Passkeys statt Passwörter: Warum Unternehmen jetzt handeln sollten

Management-Zusammenfassung

Passwörter gehören seit Jahrzehnten zum Unternehmensalltag. Gleichzeitig zählen sie weiterhin zu den größten Schwachstellen der Informationssicherheit. Schwache Kennwörter, mehrfach verwendete Passwörter, Phishing-Angriffe und gestohlene Zugangsdaten ermöglichen Angreifern regelmäßig den Zugriff auf geschäftskritische Systeme.

Mit Passkeys steht Unternehmen eine praxistaugliche Alternative zur Verfügung. Sie ersetzen das klassische Passwort durch ein kryptografisches Verfahren. Die Anmeldung erfolgt beispielsweise über Windows Hello, einen Fingerabdruck, Gesichtserkennung oder die Geräte-PIN. Das eigentliche Zugangsgeheimnis verlässt das Endgerät nicht.

Für Unternehmen ergeben sich daraus drei wesentliche Vorteile:

deutlich besserer Schutz vor Phishing und gestohlenen Zugangsdaten,
weniger Aufwand für Passwortverwaltung und Support,
eine einfachere und schnellere Anmeldung für Mitarbeitende.

Passkeys sind damit nicht nur eine technische Sicherheitsmaßnahme. Sie können die Betriebskosten senken, Arbeitsabläufe vereinfachen und die digitale Resilienz des Unternehmens stärken.

Die Managementempfehlung lautet daher: Unternehmen sollten nicht auf die vollständige Ablösung des Passworts warten. Sie sollten jetzt prüfen, bei welchen Anwendungen Passkeys bereits eingesetzt und schrittweise zum bevorzugten Anmeldeverfahren gemacht werden können.

Warum Passkeys für Unternehmen wichtig sind

Unternehmen investieren erhebliche Mittel in Firewalls, E-Mail-Sicherheit, Endpoint Protection und Sicherheitsüberwachung. Dennoch beginnt ein großer Teil erfolgreicher Cyberangriffe weiterhin mit einem kompromittierten Benutzerkonto.

Angreifer müssen sich nicht zwangsläufig technisch Zugang zu einem Unternehmensnetzwerk verschaffen. Häufig reicht es aus, gültige Zugangsdaten zu erbeuten und sich damit regulär anzumelden.

Besonders problematisch sind:

Phishing-E-Mails und gefälschte Anmeldeseiten,
wiederverwendete Passwörter,
schwache oder leicht erratbare Kennwörter,
gestohlene Passwortdatenbanken,
sogenannte Credential-Stuffing-Angriffe,
unzureichend abgesicherte Administratorenkonten.

Die Ursache liegt nicht ausschließlich bei den Mitarbeitenden. Das Passwort selbst ist ein Sicherheitskonzept mit grundlegenden Schwächen. Menschen sollen für zahlreiche Anwendungen komplexe, einzigartige und regelmäßig geänderte Kennwörter verwalten. In der Praxis führt dies häufig zu unsicheren Hilfslösungen.

Passkeys setzen an dieser strukturellen Schwäche an. Es gibt kein Passwort mehr, das sich der Nutzer merken, eingeben oder an einen Server übertragen muss.

Was ist ein Passkey?

Ein Passkey ist ein digitales Anmeldeverfahren auf Basis asymmetrischer Kryptografie.

Bei der Einrichtung wird ein Schlüsselpaar erzeugt:

Der öffentliche Schlüssel wird beim jeweiligen Onlinedienst oder in der Unternehmensanwendung gespeichert.
Der private Schlüssel verbleibt geschützt auf dem Endgerät oder in einem dafür vorgesehenen Passwort- beziehungsweise Passkey-Manager.

Bei der Anmeldung sendet der Dienst eine kryptografische Anfrage an das Endgerät. Der Nutzer bestätigt die Anmeldung lokal, beispielsweise durch Gesichtserkennung, Fingerabdruck, Windows Hello oder eine Geräte-PIN.

Das Endgerät signiert die Anfrage anschließend mit dem privaten Schlüssel. Der private Schlüssel selbst wird dabei nicht übertragen.

