Einen Microsoft Passkey zu erstellen dauert für einen Benutzer nur wenige Minuten. Ihn in einem Unternehmen sicher auszurollen, ist anspruchsvoller: Entra ID muss den richtigen Passkey-Typ zulassen, die Registrierung darf nicht selbst zum Einfallstor werden und Conditional Access muss den Passkey dort erzwingen, wo klassische MFA nicht mehr reicht.
Dieser Guide zeigt beides: den konkreten Ablauf in Microsoft Authenticator und die administrative Einführung in Microsoft Entra ID. Du erfährst, wie sich gerätegebundene und synchronisierte Passkeys unterscheiden, wie Du Passkey-Profile für Pilotgruppen konfigurierst und wie Du mit Authentication Strengths aus „verfügbar" tatsächlich „verpflichtend" machst.
Alles Wichtige auf einen Blick
Warum dieser Guide bei der Einrichtung ansetzt
Warum klassische MFA gegen Adversary-in-the-Middle-Angriffe, MFA-Fatigue und SIM-Swapping nicht mehr ausreicht und warum Passkeys genau diese Lücken schließen, steht ausführlich im Artikel Phishing-resistente MFA in Microsoft 365 erzwingen. Dieser Guide setzt dort an, wo jener aufhört: Passkey-Typen, Einrichtung in Authenticator, Registrierungssicherheit und der konkrete Rollout in Entra ID — nicht die MFA-Grundlagen noch einmal.
Was Passkeys technisch sind — und warum sie phishing-resistent sind
Passkeys sind Schlüsselpaare. Bei der Registrierung entsteht ein privater und ein öffentlicher Schlüssel. Der öffentliche geht an Entra ID. Bei einem gerätegebundenen Passkey bleibt der private Schlüssel im TPM, im Secure Element des Smartphones oder auf dem Sicherheitsschlüssel. Bei einem synchronisierten Passkey wird er verschlüsselt über den Passkey-Anbieter auf weitere Geräte übertragen.
Bei der Anmeldung schickt Entra ID eine Zufallsaufgabe. Dein Gerät signiert sie mit dem privaten Schlüssel — aber erst, nachdem Du Dich lokal ausgewiesen hast, per PIN, Fingerabdruck oder Gesicht. Entra ID prüft die Signatur gegen den öffentlichen Schlüssel. Fertig.
Und hier kommt der Teil, auf den es ankommt: Der Browser bindet den Passkey an die Domain, für die er registriert wurde. Ruft eine Phishing-Seite unter login.microsft-secure.com denselben Passkey auf, gibt der Browser ihn nicht heraus. Nicht weil er den Betrug erkennt — sondern weil die Domain nicht passt. Der Nutzer kann den Fehler gar nicht machen.
Drei Konsequenzen, die man daraus mitnehmen sollte:
Welche Passkey-Typen Entra ID unterstützt
Microsoft Entra ID unterscheidet heute vor allem zwischen gerätegebundenen und synchronisierten Passkeys. Die aktuelle Microsoft-Dokumentation zur Passkey-Richtlinie führt beide Typen und ihre Richtliniensteuerung auf.
Gerätegebundene Passkeys
Der private Schlüssel bleibt auf einem konkreten Gerät. Dazu gehören Microsoft Authenticator auf Android und iOS, FIDO2-Sicherheitsschlüssel und Microsoft Entra Passkey auf Windows. Auch Windows Hello for Business liefert eine phishing-resistente Plattformanmeldung, wird in Entra-Richtlinien aber als eigene Methode geführt.
Für privilegierte Konten ist ein FIDO2-Sicherheitsschlüssel weiterhin die kontrollierbarste Variante: Der Schlüssel ist physisch greifbar, kann getrennt verwahrt und über seine AAGUID auf zugelassene Modelle beschränkt werden. Für die breite Belegschaft ist ein gerätegebundener Passkey in Microsoft Authenticator oft praktikabler.
Synchronisierte Passkeys
Synchronisierte Passkeys werden verschlüsselt über einen Passkey-Anbieter wie Apple iCloud Keychain oder Google Password Manager auf weitere Geräte übertragen. Microsoft Entra ID kann sie über ein eigenes Passkey-Profil zulassen. Microsoft weist zugleich darauf hin, dass synchronisierte Passkeys keinen Authentifikatornachweis unterstützen. Sie gelten als phishing-resistent, haben aber nicht dieselbe kontrollierbare Gerätebindung wie ein attestierter Sicherheitsschlüssel.
