Passkeys in der Firma: was sie ändern und wie das Team sie nutzt

Passkeys in der Firma in Kurzform

Ein Passkey ersetzt bei der Anmeldung das Passwort durch einen kryptografischen Schlüssel, den das Gerät mit Fingerabdruck, Gesichtserkennung oder PIN freigibt. Für eine Firma ändert das vor allem eines: Ein Mitarbeiter kann den Passkey auf einer gefälschten Anmeldeseite nicht verraten, weil er ihn nie zu sehen bekommt. Das BSI schreibt: „Die beiden Passkey-Verfahren sind resistent gegen übliche Phishing-Angriffe.“ SMS-Codes und Codes aus einer Authenticator-App schützen nach dem BSI dagegen nicht vor Phishing in Echtzeit.

Die neue Frage lautet, wo der Passkey liegt. Auf dem privaten Handy einer Mitarbeiterin gehört er praktisch ihr, auf einem Hardware-Schlüssel hängt er an einem Stück Plastik, in einem gemeinsamen Tresor kann ihn jeder Berechtigte nutzen. Für Konten, die mehrere Leute brauchen, ist der Tresor der Weg. Für Administratoren passt ein Schlüssel, der an ein Gerät gebunden ist. Und weil Dienste wie Google das Passwort neben dem Passkey bestehen lassen, braucht die Firma ihre Passwörter weiter.

So funktioniert die Anmeldung

Beim Einrichten erzeugt das Gerät für genau diesen Dienst zwei zusammengehörige Schlüssel. Der geheime bleibt im Speicher des Geräts oder im Tresor, der öffentliche geht an den Dienst. Meldet sich der Mitarbeiter später an, prüft der Dienst, ob das Gerät den passenden geheimen Schlüssel hat, ohne dass dieser übertragen wird. Fingerabdruck und Gesichtsbild bleiben dabei auf dem Gerät, schreibt Microsoft in seiner Dokumentation zu Windows.

Den Phishing-Schutz erklärt das BSI so: Landet ein Nutzer auf einer gefälschten Seite, „wird der geheime Schlüssel niemals preisgegeben“, und der Angreifer erfährt nichts. Laut Microsoft achten Browser und Betriebssystem selbst darauf, dass ein Passkey nur beim richtigen Dienst zum Einsatz kommt. Der Schutz hängt damit nicht mehr daran, dass der Mitarbeiter die Adresse in der Leiste prüft. Jeder Passkey gilt für genau ein Konto.

Drei Orte für einen Passkey

Die FIDO Alliance, die den Standard pflegt, unterscheidet zwei Arten. Synchronisierte Passkeys landen Ende-zu-Ende-verschlüsselt auf allen Geräten derselben Person, die mit demselben Konto beim selben Anbieter angemeldet sind. Anbieter kann der Hersteller des Handys sein oder ein Passwort-Manager. Gerätegebundene Passkeys bleiben auf einem Gerät, etwa auf einem Hardware-Schlüssel. Für eine Firma kommt als dritter Ort der gemeinsame Tresor dazu.

Den Haken an der ersten Zeile übersieht man leicht. Legt ein Mitarbeiter den Passkey für das Lieferantenportal auf seinem privaten Handy an, landet er in der Regel in seinem privaten Konto beim Hersteller des Handys. Verlässt er die Firma, nimmt er den Zugang mit, und die Firma sieht nicht einmal, dass es ihn gibt. Für Diensthandys gehört das Konto beim Hersteller deshalb der Firma, mehr dazu unter Firmenhandy: Apple-ID und Google-Konto.

Passkeys im Tresor teilen

Im gemeinsamen Tresor liegt der Passkey beim Eintrag des Zugangs, genau wie Benutzername und Passwort. Legt jemand auf einer Website einen neuen Passkey an, bietet die Browser-Erweiterung an, ihn dort zu speichern. Liegt der Eintrag in der Sammlung „Einkauf“, melden sich alle drei Einkäufer damit an, und die Buchhaltung sieht ihn nicht. Wer neu dazukommt, bekommt die Sammlung freigegeben, statt dass jemand beim Dienst einen weiteren Passkey anlegt.

Die Hersteller-Hilfe der Apps nennt einige Grenzen, die man vor dem Umstellen kennen sollte:

• Ein Eintrag fasst einen Passkey. Wer für denselben Dienst einen zweiten braucht, legt einen zweiten Eintrag an.
• Auf dem iPhone braucht es iOS 17 oder neuer, unter Android Version 14. Ältere Diensthandys können Passkeys aus dem Tresor nicht nutzen.
• Unter Android taugt ein Passkey aus dem Tresor nur als alleinige Anmeldung. Verlangt ein Dienst ihn als zweiten Schritt nach dem Passwort, klappt das dort nicht, weil Android das bei fremden Passkey-Anbietern laut Hersteller-Hilfe nicht zulässt.
• Kopiert jemand einen Eintrag, bleibt das Feld für den Passkey in der Kopie leer.

Liegt der Passkey im Tresor, hängt der Schutz des Kontos auch an der Anmeldung am Tresor. Deren zweiter Faktor ist eine Authenticator-App oder ein Code per E-Mail, und beide schützen nach dem BSI nicht vor Phishing in Echtzeit. Die Adresse des Tresors sollte deshalb jeder als Lesezeichen haben und nicht über Links aus Mails aufrufen. Wie Sammlungen und Rechte aufgebaut werden, steht unter Passwörter im Team teilen, die übrigen Funktionen der Apps unter Funktionen.