Für den Nutzer fühlt sich dieser Vorgang einfacher an als eine klassische Passwortanmeldung. Im Hintergrund ist das Verfahren jedoch deutlich widerstandsfähiger gegen zahlreiche Angriffsarten.

Welche geschäftlichen und sicherheitsrelevanten Risiken Passkeys reduzieren

Passkeys schützen wirksam vor Phishing

Der wichtigste Vorteil von Passkeys ist ihre Widerstandsfähigkeit gegen klassische Phishing-Angriffe.

Passkeys sind technisch an den jeweiligen Dienst beziehungsweise an dessen Domain gebunden. Besucht ein Mitarbeiter versehentlich eine gefälschte Anmeldeseite, kann der Passkey dort nicht wie ein Passwort eingegeben oder verwendet werden.

Eine täuschend echt gestaltete Phishing-Seite kann somit nicht einfach die Zugangsdaten des Nutzers abgreifen.

Für Unternehmen ist das von großer Bedeutung. Phishing gehört zu den häufigsten Ausgangspunkten erfolgreicher Cyberangriffe. Passkeys reduzieren dieses Risiko nicht nur durch zusätzliche Sensibilisierung, sondern unmittelbar durch die technische Gestaltung des Anmeldeverfahrens.

Gestohlene Passwörter verlieren ihre Bedeutung

Bei einer klassischen Anmeldung kennt der Nutzer ein Passwort, das auch der Anbieter in geeigneter Form verarbeiten muss. Wird eine Passwortdatenbank kompromittiert, können Angreifer versuchen, die enthaltenen Passwortwerte zu entschlüsseln oder anderweitig zu missbrauchen.

Bei Passkeys speichert der Dienst lediglich den öffentlichen Schlüssel. Dieser eignet sich nicht dazu, sich gegenüber dem Dienst anzumelden.

Auch das Risiko des sogenannten Credential Stuffings wird reduziert. Dabei testen Angreifer gestohlene Zugangsdaten automatisiert bei zahlreichen anderen Plattformen. Da Passkeys für jeden Dienst separat erzeugt werden, gibt es kein einheitliches Passwort, das bei verschiedenen Anbietern wiederverwendet werden kann.

Das Risiko menschlicher Fehler sinkt

Mitarbeitende müssen sich bei Passkeys keine komplexen Passwortkombinationen merken. Sie müssen auch nicht beurteilen, ob eine Anmeldeseite tatsächlich echt ist oder ob ein Passwort möglicherweise schon bei einem anderen Dienst verwendet wurde.

Dadurch werden typische Fehlerquellen reduziert:

Passwörter werden nicht mehr aufgeschrieben.
Einfache Kennwörter werden vermieden.
Eine Mehrfachverwendung ist technisch ausgeschlossen.
Passwörter können nicht versehentlich an Dritte weitergegeben werden.
Gefälschte Anmeldeseiten können das Zugangsgeheimnis nicht abgreifen.

Passkeys ersetzen Sicherheitsanforderungen, die bisher stark vom Verhalten der Nutzer abhängig waren, durch technische Schutzmechanismen.

Privilegierte Konten können besser geschützt werden

Administratorenkonten, Cloud-Administratoren und Konten der Geschäftsleitung sind besonders attraktive Angriffsziele. Ein kompromittiertes privilegiertes Konto kann weitreichende Auswirkungen auf Systeme, Daten und Geschäftsprozesse haben.

Passkeys eignen sich deshalb besonders für Konten mit erhöhten Berechtigungen. Sie reduzieren die Wahrscheinlichkeit, dass Administratorenzugänge durch Phishing oder gestohlene Zugangsdaten kompromittiert werden.

Aus Risikosicht sollten privilegierte Konten zu den ersten Anwendungsfällen einer Passkey-Einführung gehören.

Die wirtschaftlichen Vorteile von Passkeys

Passkeys werden häufig ausschließlich unter Sicherheitsaspekten betrachtet. Für die Geschäftsleitung sind jedoch auch die wirtschaftlichen und organisatorischen Auswirkungen relevant.

