Passkeys im Unternehmen: Rollout, Grenzen und der Weg zurück ins Konto

Passkeys ersetzen das Passwort durch ein Schlüsselpaar: Der private Schlüssel bleibt auf dem Gerät, die Anmeldung ist an die Domain gebunden. Im Unternehmen entscheidet vor allem eine Frage über den Rollout — synchronisierte oder gerätegebundene Passkeys. Microsoft Entra ID unterstützt beide, ohne Zusatzlizenz. Der eigentliche Knackpunkt ist der Wiederherstellungsweg.

Wie wenig verbreitet das Verfahren trotz aller Aufmerksamkeit noch ist, zeigt eine Zahl des Bundesamts für Sicherheit in der Informationstechnik. In seiner Verbraucherbefragung von 2024 kannten 38 Prozent der Befragten überhaupt den Begriff Passkey, 18 Prozent nutzten das Verfahren selbst, und 44 Prozent standen ihm skeptisch gegenüber. Das sind Verbraucherzahlen, keine Unternehmenswerte — aber Ihre Belegschaft besteht aus denselben Menschen. Wer den Rollout plant, plant auch die Erklärung mit.

1. Was ein Passkey ist — und woher die Phishing-Resistenz kommt

Ein Passkey ist ein Schlüsselpaar statt eines Geheimnisses. Bei der Einrichtung erzeugt Ihr Gerät zwei zusammengehörige Schlüssel: Der öffentliche geht an den Dienst, der private bleibt auf dem Gerät. Angemeldet wird nicht durch Übertragen eines Kennworts, sondern durch eine Signatur, die das Gerät nach einer Entsperrung per Fingerabdruck, Gesicht oder PIN erzeugt.

Der Ablauf einer Anmeldung an Microsoft Entra ID besteht laut Microsoft-Dokumentation aus sieben Schritten:

1. Die Person startet die Anmeldung.
2. Sie wählt einen Passkey aus: auf demselben Gerät, geräteübergreifend per QR-Code oder auf einem Sicherheitsschlüssel.
3. Entra ID schickt eine Zufallszahl als Aufgabe an das Gerät.
4. Das Gerät sucht das passende Schlüsselpaar über die gehashte Domain-Kennung und die Zugangsdaten-Kennung.
5. Die Person entsperrt den privaten Schlüssel mit Biometrie oder PIN.
6. Das Gerät signiert die Aufgabe und sendet die Signatur zurück.
7. Entra ID prüft die Signatur mit dem öffentlichen Schlüssel und stellt ein Token aus.

Zwei Eigenschaften dieses Ablaufs erklären die Phishing-Resistenz vollständig, ohne dass man sie behaupten müsste. Erstens gibt es kein Geheimnis, das man eingeben könnte. Auf einer nachgebauten Anmeldeseite lässt sich kein Passwort abfangen, weil keines existiert. Das Bundesamt für Sicherheit in der Informationstechnik formuliert es so: Selbst wenn eine Phishing-Mail dazu geführt hat, dass sich jemand auf einer gefälschten Webseite einloggen will, „wird der geheime Schlüssel niemals preisgegeben".

Zweitens ist der Schlüssel an die Domain gebunden. In der Spezifikation des Web-Authentication-Standards ist festgelegt, dass ausschließlich diejenige Gegenstelle, die durch ihre Domain-Kennung bezeichnet ist, den Schlüssel bei einer Anmeldung verwenden kann. Eine Seite unter einer anderen Adresse bekommt den Schlüssel technisch nicht zu Gesicht — auch dann nicht, wenn die Person hereinfällt und alles anklickt. Microsoft nennt diese Eigenschaft Widerstandsfähigkeit gegen die Vortäuschung des Prüfers: Der Authenticator gibt sein Geheimnis nur an die Gegenstelle heraus, bei der der Passkey registriert wurde.

Das ist der Unterschied zu jeder Form von Einmalcode. Ein Code per SMS oder App kann weitergereicht werden, weil er nur eine Zahl ist. Ein Passkey kann es nicht, weil er nie das Gerät verlässt. Genau deshalb empfehlen die US-Sicherheitsbehörden CISA und FBI in ihrem Advisory zur Angreifergruppe Scattered Spider ausdrücklich Verfahren nach dem FIDO- beziehungsweise WebAuthn-Standard — sie sind laut Behörden weder für Phishing noch für das Fluten mit Push-Anfragen noch für den Austausch der SIM-Karte anfällig.

