Passkeys in Microsoft 365 – wählen Sie den passenden Anmeldeweg

Microsoft 365 unterstützt Anmeldungen ohne Passwort über FIDO2-⁠Sicherheitsschlüssel, Passkeys im Microsoft Authenticator und Windows Hello for Business. Welche Methode passt, hängt nicht nur vom Schutz gegen Phishing ab: Auch gemeinsam genutzte Geräte, mobile Arbeitsplätze und der Zugriff auf lokale Ressourcen spielen eine Rolle.

Ein Passkey ersetzt das Passwort durch einen Geräteschlüssel

Bei einer passwortbasierten Anmeldung bleibt das Passwort Teil des Verfahrens. Wird es abgefangen, kann es unter Umständen auch in anderen Zusammenhängen zum Risiko werden. Ein Passkey arbeitet anders: Er besteht aus einem privaten und einem öffentlichen kryptografischen Schlüssel. Der private Schlüssel bleibt auf dem Gerät; beim Dienst liegt der öffentliche Schlüssel. Zur Anmeldung gibt das Gerät den privaten Schlüssel über eine PIN oder Biometrie frei.

Das ist mehr als ein längeres oder komplizierteres Passwort. Der Nutzer muss kein Passwort eingeben, das sich auf einer gefälschten Anmeldeseite abgreifen lässt. Die unterstützten Verfahren sind phishing-⁠resistent. Das macht sie zu einer sinnvollen Alternative, ersetzt aber nicht den Schutz der Geräte und eine durchdachte Wiederherstellung, falls ein Gerät verloren geht oder nicht mehr verfügbar ist.

Die passende Methode richtet sich nach dem Arbeitsplatz

Windows Hello for Business bindet die Anmeldung an den Windows-⁠PC. Der kryptografische Schlüssel wird geschützt auf dem Gerät verwahrt, etwa im TPM; entsperrt wird er mit PIN oder, wenn die Ausstattung es zulässt, per Fingerabdruck oder Gesichtserkennung. Das passt zu einem persönlichen Arbeitsplatz, an dem das Gerät selbst Teil des Anmeldeverfahrens ist.

Ein FIDO2-⁠Sicherheitsschlüssel ist dagegen besonders interessant, wenn ein PC von mehreren Personen genutzt wird oder Mitarbeitende den Schlüssel an verschiedenen Geräten verwenden müssen. Die Anmeldung erfordert den physischen Schlüssel und eine PIN oder Biometrie. Das Unternehmen muss dabei den Schlüssel als Arbeitsmittel mitdenken: Er muss verfügbar sein, darf nicht einfach als gemeinsames Gerät im Büro liegen und braucht einen geregelten Ersatz, falls er verloren geht.

Ein Passkey auf dem Smartphone bietet einen anderen Kompromiss. Das Gerät speichert den Schlüssel, und die Anmeldung kann über die Authenticator-⁠App erfolgen, ohne Passwort und ohne separaten Hardware-⁠Token. Für Mitarbeitende, die ohnehin mit dem Smartphone arbeiten, kann das bequem sein. Es ist aber nicht dasselbe wie der kennwortlose Phone Sign-⁠in: Dieser beruht auf einer Bestätigung per Push und ist von dieser abhängig. Ein FIDO2-⁠Passkey folgt dagegen dem WebAuthn-⁠Standard. Wer die Varianten in einer Richtlinie oder Anleitung zusammenfasst, sollte den Unterschied ausdrücklich machen.

Hybride Umgebungen brauchen einen eigenen Blick

Eine passwortlose Anmeldung bei Microsoft 365 löst nicht automatisch den Zugriff auf lokale Ressourcen. In hybriden Umgebungen muss deshalb auch geprüft werden, wie Windows Hello for Business mit den vorhandenen lokalen Diensten zusammenspielt. Als Weg dafür beschreibt Microsoft Cloud Kerberos Trust: Ein Kerberos-⁠Objekt in Entra ID ermöglicht den Zugriff auf lokale Ressourcen über Windows Hello for Business, ohne dafür eine lokale PKI zu benötigen. Das ist ein wichtiger Punkt für Unternehmen, die Cloud-⁠Anmeldung und lokale Infrastruktur parallel betreiben.

Die Entscheidung sollte daher nicht mit der Frage beginnen, welches Verfahren am modernsten klingt. Entscheidend ist, welche Geräte und Ressourcen die jeweilige Nutzergruppe tatsächlich verwendet. Ein Verfahren, das am persönlichen Notebook gut funktioniert, ist nicht zwangsläufig die beste Wahl für gemeinsam genutzte Arbeitsplätze oder den Zugang zu lokalen Anwendungen.

Erst den Anmeldeweg testen, dann breit umstellen

Vor einer Umstellung sollten Sie die betroffenen Nutzungssituationen auseinanderhalten: persönliche Windows-⁠PCs, gemeinsam genutzte Geräte, Smartphone-⁠Anmeldungen und Zugriffe auf lokale Ressourcen. Testen Sie für jede Situation den vorgesehenen Weg samt Wiederherstellung. Dabei zählt nicht nur, ob die erste Anmeldung klappt. Ebenso wichtig ist, ob Mitarbeitende nach einem Gerätewechsel oder bei einem nicht verfügbaren Authentifikator arbeitsfähig bleiben.

Auch die Reihenfolge der Umstellung verdient Aufmerksamkeit. Wenn Passwortanmeldung und neue Verfahren ohne klare Übergangsregel parallel bestehen, bleibt möglicherweise genau der alte Anmeldeweg aktiv, den Sie eigentlich ablösen wollten. Legen Sie deshalb fest, welche Nutzergruppe welche Methode erhält, wie der Support einen Ausfall auffängt und wann der bisherige Weg entfallen kann. Das ist kein Grund, den Wechsel aufzuschieben. Es verhindert, dass eine Sicherheitsverbesserung im Alltag an fehlenden Anmeldeoptionen scheitert.

Unser Rat: Wählen Sie den passwortlosen Anmeldeweg nach Gerätetyp und Ressourcenzugriff, und testen Sie die Wiederherstellung vor dem breiten Rollout.

Quellen: WindowsPro – Passkeys und passwortlose Authentifizierung in Microsoft 365 einrichten (https://www.windowspro.de/thomas-drilling/passkeys-passwortlose-authentifizierung-microsoft-365-einrichten)