Anmeldung mit Passkeys – Next-Level IT Security mit FIDO2-Standard

Phishing, Credential Stuffing, schwache Passwörter – die klassischen Schwachstellen im Identitäts- und Zugriffsmanagement sind nicht neu. Aber sie sind gefährlicher denn je. Mit der zunehmenden Verlagerung von IT-Infrastrukturen in die Cloud, dem Anstieg hybrider Arbeitsmodelle und der Professionalisierung von Social Engineering ist klar: Das Passwort hat ausgedient. Der moderne Mittelstand braucht neue Lösungen. Eine davon heißt: Passkeys. In diesem Beitrag erfahren Sie, warum Passkeys der nächste logische Schritt in der Authentifizierung sind, wie sie mit dem FIDO2-Standard zusammenhängen und warum gerade Unternehmen im Mittelstand von passwortloser Sicherheit profitieren.

Passkeys: Was steckt dahinter?

Passkeys sind mehr als nur eine Alternative zum klassischen Passwort – sie stehen für einen Paradigmenwechsel in der Authentifizierung. Technisch handelt es sich dabei um kryptografisch gesicherte Schlüsselpaare, die lokal auf dem Endgerät des Nutzers oder in einem zertifizierten Sicherheitsmodul gespeichert werden. Anders als Passwörter werden diese Schlüsselpaare nicht übertragen, nicht wiederverwendet und sind nicht für den Nutzer sichtbar. Genau darin liegt ein zentraler Sicherheitsvorteil: Selbst bei Phishing- oder Man-in-the-Middle-Angriffen gibt es keine sensiblen Zugangsdaten, die abgefangen oder ausgespäht werden könnten.

Die Funktionsweise basiert auf dem offenen FIDO2-Standard (Fast Identity Online), der sich in den letzten Jahren als globaler Authentifizierungsstandard etabliert hat. Er wird von allen großen Plattformanbietern wie Microsoft, Apple, Google oder RSA unterstützt. Das Besondere: Der private Schlüssel bleibt stets auf dem eigenen Gerät – nur der zugehörige öffentliche Schlüssel wird serverseitig zur Authentifizierung genutzt. Zudem sind Passkeys domaingebunden. Das bedeutet: Selbst wenn ein Nutzer versehentlich auf eine gefälschte Login-Seite weitergeleitet wird, kann der Schlüssel nicht zur Anmeldung genutzt werden, da er nur für die ursprünglich autorisierte Webadresse freigegeben ist. Auch in puncto Benutzerfreundlichkeit setzen Passkeys neue Maßstäbe. Die Anmeldung erfolgt schnell und komfortabel – etwa per Fingerabdruck, Gesichtserkennung oder einem kurzen lokalen PIN-Code. Gleichzeitig entfällt die Notwendigkeit, sich komplexe Passwörter zu merken oder regelmäßig zu ändern. Damit verbessern Passkeys nicht nur die Sicherheit, sondern auch die Nutzererfahrung – und das bei gleichzeitiger Entlastung der IT-Abteilungen.

Device-bound, synced oder hardwarebasiert – welche Passkeys gibt es?

Nicht alle Passkeys funktionieren auf die gleiche Weise – und das ist besonders für Unternehmen ein entscheidender Aspekt bei der Auswahl der richtigen Lösung. Abhängig vom Sicherheitsbedarf, der IT-Infrastruktur und der Benutzerumgebung kommen in der Praxis drei grundlegende Varianten von Passkeys zum Einsatz, die sich hinsichtlich ihrer Verwaltung, Sicherheit und Flexibilität deutlich unterscheiden.

1. Device-bound Passkeys

Device-bound Passkeys sind direkt an ein bestimmtes Gerät gebunden, beispielsweise an ein Smartphone oder einen Laptop mit Windows Hello oder einer RSA Authenticator App. Die Authentifizierung erfolgt lokal auf diesem Gerät, häufig per biometrischer Methode oder PIN. Da der private Schlüssel niemals das Gerät verlässt, ist diese Variante besonders sicher und eignet sich ideal für klar kontrollierte Umgebungen, in denen Mitarbeitende mit festen, unternehmenseigenen Endgeräten arbeiten. Der Vorteil: Der Zugriff bleibt lokal begrenzt, was die Angriffsfläche reduziert. Gleichzeitig entfällt bei Geräteverlust jedoch auch der Zugriff auf den Passkey – was ein strukturiertes Recovery-Konzept erfordert.

2. Hardware Passkeys

Hardwarebasierte Passkeys gelten als die sicherste Variante. Dabei handelt es sich um physische Sicherheitstoken wie den RSA DS100 oder den neuen RSA iShield Key 2, die den privaten Schlüssel in einem zertifizierten Sicherheitschip speichern. Die Authentifizierung erfolgt nur dann, wenn das Gerät physisch verfügbar ist und der Nutzer zusätzlich einen PIN eingibt. Diese Zwei-Faktor-Logik – Besitz plus Wissen – macht hardwarebasierte Passkeys besonders robust gegenüber Diebstahl, Phishing oder Manipulation. Sie eignen sich ideal für sicherheitskritische Umgebungen, mobile Arbeitsplätze oder Szenarien, in denen eine Trennung von Benutzeridentität und Arbeitsgerät gefordert ist.