2. Synchronisiert oder gerätegebunden? Der Unterschied, der über den Rollout entscheidet

„Passkey" bezeichnet zwei technisch verwandte, organisatorisch aber sehr verschiedene Dinge. Die FIDO Alliance trennt sie als synchronisierte und gerätegebundene Passkeys. Synchronisierte liegen verschlüsselt beim Cloud-Anbieter und stehen auf allen Geräten desselben Kontos bereit. Gerätegebundene entstehen auf einem Gerät und verlassen es nie. Microsoft Entra ID unterstützt beide.

In Ratgebern verschwindet diese Unterscheidung meistens hinter dem Satz, Passkeys seien sicher und bequem. Für ein Unternehmen ist sie aber die wichtigste Entscheidung des ganzen Projekts, weil an ihr Kontrolle, Kosten und Wiederherstellung hängen:

Die Zeile zur Attestierung verdient eine eigene Erklärung, weil sie in der Praxis am häufigsten überrascht. Attestierung heißt: Bei der Registrierung weist der Passkey nach, von welchem Hersteller und welchem Modell er stammt. Entra ID gleicht das gegen einen Metadatendienst ab. Schalten Sie diese Prüfung ein, sind synchronisierte Passkeys damit automatisch ausgeschlossen — Microsoft schreibt es ausdrücklich so. Schalten Sie sie aus, kann Entra ID nach eigener Aussage keine Eigenschaft eines Passkeys garantieren, nicht einmal, ob er synchronisiert oder gerätegebunden ist.

Daraus folgt eine unbequeme Wahrheit: Ein einziges tenantweites Regelwerk für alle Beschäftigten führt fast immer zu einem Kompromiss, der niemandem passt. Entweder ist die Buchhaltung zu schwach geschützt oder das Lager kommt nicht an seine Konten. Genau dafür gibt es die Profile, die im Abschnitt zum Rollout beschrieben sind.

Ganz nebenbei ist das auch der Grund, warum eine Passkey-Einführung nicht isoliert stattfinden sollte. Wenn Sie ohnehin über zentrale Anmeldung nachdenken, gehört die Frage in dieselbe Planung wie die Architektur dahinter — welche Standards dabei zusammenspielen, haben wir im Beitrag zu Single Sign-On im Mittelstand aufgeschrieben.

3. Welche Variante für welche Nutzergruppe?

Die Antwort lautet nicht „eine für alle". Microsoft empfiehlt Sicherheitsschlüssel für stark regulierte Branchen und Nutzende mit erhöhten Rechten und hält synchronisierte Passkeys für alle übrigen Gruppen für eine bequeme, kostengünstige Alternative zur klassischen Mehrfaktor-Anmeldung. In der Praxis lässt sich das auf sechs typische Gruppen herunterbrechen:

Ein Wort zu Windows Hello for Business, weil es in dieser Aufstellung leicht untergeht: Es ist im Kern derselbe Mechanismus, nur fest im Rechner verankert. Microsoft beschreibt es als phishing-resistente Zwei-Faktor-Anmeldung, deren privater Schlüssel im Sicherheitsmodul des Geräts liegt. Die PIN verlässt das Gerät nie, und biometrische Daten wandern weder in eine Cloud noch auf einen Server. Wer Windows-Arbeitsplätze in den Editionen Pro, Enterprise oder Education betreibt, hat einen gerätegebundenen Passkey damit bereits im Haus.

Was diese Tabelle nicht ersetzt, ist der Blick in Ihr eigenes Haus. Die Zuordnung funktioniert nur, wenn Sie vorher wissen, wer welches Gerät wirklich benutzt — und nicht, welches Gerät im Inventar steht.

4. Was Passkeys in Microsoft 365 voraussetzen

Weniger als die meisten erwarten. Passkeys sind laut Microsoft in allen Editionen von Entra ID enthalten, ausdrücklich auch in der kostenfreien, und verlangen keine zusätzlichen Lizenzen. Beide Typen sind allgemein verfügbar, also keine Vorschau. Die eigentlichen Voraussetzungen liegen bei Geräten, Browsern und Prozessen:

