Passkeys einfach erklärt: Was sie sind und warum Microsoft 365 jetzt darauf setzt
Passwörter sind das größte Einfallstor für Angreifer: Sie werden erraten, wiederverwendet und per Phishing abgegriffen. Passkeys lösen dieses Problem – und Microsoft macht sie zum neuen Standard für die Anmeldung an Microsoft 365 und Entra ID. In diesem Beitrag erklären wir einfach, was ein Passkey ist, wie er funktioniert und was Admins jetzt in ihrem Tenant vorbereiten sollten.
Was ist ein Passkey?
Ein Passkey ist ein digitaler Schlüssel, der das Passwort ersetzt. Statt etwas einzutippen, bestätigen Sie die Anmeldung so, wie Sie Ihr Gerät entsperren: mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Technisch basiert ein Passkey auf dem offenen Standard FIDO2 (bestehend aus WebAuthn und CTAP), den Microsoft, Apple und Google gemeinsam mit der FIDO Alliance vorantreiben.
- Kein Passwort mehr, das man vergessen, aufschreiben oder verraten kann.
- Phishing-resistent: Ein Passkey funktioniert nur auf der echten Website – nicht auf einer gefälschten Login-Seite.
- Schneller: Ein Blick oder ein Fingertipp statt Passwort plus Code aus der App.
Wie funktionieren Passkeys? Einfach erklärt
Stellen Sie sich ein Vorhängeschloss mit passendem Schlüssel vor. Beim Einrichten eines Passkeys erzeugt Ihr Gerät genau so ein Paar:
- Der private Schlüssel bleibt sicher auf Ihrem Gerät – im TPM-Chip des Laptops, in der Secure Enclave des iPhones oder auf einem Sicherheitsschlüssel. Er verlässt das Gerät nie.
- Das „Schloss“ (öffentlicher Schlüssel) wird bei Microsoft hinterlegt. Für Angreifer ist es wertlos, denn damit kann man nur prüfen, nicht aufschließen.
- Bei jeder Anmeldung schickt Microsoft eine neue, einmalige Aufgabe (Challenge). Ihr Gerät „unterschreibt“ sie mit dem privaten Schlüssel – aber erst, nachdem Sie per Fingerabdruck, Gesicht oder PIN zugestimmt haben.
- Microsoft prüft die Unterschrift mit dem öffentlichen Schlüssel. Passt sie, sind Sie angemeldet.
Warum Phishing ins Leere läuft: Der Passkey ist fest an die echte Adresse (z. B. login.microsoftonline.com) gebunden. Eine nachgebaute Seite mit anderer Domain bekommt schlicht keine gültige Unterschrift – egal wie echt sie aussieht. Und weil jede Challenge nur einmal gilt, bringt auch eine abgefangene Anmeldung nichts.
Ihr Fingerabdruck oder Gesicht wird dabei nicht an Microsoft übertragen. Die Biometrie entsperrt nur lokal den Schlüssel auf Ihrem Gerät.
Welche Arten von Passkeys gibt es?
| Typ | Beispiel | Wo liegt der Schlüssel? | Geeignet für |
|---|---|---|---|
| Gerätegebunden | Windows Hello, Microsoft Authenticator | Nur auf diesem einen Gerät | Mitarbeitende, hohe Sicherheit |
| Sicherheitsschlüssel | FIDO2-USB-/NFC-Key (z. B. YubiKey) | Auf dem Hardware-Stick | Admin-Konten, geteilte Arbeitsplätze |
| Synchronisiert | iCloud-Schlüsselbund, Google Passwortmanager | Verschlüsselt in der Cloud des Anbieters | Private Konten, bequem bei Gerätewechsel |
| Geräteübergreifend | QR-Code + Smartphone per Bluetooth | Auf dem Smartphone | Anmeldung an fremden oder neuen PCs |
Für Unternehmen empfehlen wir gerätegebundene Passkeys (z. B. im Microsoft Authenticator) oder FIDO2-Sicherheitsschlüssel. Synchronisierte Passkeys sind bequem, hängen aber an der Sicherheit des privaten Apple- oder Google-Kontos – das will man für Firmenkonten meist nicht.
Microsoft setzt auf Passkeys – was ändert sich?
Microsoft verfolgt seit Jahren das Ziel einer passwortlosen Zukunft. Neue private Microsoft-Konten werden bereits passwortlos angelegt, und auch in Microsoft Entra ID (früher Azure AD) rückt der Passkey ins Zentrum:
- Passkey-Profile in Entra ID: Admins legen fest, welche Passkey-Arten erlaubt sind – etwa nur Microsoft Authenticator oder bestimmte Sicherheitsschlüssel (per AAGUID) – und ob eine Attestierung erzwungen wird.
- Standardmäßige Aktivierung: Microsoft schaltet Passkeys in Tenants zunehmend automatisch frei und kann Benutzer per Registrierungskampagne auffordern, einen Passkey einzurichten. Wer nichts konfiguriert, überlässt diese Entscheidungen den Microsoft-Standards.
