Ein gefälschtes Anmeldefenster sieht aus wie das echte Firmenportal. Das eingegebene Passwort und ein zusätzlich abgefragter Einmalcode landen beim Angreifer. Passkeys können dieses Risiko deutlich verringern, weil die Anmeldung anders funktioniert. Für einen Betrieb in Osnabrück beginnt eine sinnvolle Einführung trotzdem nicht mit dem Abschalten sämtlicher Passwörter, sondern mit einem getesteten Anmelde- und Wiederherstellungsweg.
Besonders bei selbst betriebenen Anwendungen müssen Browser, Endgeräte und Identitätsdienst zusammenspielen. Eine erfolgreiche Demonstration auf dem Smartphone des Administrators sagt wenig über Schichtarbeitsplätze, ältere Fachanwendungen und den Verlust eines Geräts aus. Ein kleiner Pilot verhindert, dass eine Sicherheitsverbesserung zur Zugangssperre für Beschäftigte wird.
Hardware ist nur ein Teil der Anmeldeinfrastruktur
Wird der Identitätsdienst lokal betrieben, gehören Ressourcen, Sicherung und Verfügbarkeit in die Planung. Der Vergleich verschiedener Server auf dieser Webseite kann dabei die möglichen Hardwarekonfigurationen verdeutlichen. Ob eine Anmeldung mit Passkeys gelingt, entscheidet jedoch die Unterstützung durch Identitätsdienst und Anwendung. Ein schnellerer Prozessor ergänzt keine fehlende WebAuthn-Funktion.
Für eine vorhandene Cloud-Anwendung muss der Betrieb möglicherweise gar keine zusätzliche Hardware beschaffen. Zuerst wird geklärt, wo die Benutzerkonten verwaltet werden, welche Systeme daran angebunden sind und wer Wiederherstellungsentscheidungen treffen darf. Erst danach lässt sich der tatsächliche Infrastrukturbedarf bestimmen.
Was bei der Anmeldung anders ist
Nach der WebAuthn-Spezifikation des W3C arbeitet die Anmeldung mit kryptografischen Zugangsdaten, die an einen bestimmten Dienst gebunden sind. Der Dienst prüft einen Nachweis mit dem registrierten öffentlichen Schlüssel. Es wird nicht einfach ein wiederverwendbares gemeinsames Passwort in ein Formular übertragen.
Diese Bindung hilft gegen das Abgreifen von Zugangsdaten auf nachgebauten Anmeldeseiten. Sie bedeutet aber nicht, dass jedes Risiko verschwunden ist. Schadsoftware auf einem entsperrten Gerät, gestohlene Sitzungen oder ein schlecht abgesicherter Wiederherstellungsprozess bleiben eigenständige Probleme. Auch Berechtigungen innerhalb der Anwendung müssen weiterhin passen.
Die Freigabe erfolgt je nach Gerät etwa über dessen PIN oder biometrische Entsperrung. Dabei ist die lokale Gerätefreigabe nicht dasselbe wie das frühere Kontopasswort. Beschäftigte sollten verstehen, was sie bestätigen und auf welchem Gerät der Zugang eingerichtet ist. Eine kurze Einweisung gehört deshalb zur Einführung.
Synchronisierte und gerätegebundene Passkeys unterscheiden
Die FIDO Alliance beschreibt sowohl synchronisierte als auch gerätegebundene Passkeys. Synchronisierte Varianten können über einen entsprechenden Anbieter auf mehreren Geräten verfügbar werden. Gerätegebundene Varianten verbleiben dagegen auf dem jeweiligen Authenticator, beispielsweise einem geeigneten Sicherheitsschlüssel.
Für den Betrieb stellen sich dadurch unterschiedliche Fragen: Wer kontrolliert das Synchronisationskonto? Sind private Konten zulässig? Wie wird ein Ersatzgerät eingerichtet? Ein gemeinsam verwendeter Bürocomputer benötigt einen anderen Ablauf als ein persönlich zugewiesenes Notebook. Die bequemste Lösung für Privatnutzer ist nicht automatisch die passende Unternehmensregel.
Den Verlust des Geräts vorab durchspielen
Ein sinnvoller Test beginnt mit der Frage: Was passiert, wenn das reguläre Anmeldegerät nicht verfügbar ist? Bei gerätegebundenen Zugangsdaten kann ein zuvor registrierter Ersatz-Authenticator helfen. Bei synchronisierten Varianten werden zusätzlich die Regeln und Abhängigkeiten des jeweiligen Anbieters geprüft.
Die FIDO Alliance betont in ihren Hinweisen zur Ablösung von Passwort und Einmalcode die Bedeutung eines angemessenen Wiederherstellungswegs. Ein besonders sicherer Normalzugang verliert an Nutzen, wenn ein einfacher Telefonanruf genügt, um ihn durch einen ungeschützten Ersatz zu umgehen.