• Eine Rolle mit den Rechten eines Authentifizierungsrichtlinien-Administrators, um die Richtlinie überhaupt öffnen zu können.
• Entra-ID-Konten für alle Personen, die Passkeys nutzen sollen. Gastkonten sind derzeit ausgeschlossen.
• Aktuelle Windows-Versionen: Microsoft nennt für Entra-ID-verbundene Geräte Windows 10 ab Version 1903 als beste Erfahrung; hybrid verbundene Geräte müssen mindestens Version 2004 haben.
• Ein aktueller Browser: Chrome, Edge und Firefox laufen unter Windows, macOS und Linux, Safari zusätzlich unter macOS und iOS. Firefox unter Android wird nicht unterstützt.
• Ein Weg für die erste Anmeldung. Für die Registrierung eines Passkeys verlangt Entra ID eine Mehrfaktor-Anmeldung, die höchstens fünf Minuten zurückliegt.
• Eine Entscheidung über die Selbstregistrierung. Steht die Einstellung für den Selbstservice auf Nein, kann niemand einen Passkey über die Sicherheitsinformationen anlegen.
• Für erzwungene Nutzung zusätzlich eine Lizenz: Conditional Access verlangt laut Microsoft Entra ID P1 oder Microsoft 365 Business Premium.

Der fünfte Punkt ist der, an dem die meisten Zeitpläne kippen. Für die Registrierung eines Passkeys verlangt Entra ID eine Mehrfaktor-Anmeldung, die höchstens fünf Minuten zurückliegt. Wer noch gar keine hat — der neue Kollege am ersten Tag —, kommt ohne Hilfsmittel nicht in den Kreis hinein. Die Lösung dafür steht weiter unten im Abschnitt zur Wiederherstellung; wichtig ist nur, sie vor dem Rollout einzurichten und nicht danach.

Und noch eine Unterscheidung, die Budgets rettet: Passkeys kosten nichts extra, ihre Erzwingung aber schon. Wenn Sie über den bedingten Zugriff festlegen wollen, dass eine bestimmte Anwendung nur noch Passkeys akzeptiert, brauchen Sie laut Microsoft eine Lizenz der Stufe Entra ID P1; Kunden mit Microsoft 365 Business Premium können die Funktionen ebenfalls nutzen. Wer bereits mit Microsoft 365 arbeitet und die Grundlagen dafür sucht, findet sie im Beitrag zur Einführung von Microsoft 365 im Unternehmen.

5. Der Rollout in Entra ID in sechs Phasen

Die Richtlinie selbst finden Sie im Entra-Administrationszentrum unter Sicherheit, Authentifizierungsmethoden, Richtlinien, Eintrag „Passkey (FIDO2)". Dort aktivieren Sie zunächst die Passkey-Profile: benannte Regelsätze, die je Zielgruppe festlegen, welche Typen erlaubt sind, ob eine Attestierung erzwungen wird und welche Gerätemodelle zugelassen sind.

Zwei Hinweise vorweg, die Microsoft selbst als Warnung kennzeichnet. Der Wechsel auf Passkey-Profile lässt sich nicht rückgängig machen, und es stehen höchstens drei Profile einschließlich des Standardprofils zur Verfügung. Wer eine Modellliste nachträglich kürzt, sperrt außerdem alle Personen aus, die genau dieses Modell bereits registriert hatten. Beides sind Einbahnstraßen, also gehört die Zielstruktur vor den ersten Klick.

Die Reihenfolge ist der eigentliche Ratschlag dieses Abschnitts. In fast jedem Projekt, das wir begleitet haben, war die Versuchung groß, mit der Durchsetzung anzufangen, weil sie den Sicherheitsgewinn sofort sichtbar macht. Sie gehört ans Ende. Eine Richtlinie, die Passkeys verlangt, bevor alle einen haben, produziert an einem Montagmorgen mehr Ausfall als jeder Angriff.

Nützlich für große Belegschaften: Administratoren können Sicherheitsschlüssel inzwischen über die Microsoft-Graph-Schnittstelle stellvertretend für Beschäftigte einrichten. Diese Funktion befindet sich laut Microsoft allerdings noch in der Vorschau — für einen Produktivprozess ist sie damit noch keine belastbare Grundlage.

6. Wiederherstellung: der Abschnitt, an dem Projekte scheitern

Passkeys scheitern selten an der Technik. Sie scheitern an der Frage, was passiert, wenn das Gerät weg ist. Das Bundesamt für Sicherheit in der Informationstechnik rät Privatpersonen dazu, sich einen zweiten Sicherheitsschlüssel anzuschaffen, und räumt ein, dass man im Härtefall den Anbieter kontaktieren muss. Ein Unternehmen kann sich diesen Härtefall nicht leisten.