Weniger Passwort-Resets

Vergessene Passwörter gehören in vielen Unternehmen zu den häufigsten Ursachen für Supportanfragen. Jeder Passwort-Reset verursacht Aufwand:

Der Mitarbeiter kann möglicherweise nicht weiterarbeiten.
Der IT-Support muss die Identität des Nutzers prüfen.
Das Passwort muss zurückgesetzt und neu vergeben werden.
In manchen Fällen werden zusätzliche Freigaben benötigt.

Passkeys können diesen Aufwand erheblich reduzieren. Die Anmeldung erfolgt über ein bereits bekanntes Endgeräteverfahren wie Windows Hello, die Geräte-PIN oder biometrische Merkmale.

Geringere Helpdesk-Kosten

Weniger Passwortprobleme bedeuten weniger Supporttickets. Dies ist insbesondere für kleine und mittlere Unternehmen relevant, deren IT-Abteilungen häufig nur über begrenzte personelle Ressourcen verfügen.

Die eingesparte Zeit kann für Aufgaben eingesetzt werden, die einen höheren Beitrag zur Informationssicherheit oder zur Geschäftsentwicklung leisten.

Schnellere Anmeldevorgänge

Das Eingeben komplexer Passwörter und zusätzlicher Einmalcodes kostet Zeit. Passkeys können die Anmeldung vereinfachen und beschleunigen.

Der Vorteil wirkt auf den ersten Blick gering. Bei zahlreichen Mitarbeitenden und täglichen Anmeldevorgängen kann daraus jedoch ein spürbarer Produktivitätsgewinn entstehen.

Weniger Sicherheitsvorfälle

Ein kompromittiertes Benutzerkonto kann erhebliche Folgekosten verursachen. Dazu gehören:

Untersuchung und Eindämmung des Vorfalls,
Wiederherstellung betroffener Systeme,
Ausfallzeiten,
mögliche Datenschutzverletzungen,
rechtliche Beratung,
Kommunikation mit Kunden und Geschäftspartnern,
Reputationsschäden.

Passkeys verhindern nicht jeden Cyberangriff. Sie erschweren jedoch einige der häufigsten und erfolgreichsten Angriffsmethoden erheblich.

Passkeys verbessern die Benutzerfreundlichkeit

Informationssicherheit wird von Mitarbeitenden häufig als zusätzliche Belastung wahrgenommen. Komplexe Passwortregeln, regelmäßige Änderungen und mehrstufige Anmeldeverfahren können Akzeptanzprobleme verursachen.

Passkeys zeigen, dass höhere Sicherheit nicht zwangsläufig zu komplizierteren Abläufen führen muss.

Die Anmeldung kann für Mitarbeitende einfacher werden:

Die gewünschte Anwendung wird geöffnet.
Der Nutzer bestätigt die Anmeldung am Endgerät.
Das Gerät führt die kryptografische Authentifizierung durch.
Der Zugang wird freigegeben.

Es muss kein Passwort eingegeben und häufig auch kein zusätzlicher Einmalcode übertragen werden.

Diese Kombination aus Sicherheit und Benutzerfreundlichkeit ist ein wesentlicher Vorteil. Sicherheitsmaßnahmen werden erfahrungsgemäß besser akzeptiert, wenn sie Arbeitsabläufe nicht unnötig erschweren.

Passkeys als Bestandteil einer modernen Sicherheitsarchitektur

Passkeys sollten nicht isoliert betrachtet werden. Sie sind ein Baustein eines modernen Identity and Access Managements.

Ein wirksames Identitäts- und Berechtigungsmanagement umfasst unter anderem:

eindeutige Benutzeridentitäten,
sichere Authentifizierungsverfahren,
rollenbasierte Berechtigungen,
regelmäßige Überprüfung von Zugriffsrechten,
Schutz privilegierter Konten,
geregelte Ein- und Austrittsprozesse,
Protokollierung und Überwachung von Anmeldungen.

Passkeys verbessern vor allem die Authentifizierung. Sie ersetzen jedoch nicht die Notwendigkeit, Berechtigungen angemessen zu vergeben und regelmäßig zu überprüfen.