Im Unternehmen wird deshalb festgelegt, wie eine Identität geprüft wird, wer einen Ersatz freigibt und welche bisherigen Zugangsdaten zu widerrufen sind. Diese Schritte müssen auch bei Urlaub oder Krankheit funktionieren. Ein Notfallkonto wird geschützt und überwacht, nicht als alltägliche Abkürzung für die Belegschaft verwendet.
Ein Pilot braucht unterschiedliche Arbeitsplätze
Für einen fiktiven Test nehmen sechs Beschäftigte teil: zwei mit festen PCs, zwei mit mobilen Geräten und zwei an gemeinsam genutzten Arbeitsplätzen. Die Auswahl ist ein Beispiel, keine allgemeine Vorgabe. Getestet werden Anmeldung, Abmeldung, Gerätewechsel und die wichtigsten Fachanwendungen.
- Lässt sich der Zugang auf den vorgesehenen Geräten einrichten?
- Funktioniert die Anmeldung nach einem Neustart und mit gesperrtem Gerät?
- Erhält die Person nach der Anmeldung nur ihre vorgesehenen Rechte?
- Ist der Ersatzweg bei einem nicht verfügbaren Authenticator verständlich?
- Bleiben gemeinsam genutzte Arbeitsplätze nach der Abmeldung frei von offenen Sitzungen?
Ein Ergebnis wird pro Arbeitsplatz und Anwendung festgehalten. Die Aussage „Passkeys funktionieren“ ist zu ungenau, wenn der Browserzugang klappt, aber ein altes Zusatzprogramm weiterhin ein separates Passwort verlangt. Solche Restwege gehören ausdrücklich in die Bestandsaufnahme.
Passwort-Fallbacks nicht übersehen
Manche Systeme lassen das alte Passwort nach der Registrierung eines Passkeys weiterhin aktiv. Andere bieten Wiederherstellung über E-Mail oder zusätzliche Codes. Diese Möglichkeiten sind nicht automatisch falsch, müssen aber zum gewünschten Schutzniveau passen. Eine stärkere Anmeldemethode schützt nicht den Weg, den ein Angreifer stattdessen benutzen darf.
Prüfen Sie außerdem Integrationen und technische Konten. Eine automatisierte Schnittstelle meldet sich nicht unbedingt wie ein Mensch im Browser an. Für solche Zugänge werden eigene Verfahren und Berechtigungen benötigt. Sie sollten weder in denselben Pilot gedrängt noch wegen der Umstellung unbegrenzt weiterlaufen gelassen werden.
Die Einführung erfolgt daher in nachvollziehbaren Schritten. Erst werden unterstützte Konten und Anwendungen umgestellt, dann nicht mehr benötigte Alternativen kontrolliert entfernt. Jeder Schritt besitzt einen Rückweg, ohne die gesamte Organisation wieder auf ein gemeinsames unsicheres Verfahren zu setzen.
Den Nutzen messen, ohne Sicherheit zu erfinden
Angenommen, ein Betrieb bearbeitet bisher monatlich 24 Passwortzurücksetzungen mit durchschnittlich zehn Minuten Aufwand. Das sind vier Stunden. Sinkt die Zahl im beobachteten Zeitraum auf neun, verbleiben 90 Minuten. Die Differenz von zweieinhalb Stunden ist ein Rechenbeispiel für Arbeitsaufwand, kein Beweis einer bestimmten Schutzwirkung.
Gemessen werden zusätzlich fehlgeschlagene Anmeldungen, Einrichtungsprobleme und Wiederherstellungen. Ein Rückgang von Supportfällen kann auch daran liegen, dass Beschäftigte einen umständlichen Prozess vermeiden. Deshalb werden Rückmeldungen aus dem Arbeitsalltag mit den technischen Protokollen verglichen.
Für Sicherheitsfragen zählen gesonderte Prüfungen: unzulässige Ersatzwege, übermäßige Rechte und unerwartete Anmeldeereignisse. Der Betrieb sollte nicht behaupten, Angriffe seien ausgeschlossen, nur weil während des Piloten kein Vorfall bekannt wurde. Ein kurzer Beobachtungszeitraum ersetzt keine Sicherheitsbewertung.
Eine klare Anleitung schlägt improvisierte Hilfe
Die Anleitung erklärt Einrichtung, gewöhnliche Anmeldung, Geräteverlust und die zuständige Anlaufstelle. Sie enthält keine geheimen Wiederherstellungscodes. Verantwortliche testen den Ablauf mit einer Person, die ihn nicht selbst eingerichtet hat. Unklare Begriffe fallen dabei schneller auf als in einer weiteren technischen Besprechung.
Für kleine Unternehmen ist das Ziel ein robusterer Zugang mit nachvollziehbarer Verantwortung. Passkeys können einen wichtigen Teil dazu beitragen. Dauerhaft tragfähig wird die Umstellung, wenn auch Ersatzgeräte, verbliebene Passwortwege und gemeinsam genutzte Arbeitsplätze in denselben Plan passen.