3. Synced Passkeys

Synced Passkeys (oder Credential Manager) hingegen bieten eine geräteübergreifende Synchronisation. Sie werden typischerweise über Plattformen wie Apple iCloud Keychain, Google Password Manager oder Drittanbieter wie Bitwarden verwaltet. Für den Anwender bedeutet das maximalen Komfort: Ein einmal eingerichteter Passkey ist auf allen verbundenen Geräten verfügbar, ohne dass er erneut eingerichtet werden muss. Aus Sicht der Unternehmenssicherheit stellt diese Flexibilität jedoch auch ein Risiko dar. Die zentrale Frage lautet: Wer kontrolliert, auf welchen Geräten sich die Passkeys befinden und wie sicher diese verwaltet werden? Für privat genutzte Geräte oder in Bring-your-own-Device-Konzepten (BYOD) kann dies die Nachvollziehbarkeit und Compliance deutlich erschweren.

Sicherheit trifft Komfort: Passkeys in der Praxis

Im Unternehmensalltag zeigt sich das Potenzial von Passkeys besonders deutlich, wenn sie nahtlos in bestehende Sicherheits- und Identitätsinfrastrukturen integriert werden. In Verbindung mit etablierten Lösungen wie RSA ID Plus oder beim Partnerportal Sophos Central ermöglichen Passkeys eine moderne, reibungslose Authentifizierung – schnell, sicher und benutzerfreundlich. Die Anmeldung erfolgt über biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung oder per lokaler PIN – ganz ohne Passwort und ohne zusätzlichen Aufwand für die Nutzer.

Darüber hinaus lassen sich Passkeys flexibel mit zentralen Sicherheitsfunktionen wie Single Sign-On (SSO), Self-Service-Zugriffen und rollenbasiertem Emergency Access kombinieren. So entsteht ein ganzheitliches Authentifizierungskonzept, das Sicherheit und Nutzerkomfort nicht als Widerspruch, sondern als Einheit versteht. Der administrative Aufwand sinkt, die Akzeptanz bei Mitarbeitenden steigt – und das bei einer gleichzeitig deutlich erhöhten Schutzwirkung.

FIDO2 – Der Standard hinter Passkeys

Ein entscheidender Vorteil liegt in der Architektur des FIDO2-Standards selbst: Passkeys sind von Grund auf phishing-resistent. Selbst wenn ein Mitarbeitender auf eine täuschend echte Phishing-Seite klickt, greift der Authentifizierungsmechanismus nicht – denn der Passkey ist technisch untrennbar mit der echten Domain des Zielsystems verknüpft. Das bedeutet: Ein gefälschter oder gestohlener Link führt nicht mehr automatisch zur Gefährdung sensibler Daten oder Zugänge.

Gerade für mittelständische Unternehmen ist das ein enormer Fortschritt. Denn aktuelle Studien – etwa von Bitkom (2024) – zeigen: Angriffe auf Identitäten, etwa durch schwache oder kompromittierte Passwörter, gehören zu den häufigsten Ursachen schwerwiegender Sicherheitsvorfälle – gleich nach Ransomware. Gleichzeitig mangelt es in vielen Organisationen an strukturierten Schulungen oder klaren Passwortwechselstrategien. Die Risiken steigen – während der Schutz oft hinterherhinkt. Passkeys bieten hier eine effektive und zugleich pragmatische Lösung.

Unternehmen profitieren nicht nur von einem deutlich höheren Sicherheitsniveau, sondern auch von reduzierten Helpdesk-Anfragen, einer besseren Nutzererfahrung und geringerer technischer Komplexität im Authentifizierungsprozess. Gleichzeitig erfüllen Passkeys zentrale Anforderungen moderner Sicherheitsstandards – etwa im Rahmen von ISO 27001 oder der EU-Richtlinie NIS2. Wer heute umsteigt, gewinnt also nicht nur an Sicherheit, sondern auch an Effizienz, Nutzerzufriedenheit und Compliance-Reife.

Fazit: Passkeys sind kein Hype – sie sind der neue Standard

Die Einführung von Passkeys, basierend auf dem FIDO2-Standard, ist ein bedeutender Meilenstein in der Weiterentwicklung der Authentifizierung – weg vom unsicheren Passwort, hin zu einer modernen, phishing-resistenten Sicherheitsarchitektur. Für Unternehmen, insbesondere im Mittelstand, bietet der Umstieg auf passwortlose Login-Verfahren nicht nur ein deutlich höheres Schutzniveau, sondern auch spürbare operative Vorteile: weniger Supportaufwand, bessere Nutzerakzeptanz, höhere Effizienz.

Die Kombination aus starker Kryptografie und Benutzerfreundlichkeit macht Passkeys zu einem praxistauglichen Element für jede moderne IT-Sicherheitsstrategie. Das gilt nicht nur im Kontext von Zero Trust, sondern auch mit Blick auf Compliance-Anforderungen wie NIS2 oder ISO 27001. Wer auf Passkeys setzt, schützt zum einen seine sensiblen Daten und Zugänge besser und entlastet auf der anderen Seite auch die IT-Abteilungen durch geringere Komplexität in der Verwaltung. Der Umstieg mag strategisches Denken und etwas Planung erfordern – doch der Nutzen ist eindeutig: mehr Kontrolle, mehr Sicherheit, weniger Risiko.