Die richtige Frage lautet deshalb nicht „Passkeys ja oder nein?", sondern: Welcher Passkey-Typ für welche Risikoklasse?
Eine praktische Faustregel aus meinen Projekten:
| Zielgruppe | Empfehlung | Vorteile | Zu bedenken |
|---|---|---|---|
| Administratoren, Break-Glass, Finanzfreigaben | attestierter FIDO2-Sicherheitsschlüssel | physische Kontrolle, per AAGUID einschränkbar | Beschaffung, Ersatzschlüssel, Verwahrung |
| Wissensarbeiter mit festem Windows-Gerät | Windows Hello for Business oder Entra Passkey auf Windows | integrierte Benutzererfahrung | gerätebezogener Rollout |
| Mobile Rollen, Außendienst | gerätegebundener Passkey in Microsoft Authenticator | kein zusätzlicher Hardware-Token | Android 14+/iOS 17+, Gerätewechsel planen |
| Komfort-orientierte Standardkonten | synchronisierter Passkey, sofern das Risikomodell ihn zulässt | auf mehreren Geräten verfügbar | kein Attestierungsnachweis, Anbieterbindung |
| Schichtbetrieb an gemeinsam genutzten Geräten | personengebundener FIDO2-Sicherheitsschlüssel | eindeutige Zuordnung trotz geteiltem Gerät | Ausgabe und Rücknahme organisieren |
Passkey-Profile in Entra ID konfigurieren
Die grundlegende Aktivierung der Methode Passkey (FIDO2) im Entra Admin Center — Navigation, Einschalten, Ziel wählen — ist im Artikel zu phishing-resistenter MFA beschrieben. Für den Rollout entscheidend ist die Profil-Ebene, die dort nur gestreift wird:
Die administrativen Schritte und Voraussetzungen ändern sich derzeit sichtbar weiter. Deshalb sollte die konkrete Klickstrecke vor jedem größeren Rollout noch einmal mit der aktuellen Microsoft-Anleitung zum Aktivieren von Passkeys abgeglichen werden.
Microsoft Passkey in Authenticator erstellen
Für Passkeys in Microsoft Authenticator nennt Microsoft aktuell Android 14 oder höher beziehungsweise iOS 17 oder höher als Voraussetzung. Der empfohlene Benutzerablauf startet direkt in der App:
Alternativ lässt sich die Registrierung über die Sicherheitsinformationen unter aka.ms/mysecurityinfo oder geräteübergreifend aus einem Browser starten. Für geräteübergreifende Registrierung und Anmeldung benötigen beide Geräte Bluetooth und Internetzugriff; die benötigten Endpunkte müssen im Unternehmensnetz erreichbar sein. Die vollständigen Varianten dokumentiert Microsoft unter Passkeys in Authenticator registrieren.
Wichtig für die Kommunikation: Dieselbe App kann Push-Benachrichtigungen und Passkeys. Push bestätigt nur den Benutzer und bleibt durch Adversary-in-the-Middle-Angriffe umgehbar. Der Passkey prüft zusätzlich die echte Anmeldedomain. Gleiches App-Symbol, grundlegend anderes Schutzniveau.
Rollout in der richtigen Reihenfolge
Der häufigste Fehler bei der Passkey-Einführung ist nicht technischer Natur — es ist die Reihenfolge. Wer mit einem tenantweiten Zwang startet, produziert am ersten Montag einen vollen Helpdesk und danach eine Ausnahmeregelung, die nie wieder verschwindet.
Was in der Praxis funktioniert:
Der wunde Punkt: die Registrierung
Hier liegt die Lücke, über die in den meisten Anleitungen kein Wort steht. Ein Passkey ist genau so vertrauenswürdig wie der Vorgang, mit dem er registriert wurde.
Wenn ein Angreifer eine Sitzung oder einen schwach abgesicherten Registrierungsprozess übernimmt und einen eigenen Passkey auf dem Konto registrieren kann, hat er sich gerade selbst dauerhaften, phishing-resistenten Zugang eingerichtet. Die Technik funktioniert dann perfekt — für ihn.
