Passkeys, FIDO2 und Hardware-Token: Microsoft treibt die sichere Anmeldung voran

Passkeys, FIDO2 und Hardware-Token: Warum Microsoft die sichere Anmeldung vorantreibt

13.

Nov.

2026

, DORA, , Hardware Token, ISO27001, Microsoft MFA 2027, NIS2, Passkey, phishingresistente , YubiKey

Microsoft verändert die Anmeldung in Microsoft Entra ID: Seit September 2026 werden Passkeys in Microsoft Entra ID als bevorzugte Anmeldemethode eingeführt. Ab Februar 2027 soll die bisherige SMS- und Telefon- schrittweise abgelöst werden. Passkeys und -Sicherheitsschlüssel rücken damit stärker in den Fokus. Doch was unterscheidet diese Technologien und welche Vorteile bieten sie Unternehmen?

Warum einfache MFA nicht immer ausreicht

Passwörter gehören weiterhin zu den häufigen Angriffszielen von Cyberkriminellen. Die Multi-Faktor- bzw. Zwei-Faktor-Authentifizierung (2FA) bietet zusätzlichen Schutz, doch nicht alle Authentifizierungsverfahren sind gleichermaßen sicher. Bei modernen Phishing-Angriffen können Angreifer neben statischen Passwörtern auch SMS-Codes oder One-Time-Passcodes (OTP) über Voice-Calls abfangen, weshalb Microsoft diese Services einstellt.

Je nach Authentifizierungsverfahren verhindert eine aktivierte MFA deshalb nicht jeden unberechtigten Zugriff. Passkeys und FIDO2 setzen genau hier an: Sie ermöglichen eine phishingresistente Anmeldung, bei der keine wiederverwendbaren Passwörter oder Einmalcodes übertragen werden müssen.

Die von uns angebotene Zwei-Faktor-Authentifizierung (2FA/MFA) bietet mehr Authentifizierungsverfahren an als andere Lösungen und unterstützt Verfahren wie Push Notification, Authenticator-Apps, Hardware-Token wie YubiKey, Passkeys u. v. m. Die Verfahren können situativ bereitgestellt und je nach Konfiguration vom Anwender ausgewählt werden.

Lesen Sie dazu weiter unten auch den Kommentar unseres 2FA/MFA-Herstellers SecurEnvoy.

Microsoft: Was ändert sich 2027?

Microsoft treibt den Umstieg auf moderne Authentifizierungsverfahren voran. Bereits seit September 2026 werden Passkeys in Microsoft Entra ID stärker als bevorzugte Anmeldemethode eingeführt.

Weitere Änderungen sind angekündigt:

01. Februar 2027
Die von Microsoft bereitgestellte SMS- und Sprachanruf-Authentifizierung wird für die meisten Benutzer schrittweise eingestellt.

01. Juli 2027
Die Umstellung beginnt auch für globale Administratoren und externe Benutzer.

Unternehmen sollten deshalb frühzeitig prüfen, welche Authentifizierungs-methoden ihre Mitarbeiter verwenden und welche Alternativen sinnvoll sind.

Wichtig: Microsoft schreibt keine Hardware-Token vor. Neben FIDO2-Sicherheitsschlüsseln stehen weitere Authentifizierungsverfahren wie z. B. MIcrosoft Authenticator zur Verfügung.

Passkeys, FIDO2 und Hardware-Token – was ist der Unterschied?

Die Begriffe hängen eng zusammen, beschreiben jedoch unterschiedliche Dinge.

Technologie einfach erklärt

Passkey	Ersetzt das Passwort durch ein kryptografisches Schlüsselpaar. Die Anmeldung erfolgt beispielsweise mit Fingerabdruck, Gesichtserkennung oder PIN.
FIDO2	Offener Sicherheitsstandard, der phishingresistente und passwortlose Anmeldungen ermöglicht.
Hardware-Token	Physischer Sicherheitsschlüssel, etwa ein YubiKey, der FIDO2 unterstützen kann und kryptografische Schlüssel geschützt speichert.

Welche Vorteile bieten Passkeys und FIDO2 für Unternehmen?

Mehr Sicherheit gegen Phishing
Gestohlene Passwörter und abgefangene Einmalcodes verlieren als Angriffsweg an Bedeutung. Besonders sensible Benutzerkonten lassen sich besser schützen.

Einfachere Anmeldung
Mitarbeiter müssen sich keine komplexen Passwörter merken oder SMS-Codes eingeben. Häufig genügt eine PIN oder biometrische Bestätigung.