Vier Situationen treten regelmäßig auf. Für jede sollte vor dem Rollout eine Antwort feststehen:

Der vierte Fall verdient noch einen Absatz, weil er das gesamte Sicherheitsversprechen kippen kann. Der Temporary Access Pass ist ein zeitlich begrenzter Code, den eine Administratorin oder ein Administrator ausstellt und der wahlweise einmal oder mehrfach verwendbar ist. Voreingestellt sind eine Stunde Gültigkeit und acht Zeichen Länge; einstellbar ist ein Rahmen von zehn Minuten bis dreißig Tagen. Microsoft nennt ihn ausdrücklich als Mittel, um die Wiederherstellung zu erleichtern, wenn jemand ein starkes Anmeldeverfahren verloren hat.

Damit ist er aber auch das lohnendste Angriffsziel im ganzen Aufbau. Wer per Anruf einen solchen Code erschleicht, umgeht die Domain-Bindung nicht — er braucht sie gar nicht zu umgehen. CISA und FBI beschreiben in ihrem Advisory zu Scattered Spider genau dieses Vorgehen: Anrufe beim IT-Support, in denen sich Angreifer als Beschäftigte ausgeben, um Passwörter zurücksetzen und Anmeldeverfahren auf ein eigenes Gerät übertragen zu lassen.

Die Regel, die daraus folgt: Ein Notfallzugang wird nie am Telefon vergeben, ohne dass die Identität auf einem zweiten, unabhängigen Weg bestätigt wurde — per Rückruf auf die im Personalsystem hinterlegte Nummer, per Bestätigung durch die Führungskraft oder persönlich. Schreiben Sie diesen Weg auf, bevor der erste Anruf kommt. Ein starker Anmeldeprozess mit einem schwachen Rücksetzweg ist genau so sicher wie der schwache Rücksetzweg.

Der zweite Baustein ist trivial und wird trotzdem übersprungen: mindestens zwei registrierte Methoden je Person. Ein Passkey auf dem Rechner und einer auf dem Telefon, oder ein Sicherheitsschlüssel plus Ersatzschlüssel. Damit wird aus dem Geräteverlust eine Selbsthilfe statt eines Supportfalls — und aus dem Helpdesk-Prozess ein seltener Ausnahmefall statt eines täglichen Ablaufs.

7. Gemischte Gerätelandschaft und geteilte Arbeitsplätze

Ein Passkey-Rollout ist so leicht wie die schwierigste Gerätegruppe im Haus. Wer nur Windows-Notebooks und iPhones hat, ist in wenigen Wochen fertig. Wer Macs, Android-Tablets, geteilte Rechner in der Produktion und ein paar Linux-Arbeitsplätze mischt, stolpert über Einschränkungen, die in der Herstellerdokumentation stehen, aber selten vorher gelesen werden.

Die wichtigsten davon: Apple Passwords steht als synchronisierter Anbieter unter macOS ab Version 13 und iOS ab Version 16 bereit, unter Windows und Android jedoch nicht. Der Google-Passwortmanager ist im Chrome-Browser eingebaut und ab Android 9 nativ dabei — mit der ausdrücklichen Ausnahme von Samsung-Geräten. Andere Anbieter wie 1Password oder Bitwarden brauchen eine Browser-Erweiterung beziehungsweise eine App ab iOS 17 oder Android 14. Wer im Haus gemischte Betriebssysteme hat, kann sich also nicht auf einen einzigen Anbieter verlassen.

Dazu kommen Registrierungsgrenzen, die vor allem beim Verteilen von Sicherheitsschlüsseln stören. Für ChromeOS hält die Microsoft-Dokumentation fest, dass die Registrierung eines Sicherheitsschlüssels dort nicht unterstützt wird. Unter macOS und iOS funktioniert sie in den dortigen Browsern ebenfalls nicht, weil diese nicht zum Einrichten von Biometrie oder PIN auffordern. Planen Sie die Ausgabe von Schlüsseln also an einem Windows-Arbeitsplatz — sonst steht ein Karton Hardware im Regal und niemand bekommt sie in Betrieb.

Der schwierigste Fall bleibt der geteilte Arbeitsplatz ohne persönliches Gerät: der Rechner in der Kommissionierung, das Terminal an der Maschine, der Empfangs-PC. Hier gibt es kein Telefon, auf dem ein synchronisierter Passkey liegen könnte. Der persönliche Sicherheitsschlüssel am Schlüsselband ist die Lösung, die in unseren Projekten am zuverlässigsten funktioniert — vorausgesetzt, jemand ist im Haus dafür zuständig, Ersatz vorzuhalten und Verluste zu dokumentieren. Wie sich solche organisatorischen Zuständigkeiten sauber neben die technischen Maßnahmen legen, beschreibt unser Überblick zur IT-Sicherheit im Mittelstand.