Ein Nutzer kann sich mit einem Passkey sehr sicher anmelden und dennoch über zu umfangreiche Berechtigungen verfügen. Unternehmen müssen deshalb Authentifizierung und Berechtigungsmanagement gemeinsam betrachten.

Passkeys im Kontext von ISO 27001 und NIS2

Weder die ISO/IEC 27001 noch die NIS2-Anforderungen schreiben Passkeys ausdrücklich als konkrete Technologie vor.

Beide Regelwerke verfolgen jedoch einen risikobasierten Ansatz. Unternehmen müssen angemessene technische und organisatorische Maßnahmen auswählen, um ihre Informationswerte und Geschäftsprozesse zu schützen.

Passkeys können dabei insbesondere folgende Ziele unterstützen:

sichere Identifizierung und Authentifizierung,
Schutz vor unberechtigten Zugriffen,
Reduzierung von Phishing-Risiken,
Absicherung privilegierter Benutzerkonten,
Verringerung menschlicher Fehler,
Verbesserung der Cyberresilienz.

Für ein ISO-27001-konformes Informationssicherheitsmanagementsystem können Passkeys eine geeignete Maßnahme zur Behandlung identifizierter Authentifizierungsrisiken sein.

Im NIS2-Kontext können sie als Teil eines angemessenen Sicherheitsniveaus betrachtet werden. Entscheidend ist jedoch nicht allein die eingesetzte Technologie. Unternehmen müssen nachvollziehbar begründen, welche Risiken bestehen, welche Maßnahmen gewählt wurden und wie deren Wirksamkeit überprüft wird.

Der Markt erreicht einen Wendepunkt

Passkeys waren über mehrere Jahre vor allem ein Zukunftsthema. Inzwischen werden sie von großen Technologieanbietern, Betriebssystemen, Browsern und zahlreichen Onlinediensten unterstützt.

Auch das BSI beschäftigt sich intensiv mit der sicheren Gestaltung der notwendigen technischen Infrastruktur. Die Veröffentlichung einer technischen Richtlinie für Passkey-Server zeigt, dass sich die Technologie zunehmend von einer Komfortfunktion zu einem relevanten Sicherheitsstandard entwickelt.

Die weite Verbreitung unterstützender Endgeräte und Plattformen schafft für Unternehmen eine günstige Ausgangslage. Viele benötigte technische Funktionen sind bereits vorhanden.

Die entscheidende Frage lautet daher nicht mehr, ob Passkeys grundsätzlich funktionieren. Unternehmen müssen vielmehr klären, in welchen Geschäftsprozessen und Anwendungen sie den größten Nutzen bieten.

Welche Sofortmaßnahmen sinnvoll sind

Unternehmen müssen ihre bestehende Authentifizierungslandschaft nicht von heute auf morgen vollständig umstellen. Ein schrittweises Vorgehen ist in der Regel sicherer und organisatorisch besser beherrschbar.

1. Bestehende Anwendungen erfassen

Zunächst sollte ermittelt werden, welche Anwendungen und Plattformen im Unternehmen genutzt werden.

Besonders relevant sind:

Microsoft 365 und Entra ID,
Google Workspace,
VPN- und Fernzugangslösungen,
Cloud-Anwendungen,
Kundenportale,
Administrationsoberflächen,
geschäftskritische Webanwendungen,
Passwort- und Identitätsmanagementlösungen.

2. Passkey-Unterstützung prüfen

Nicht jede Anwendung unterstützt bereits Passkeys. Unternehmen sollten deshalb systematisch erfassen:

Welche Anwendungen bieten Passkeys bereits an?
Welche Endgeräte und Betriebssysteme werden benötigt?
Können Passkeys zentral verwaltet werden?
Sind gerätegebundene oder synchronisierte Passkeys vorgesehen?
Welche Wiederherstellungsverfahren existieren?
Können mehrere Passkeys pro Benutzer hinterlegt werden?

3. Kritische Konten priorisieren

Ein sinnvoller Einstieg besteht darin, besonders gefährdete Konten zuerst zu schützen.

