Passkeys in Microsoft 365: Mehr Sicherheit, weniger Passwortprobleme

Ein Mitarbeiter erhält eine vermeintliche Microsoft-E-Mail, öffnet den Link und meldet sich auf einer täuschend echten Website an. Was wie ein gewöhnlicher Arbeitsschritt aussieht, kann Angreifern den Zugang zu vertraulichen Unternehmensdaten ermöglichen. Gerade bei Microsoft 365 steht viel auf dem Spiel: E-Mails, Dokumente, interne Kommunikation und weitere angebundene Anwendungen.

Als Managed Service Provider betrachten wir sichere Anmeldungen deshalb als wichtigen Bestandteil einer zuverlässigen IT. Passkeys bieten Unternehmen die Möglichkeit, typische Phishing-Risiken zu reduzieren und gleichzeitig den Anmeldeprozess zu vereinfachen. Damit daraus ein praktischer Vorteil entsteht, braucht es eine durchdachte Einführung.

Was sind Passkeys?

Passkeys ersetzen die Passworteingabe durch ein kryptografisches Verfahren. Statt eines Kennworts kommt ein Schlüsselpaar zum Einsatz: Der öffentliche Schlüssel wird beim jeweiligen Dienst hinterlegt, der private Schlüssel durch einen sogenannten Authenticator verwaltet. Das kann beispielsweise ein Smartphone oder ein physischer FIDO2-Sicherheitsschlüssel sein.

Mitarbeitende geben die Anmeldung etwa per Fingerabdruck, Gesichtserkennung oder PIN frei. Biometrische Merkmale bleiben dabei auf dem Gerät. Der entscheidende Vorteil: Ein Passkey ist an den vorgesehenen Dienst gebunden. Eine gefälschte Anmeldeseite kann ihn nicht wie ein eingegebenes Passwort abgreifen und anschließend beim echten Dienst verwenden.

Warum herkömmliche MFA nicht immer ausreicht

Mehrfaktor-Authentifizierung, kurz MFA, verbessert den Schutz gegenüber einer reinen Passwortanmeldung erheblich. Allerdings sind nicht alle Verfahren gleichermaßen gegen Phishing geschützt. Einmalcodes können beispielsweise auf gefälschten Websites abgefragt und unmittelbar weitergeleitet werden.

Passkeys ermöglichen dagegen eine phishingresistente Authentifizierung. Zusammen mit der lokalen Freigabe per PIN oder Biometrie können sie MFA-Anforderungen erfüllen. Passwortlos bedeutet also keineswegs, dass auf mehrere Sicherheitsfaktoren verzichtet wird.

Für den Arbeitsalltag ist das besonders interessant: Eine stärkere Absicherung muss nicht zwangsläufig mit zusätzlichen Eingaben verbunden sein. Die Anmeldung kann zugleich einfacher werden.

Wie funktioniert das mit Microsoft 365?

Die Anmeldung an Microsoft 365 wird bei Geschäftskonten über Microsoft Entra ID gesteuert. Hier können Unternehmen Passkeys zentral für definierte Benutzergruppen freigeben. Die Einrichtung erfolgt damit nicht einzeln in Outlook, Teams oder SharePoint, sondern auf Ebene der Identität.

Welche Variante passt, hängt von der Arbeitsumgebung ab. FIDO2-Sicherheitsschlüssel können für Administratoren oder Beschäftigte ohne dienstliches Smartphone sinnvoll sein. Für andere Mitarbeitende kommen Passkeys in Microsoft Authenticator infrage. Auch synchronisierte Passkeys sind eine Option, sofern Plattformunterstützung und Unternehmensrichtlinien dies erlauben.

Aus MSP-Sicht ist entscheidend, Geräteauswahl, Schutzbedarf und Wiederherstellung gemeinsam zu betrachten. Ein Verfahren muss sowohl sicher als auch im täglichen Betrieb zuverlässig nutzbar sein.

Was wir als MSP bei der Einführung berücksichtigen

Am Anfang steht eine Bestandsaufnahme: Welche Geräte, Browser und Anwendungen werden eingesetzt? Gibt es Terminalserver, gemeinsam genutzte Arbeitsplätze oder ältere Fachsoftware? Eine erfolgreiche Browseranmeldung bedeutet noch nicht, dass sämtliche vorhandenen Anmeldewege ohne Passwort funktionieren.

Anschließend empfiehlt sich ein Pilot mit ausgewählten Mitarbeitenden. So lassen sich typische Abläufe testen, Anleitungen verbessern und mögliche Einschränkungen erkennen, bevor die Einführung ausgeweitet wird.

Ebenso wichtig sind passende Zugriffsrichtlinien. Über Conditional Access und Authentifizierungsstärken lässt sich für festgelegte Zugriffe phishingresistente MFA verlangen. Nur Passkeys zusätzlich anzubieten reicht nicht aus, wenn schwächere Anmeldewege weiterhin uneingeschränkt zur Verfügung stehen. Die integrierte Richtlinie für phishingresistente MFA erlaubt dabei auch andere geeignete Verfahren, etwa Windows Hello for Business.

Zum Konzept gehört außerdem der Geräteverlust. Was passiert, wenn ein Smartphone ausfällt oder ein Sicherheitsschlüssel verloren geht? Definierte Ersatzwege, eine sichere Identitätsprüfung durch den Support und das Entfernen verlorener Anmeldenachweise verhindern improvisierte Lösungen. Administrative Notfallzugänge müssen ebenfalls vorbereitet und regelmäßig geprüft werden.

Nach dem Rollout helfen Anmeldeprotokolle und Rückmeldungen aus dem Support, Schwierigkeiten zu erkennen und die Konfiguration gezielt weiterzuentwickeln.

Welche Rolle spielt Microsoft 365 Business Premium?

Microsoft 365 Business Premium enthält Microsoft Entra ID P1 und damit eine wesentliche Lizenzgrundlage für Conditional Access. Unternehmen mit diesem Paket können vorhandene Funktionen für eine gezielte Absicherung ihrer Zugriffe nutzen.

Zusätzlicher Aufwand kann dennoch entstehen, beispielsweise für Sicherheitsschlüssel, Einrichtung und Schulungen. Als MSP prüfen wir deshalb, welche Möglichkeiten bereits vorhanden sind und welche Ergänzungen tatsächlich benötigt werden.

Sicherer anmelden, zuverlässig weiterarbeiten

Passkeys können Passwortprobleme reduzieren und den Zugriff auf Microsoft 365 besser gegen Phishing absichern. Sie ersetzen jedoch weder geschützte Endgeräte noch Updates, angemessene Berechtigungen oder die Überwachung verdächtiger Aktivitäten. Auch gestohlene Sitzungen bleiben ein relevantes Risiko.

Unser Anspruch als MSP ist eine Lösung, die Sicherheit und Alltagstauglichkeit verbindet: mit geeigneten Anmeldeverfahren, verständlichen Abläufen und verlässlicher Betreuung.