8. Was Passkeys nicht lösen

Passkeys sind kein Schutzschild über dem Unternehmen, sondern ein besserer Anmeldeweg. Diese Grenze offen zu benennen, ist keine Relativierung — sie verhindert, dass ein Projekt für gelöst erklärt wird, das erst zur Hälfte fertig ist. Sechs Punkte bleiben auch nach einem erfolgreichen Rollout offen:

• Sie schützen kein Konto, das noch ein Passwort hat. Solange der alte Anmeldeweg offen bleibt, sucht sich ein Angriff genau diesen Weg. Erst das Abschalten der schwächeren Verfahren bringt den Sicherheitsgewinn.
• Sie ersetzen keine Berechtigungsverwaltung. Wer sich sicher anmeldet, hat danach genau die Rechte, die im Verzeichnis stehen. Zu weite Rechte bleiben zu weite Rechte.
• Sie sichern keine Anwendung, die nicht an Entra ID hängt. Altsysteme mit eigener Benutzertabelle bleiben außen vor, bis sie angebunden sind.
• Sie helfen nicht gegen einen gekaperten Rücksetzweg. Ein schwacher Prozess am Helpdesk hebelt die Technik aus, ohne sie anzugreifen.
• Sie verhindern keine Sitzungsübernahme nach der Anmeldung. Gestohlene Tokens bleiben ein eigenes Thema, das über Sitzungsrichtlinien und Gerätekonformität geregelt wird.
• Sie sind kein Selbstläufer im Kundenkonto. Ob Ihr Shopsystem Passkeys anbietet, entscheidet der Hersteller, nicht Ihre Identitätsstrategie.

Zur Wirkung selbst halten wir es bewusst zurückhaltend. Im Netz kursieren griffige Prozentwerte zum Rückgang von Phishing-Vorfällen und zur Entlastung des Supports. Wir nennen sie hier nicht, weil sich für keine davon eine nachvollziehbare Methodik finden ließ. Die einzigen belastbaren Zahlen, die wir zitieren können, stammen von Microsoft und sind ausdrücklich Erfahrungswerte aus privaten Microsoft-Konten: 99 Prozent der Nutzenden registrieren einen synchronisierten Passkey erfolgreich, die Anmeldung dauert 3 statt 69 Sekunden, und sie gelingt in 95 statt 30 Prozent der Versuche. Ob sich diese Werte auf Ihre Belegschaft übertragen lassen, ist offen — die Richtung ist es nicht.

Passkeys sind die oberste Stufe einer Leiter, nicht ihr einziger Sprosse. In den meisten Umgebungen laufen daneben weiterhin Authenticator-Apps, Push-Bestätigungen und — trotz aller Bedenken — SMS-Codes, und genau diese Mischung muss regelkonform gesteuert werden. Wie NIST und BSI die einzelnen Verfahren einordnen, was Microsoft inzwischen ohne Ausnahme erzwingt und welche vermeintlichen Sonderfälle wie App-Passwörter oder Shared Mailboxes es gar nicht mehr gibt, steht im Beitrag zu MFA im Unternehmen einführen.

9. Passkeys im Kunden-Login: Shopify und JTL-Shop

Bis hierher ging es um Beschäftigte. Für Händler stellt sich die Frage ein zweites Mal, nämlich für das Kundenkonto im eigenen Shop. Hier entscheidet nicht Ihre Identitätsstrategie, sondern der Hersteller Ihres Shopsystems. Der Stand unterscheidet sich zwischen den Plattformen deutlich, und er ändert sich schnell.

Shopify unterstützt Passkeys, allerdings über die Shop-Identität statt über ein klassisches Shop-Passwort. Der Standardweg in den neuen Kundenkonten ist ein sechsstelliger Einmalcode per E-Mail; zusätzlich können sich Kundinnen und Kunden laut Shopify-Hilfe „mit ihren Shop-Zugangsdaten und gespeicherten Passkeys" anmelden. Technisch aufgebaut hat Shopify das bereits im Dezember 2022 für die Bezahl- und Anmeldeabläufe von Shop und beschreibt in einem eigenen Entwicklerbeitrag, dass Passkeys dort die Bestätigung per E-Mail und SMS ablösen sollten.

