Administratoren mit Zugriff auf Domain-Controller, Firewall oder Cloud-Tenant sollten einen dritten Key erhalten, der an einem zweiten Ort liegt, etwa im Tresor der Geschäftsführung.

Die Verteilung ist ein Beispiel mit transparenten Annahmen. Passen Sie die Zeilen an Ihre Organisation an, die Logik bleibt gleich: zwei Keys als Untergrenze, drei für privilegierte Konten, dazu ein Puffer.

Welches Modell für welchen Arbeitsplatz?

Die Anschlussfrage entscheidet über die Akzeptanz. Ein Key, der nicht ins Notebook passt, landet in der Schublade.

• USB-A mit NFC: für Desktop-PCs und ältere Notebooks. NFC (kontaktlos, wie beim Bezahlen per Karte) bindet Smartphones an. Beispiel: Swissbit iShield Key 2 FIDO2 USB-A/NFC, speichert laut Hersteller bis zu 300 Passkeys (Anmeldedaten je Konto).
• USB-C mit NFC: für moderne Notebooks, Tablets und Android-Geräte. Beispiel: Swissbit iShield Key 2 FIDO2 USB-C/NFC.
• Multiprotokoll-Key: wenn neben FIDO2 auch Smartcard-Anmeldung (PIV), Einmalpasswörter (OTP) oder OpenPGP gebraucht werden, etwa für ein älteres VPN oder signierte E-Mails. Beispiel: YubiKey 5C NFC.

Gemischte Flotten sind üblich. Wichtig ist nur, dass beide Keys einer Person denselben Anschluss haben. Sonst passt der Backup-Key im Ernstfall nicht ins Notebook. Einen ausführlichen Produktvergleich lesen Sie im Beitrag Swissbit iShield Key vs YubiKey 5.

Budget für 50 Mitarbeiter: drei Varianten im Rechenbeispiel

Die folgenden Werte rechnen mit 110 Keys und den Shop-Preisen vom 27. Oktober 2026, netto zuzüglich 19 % MwSt. Bei den Swissbit-Modellen gilt eine Mindestbestellmenge von 10 Stück.

Rechnet man die günstigste Variante auf drei Jahre Nutzung um, liegt der Aufwand bei rund 15 Euro pro Mitarbeiter und Jahr. Nicht eingerechnet sind der interne Aufwand für Registrierung und Schulung sowie eine mögliche Lizenz für die Identitätsplattform. Eine Mischflotte rechnet sich: Bekommen nur die 9 IT-Keys einen YubiKey, kostet die Flotte 101 × 20,20 € + 9 × 58,00 € = 2.562,20 € netto.

Verlustprozess: was passiert, wenn ein Key weg ist?

Der Verlustprozess muss stehen, bevor der erste Key ausgegeben wird. Bewährt hat sich ein Ablauf in fünf Schritten:

1. Meldung: Der Mitarbeiter meldet den Verlust sofort an den Helpdesk, auch außerhalb der Arbeitszeit über eine feste Nummer.
2. Sperrung: Die IT entfernt den verlorenen Key aus dem Konto im Identitätsdienst, etwa in Microsoft Entra ID. Der Backup-Key bleibt aktiv.
3. Identitätsprüfung: Vor jeder Neuregistrierung prüft der Helpdesk die Identität persönlich oder per Videocall mit Ausweis, nie nur per E-Mail.
4. Ersatz: Der Mitarbeiter erhält einen Key aus dem Reservebestand und registriert ihn. Danach ist er wieder mit zwei Keys ausgestattet.
5. Dokumentation: Seriennummer, Datum und Grund kommen ins Asset-Verzeichnis. Das erleichtert Audits und das Offboarding.

Beim Offboarding gilt derselbe Gedanke rückwärts: beide Keys einsammeln, aus allen Konten entfernen, Bestand fortschreiben. Wie Microsoft die Registrierung und Verwaltung von FIDO2-Keys beschreibt, zeigt die Anleitung zu Passkeys in Microsoft Entra ID.

Ausgabe, PIN und Verwahrung des Backup-Keys

Geben Sie Keys nur persönlich und gegen Unterschrift aus. So ist jede Seriennummer einer Person zugeordnet, und der Bestand stimmt mit dem Asset-Verzeichnis überein.

