Passkeys im Unternehmen einführen: Der pragmatische Leitfaden

Passkeys sind phishing-resistent und lassen sich nicht aus einer Serverdatenbank stehlen. Seit Apple, Google und Microsoft die Infrastruktur in ihren Ökosystemen tragen, ist der Unternehmenseinsatz realistisch. Neue Forschung vom August 2026 verschiebt allerdings, worauf es beim Rollout ankommt: nicht auf die Wahl des Passkey-Typs, sondern auf die Sicherheit des Endgeräts.

Was sind Passkeys und wie funktionieren sie?

Ein Passkey ist ein kryptografisches Schlüsselpaar statt eines Passworts. Bei der Registrierung erzeugt das Gerät einen privaten und einen öffentlichen Schlüssel. Der private Schlüssel bleibt lokal gespeichert, der öffentliche liegt beim Dienst. Jede Signatur ist an die exakte Domain des Dienstes gebunden, weshalb gefälschte Anmeldeseiten konstruktionsbedingt scheitern.

Ein Serverangriff erbeutet damit nur öffentliche Schlüssel, die für sich wertlos sind. Auch Credential Stuffing läuft ins Leere, weil es kein wiederverwendbares Geheimnis gibt.

Bei gerätegebundenen Passkeys bleibt der private Schlüssel auf der Hardware, etwa im TPM oder auf einem FIDO2-Token. Bei synchronisierten Passkeys liegt er verschlüsselt im Cloud-Wallet des Anbieters und steht auf weiteren Geräten bereit.

Frühere Fassungen dieses Beitrags empfahlen synchronisierte Passkeys für den breiten Rollout und gerätegebundene nur für privilegierte Konten. Diese Aufteilung trägt so nicht mehr.

Der Wechsel zwischen synchronisierten und gerätegebundenen Passkeys schließt die Angriffsfläche nicht. Beide Varianten sind angreifbar, sobald Schadsoftware im Benutzerkontext läuft.

Warum reichen klassische MFA-Verfahren nicht?

SMS-Codes und zeitbasierte Einmalpasswörter haben eine strukturelle Schwäche: Sie sind übertragbare Geheimnisse. Eine gefälschte Anmeldeseite kann den eingegebenen Code in Echtzeit an den echten Dienst weiterleiten, bevor er abläuft. Das Konto ist kompromittiert, noch während der Nutzer glaubt, sich auf der richtigen Seite zu befinden. Das Angriffswerkzeug fungiert dabei als transparenter Mittelsmann und leitet die Eingabe weiter, bevor der Nutzer die Täuschung erkennt.

Push-basiertes MFA hat eine andere Schwachstelle. Push-Anfragen tragen keine kryptografische Bindung an die konkrete Anmeldesitzung. Die Genehmigung gilt für die Sitzung des Angreifers, nicht für eine authentische, vom Nutzer initiierte Verbindung.

Eine Passkey-Signatur funktioniert grundlegend anders. Sie ist an die exakte Domain des Dienstes gebunden und gilt nur für die jeweilige Sitzung. Ein Angreifer, der die Anfrage abfängt oder weiterleitet, hält ein einmaliges, domänengebundenes Token, kein wiederverwendbares Geheimnis.

Wie sicher sind Passkeys?

Passkeys sind phishing-resistent, die Kryptografie dahinter ist unangetastet. Drei Forschungsarbeiten vom August 2026 zeigen jedoch, dass beide Passkey-Typen angreifbar sind, sobald Schadsoftware auf dem Endgerät läuft.

Unit 42 von Palo Alto Networks beschrieb am 03.08.2026 die Angriffsfamilie Pass-ta-key gegen den Google Password Manager in Chrome. Schadsoftware ohne erhöhte Rechte signiert dort über die Windows-CNG-Schnittstelle, ohne dass eine PIN- oder Biometrieabfrage erscheint. Die Variante Golden Pass-ta-key liest das Security Domain Secret aus dem Chrome-Prozessspeicher, entschlüsselt damit alle synchronisierten Passkeys und exportiert sie in übertragbarer Form.