Für JTL-Shop gilt ein anderer Befund, und wir formulieren ihn bewusst als Beobachtung statt als Bewertung: Die Seite „Sicherheit in JTL-Shop" im JTL-Guide beschreibt Passwortregeln, Speicherung als Hashwert und eine Zwei-Faktor-Authentifizierung für Frontend und Backend. Ab JTL-Shop 5.8 kommen Benachrichtigungsvorlagen für Passwort- und E-Mail-Änderungen dazu. Die Begriffe Passkey, WebAuthn und FIDO kommen in dieser Dokumentation nicht vor. Das ist der Stand vom 4. September 2026 — prüfen Sie ihn vor einem Projekt beim Hersteller nach, statt sich auf diesen Beitrag zu verlassen.

Wenn Sie ein Kundenkonto passwortlos machen wollen, gibt es dafür eine deutsche Vorgabe, die erstaunlich wenig bekannt ist. Das Bundesamt für Sicherheit in der Informationstechnik hat mit der Technischen Richtlinie TR-03188 „Passkey Server" in Version 1 Sicherheits- und Handlungsempfehlungen für die serverseitige Umsetzung veröffentlicht. Sie richtet sich laut BSI „an alle, die eine Webseite betreiben oder einen Online-Dienst anbieten", also auch an Shopbetreiber. Der erste Teil ordnet Sicherheitsmaßnahmen den Vertrauensniveaus „normal", „substantiell" und „hoch" zu, der zweite vergleicht die Integrationsmöglichkeiten. Wer eine eigene Umsetzung plant, hat damit eine belastbare Prüfliste statt einer Anbieterbroschüre.

Ein Blick nach vorn, kurz gehalten, weil sich hier noch wenig belegen lässt: Die Europäische Kommission gibt an, dass jeder Mitgliedstaat bis 2026 mindestens eine Version der EU-Brieftasche für digitale Identitäten anbieten wird; Rechtsgrundlage ist die Verordnung (EU) 2024/1183, die im Mai 2024 in Kraft getreten ist. Für Händler wird das mittelfristig vor allem beim Altersnachweis relevant. Konkrete Anforderungen an Shopsysteme lassen sich daraus heute noch nicht ableiten, deshalb bleibt es bei diesem Hinweis.

Angaben zu Microsoft Entra ID nach der Microsoft-Dokumentation, Stand der dortigen Artikel Februar bis April 2026; Angaben zur Technischen Richtlinie nach dem BSI. Alle Quellen sind am Ende des Beitrags verlinkt und öffnen in einem neuen Tab. Stand: 4. September 2026.

10. Fazit: eine Technikfrage mit drei organisatorischen Antworten

Technisch ist die Sache entschieden. Passkeys sind in Microsoft Entra ID allgemein verfügbar, kosten keine zusätzliche Lizenz und sind gegen Phishing widerstandsfähig, weil sie kein Geheimnis übertragen und an die Domain gebunden sind. Wer heute noch Passwörter plus SMS-Codes einsetzt, verteidigt einen Anmeldeweg, für den fertige Angriffswerkzeuge existieren.

Die offenen Fragen sind organisatorischer Natur, und es sind genau drei. Erstens: Welche Nutzergruppe bekommt welchen Passkey-Typ, und wie sichern Sie die Gruppen ab, für die keine der beiden Varianten sauber passt? Zweitens: Wie sieht der Weg zurück ins Konto aus, wenn ein Gerät verloren geht — und wie stellen Sie sicher, dass dieser Weg nicht per Telefonanruf zu erschleichen ist? Drittens: In welcher Reihenfolge rollen Sie aus, damit die Durchsetzung am Ende steht und nicht am Anfang?

Wenn Sie diese drei Antworten haben, ist der Rest Konfiguration. Wenn nicht, wird auch die beste Technik im Betrieb wieder weich, weil sich jemand einen Umweg baut. Wir sortieren die Ausgangslage mit Ihnen, ordnen Ihre Nutzergruppen den Passkey-Typen zu und schreiben den Notfallprozess so auf, dass der Helpdesk ihn im Alltag auch anwenden kann. Der Einstieg dafür ist unsere Beratung zu Office 365, Migration und Lizenzen; wenn die Anmeldung Teil eines größeren Vorhabens ist, ordnen wir sie in der Digitalisierungsberatung in die Gesamtplanung ein.

