Ein Passkey braucht kein Passwort und keinen Code mehr, nur euer Gerät. Warum das mehr ist als nur ein weiterer Sicherheitsfaktor, warum er gegen Phishing hilft, und warum das Thema gerade jetzt drängt.
Man kennt das längst von modernen Türschlössern, die per Fingerabdruck öffnen: Nicht der Fingerabdruck selbst öffnet die Tür, er entsperrt nur das Schloss, das dann erkennt, wer davorsteht. Passkeys funktionieren nach demselben Prinzip, nur für eure Zugänge im Netz statt für die Bürotür. Das ist die Idee hinter dem dritten und letzten Baustein dieser Serie.
Hier geht’s zu Teil eins: Passwortmanager, und zu Teil zwei: Zwei-Faktor-Authentifizierung.
Ein Passkey ist kein Passwort, das ihr euch merkt oder das irgendwo gespeichert liegt, sondern ein kryptografisches Schlüsselpaar, das euer Gerät für jeden Dienst einzeln erzeugt. Der private Teil verlässt niemals das Gerät, gesichert im Chip von Smartphone oder Laptop, entsperrt über Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Beim Anmelden schickt euer Gerät lediglich eine Bestätigung an den Dienst, kein Code, kein Passwort, nichts, was jemand abfangen oder euch am Telefon entlocken könnte.
Der große Unterschied zu Passwort und Zwei-Faktor-Code: Ein Passkey ist fest an genau die eine Webseite gebunden, für die er erstellt wurde. Landet ihr auf einer gut gemachten Phishing-Kopie eurer Anmeldeseite, verweigert der Passkey schlicht die Mitarbeit, die Adresse stimmt nicht überein. Ein Passwort tippt ihr dort versehentlich trotzdem ein, einen SMS-Code lest ihr trotzdem vor, ein Passkey lässt sich so gar nicht erst missbrauchen.
Ein Passwortmanager gibt jedem Zugang seinen eigenen starken Schlüssel. Zwei-Faktor-Authentifizierung sichert diesen Schlüssel zusätzlich ab. Ein Passkey führt beides in einem einzigen Schritt zusammen: einzigartig pro Dienst wie ein Passwortmanager-Eintrag, gebunden an ein Gerät wie ein zweiter Faktor, und dabei von Grund auf gegen Phishing gebaut statt nachträglich dagegen abgesichert.
Lange war das eher Zukunftsmusik. Das ändert sich gerade konkret: Microsoft macht Passkeys ab dem 1. September 2026 zur Standard-Anmeldemethode in Entra ID, der Nutzerverwaltung hinter Microsoft 365. Wer bislang SMS oder Anruf als zweiten Faktor nutzt, wird automatisch für Passkeys freigeschaltet und beim nächsten Login dazu aufgefordert, einen einzurichten. Zum 1. Februar 2027 stellt Microsoft die eigene SMS- und Anruf-Authentifizierung dann komplett ein. Wer das weiterhin braucht, muss einen eigenen Telekom-Anbieter dafür einrichten, das ist mit zusätzlichen Kosten verbunden.
Für die meisten Unternehmen mit Microsoft-365-Zugängen heißt das schlicht: Der Wechsel kommt so oder so, die Frage ist nur, ob er geplant passiert oder als Überraschung beim nächsten Login.
Die Einrichtung selbst dauert in der Regel nur wenige Minuten, meist über eine bereits vorhandene Authenticator-App oder direkt über die Geräte-eigene Anmeldung. Verliert jemand ein Gerät, wird genau dieser eine Passkey entzogen, ähnlich wie ein einzelner Eintrag im Passwortmanager, ohne dass gleich das ganze Konto neu aufgesetzt werden muss.
Ein eigener Schlüssel pro Zugang, ein zweiter Faktor obendrauf, und am Ende ein Passkey, der beides in einem Schritt erledigt: Das war der rote Faden dieser Serie. Wo genau euer Unternehmen in diesem Übergang steht, finden wir in einem gemeinsamen Gespräch heraus, genau dafür gibt es unser IT-Consulting. Die laufende Betreuung danach übernimmt unsere Managed IT für Unternehmen.
