Passkeys, FIDO2 und Hardware-Token: Warum Microsoft die sichere Anmeldung vorantreibt
Warum einfache MFA nicht immer ausreicht
Passwörter gehören weiterhin zu den häufigen Angriffszielen von Cyberkriminellen. Die Multi-Faktor- bzw. Zwei-Faktor-Authentifizierung (2FA) bietet zusätzlichen Schutz, doch nicht alle Authentifizierungsverfahren sind gleichermaßen sicher. Bei modernen Phishing-Angriffen können Angreifer neben statischen Passwörtern auch SMS-Codes oder One-Time-Passcodes (OTP) über Voice-Calls abfangen, weshalb Microsoft diese Services einstellt.
Je nach Authentifizierungsverfahren verhindert eine aktivierte MFA deshalb nicht jeden unberechtigten Zugriff. Passkeys und FIDO2 setzen genau hier an: Sie ermöglichen eine phishingresistente Anmeldung, bei der keine wiederverwendbaren Passwörter oder Einmalcodes übertragen werden müssen.
Die von uns angebotene Zwei-Faktor-Authentifizierung (2FA/MFA) bietet mehr Authentifizierungsverfahren an als andere Lösungen und unterstützt Verfahren wie Push Notification, Authenticator-Apps, Hardware-Token wie YubiKey, Passkeys u. v. m. Die Verfahren können situativ bereitgestellt und je nach Konfiguration vom Anwender ausgewählt werden.
Lesen Sie dazu weiter unten auch den Kommentar unseres 2FA/MFA-Herstellers SecurEnvoy.
Microsoft: Was ändert sich 2027?
Microsoft treibt den Umstieg auf moderne Authentifizierungsverfahren voran. Bereits seit September 2026 werden Passkeys in Microsoft Entra ID stärker als bevorzugte Anmeldemethode eingeführt.
Weitere Änderungen sind angekündigt:
01. Februar 2027
Die von Microsoft bereitgestellte SMS- und Sprachanruf-Authentifizierung wird für die meisten Benutzer schrittweise eingestellt.
01. Juli 2027
Die Umstellung beginnt auch für globale Administratoren und externe Benutzer.
Unternehmen sollten deshalb frühzeitig prüfen, welche Authentifizierungs-methoden ihre Mitarbeiter verwenden und welche Alternativen sinnvoll sind.
Wichtig: Microsoft schreibt keine Hardware-Token vor. Neben FIDO2-Sicherheitsschlüsseln stehen weitere Authentifizierungsverfahren wie z. B. MIcrosoft Authenticator zur Verfügung.
Passkeys, FIDO2 und Hardware-Token – was ist der Unterschied?
Die Begriffe hängen eng zusammen, beschreiben jedoch unterschiedliche Dinge.
Technologie einfach erklärt
Passkey | Ersetzt das Passwort durch ein kryptografisches Schlüsselpaar. Die Anmeldung erfolgt beispielsweise mit Fingerabdruck, Gesichtserkennung oder PIN. |
FIDO2 | Offener Sicherheitsstandard, der phishingresistente und passwortlose Anmeldungen ermöglicht. |
Hardware-Token | Physischer Sicherheitsschlüssel, etwa ein YubiKey, der FIDO2 unterstützen kann und kryptografische Schlüssel geschützt speichert. |
Welche Vorteile bieten Passkeys und FIDO2 für Unternehmen?
Mehr Sicherheit gegen Phishing
Gestohlene Passwörter und abgefangene Einmalcodes verlieren als Angriffsweg an Bedeutung. Besonders sensible Benutzerkonten lassen sich besser schützen.
Einfachere Anmeldung
Mitarbeiter müssen sich keine komplexen Passwörter merken oder SMS-Codes eingeben. Häufig genügt eine PIN oder biometrische Bestätigung.
Weniger Aufwand für den IT-Support
Weniger Passwortprobleme und Zurücksetzungen entlasten den Helpdesk.
Mehr Flexibilität durch Hardware-Token
Nicht jeder Mitarbeiter kann oder möchte ein Smartphone zur Authentifizierung verwenden. FIDO2 Hardware-Token sind deshalb besonders interessant für:
- IT-Administratoren und privilegierte Konten
- Behörden und Organisationen mit hohen Sicherheitsanforderungen
- Kliniken, Industrie und gemeinsam genutzte Arbeitsplätze
- Externe Dienstleister mit geschützten Unternehmenszugängen
Ein zusätzlicher Vorteil von Hardware-Token: Der private kryptografische Schlüssel bleibt geschützt auf dem physischen Gerät.
