Passkeys im KMU: Anmelden ohne Passwort

Passwörter bleiben die häufigste Schwachstelle im Büro. Sie werden mehrfach verwendet, auf Zetteln notiert oder auf gefälschten Anmeldeseiten eingegeben. Die Multi-Faktor-Anmeldung hat die Lage deutlich verbessert, doch auch Codes per SMS oder App lassen sich über gut gemachte Phishing-Seiten abgreifen. Passkeys schliessen diese Lücke.

Was ein Passkey ist

Ein Passkey ist ein kryptografisches Schlüsselpaar. Der private Schlüssel bleibt auf dem Gerät, etwa im Laptop, im Smartphone oder auf einem Sicherheitsschlüssel wie einem YubiKey. Der Dienst kennt nur den öffentlichen Schlüssel. Bei der Anmeldung bestätigen Sie mit Fingerabdruck, Gesichtserkennung oder PIN, und das Gerät weist gegenüber dem Dienst nach, dass es den passenden Schlüssel besitzt.

Der Passkey ist an die echte Adresse des Dienstes gebunden. Auf einer gefälschten Seite funktioniert er deshalb nicht, und Mitarbeitende können ihn auch nicht versehentlich preisgeben. Beim Dienst selbst liegt kein Passwort, das bei einem Datenleck gestohlen werden könnte.

Schneller und weniger Supportfälle

Die FIDO Alliance, das Gremium hinter dem Standard, hat 2025 Daten von neun grossen Anbietern ausgewertet. Anmeldungen mit Passkey gelangen in 93 Prozent der Fälle, mit anderen Verfahren wie SMS-Code oder E-Mail-Link in 63 Prozent. Eine Anmeldung dauerte im Schnitt 8,5 statt 31,2 Sekunden, und Supportfälle rund um die Anmeldung gingen um 81 Prozent zurück.

Synchronisiert oder gerätegebunden

Passkeys gibt es in zwei Formen:

• Synchronisierte Passkeys werden über einen Passwortmanager oder den Schlüsselbund von Apple, Google oder Microsoft auf mehrere Geräte verteilt. Geht das Smartphone verloren, ist der Passkey auf dem neuen Gerät wieder da.
• Gerätegebundene Passkeys verlassen das Gerät nie, zum Beispiel auf einem Sicherheitsschlüssel oder in der App Microsoft Authenticator. Sie sind die sicherere Wahl für Administratoren und für Konten mit Zugriff auf Finanzen.

Für die meisten Mitarbeitenden genügt ein synchronisierter Passkey. Für Admin-Konten empfehlen wir Sicherheitsschlüssel.

Passkeys in Microsoft 365

Microsoft Entra ID, die Benutzerverwaltung hinter Microsoft 365, unterstützt Passkeys schon länger. Seit 2026 gibt es dort Passkey-Profile, mit denen sich pro Benutzergruppe festlegen lässt, welche Art von Passkey erlaubt ist. Synchronisierte Passkeys werden damit ebenfalls offiziell unterstützt. Für ein KMU heisst das: Die Buchhaltung meldet sich mit Sicherheitsschlüssel an, der Rest des Teams mit dem Smartphone.

Auch Google- und Apple-Konten sowie zahlreiche Online-Dienste bieten Passkeys an. Gängige Passwortmanager können Passkeys speichern und auf alle Geräte verteilen.

Passkeys mit Open-Source-Lösungen

Passkeys beruhen auf dem offenen Standard FIDO2/WebAuthn und funktionieren auch ohne Apple, Google oder Microsoft:

• Bitwarden und Vaultwarden speichern Passkeys im Tresor und synchronisieren sie auf alle Geräte. Mit Vaultwarden läuft der Server im eigenen Haus oder bei einem Schweizer Hoster.
• KeePassXC legt Passkeys seit Version 2.7.7 in der lokalen Datenbank ab, ganz ohne Cloud.
• Keycloak unterstützt Passkeys seit Version 26.4 offiziell. Damit lassen sich eigene Anwendungen, Intranet und Fachportale per Single Sign-on mit Passkey absichern.
• Nitrokey stellt Sicherheitsschlüssel mit quelloffener Firmware her, eine Alternative zum YubiKey.

Wer seine Anmeldedaten nicht bei einem US-Konzern hinterlegen will, findet mit Vaultwarden und den Bitwarden-Apps einen guten Einstieg. Mehr zum Hintergrund im Beitrag über digitale Souveränität.

Schritt für Schritt einführen

1. Bestand prüfen. Welche Dienste nutzen Sie, und welche davon unterstützen Passkeys? Microsoft 365 oder Google Workspace sind meist der erste Schritt.
2. Mit den Admins beginnen. Administratorkonten erhalten zuerst einen gerätegebundenen Passkey, idealerweise auf zwei Sicherheitsschlüsseln. Einer davon liegt als Reserve im Tresor.
3. Das Team einbeziehen. Eine kurze Anleitung und zehn Minuten am Arbeitsplatz genügen in der Regel für die Einrichtung.
4. Wiederherstellung regeln. Was passiert, wenn jemand Smartphone und Laptop gleichzeitig verliert? Ein klarer Ablauf mit Identitätsprüfung verhindert, dass sich Angreifer über den Support einen neuen Zugang beschaffen.
5. Alte Verfahren abschalten. Erst wenn alle umgestellt sind, SMS-Codes und andere schwache Methoden deaktivieren.

Passwörter verschwinden damit nicht über Nacht. Ältere Fachanwendungen und manche Webportale kennen keine Passkeys. Dort bleiben ein Passwortmanager und die Multi-Faktor-Anmeldung die richtige Lösung.

Umsetzung mit A BOT

Wir prüfen, welche Ihrer Dienste Passkeys unterstützen, richten die Richtlinien in Microsoft 365 ein, beschaffen passende Sicherheitsschlüssel und begleiten Ihr Team bei der Umstellung. Mehr dazu unter IT-Sicherheit und Arbeitsplatz.

Häufige Fragen

Was passiert, wenn das Smartphone verloren geht?

Synchronisierte Passkeys sind über das Konto bei Apple, Google oder im Passwortmanager auf einem neuen Gerät wieder verfügbar. Bei gerätegebundenen Passkeys braucht es einen zweiten Schlüssel oder einen festgelegten Wiederherstellungsprozess.

Speichert der Dienst meinen Fingerabdruck?

Nein. Fingerabdruck und Gesicht werden nur lokal auf dem Gerät geprüft und verlassen es nicht. Der Dienst erhält lediglich die Bestätigung, dass der Schlüssel freigegeben wurde.

Brauchen wir dafür neue Hardware?

Meist nicht. Aktuelle Laptops mit Windows Hello oder Touch ID sowie gängige Smartphones reichen aus. Sicherheitsschlüssel braucht es vor allem für Administratoren.

Sind Passkeys sicherer als ein Passwort mit Multi-Faktor-Anmeldung?

Ja, besonders gegen Phishing. Codes aus SMS oder App lassen sich auf einer gefälschten Seite abfangen, ein Passkey funktioniert dort gar nicht.