Passwörter sind in Unternehmen noch immer allgegenwärtig. Gleichzeitig gehören gestohlene oder missbrauchte Zugangsdaten weiterhin zu den häufigsten Einfallstoren für Cyberangriffe. Der aktuelle Verizon Data Breach Investigations Report 2026 zeigt: Über Phishing, gestohlene Zugangsdaten und sogenanntes Pretexting hinweg sind kompromittierte Identitäten nach wie vor an rund 39 % aller Datenpannen beteiligt. Vor diesem Hintergrund rücken passwortlose Authentifizierungsverfahren wie FIDO2 in den Fokus. Sie versprechen eine neue Qualität in puncto Sicherheit, Benutzerfreundlichkeit und Skalierbarkeit für moderne Unternehmen.
In einer zunehmend digitalen Geschäftswelt sind Passwörter zu einem Risiko geworden. Sie sind schwer zu verwalten, leicht zu stehlen und oft die Ursache für schwerwiegende Sicherheitsvorfälle. Vor allem in Unternehmen, die täglich mit sensiblen Kundendaten und unternehmenskritischen Systemen arbeiten, kann ein kompromittiertes Passwort gravierende Folgen haben. Der Bedarf an einer sicheren, benutzerfreundlichen und skalierbaren Authentifizierungslösung ist höher denn je.
Eine zeitgemässe Alternative bieten FIDO2 und Passkeys. Mitarbeitende melden sich dabei beispielsweise mit Gesichtserkennung, Fingerabdruck oder einer Geräte-PIN an, ohne ein Passwort eingeben zu müssen. Für besonders schützenswerte Konten können zusätzlich physische Sicherheitsschlüssel eingesetzt werden. Passwortlose Authentifizierung wird damit nicht nur sicherer, sondern auch einfacher. Voraussetzung ist jedoch eine durchdachte Einführung, die zur bestehenden IT-Landschaft und zu den unterschiedlichen Benutzergruppen im Unternehmen passt.
FIDO2 ist ein offener Authentifizierungsstandard, entwickelt von der FIDO-Allianz (Fast Identity Online), einem internationalen Industriekonsortium mit Mitgliedern wie Google, Microsoft und Apple. Ziel dieser Allianz ist es, Passwörter langfristig überflüssig zu machen und durch eine sichere, benutzerfreundliche Authentifizierung auf Basis kryptografischer Schlüssel zu ersetzen. FIDO2 basiert auf WebAuthn, einem Standard des World Wide Web Consortium, und dem Client to Authenticator Protocol (CTAP). WebAuthn ermöglicht die Verwendung kryptografischer Anmeldedaten in Browsern und Anwendungen, CTAP regelt die Kommunikation mit dem verwendeten Authentifikator – etwa einem Notebook, Smartphone oder physischen Sicherheitsschlüssel.
Passkeys sind die heute gebräuchliche Umsetzung dieses Prinzips. Statt eines Passworts wird ein kryptografisches Schlüsselpaar verwendet: Der öffentliche Schlüssel ist beim jeweiligen Dienst hinterlegt, der private Schlüssel bleibt geschützt auf dem Gerät oder Authentifikator gespeichert und wird bei der Anmeldung nie übertragen. Freigegeben wird der Passkey mit derselben Methode, mit der auch das Gerät entsperrt wird – Gesichtserkennung, Fingerabdruck oder Geräte-PIN. Die Biometrie ersetzt damit nicht direkt das Passwort, sondern bestätigt lokal, dass die berechtigte Person den kryptografischen Schlüssel verwenden darf. Biometrische Daten verlassen das Gerät nie.
Bei der Einrichtung eines Passkeys erzeugt das Gerät ein einmaliges Schlüsselpaar. Der private Schlüssel bleibt auf dem Gerät, der öffentliche wird beim Unternehmensdienst hinterlegt. Bei der Anmeldung sendet der Dienst eine Anfrage an das Gerät, die Nutzerin oder der Nutzer bestätigt sie per Fingerabdruck, Gesichtserkennung oder PIN, und das Gerät signiert die Anfrage mit dem privaten Schlüssel.
Entscheidend ist die Bindung an die jeweilige Anwendung oder Domain: Ein Passkey für Microsoft 365 funktioniert nicht auf einer gefälschten Anmeldeseite mit ähnlich aussehender Adresse. Dadurch sind Passkeys gegen klassische Phishing-Angriffe wesentlich widerstandsfähiger als Passwörter oder übertragbare Einmalcodes.
Für die meisten Mitarbeitenden ist ein zusätzlicher USB- oder NFC-Schlüssel heute nicht zwingend nötig. Auf modernen, zentral verwalteten Geräten lässt sich der Passkey direkt auf Laptop oder Smartphone speichern – etwa über Windows Hello for Business oder Passkeys in Microsoft Authenticator. Physische Sicherheitsschlüssel bleiben trotzdem sinnvoll:
Der physische Schlüssel ist damit nicht die Standardlösung für alle Mitarbeitenden, sondern eine von mehreren Möglichkeiten. Welche Variante zum Einsatz kommt, sollte vom Schutzbedarf, der Benutzergruppe und der vorhandenen Geräteumgebung abhängen.
Bei gerätegebundenen Passkeys verbleibt der private Schlüssel unkopierbar auf einem bestimmten Gerät (z. B. im Sicherheitschip des Laptops) oder physischen Sicherheitsschlüssel. Diese Variante bietet eine hohe Kontrolle und eignet sich besonders für verwaltete Arbeitsgeräte und privilegierte Konten.