Weniger Aufwand für den IT-Support
Weniger Passwortprobleme und Zurücksetzungen entlasten den Helpdesk.

Mehr Flexibilität durch Hardware-Token
Nicht jeder Mitarbeiter kann oder möchte ein Smartphone zur Authentifizierung verwenden. FIDO2 Hardware-Token sind deshalb besonders interessant für:

IT-Administratoren und privilegierte Konten
Behörden und Organisationen mit hohen Sicherheitsanforderungen
Kliniken, Industrie und gemeinsam genutzte Arbeitsplätze
Externe Dienstleister mit geschützten Unternehmenszugängen

Ein zusätzlicher Vorteil von Hardware-Token: Der private kryptografische Schlüssel bleibt geschützt auf dem physischen Gerät.

Auch für NIS2-Compliance und Zero Trust relevant

Starke Authentifizierung ist ein wichtiger Bestandteil moderner IT‑Sicherheitsstrategien. FIDO2 und Passkeys unterstützen Zero-Trust-Konzepte und können zur Umsetzung von Sicherheitsanforderungen aus NIS2, DORA oder ISO 27001 beitragen. Sie ersetzen allerdings keine umfassende Zugriffs- und Berechtigungsverwaltung.

FIDO2: Warum passwortlose Authentifizierung allein nicht ausreicht

Der FIDO2-Standard ermöglicht eine sichere, kryptografisch abgesicherte und passwortlose Authentifizierung und bietet einen erheblichen Schutz vor Phishing-Angriffen und dem Diebstahl von Zugangsdaten. Seine Einführung in Unternehmensumgebungen ist jedoch mit verschiedenen Herausforderungen verbunden.

FIDO2 setzt kompatible Geräte, Betriebssysteme, Browser und Authentifikatoren voraus. Dies stellt insbesondere für Unternehmen mit komplexen hybriden IT-Infrastrukturen eine Herausforderung dar. Dies gilt vor allem dann, wenn Legacy-Anwendungen, On-Premises-Systeme, VPNs, RDP und spezialisierte Geschäftsanwendungen zum Einsatz kommen. Die Integration oder Anpassung dieser Umgebungen zur Unterstützung von FIDO2 bleibt eine fortlaufende Herausforderung.

Ein weiteres Problem, das häufig übersehen wird, ist die Wiederherstellung. Was passiert, wenn ein Authentifikator (z. B. Authenticator-App) ausfällt, die biometrische Verifizierung fehlschlägt oder das Gerät bzw. der Browser eines Benutzers nicht mehr verfügbar ist? Im Gegensatz zu herkömmlichen zentralisierten MFA-Lösungen, bei denen Administratoren Zugangsdaten zurücksetzen und Benutzer erneut registrieren können, entstehen durch FIDO2 zusätzliche Abhängigkeiten im Zusammenhang mit kryptografischen Anmeldedaten und den zugehörigen Authentifikatoren.

Obwohl FIDO2 einen wichtigen Fortschritt im Bereich der Authentifizierung darstellt und klare Sicherheitsvorteile bietet, sollte es weder als universeller Ersatz für herkömmliche MFA-Verfahren noch als vollständige Lösung für das unternehmensweite Zugriffsmanagement betrachtet werden.

Der effektivste Ansatz ist eine flexible, zentral verwaltete Authentifizierungsstrategie, die FIDO2 und Passkeys mit anderen MFA-Verfahren kombiniert. So können Unternehmen die Vorteile passwortloser Authentifizierung nutzen, ohne dabei Kompatibilität, Benutzerfreundlichkeit oder administrative Kontrolle zu beeinträchtigen.

Phil Underwood, CIO von SecurEnvoy

Fazit: Jetzt auf phishingresistente Anmeldung vorbereiten

Die angekündigten Microsoft-Änderungen sind ein guter Anlass, bestehende MFA-Verfahren zu überprüfen. Passkeys erleichtern die Anmeldung, FIDO2 sorgt für phishingresistente Sicherheit und Hardware-Token bieten zusätzliche Kontrolle und Unabhängigkeit vom Smartphone. Welche Variante die richtige ist, hängt von den Arbeitsplätzen, Anwendungen und Sicherheitsanforderungen des Unternehmens ab.

Mit ProSoft zur passenden Authentifizierungslösung

Ob FIDO2-Sicherheitsschlüssel, YubiKeys oder andere Hardware-Token: ProSoft unterstützt Sie bei der Auswahl geeigneter Lösungen für eine sichere und benutzerfreundliche Authentifizierung.

Hardware-Token entdecken

Jetzt persönliche Beratung anfordern