- Microsoft Authenticator als Passkey-Speicher: Unter iOS 17+ und Android 14+ kann die App gerätegebundene Passkeys speichern – auch für die Anmeldung an einem PC per QR-Code und Bluetooth.
- Windows Hello for Business bleibt die passwortlose Anmeldung am Firmen-PC; Passkeys ergänzen das für Browser, Apps und fremde Geräte.
Hintergrund ist auch die MFA-Pflicht, die Microsoft schrittweise für Azure und die Admin-Portale eingeführt hat – mehr dazu in unserem Beitrag Microsoft macht MFA zur Pflicht beim Azure-Login. Passkeys sind die sicherste und zugleich bequemste Art, diese Pflicht zu erfüllen. Warum klassische Push-MFA angreifbar ist, zeigt unser Artikel zu MFA-Fatigue-Angriffen.
Passkeys in Microsoft 365 einführen: Checkliste für Admins
- Authentifizierungsmethoden prüfen: Im Entra Admin Center unter „Authentifizierungsmethoden“ den Status von „Passkey (FIDO2)“ und die Profile kontrollieren.
- Profile festlegen: z. B. ein Standardprofil für alle und ein strengeres Profil mit Attestierung und Hardware-Keys für Admins.
- Mit Admins starten: Privilegierte Konten zuerst auf Passkeys oder FIDO2-Schlüssel umstellen – dort ist der Schutz am wichtigsten.
- Conditional Access nutzen: Mit der Authentifizierungsstärke „Phishing-resistente MFA“ für Admin-Rollen und sensible Apps erzwingen.
- Wiederherstellung absichern: Ein Passkey ist nur so sicher wie der Weg, ihn zurückzusetzen. Befristete Zugriffspässe (Temporary Access Pass) statt SMS- oder E-Mail-Resets nutzen.
- Alte Methoden abbauen: SMS und Sprachanruf schrittweise deaktivieren, sobald alle Benutzer einen Passkey haben.
- Benutzer mitnehmen: Kurz erklären, was sich ändert und warum – das spart Helpdesk-Anrufe.
Passkeys sicher im eigenen Tenant einrichten? In unserer exklusiven Microsoft 365 Admin Schulung konfigurieren wir Authentifizierungsmethoden, Passkey-Profile und Conditional Access live in Ihrer Umgebung – nur für Ihr Team, inhouse oder online.
Zur Microsoft 365 Admin Schulung – Angebot anfragen →Wo Passkeys an Grenzen stoßen
Passkeys verhindern Phishing von Zugangsdaten, aber nicht jeden Angriff. Schadsoftware auf einem Gerät kann eine bereits angemeldete Sitzung missbrauchen, und eine schwache Kontowiederherstellung kann den Passkey umgehen. Deshalb gehören zu einer passwortlosen Strategie auch Endpoint-Schutz, verwaltete Geräte mit Intune und die regelmäßige Kontrolle der registrierten Methoden. Ob Ihr Tenant hier sauber aufgestellt ist, prüfen wir im Microsoft 365 Tenant Security Check.
Häufige Fragen zu Passkeys
Was ist der Unterschied zwischen Passkey und Passwort?
Ein Passwort ist ein geteiltes Geheimnis, das auch der Server kennt und das gestohlen werden kann. Beim Passkey bleibt der geheime Schlüssel auf Ihrem Gerät; der Server kennt nur den öffentlichen Teil.
Ist ein Passkey sicherer als MFA mit Authenticator-Code?
Ja. Einmalcodes und Push-Bestätigungen lassen sich per Phishing-Seite oder MFA-Fatigue abgreifen. Passkeys gelten als phishing-resistente MFA, weil sie an die echte Domain gebunden sind.
Was passiert, wenn ich mein Smartphone verliere?
Der Finder kann den Passkey ohne Ihre PIN oder Biometrie nicht nutzen. Die IT löscht den alten Passkey im Entra Admin Center und ermöglicht per befristetem Zugriffspass die Einrichtung eines neuen.
Brauche ich für Passkeys eine bestimmte Microsoft-365-Lizenz?
Passkeys als Anmeldemethode stehen grundsätzlich in Entra ID zur Verfügung. Für Conditional Access mit Authentifizierungsstärken benötigen Sie Entra ID P1 – enthalten z. B. in Microsoft 365 Business Premium und Microsoft 365 E3.
Werden meine biometrischen Daten an Microsoft übertragen?
Nein. Fingerabdruck und Gesicht werden nur lokal auf dem Gerät geprüft, um den Schlüssel freizugeben.
Fazit
Passkeys sind sicherer und bequemer als Passwörter – und Microsoft macht sie zum Standard. Wer jetzt Profile, Conditional Access und Wiederherstellung sauber plant, behält die Kontrolle, statt sich von Microsoft-Standards überraschen zu lassen. Wir unterstützen Sie dabei in der Microsoft 365 Admin Schulung, beim Absichern von Microsoft 365 oder im persönlichen Gespräch.
