Security & Compliance

Passkeys (FIDO2)

Allgemeine Infos

Ein Passkey ist eine Anmeldeinformation nach den Standards der FIDO Alliance. Er ersetzt Benutzername, Passwort und zweiten Faktor durch ein kryptografisches Schlüsselpaar, das an ein Konto bei einem bestimmten Dienst gebunden ist. Die Anmeldung bestätigt der Benutzer mit derselben Methode, mit der er sein Gerät entsperrt, also Fingerabdruck, Gesichtserkennung oder PIN. Technische Basis ist FIDO2, bestehend aus der Browser-Schnittstelle WebAuthn und dem Protokoll CTAP zwischen Gerät und Authenticator.

Es gibt zwei Arten: Gerätegebundene Passkeys verlassen das Gerät nie, etwa auf einem FIDO2-Sicherheitsschlüssel oder in Microsoft Authenticator. Synchronisierte Passkeys werden Ende-zu-Ende-verschlüsselt über einen Cloud-Anbieter auf die Geräte des Benutzers verteilt, etwa über iCloud-Schlüsselbund oder Google Password Manager.

In Microsoft Entra ID heißt die Methode „Passkeys (FIDO2)“. Mit MC1221452 hat Microsoft Passkey-Profile und synchronisierte Passkeys im März 2026 allgemein verfügbar gemacht und bestehende FIDO2-Konfigurationen zwischen Mai und Juni 2026 automatisch in ein Standardprofil migriert.

Abgrenzung: Passkeys sind eine phishing-resistente Methode der Multi-Faktor-Authentifizierung, Conditional Access erzwingt sie über Authentifizierungsstärken. Windows Hello for Business ist ein eigenes Verfahren für die Windows-Anmeldung mit TPM-gebundenen Schlüsseln und wird in Entra ID separat konfiguriert. Die Passwort-Richtlinie wird mit Passkeys für die meisten Anmeldungen zweitrangig, verschwindet aber nicht, solange Konten noch Passwörter haben.

Funktionsweise & Details

Passkeys arbeiten mit asymmetrischer Kryptografie und einem Challenge-Response-Verfahren:

  1. Bei der Registrierung erzeugt der Authenticator ein Schlüsselpaar für genau diesen Dienst. Der öffentliche Schlüssel geht an den Dienst, der private bleibt im Authenticator.
  2. Bei der Anmeldung schickt der Dienst eine Challenge. Der Authenticator signiert sie, nachdem der Benutzer sich per Biometrie oder PIN lokal bestätigt hat.
  3. Der Dienst prüft die Signatur mit dem hinterlegten öffentlichen Schlüssel. Auf dem Server liegt kein Geheimnis, das sich stehlen oder abfischen ließe.
  4. Für die geräteübergreifende Anmeldung scannt der Benutzer einen QR-Code mit dem Smartphone. Bluetooth Low Energy stellt sicher, dass beide Geräte nahe beieinander sind (CTAP 2.2).

In Entra ID steuern bis zu drei Passkey-Profile (inklusive Standardprofil) je Zielgruppe, welche Passkey-Typen erlaubt sind (gerätegebunden, synchronisiert), ob Attestierung erzwungen wird und welche Modelle per AAGUID zugelassen oder gesperrt sind. Die Attestierung prüft bei der Registrierung Hersteller und Modell gegen vertrauenswürdige Metadaten, synchronisierte Passkeys unterstützen sie nicht. Vor der Registrierung muss der Benutzer innerhalb der letzten fünf Minuten eine MFA abgeschlossen haben. Das Opt-in für Passkey-Profile lässt sich nicht rückgängig machen.

Vorteile & Nutzen

  • Phishing-resistent, weil der Passkey an den Dienst gebunden ist und kein abfangbares Geheimnis übertragen wird
  • Ein Datenleck beim Anbieter liefert keine Passwörter, denn dort liegt nur der öffentliche Schlüssel
  • Schnellere Anmeldung per Fingerabdruck oder Gesicht statt Passwort plus Code
  • Weniger Passwort-Resets im Helpdesk, sobald Benutzer überwiegend Passkeys nutzen
  • In allen Editionen von Entra ID ohne Zusatzlizenz nutzbar

Praxisbeispiel

Ein Maschinenbauer mit 250 Beschäftigten hatte nach einem Phishing-Angriff mit gestohlenem Sitzungstoken genug von SMS- und App-Codes. Die IT legt zwei Passkey-Profile an: Administratoren erhalten FIDO2-Sicherheitsschlüssel mit erzwungener Attestierung und freigegebenen AAGUIDs, alle übrigen Benutzer registrieren gerätegebundene Passkeys in Microsoft Authenticator. Eine Conditional-Access-Richtlinie verlangt zuerst für Admin-Portale, später für alle Cloud-Apps die Authentifizierungsstärke für phishing-resistente MFA. Nach drei Monaten melden sich fast alle Benutzer passwortlos an, und die Zahl der Passwort-Tickets sinkt deutlich.

Worauf sollte man achten?

  • Profilaufteilung vor dem Opt-in festlegen, denn das Opt-in ist endgültig und es gibt höchstens drei Profile
  • Für Administratoren gerätegebundene Passkeys mit erzwungener Attestierung vorschreiben, synchronisierte Passkeys wie andere nicht attestierte Authenticatoren einstufen
  • Jedem Benutzer zwei Passkeys registrieren lassen, damit ein verlorener Schlüssel keinen Helpdesk-Notfall auslöst
  • Bei UPN-Änderungen einplanen, dass Benutzer ihren Passkey löschen und neu registrieren müssen
  • Gastbenutzer können keine Passkeys registrieren, für sie bleibt eine andere MFA-Methode nötig

Lizenz & Verfügbarkeit

Passkeys (FIDO2) sind in allen Editionen von Microsoft Entra ID enthalten, auch in Entra ID Free, eine Zusatzlizenz ist nicht nötig. Wer Passkeys per Conditional Access und Authentifizierungsstärke erzwingen will, braucht Entra ID P1, enthalten etwa in Microsoft 365 Business Premium, E3 und E5. Passkey-Profile und synchronisierte Passkeys sind allgemein verfügbar, das Bereitstellen von FIDO2-Schlüsseln im Namen der Benutzer über Microsoft Graph ist in Preview. FIDO2-Sicherheitsschlüssel sind separat zu beschaffende Hardware. Stand: Oktober 2026.

Fazit

Passkeys sind der wirksamste Schritt gegen Phishing von Zugangsdaten und kosten in Entra ID keine Lizenz. Starte mit den Administratoren und gerätegebundenen Schlüsseln, bevor Du die Breite angehst.

Weiterführende Links

Verwandte Artikel