Hinweis zum Stand: Dieser Beitrag ist eine technische und organisatorische Einordnung und ersetzt weder eine Produktberatung noch eine Rechtsberatung. Die Angaben zu Microsoft Entra ID, Windows Hello for Business, Shopify und JTL-Shop entsprechen dem Stand vom 4. September 2026 und stammen aus den jeweils verlinkten Herstellerdokumentationen. Funktionsnamen, Verfügbarkeiten und Vorschau-Zustände ändern sich bei diesen Produkten häufig — prüfen Sie sie vor einer Umsetzung an der Quelle nach.

11. Häufige Fragen zu Passkeys im Unternehmen

Was ist der Nachteil von Passkeys?

Der größte Nachteil ist die Wiederherstellung. Geht das Gerät verloren und existiert keine zweite registrierte Methode, hängt der Zugang am Support des Anbieters. Dazu kommen Verwaltungsfragen: Synchronisierte Passkeys liegen in einer Cloud, die Sie nicht kontrollieren, und eine Attestierung ist mit ihnen nicht möglich. Beides lässt sich planen, aber nicht ignorieren.

Sind Passkeys an das Gerät gebunden?

Das hängt vom Typ ab. Gerätegebundene Passkeys entstehen auf einem physischen Gerät und verlassen es nie, etwa auf einem Sicherheitsschlüssel oder in Microsoft Authenticator. Synchronisierte Passkeys werden verschlüsselt beim Anbieter gespeichert und stehen auf allen Geräten desselben Kontos zur Verfügung. Microsoft Entra ID unterstützt beide Varianten.

Werden Passkeys bei einem Gerätewechsel übertragen?

Synchronisierte Passkeys ja: Sie melden sich auf dem neuen Gerät beim selben Anbieterkonto an, und die Schlüssel stehen wieder bereit. Gerätegebundene Passkeys nicht. Sie bleiben auf dem alten Gerät und müssen auf dem neuen frisch registriert werden. Planen Sie diesen Schritt fest in Ihren Onboarding-Prozess ein.

Was passiert, wenn ein Mitarbeiter sein Gerät verliert?

Ist eine zweite Methode registriert, meldet die Person sich damit an und löscht den verlorenen Passkey selbst. Ist keine vorhanden, stellt eine Administratorin in Entra ID einen Temporary Access Pass aus: einen zeitlich begrenzten Code, der standardmäßig eine Stunde gilt und zur Neuregistrierung berechtigt. Das Verfahren dafür sollte vorher feststehen.

Brauchen Passkeys in Microsoft 365 eine Zusatzlizenz?

Für die Passkeys selbst nicht. Microsoft schreibt, dass Passkeys in allen Editionen von Entra ID enthalten sind, auch in der kostenfreien. Lizenzpflichtig wird es erst bei der Durchsetzung: Wer Passkeys über Conditional Access für bestimmte Anwendungen erzwingen will, braucht Entra ID P1 oder Microsoft 365 Business Premium.

Ersetzen Passkeys die Multi-Faktor-Authentifizierung?

Ein Passkey kann selbst als Mehrfaktor-Verfahren gelten, wenn er mit Biometrie oder PIN entsperrt wird: Besitz des Geräts plus Wissen oder Merkmal. Damit ersetzt er die Kombination aus Passwort und SMS-Code. Was er nicht ersetzt, ist eine zweite registrierte Anmeldemethode für den Fall, dass das Gerät ausfällt.

Können Gäste und externe Partner Passkeys nutzen?

In Microsoft Entra ID derzeit nicht. Die Dokumentation nennt es ausdrücklich als bekannte Einschränkung: Die Registrierung von Passkeys wird für interne und externe Gastkonten nicht unterstützt, auch nicht für Konten aus der B2B-Zusammenarbeit. Für Partnerzugänge brauchen Sie deshalb weiterhin ein anderes phishing-resistentes Verfahren.

Unterstützen JTL-Shop und Shopify Passkeys im Kundenkonto?

Bei Shopify ja, allerdings über die Shop-Identität: Kundinnen und Kunden melden sich mit ihren Shop-Zugangsdaten und gespeicherten Passkeys an. Für JTL-Shop dokumentiert der JTL-Guide Passwort plus Zwei-Faktor-Authentifizierung, Passkeys oder WebAuthn kommen dort nicht vor. Stand 4. September 2026, bitte beim Hersteller nachprüfen.

12. Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf die folgenden Quellen, die alle am 4. September 2026 abgerufen und im Wortlaut gegengelesen wurden. Externe Quellen öffnen in einem neuen Tab.

• W3C — Web Authentication: An API for accessing Public Key Credentials, Level 3 — die Spezifikation hinter Passkeys: Zugangsdaten sind an eine Domain-Kennung gebunden, nur diese Gegenstelle kann sie bei einer Anmeldung verwenden (Primärquelle).
• Microsoft Learn — Passkeys (FIDO2) als Authentifizierungsmethode in Microsoft Entra ID — Ablauf der Anmeldung, Unterscheidung synchronisiert und gerätegebunden, Attestierung, Auswahlempfehlung, Erfahrungswerte aus privaten Microsoft-Konten (Stand des Artikels: 2. Februar 2026).
• Microsoft Learn — Passkeys (FIDO2) in Microsoft Entra ID aktivieren — keine Zusatzlizenz, Passkey-Profile, Attestierung und Schlüsselbeschränkung, Fünf-Minuten-Regel bei der Registrierung, Einschränkung für Gastkonten (Stand des Artikels: 8. März 2026).
• Microsoft Learn — Kompatibilitätsmatrix für die Passkey-Anmeldung (FIDO2) — unterstützte Browser und Anwendungen je Betriebssystem, Grenzen bei der Registrierung von Sicherheitsschlüsseln (Stand des Artikels: 16. April 2026).
• Microsoft Learn — Temporary Access Pass konfigurieren — Definition, Standardwerte für Gültigkeit und Länge, Einmal- und Mehrfachnutzung, Rollen und Grenzen (Stand des Artikels: 4. März 2026).
• Microsoft Learn — Windows Hello for Business im Überblick — schlüsselbasierte, phishing-resistente Anmeldung, privater Schlüssel im Sicherheitsmodul, PIN und Biometrie verlassen das Gerät nicht (Stand des Artikels: 29. März 2026).
• Microsoft Learn — Conditional Access im Überblick — Lizenzanforderung: Entra ID P1, alternativ Microsoft 365 Business Premium (Stand des Artikels: 27. April 2026).
• BSI — Passkeys: anmelden ohne Passwort — Erklärung des Verfahrens, Aussage zur Phishing-Resistenz, Empfehlung eines zweiten Sicherheitsschlüssels, Hinweis auf den Anbieterkontakt bei Totalverlust (offizielle Stelle).
• BSI — Pressemitteilung vom 1. Oktober 2024: „Login-Verfahren: BSI empfiehlt die Nutzung von Passkeys" — Ergebnisse der Verbraucherbefragung: 38 Prozent Bekanntheit, 18 Prozent Nutzung, 44 Prozent Skepsis (offizielle Stelle).
• BSI — Technische Richtlinie TR-03188 „Passkey Server", Version 1 — Sicherheits- und Handlungsempfehlungen für die serverseitige Umsetzung, Vertrauensniveaus „normal", „substantiell" und „hoch" (Primärquelle).
• FIDO Alliance — Passkeys — Definition und die Unterscheidung zwischen synchronisierten und gerätegebundenen Passkeys (Standardisierungsgremium).
• CISA und FBI — Advisory AA23-320A zu Scattered Spider — dokumentierte Anrufe beim IT-Support zum Zurücksetzen von Passwörtern und Übertragen von Anmeldeverfahren, Empfehlung von FIDO und WebAuthn (veröffentlicht 16. November 2023, überarbeitet 29. Juli 2025).
• Shopify Help Center — Customer accounts — Anmeldung per sechsstelligem Einmalcode sowie mit Shop-Zugangsdaten und gespeicherten Passkeys (Hersteller).
• Shopify Engineering — Supporting Passkeys in Shop's Authentication Flows — Einführung von Passkeys in den Anmeldeabläufen von Shop ab Dezember 2022 (Hersteller, veröffentlicht 24. März 2023).
• JTL-Guide — Sicherheit in JTL-Shop — Passwortregeln, Zwei-Faktor-Authentifizierung für Frontend und Backend, Benachrichtigungen ab JTL-Shop 5.8; Passkeys, WebAuthn und FIDO werden dort nicht genannt (Hersteller).
• Europäische Kommission — EU Digital Identity Wallet — Zusage, dass jeder Mitgliedstaat bis 2026 mindestens eine Version der Brieftasche anbietet, auf Grundlage der Verordnung (EU) 2024/1183 (offizielle Stelle).