Die PIN des Keys wählt der Mitarbeiter bei der Registrierung selbst. Die IT kennt sie nicht und notiert sie nirgends. Nach mehreren Fehleingaben sperrt sich der Key, dann hilft nur Zurücksetzen und erneutes Registrieren.

Der Backup-Key gehört nicht in denselben Notebook-Rucksack wie der Primär-Key. Bewährt haben sich zwei Orte: zu Hause oder im Firmentresor, jeweils im versiegelten Umschlag mit Seriennummer.

Security Key Rollout im Unternehmen in vier Wochen: Reihenfolge und Stolperfallen

Starten Sie mit den Konten, deren Missbrauch am kostspieligsten wäre: Administratoren, Geschäftsführung, Buchhaltung. Diese Gruppe dient als Pilot und findet Probleme mit Geräten oder Anwendungen, bevor 44 weitere Kollegen betroffen sind.

Ein realistischer Zeitplan:

1. Woche 1: Anschlüsse im Gerätepark erfassen, Methode in Entra ID aktivieren, Keys bestellen.
2. Woche 2: Pilot mit IT und Geschäftsführung, je zwei bis drei Keys registrieren.
3. Woche 3: alle weiteren Mitarbeiter registrieren je zwei Keys, Buchhaltung als erste Abteilung.
4. Woche 4: Verlustprozess einmal durchspielen, dann SMS und Passwort als Anmeldeweg abschalten.

Typische Stolperfallen im Mittelstand:

• Alte Fachanwendungen unterstützen kein FIDO2. Hier hilft ein Multiprotokoll-Key mit Smartcard-Funktion oder ein Übergangsverfahren.
• Die alte Anmeldemethode bleibt parallel aktiv. Schalten Sie sie nach dem Test des Wiederherstellungswegs ab, und zwar ohne Ausnahmen.
• Backup-Keys werden nicht registriert, sondern nur ausgehändigt. Ein Backup-Key ohne Registrierung schützt im Ernstfall nicht.

Schritt für Schritt erklärt der Beitrag Passkeys im Unternehmen einführen, wie Sie die Umstellung technisch aufsetzen.

FAQ zum Security Key Rollout

Reicht ein Security Key pro Mitarbeiter?

Nein. Ohne registrierten Backup-Key führt jeder Verlust zu Ausfallzeit und zu einer unsicheren Ausnahme. Zwei Keys pro Person sind die übliche Untergrenze.

Kann man einen Security Key kopieren oder sichern?

Nein. Die Passkeys auf einem FIDO2-Key verlassen das Gerät nicht. Deshalb registriert man einen zweiten Key direkt am Konto, statt den ersten zu sichern.

Wie groß sollte der Reservebestand sein?

Fünf bis zehn Prozent der Gesamtmenge sind ein guter Startwert. Bei hoher Fluktuation oder vielen Außendienstmitarbeitern eher am oberen Ende planen.

Brauche ich USB-A oder USB-C?

Das hängt von Ihrem Gerätepark ab. Erfassen Sie vor der Bestellung, welche Anschlüsse Notebooks und Desktops haben. Für Smartphones ist NFC die einfachste Lösung.

Funktionieren Security Keys mit Microsoft 365?

Ja. Microsoft Entra ID unterstützt FIDO2-Security-Keys als Anmeldemethode „Passkeys (FIDO2)“. Über Schlüsseleinschränkungen (AAGUID) legen Sie fest, dass nur freigegebene Modelle registriert werden dürfen.

Ihr nächster Schritt

Wissen Sie, wie viele Anschlüsse vom Typ USB-A und USB-C in Ihrem Unternehmen im Einsatz sind? Mit dieser Zahl lässt sich die Flotte in wenigen Minuten planen. Alle Modelle finden Sie unter MFA und Security Keys und beim Hersteller Swissbit. Nennen Sie im Produktberater Mitarbeiterzahl und Anschlussmix. Sie erhalten ein Angebot für Primär-, Backup- und Reserve-Keys. Lieber direkt? Schreiben Sie uns über die Kontaktseite.