Dazu zählen:

globale Administratoren,
lokale Administratoren,
Cloud-Administratoren,
Geschäftsleitung und Führungskräfte,
Finanz- und Personalbereich,
IT-Support,
Konten mit Zugriff auf sensible Kundendaten.

4. Pilotgruppe einrichten

Vor einer breiten Einführung sollte eine Pilotgruppe gebildet werden. Geeignet sind Mitarbeitende aus IT, Informationssicherheit, Management und ausgewählten Fachbereichen.

Die Pilotphase sollte nicht nur die technische Funktion prüfen. Ebenso wichtig sind Benutzerfreundlichkeit, Supportaufwand, Gerätewechsel und Wiederherstellungsszenarien.

5. Wiederherstellungsprozesse definieren

Ein Passkey-Konzept ist nur dann belastbar, wenn auch Sonderfälle geregelt sind.

Unternehmen benötigen klare Antworten auf folgende Fragen:

Was geschieht bei Verlust eines Smartphones oder Notebooks?
Wie wird ein neuer Passkey eingerichtet?
Wie wird die Identität des Nutzers bei einer Wiederherstellung geprüft?
Welche Ersatzverfahren sind zulässig?
Wie werden Passkeys beim Austritt eines Mitarbeiters entfernt?
Wie wird verhindert, dass unsichere Rückfallverfahren den Sicherheitsgewinn wieder aufheben?

Gerade die Wiederherstellung ist ein kritischer Punkt. Ein sehr sicherer Passkey verliert an Wirkung, wenn ein Angreifer den Zugang über einen schlecht abgesicherten Supportprozess zurücksetzen kann.

Wie die erfolgreiche Einführung gelingt

Passkeys als organisatorisches Projekt behandeln

Die Einführung ist nicht ausschließlich Aufgabe der IT. Sie betrifft auch Personalwesen, Datenschutz, Informationssicherheit, interne Kommunikation, Support und Geschäftsführung.

Es müssen Verantwortlichkeiten definiert werden:

Wer legt den zulässigen Passkey-Standard fest?
Wer entscheidet über geeignete Plattformen?
Wer betreut verlorene oder ersetzte Geräte?
Wer dokumentiert Ausnahmen?
Wer überprüft die Wirksamkeit der Maßnahme?

Schatten-IT vermeiden

Mitarbeitende könnten Passkeys eigenständig auf privaten Geräten, in privaten Cloud-Konten oder in nicht freigegebenen Passwortmanagern speichern.

Dies kann neue Risiken schaffen. Unternehmen sollten deshalb klare Vorgaben machen, welche Geräte und Speicherverfahren zulässig sind.

Die zentrale Frage lautet nicht nur, ob ein Passkey sicher ist. Entscheidend ist auch, wer den privaten Schlüssel kontrolliert und wie das Unternehmen bei Geräteverlust, Austritt oder Sicherheitsvorfällen handeln kann.

Mitarbeitende verständlich informieren

Die technische Funktionsweise muss nicht bis ins letzte Detail erklärt werden. Mitarbeitende sollten jedoch verstehen:

warum Passkeys eingeführt werden,
wie die Anmeldung funktioniert,
welche Geräte genutzt werden dürfen,
was bei Verlust eines Geräts zu tun ist,
welche Supportwege bestehen,
dass biometrische Daten in der Regel lokal auf dem Gerät verarbeitet werden.

Eine gute Kommunikation verhindert Unsicherheit und erhöht die Akzeptanz.

Übergangsphase bewusst gestalten

Viele Unternehmen werden über einen längeren Zeitraum Passkeys und Passwörter parallel betreiben.

Diese Übergangsphase muss kontrolliert werden. Bleibt das Passwort als dauerhaft gleichwertige Alternative bestehen, kann ein Angreifer weiterhin den unsicheren Weg nutzen.

Das langfristige Ziel sollte deshalb lauten, Passkeys nicht nur zusätzlich anzubieten, sondern sie nach erfolgreicher Erprobung zum bevorzugten oder verpflichtenden Anmeldeverfahren zu machen.