Drei Maßnahmen, die diese Lücke schließen:
Durchsetzung richtig staffeln
Wie Du eine Conditional-Access-Richtlinie mit der Authentication Strength „phishing-resistente MFA" aufbaust und welche Methoden sie akzeptiert, ist im Artikel zu phishing-resistenter MFA in Microsoft 365 Schritt für Schritt beschrieben. Für den Passkey-Rollout zählt vor allem die Staffelung — sie entscheidet, ob die Durchsetzung angenommen oder umgangen wird:
Wichtig: Kombiniere die Richtlinie mit Deinen bestehenden Regeln, statt eine weitere Insel zu bauen. Wie ein sauberes Richtlinien-Set aussieht, habe ich unter Conditional Access Best Practices und für fortgeschrittene Szenarien unter erweiterte Conditional-Access-Richtlinien beschrieben.
Fallstricke aus der Praxis
Break-Glass-Konten und Legacy-Authentifizierung. Beides ist Voraussetzung für einen belastbaren Passkey-Rollout, aber kein Passkey-spezifisches Thema — die Einrichtung von Notfallkonten mit eigenen FIDO2-Schlüsseln und das Abschalten von Basic Auth sind im Artikel Phishing-resistente MFA in Microsoft 365 erzwingen beschrieben.
Gastbenutzer. Externe bringen ihre eigenen Anmeldemethoden mit — Du steuerst sie über die Vertrauensstellung, nicht über Deine eigenen Registrierungsrichtlinien. Was dabei zu beachten ist, steht unter Entra ID Gastzugriff.
Geräteverlust. Ein Passkey auf einem verlorenen Telefon ist unbrauchbar für den Finder, solange die lokale Entsperrung greift — aber der Mitarbeiter ist trotzdem ausgesperrt. Ohne definierten Wiederherstellungsprozess landet das am Ende beim Helpdesk, der dann unter Zeitdruck eine Ausnahme macht. Genau dort entsteht die nächste Lücke. Regle den Prozess, bevor Du erzwingst.
Nicht unterstützte Anwendungen. Ältere Fat Clients und einzelne Branchenanwendungen kommen mit modernen Verfahren nicht zurecht. Erfasse sie vorher, sonst erfährst Du davon am Rollout-Tag.
Synchronisierte Passkeys ungeprüft freigeben. Komfort und Phishing-Resistenz sprechen für sie, der fehlende Attestierungsnachweis kann bei privilegierten Rollen dagegen sprechen. Trenne deshalb Standardkonten und Hochrisikokonten über unterschiedliche Passkey-Profile.
Haftung: Was Aufsicht und Normen erwarten
Passkeys sind kein Technik-Hobby, sondern zunehmend eine Erwartungshaltung.
NIS2 nennt in Artikel 21 Absatz 2 unter anderem Multi-Faktor- oder kontinuierliche Authentifizierung, soweit angemessen. Passkeys sind damit nicht pauschal gesetzlich vorgeschrieben; sie sind eine technisch starke Möglichkeit, diese Anforderung belastbarer umzusetzen als SMS oder Push.
DSGVO Artikel 32 verlangt Maßnahmen „nach dem Stand der Technik". Der Stand der Technik hat sich bei der Authentifizierung messbar verschoben: Wenn ein Verfahren dokumentiert und in der Breite umgehbar ist und eine praktikable Alternative existiert, wird die Begründung dünn, warum man beim schwächeren geblieben ist.
ISO 27001:2022 adressiert das Thema in A.5.17 (Authentifizierungsinformationen) — ein Auditor fragt hier nach dem Verfahren und nach dem Nachweis der Durchsetzung.
Die unbequeme Frage, die ich Geschäftsführern gern stelle: Wenn nächste Woche ein Konto per Adversary-in-the-Middle übernommen wird und daraus ein meldepflichtiger Vorfall entsteht — womit begründen Sie, dass Sie bei einem Verfahren geblieben sind, dessen Umgehung seit Jahren dokumentiert ist? Wie Du Deinen Tenant insgesamt DSGVO-konform aufstellst, habe ich separat beschrieben.