Grenzen, die bleiben

Das Passwort bleibt neben dem Passkey bestehen

Bei Google kommt ein Passkey zum Passwort dazu, statt es zu ersetzen. Google schreibt in seiner Hilfe, dass ein neuer Passkey keine bisherigen Anmelde- oder Wiederherstellungswege ändert oder entfernt. Sehen Sie bei jedem anderen Dienst nach, ob er das Passwort danach abschalten lässt. Wer das Passwort per Phishing erbeutet, hat damit weiterhin einen Weg ins Konto. Das Passwort braucht deshalb weiter einen zweiten Faktor und gehört weiter in den Tresor.

Nur, wo der Dienst mitmacht

Anmelden mit Passkey geht nur bei Diensten, die ihn anbieten, darauf weist auch das BSI hin. Bietet ein Portal oder eine Branchensoftware keinen Passkey an, bleibt es dort bei Passwort und zweitem Faktor. Wie Sie dafür eine Reihenfolge festlegen, beschreibt Zwei-Faktor im Betrieb einführen.

Gerätegebundene Passkeys lassen sich nicht kopieren

Ein Hardware-Schlüssel ist nicht kopierbar. Das BSI rät deshalb, einen zweiten Schlüssel als Notfalllösung anzuschaffen und bei jedem Dienst für beide Schlüssel einzeln einen Passkey anzulegen. Wer das beim Einrichten vergisst und den einzigen Schlüssel verliert, braucht den Weg zur Wiederherstellung des Dienstes. Wo Ersatzcodes für diesen Fall hingehören, steht unter Wiederherstellungscodes aufbewahren.

Geteilte Rechner

Google rät ausdrücklich davon ab, Passkeys auf gemeinsam genutzten Geräten anzulegen: Wer das Gerät entsperren kann, kommt auch nach dem Abmelden ins Konto. Am Empfangsrechner, an dem drei Kolleginnen unter einer Windows-Anmeldung arbeiten, hat ein Passkey über die Geräte-PIN deshalb nichts zu suchen. Dort meldet sich jede am Tresor an und nutzt den Passkey aus ihrer Sammlung.

Den Umstieg im Team planen

1. Liste der Dienste mit Passkey. Sehen Sie in den Sicherheitseinstellungen der Konten nach, die Sie täglich nutzen. Das Kundenkonto bei Microsoft oder Google ist ein guter Anfang.
2. Für jedes Konto den Ort festlegen. Persönlich, Hardware-Schlüssel oder Sammlung im Tresor, nach der Tabelle oben.
3. Eine Person legt an. Den Passkey für ein gemeinsames Konto richtet eine einzige Person ein und speichert ihn gleich in der richtigen Sammlung. Zwei Kollegen, die es parallel versuchen, erzeugen zwei Passkeys an zwei Orten.
4. Mit einer zweiten Person testen. Eine Kollegin meldet sich an ihrem eigenen Gerät mit dem Passkey aus der Sammlung an. Erst dann gilt das Konto als umgestellt.
5. Beim Austritt mitdenken. Das Konto des Mitarbeiters im Tresor sperrt der Verantwortliche in Ihrer Firma. Bei wichtigen Konten legen Sie danach einen neuen Passkey an, löschen den alten beim Dienst und ändern das Passwort, das daneben besteht. Die übrigen Schritte stehen in der Checkliste Mitarbeiter verlässt die Firma.

Ein Beispiel aus einem Sanitätshaus

Ein erfundenes Sanitätshaus mit zwei Filialen und elf Beschäftigten bestellt Hilfsmittel über das Portal eines Großhändlers, der seit dem Frühjahr Passkeys anbietet. Bisher hing die Anmeldung an einem Passwort und einem SMS-Code auf dem Handy der Filialleiterin. Die Filialleiterin legt den Passkey an ihrem Rechner an und speichert ihn über die Browser-Erweiterung in der Sammlung „Bestellungen“, die die vier Mitarbeiter mit Bestellrecht sehen.

Am nächsten Morgen bestellt eine Orthopädietechnikerin aus der zweiten Filiale mit dem Passkey, ohne Code und ohne Anruf. Das Passwort für das Portal bleibt bestehen, also lässt die Filialleiterin dort den zweiten Faktor eingeschaltet und stellt ihn von SMS auf einen Code im Tresor um. Das Administratorkonto des Inhabers bei Microsoft 365 bekommt dagegen zwei Hardware-Schlüssel, einer am Schlüsselbund, einer im Büro. Wie das Notfallkonto dazu passt, steht unter Microsoft 365: Admin und Notfallkonto. Welche Zugänge im Betrieb sonst anfallen, zeigt die Seite für Sanitätshäuser.

Passkeys bei Passwortheld

Im Tresor von Passwortheld speichern Sie Passkeys beim Zugang und nutzen sie im Team, mit denselben Sammlungen und Rechten wie bei Passwörtern. Jeder Mitarbeiter meldet sich am Tresor mit eigenem Master-Passwort und eigenem zweiten Faktor an, das richten wir als Pflicht ein. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Zur Wahl stehen eine Authenticator-App und ein Code per E-Mail, die App ist sicherer, besonders wenn das Passwort des Postfachs im Tresor liegt. Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer, dazu die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer.

Liegt ein Passkey nur im Tresor, ist der Tresor der einzige Ort, an dem es ihn gibt. Ohne Backup-Paket sichern wir den Tresor nicht. Vor Updates legen wir nur eine Kopie auf demselben Server an, sie ersetzt keine Sicherung. Sie sichern dann selbst. Wie Sie den Tresor verschlüsselt exportieren, zeigen wir Ihnen bei der Einrichtung. Das Backup-Paket kostet 7,99 € im Monat inkl. MwSt. und sichert täglich verschlüsselt an einen zweiten Ort. Hilfe beim Umstellen Ihrer Konten rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Mehr im kostenlosen Erstgespräch (15 Minuten).