Synchronisierte Passkeys sind dagegen über einen unterstützten Anbieter (z. B. iCloud Keychain, Google Password Manager oder Enterprise-Passwort-Manager) auf mehreren Geräten verfügbar. Das erhöht die Benutzerfreundlichkeit und vereinfacht den Gerätewechsel, verlangt aber eine Prüfung der verwendeten Synchronisierungs- und Wiederherstellungsprozesse. Für Unternehmen gilt es zudem, per Richtlinie (MDM) sicherzustellen, dass geschäftliche Passkeys nicht in privaten Cloud-Konten von Mitarbeitenden landen.
Microsoft Entra ID unterstützt beide Varianten und macht Passkeys ab September 2026 zur Standard-Anmeldemethode, um SMS und Anrufe als Multi-Faktor-Verfahren schrittweise abzulösen. Microsoft empfiehlt gerätegebundene Passkeys (z. B. FIDO2-Sicherheitsschlüssel, Passkeys in Microsoft Authenticator) für Admins und privilegierte Rollen, synchronisierte Passkeys für die übrige Belegschaft.
Der wichtigste Sicherheitsgewinn liegt im Schutz vor Phishing und dem Missbrauch gestohlener Zugangsdaten: Ohne wiederverwendbares Passwort gibt es auch kein Passwort, das auf einer gefälschten Seite eingegeben oder nach einem Datenleck für weitere Dienste verwendet werden kann.
Gleichzeitig wird die Anmeldung einfacher: kein Erstellen, Merken oder Zurücksetzen komplexer Passwörter mehr. Auch der Support kann entlastet werden, da Passwortzurücksetzungen zu den häufigsten Anfragen beim Servicedesk zählen. Dafür entstehen neue Prozesse rund um Geräteregistrierung, Gerätewechsel und die Wiederherstellung verlorener Zugänge – diese müssen von Beginn an mitgedacht werden.
Starke Authentifizierung ist ein zentraler Baustein moderner Zero-Trust-Architekturen: Jeder Zugriff muss einer eindeutig bestätigten Identität zugeordnet werden können. FIDO2 sichert die Anmeldung besser gegen Phishing und Zugangsdatendiebstahl ab.
Eine erfolgreiche Anmeldung allein genügt aber nicht. Unternehmen müssen zusätzlich prüfen, von welchem Gerät ein Zugriff erfolgt, wie dessen Sicherheitszustand ist und auf welche Anwendungen oder Daten zugegriffen werden darf. FIDO2 ersetzt deshalb weder Berechtigungsmanagement noch Endgeräteschutz oder die Überwachung verdächtiger Aktivitäten, sondern stärkt einen wichtigen Teil der Sicherheitsarchitektur.
Eine erfolgreiche Einführung beginnt mit einer Analyse der bestehenden Umgebung: Welche Identitätsplattform, Geräte, Betriebssysteme und Fachanwendungen sind im Einsatz, und welche unterstützen FIDO2 beziehungsweise Passkeys?
Anschliessend werden geeignete Benutzergruppen und Einsatzbereiche definiert. Häufig empfiehlt es sich, zunächst privilegierte Konten oder besonders schützenswerte Anwendungen abzusichern und die Lösung danach schrittweise auszuweiten.
Besonders wichtig ist der Wiederherstellungsprozess: Geht ein Gerät verloren, muss rasch ein neuer Zugang eingerichtet werden können, ohne dass daraus ein einfacherer Angriffspfad entsteht. Identitätsprüfung durch den Support, Umgang mit Ersatzgeräten und die Sperrung verlorener Authentifikatoren müssen deshalb klar geregelt sein – ebenso wie der kontrollierte Umgang mit schwächeren Ausweichmethoden. Nicht zuletzt braucht es eine verständliche Kommunikation: Mitarbeitende sollten wissen, weshalb sich die Anmeldung ändert, wie sie funktioniert und was bei Geräteverlust zu tun ist.
FIDO2 und Passkeys bieten einen sehr hohen Schutz vor klassischen Phishing-Angriffen und der Wiederverwendung gestohlener Passwörter. Unangreifbar wird ein Unternehmen dadurch nicht: Ein kompromittiertes Endgerät, eine gestohlene aktive Sitzung, falsch vergebene Berechtigungen oder ausgenutzte Softwareschwachstellen bleiben eigene Risikofelder – Letztere sind laut aktuellem DBIR sogar der häufigste Einstiegspunkt. Auch Social Engineering gegenüber dem Servicedesk und unsichere Wiederherstellungsprozesse bleiben mögliche Angriffspunkte.
Richtig umgesetzt reduziert FIDO2 aber ein besonders häufig ausgenutztes Risiko erheblich und ist damit ein wichtiger, aber kein alleiniger Baustein der IT-Sicherheit.
Die Einführung von Passkeys betrifft nicht nur die Anmeldung selbst, sondern auch die Verwaltung von Identitäten und Endgeräten, die Absicherung privilegierter Konten sowie klare Support- und Wiederherstellungsprozesse. MTF unterstützt Unternehmen bei der Analyse ihrer bestehenden Umgebung und der Entwicklung einer passenden Strategie für die passwortlose Authentifizierung – von der Integration von FIDO2 und Windows Hello for Business über die Konfiguration von Microsoft Entra ID und Intune bis zur Auswahl geeigneter Authentifikatoren für unterschiedliche Benutzergruppen.
Kontaktieren Sie uns und gestalten Sie den Weg zur passwortlosen Zukunft aktiv mit.