Häufige Fragen
Was ist ein Passkey und wie funktioniert er?
Ein Passkey ist ein kryptografisches Schlüsselpaar. Der öffentliche Schlüssel liegt bei Microsoft Entra ID. Der private Schlüssel bleibt entweder gerätegebunden oder wird bei synchronisierten Passkeys verschlüsselt über den Anbieter übertragen. Bei der Anmeldung signiert der Authentifikator eine Zufallsaufgabe; ein abfangbarer Code wird nicht übertragen.
Wie erstelle ich einen Passkey für die Microsoft Authenticator App?
In Microsoft Authenticator das Geschäfts-, Schul- oder Unikonto auswählen und Passkey erstellen wählen. Alternativ kann die Registrierung über aka.ms/mysecurityinfo gestartet werden. Voraussetzung ist ein passendes Entra-Passkey-Profil für die Benutzergruppe.
Was ist der Nachteil von Passkeys?
Sie verlagern das Risiko vom Gedächtnis auf das Gerät. Geht das Gerät verloren, braucht es einen definierten Wiederherstellungsweg — sonst landet der Fall unter Zeitdruck beim Helpdesk, und dort entstehen die Ausnahmen, die die Sicherheit wieder aufweichen. Außerdem unterstützen einzelne ältere Anwendungen moderne Authentifizierung nicht.
Muss ich meinen Passkey auf ein neues Handy übertragen?
Ein gerätegebundener Passkey in Microsoft Authenticator wird nicht auf das neue Telefon übertragen; dort registrierst Du einen neuen. Ein synchronisierter Passkey kann dagegen über den Passkey-Anbieter auf weiteren Geräten verfügbar sein. Welche Variante zulässig ist, entscheidet das Entra-Passkey-Profil.
Was bedeutet FIDO2?
FIDO2 ist der offene Standard hinter Passkeys, getragen von der FIDO Alliance und dem W3C. Er besteht aus WebAuthn für die Browser-Schnittstelle und CTAP für die Kommunikation mit dem Authentifikator. Microsoft Entra ID nennt die Methode entsprechend „Passkey (FIDO2)".
Ist MFA in Microsoft 365 Pflicht?
Microsoft verstärkt die MFA-Durchsetzung für administrative Zugänge schrittweise. Unabhängig davon nennt NIS2 für betroffene Unternehmen Multi-Faktor- oder kontinuierliche Authentifizierung als eine angemessene Maßnahme. Daraus folgt keine pauschale Passkey-Pflicht, wohl aber die Notwendigkeit, schwächere Verfahren risikobasiert zu begründen.
Passkey-Readiness-Self-Check
Jedes „Nein" ist eine Lücke, die im Ernstfall genau an dieser Stelle aufreißt:
Wo Du mehrfach zögerst, lohnt eine strukturierte Standortbestimmung statt punktueller Nachbesserung. Weitere Härtungsmaßnahmen findest Du unter Microsoft 365 Security und Empfehlungen, Deinen Fortschritt machst Du über den Microsoft Secure Score messbar, und die Grundlagen der Identitätsabsicherung stehen unter Entra ID Best Practices.
Bereit, Deine Anmeldeverfahren auf den Prüfstand zu stellen?
Ich bin Aaron Siller, Microsoft MVP für Security und Gründer von siller.consulting. In meiner Beratungspraxis führe ich Microsoft 365-Tenants auf phishing-resistente Verfahren um. Der Teil, der in Projekten schiefgeht, ist fast nie die Kryptografie — es sind Passkey-Typ, Registrierung, Wiederherstellung und Ausnahmen, die niemand mehr zurücknimmt.
In einem persönlichen Workshop gehen wir Deinen Tenant gemeinsam durch: aktuelle Methodenverteilung, Risikoprofil Deiner privilegierten Konten, ein realistischer Rollout-Pfad und der Wiederherstellungsprozess, der ihn trägt. Kein Folienvortrag, sondern Hands-on an Deiner echten Umgebung.
Oder starte direkt mit unserem Microsoft 365 Hardening Check: Wir prüfen strukturiert, wo Deine Authentifizierung heute wirklich steht — und Du weißt anschließend genau, welche Lücken in welcher Reihenfolge zu schließen sind.