Auch für NIS2-Compliance und Zero Trust relevant
Starke Authentifizierung ist ein wichtiger Bestandteil moderner IT‑Sicherheitsstrategien. FIDO2 und Passkeys unterstützen Zero-Trust-Konzepte und können zur Umsetzung von Sicherheitsanforderungen aus NIS2, DORA oder ISO 27001 beitragen. Sie ersetzen allerdings keine umfassende Zugriffs- und Berechtigungsverwaltung.
FIDO2: Warum passwortlose Authentifizierung allein nicht ausreicht
Der FIDO2-Standard ermöglicht eine sichere, kryptografisch abgesicherte und passwortlose Authentifizierung und bietet einen erheblichen Schutz vor Phishing-Angriffen und dem Diebstahl von Zugangsdaten. Seine Einführung in Unternehmensumgebungen ist jedoch mit verschiedenen Herausforderungen verbunden.
FIDO2 setzt kompatible Geräte, Betriebssysteme, Browser und Authentifikatoren voraus. Dies stellt insbesondere für Unternehmen mit komplexen hybriden IT-Infrastrukturen eine Herausforderung dar. Dies gilt vor allem dann, wenn Legacy-Anwendungen, On-Premises-Systeme, VPNs, RDP und spezialisierte Geschäftsanwendungen zum Einsatz kommen. Die Integration oder Anpassung dieser Umgebungen zur Unterstützung von FIDO2 bleibt eine fortlaufende Herausforderung.
Ein weiteres Problem, das häufig übersehen wird, ist die Wiederherstellung. Was passiert, wenn ein Authentifikator (z. B. Authenticator-App) ausfällt, die biometrische Verifizierung fehlschlägt oder das Gerät bzw. der Browser eines Benutzers nicht mehr verfügbar ist? Im Gegensatz zu herkömmlichen zentralisierten MFA-Lösungen, bei denen Administratoren Zugangsdaten zurücksetzen und Benutzer erneut registrieren können, entstehen durch FIDO2 zusätzliche Abhängigkeiten im Zusammenhang mit kryptografischen Anmeldedaten und den zugehörigen Authentifikatoren.
Obwohl FIDO2 einen wichtigen Fortschritt im Bereich der Authentifizierung darstellt und klare Sicherheitsvorteile bietet, sollte es weder als universeller Ersatz für herkömmliche MFA-Verfahren noch als vollständige Lösung für das unternehmensweite Zugriffsmanagement betrachtet werden.
Der effektivste Ansatz ist eine flexible, zentral verwaltete Authentifizierungsstrategie, die FIDO2 und Passkeys mit anderen MFA-Verfahren kombiniert. So können Unternehmen die Vorteile passwortloser Authentifizierung nutzen, ohne dabei Kompatibilität, Benutzerfreundlichkeit oder administrative Kontrolle zu beeinträchtigen.
Phil Underwood, CIO von SecurEnvoy
Fazit: Jetzt auf phishingresistente Anmeldung vorbereiten
Die angekündigten Microsoft-Änderungen sind ein guter Anlass, bestehende MFA-Verfahren zu überprüfen. Passkeys erleichtern die Anmeldung, FIDO2 sorgt für phishingresistente Sicherheit und Hardware-Token bieten zusätzliche Kontrolle und Unabhängigkeit vom Smartphone. Welche Variante die richtige ist, hängt von den Arbeitsplätzen, Anwendungen und Sicherheitsanforderungen des Unternehmens ab.
Mit ProSoft zur passenden Authentifizierungslösung
Ob FIDO2-Sicherheitsschlüssel, YubiKeys oder andere Hardware-Token: ProSoft unterstützt Sie bei der Auswahl geeigneter Lösungen für eine sichere und benutzerfreundliche Authentifizierung.
Das könnte Sie auch interessieren:
Berger Logistik: Auf allen Wegen sicher verschlüsselt
Wie Berger Logistik durch die Verschlüsselung und zentrale Verwaltung aller eingesetzten Notebooks...
Trotz Datenklau-Gefahr: Zwei-Faktor-Authentifizierung nur Randthema im Bundestag
Erst kürzlich hat es ein 20-jähriger, Kapuzenpulli tragender Schüler (Abb. siehe oben) im...