Unit 42 beschreibt eine weitere Variante: Silver Pass-ta-key täuscht dem Cloud-Authenticator eine biometrische Entsperrung vor, ohne das Gerät des Opfers in der Anmeldesitzung zu nutzen. Der Angreifer meldet sich aus der eigenen Umgebung an, das Gerät des Opfers muss dafür nicht online sein. Anders als bei der Grundvariante ist der so erworbene Zugang wiederverwendbar; erhöhte Rechte sind auch hier nicht nötig.

Dirk-jan Mollema zeigte am 05.08.2026, dass sich ein Schlüssel von Windows Hello for Business aus einer angemeldeten Sitzung heraus nutzen lässt. Der Aufruf über Ncrypt.dll und den Passport Key Storage Provider verlangt weder PIN noch Biometrie, sondern arbeitet auf zwischengespeicherten Daten. Die Anmeldung gelingt dabei auch im Inkognito-Fenster ohne SSO-Unterstützung, ohne ein in Entra ID eingebundenes Gerät. Aus einer kompromittierten Sitzung lässt sich damit ein Gerät registrieren und ein Primary Refresh Token anfordern.

SpecterOps stellte am selben Tag auf der Black Hat USA die Kette Pass-the-Passkey vor. Windows legte FIDO2-Signaturen im Klartext ab, wo authentifizierte unprivilegierte Nutzer sie auslesen konnten, auch aus der Ferne. Entnommen wird dabei nicht der private Schlüssel selbst, sondern eine bereits erzeugte Signatur.

CVE-2026-34348 betrifft den Windows Event Logging Service und ist als Information Disclosure mit CVSS Base 6.5 eingestuft. Ein Update liegt vor und gehört unverzüglich auf alle Windows-Clients und -Server.

Drei Maßnahmen nach aktuellem Stand

1. CVE-2026-34348 auf allen Windows-Systemen einspielen. Betroffen sind Umgebungen mit Windows Hello for Business ebenso wie solche mit FIDO2-Hardware-Keys.
2. Anmeldungen über Windows Hello for Business ohne registrierte Geräte-ID überwachen. Die folgende Abfrage in Entra ID entspricht dem von Mollema gezeigten Muster.
3. In eigenen Webanwendungen userVerification = required setzen und das UV-Flag serverseitig prüfen. Das Setzen des Parameters genügt nicht: eBay hatte ihn gesetzt und war dennoch angreifbar, weil die Antwort nicht validiert wurde.

SigninLogs
| where AuthenticationDetails has '"authenticationMethod":"Windows Hello for Business"'
| where DeviceDetail.deviceId == ""

Fristen in Microsoft Entra ID

Für Mandanten, deren Nutzer nach dem 01.02.2027 nur noch SMS oder Voice hinterlegt haben, blockiert die Passkey-Registrierung bei der Anmeldung. Ein Opt-out sieht Microsoft nicht vor.

Wie richtet man Passkeys ein?

Passkeys bei Microsoft einrichten

Die Aktivierung läuft in Entra ID unter Security > Authentication Methods > Microsoft Authenticator mit der Funktion Passkey (FIDO2). Die Selbstregistrierung wird im selben Dialog freigeschaltet. Für privilegierte Konten empfiehlt sich zusätzlich ein FIDO2-Token.

Für den Erstzugang eignet sich ein Temporary Access Pass mit begrenzter Gültigkeit. Nutzer melden sich einmalig damit an und registrieren anschließend den eigenen Passkey.

New-MgUserAuthenticationTemporaryAccessPassMethod `
  -UserId "user@company.com" `
  -LifetimeInMinutes 60 `
  -IsUsableOnce $true

Eine Conditional-Access-Richtlinie mit der Authentication Strength für phishing-resistente Verfahren schließt SMS-Codes und zeitbasierte Einmalpasswörter aus. Windows Hello for Business deckt auf Windows-Geräten den nativen Registrierungsweg ab und arbeitet mit PIN oder Biometrie.