Grenzen und typische Missverständnisse

Passkeys sind keine Universallösung für alle Sicherheitsprobleme.

Sie verhindern beispielsweise nicht:

Fehlberechtigungen,
kompromittierte Endgeräte,
Schadsoftware auf dem Arbeitsplatz,
missbräuchliche Handlungen durch berechtigte Nutzer,
unsichere Wiederherstellungsprozesse,
mangelhafte Geräteverwaltung,
unzureichende Protokollierung.

Auch die Aussage „Passkeys sind automatisch immer sicher“ wäre zu pauschal. Die konkrete Sicherheit hängt unter anderem davon ab, wie Passkeys gespeichert, synchronisiert, wiederhergestellt und organisatorisch verwaltet werden.

Unternehmen sollten deshalb nicht nur die Benutzeroberfläche betrachten. Sie müssen die gesamte Prozesskette vom Anlegen des Passkeys bis zur Deaktivierung des Benutzerkontos bewerten.

Praxisbeispiel aus einem mittelständischen Unternehmen

Ein mittelständisches Produktionsunternehmen nutzt Microsoft 365, mehrere Cloud-Anwendungen und einen VPN-Zugang. Die Mitarbeitenden melden sich bisher mit Passwort und zusätzlichem Einmalcode an.

Der IT-Support bearbeitet regelmäßig Anfragen zu vergessenen Passwörtern. Gleichzeitig kommt es immer wieder vor, dass Beschäftigte ihre Zugangsdaten auf täuschend echt gestalteten Phishing-Seiten eingeben.

Das Unternehmen führt Passkeys zunächst für die IT-Administration, die Geschäftsleitung und den Finanzbereich ein. Die Anmeldung erfolgt über verwaltete Notebooks mit Windows Hello.

In der Pilotphase werden insbesondere folgende Situationen getestet:

Austausch eines defekten Notebooks,
Verlust eines mobilen Geräts,
Einrichtung eines Ersatz-Passkeys,
Austritt eines Mitarbeiters,
Zugriff während einer Dienstreise,
Notfallzugang für Administratoren.

Nach erfolgreicher Pilotphase wird die Lösung auf weitere Bereiche ausgeweitet. Gleichzeitig werden Passwörter schrittweise als reguläre Anmeldeoption deaktiviert.

Das Ergebnis ist nicht nur ein höheres Sicherheitsniveau. Auch der Aufwand für Passwort-Resets und Supportanfragen sinkt.

Fazit: Passkeys sind Sicherheit und Prozessverbesserung zugleich

Passkeys gehören zu den wichtigsten Entwicklungen der digitalen Authentifizierung.

Sie reduzieren die Abhängigkeit von einem Sicherheitsmechanismus, der seit Jahren zu den häufigsten Ursachen erfolgreicher Angriffe gehört. Gleichzeitig vereinfachen sie die Anmeldung und können den administrativen Aufwand verringern.

Für die Geschäftsleitung ergibt sich daraus eine seltene Kombination:

geringeres Cyberrisiko,
bessere Benutzerfreundlichkeit,
weniger Supportaufwand,
höhere Produktivität,
stärkere digitale Resilienz.

Unternehmen sollten deshalb nicht warten, bis Passwörter vollständig aus dem Markt verschwunden sind. Sie sollten jetzt prüfen, welche Plattformen Passkeys bereits unterstützen und wo eine Einführung den größten Sicherheits- und Geschäftsnutzen bietet.

Die richtige Strategie besteht nicht in einer unkontrollierten Sofortumstellung. Empfehlenswert ist ein schrittweises Vorgehen mit klaren Verantwortlichkeiten, sicheren Wiederherstellungsprozessen und einer priorisierten Absicherung besonders kritischer Konten.

Passkeys sind kein kurzfristiger Technologietrend. Sie entwickeln sich zu einem neuen Standard für sichere digitale Identitäten.

Weiterführende Informationen

Weitere Fachbeiträge und Praxishilfen zu NIS2, ISO 27001, Informationssicherheit und Cyberresilienz findest Du im Wissensportal für Entscheider.