Passkeys bei Google einrichten

Die Aktivierung erfolgt in der Google Admin Console unter Security, Authentication, Passwordless sign-in. Dort lässt sich die Option zum passwortlosen Anmelden per Passkey einschalten. Den Schalter zum Erzwingen von Passkeys erst setzen, wenn der Rollout im Mandanten vollständig abgeschlossen ist.

Nutzer richten den Passkey über myaccount.google.com unter Sicherheit ein. Auf Android-Geräten übernimmt der Google Password Manager diese Aufgabe. Für die Anmeldung über einen Windows-PC ohne hinterlegten Passkey steht Windows Hello oder ein FIDO2-Hardware-Token bereit.

Für geräteübergreifende Anmeldungen zeigt der Browser einen QR-Code. Das Smartphone scannt ihn und prüft per Bluetooth-Nähetest, ob die Geräte physisch beieinander sind. Anschließend entsperrt es den Passkey für die Anmeldesitzung auf dem PC. Das Verfahren heißt Cross-Device Authentication und erfordert kein gemeinsames Konto zwischen den Geräten.

Passkeys auf Apple-Geräten

Mit aktiviertem iCloud-Schlüsselbund stehen Passkeys auf allen Apple-Geräten desselben Kontos bereit; die Verwaltung läuft über die Passwörter-App. Ein neues Gerät wird über ein bereits eingerichtetes Gerät oder den alten Gerätecode genehmigt, danach aktualisiert sich der Schlüsselbund automatisch.

Für Unternehmen ist das der Grenzfall: Der Schlüsselbund hängt am persönlichen Konto der Mitarbeitenden, nicht am Mandanten. Wo Apple-Geräte privat mitgebracht werden, liegt der Passkey damit außerhalb der eigenen Verwaltung. Für privilegierte Konten ist ein FIDO2-Token deshalb die belastbarere Wahl.

Was sind die Nachteile von Passkeys?

Passkeys haben drei praktische Grenzen: Geräteverlust erfordert eine Neuregistrierung, weil der private Schlüssel nicht auf ein anderes Gerät übertragen werden kann. Anwendungen ohne WebAuthn-Unterstützung benötigen einen SSO-Umweg über SAML oder OpenID Connect. Mitarbeitende ohne biometrisches Endgerät sind auf einen Hardware-Token oder eine PIN angewiesen.

Geht ein Gerät verloren, hilft eine zweite registrierte Methode. Sinnvoll ist die Kombination aus Smartphone und Hardware-Token, ergänzt um einen administrativen Zurücksetzungsweg.

Ältere Anwendungen ohne WebAuthn-Unterstützung binden Unternehmen über Single Sign-on an. Die Anmeldung am Identitätsanbieter erfolgt per Passkey, die Legacy-Anwendung erhält ihr Token über SAML oder OpenID Connect.

Mitarbeitende ohne biometrisches Endgerät nutzen einen Hardware-Token oder eine PIN über Windows Hello. Auf privaten Geräten bleibt ein Passkey die stärkere Wahl gegenüber einem Passwort mit zeitbasiertem Einmalpasswort.

Einordnung

Passkeys bleiben die belastbarste Antwort auf Phishing, und die Kryptografie dahinter ist unangetastet. Was sich verschoben hat, ist die Rolle des Endgeräts: Wer die Kontrolle über den Client verliert, verliert auch die phishing-resistente Anmeldung. In der Risikoanalyse eines Informationssicherheits-Managementsystems gehört die Endpunkt-Kompromittierung deshalb als eigenes Szenario geführt, unabhängig davon, welcher Passkey-Typ ausgerollt wird. Begleitend sorgt eine Security-Awareness-Schulung dafür, dass Beschäftigte die Umstellung mittragen.