Passkeys statt Passwörter: Lohnt sich der Umstieg für KMU?

Passwörter werden vergessen, wiederverwendet, auf Post-its geklebt – und vor allem: Sie lassen sich abfischen. Selbst die klassische Zwei-Faktor-Anmeldung per SMS-Code hilft gegen moderne Phishing-Seiten nur bedingt, weil Angreifer den Code einfach in Echtzeit mit abgreifen. Passkeys lösen genau dieses Problem. Und für alle, die mit Microsoft 365 arbeiten, ist die Frage ohnehin nicht mehr «ob», sondern «wann».

Was ein Passkey ist
Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar. Der geheime Teil bleibt auf Ihrem Gerät – im Smartphone, im Notebook oder auf einem USB-Sicherheitsschlüssel. Freigegeben wird er mit Fingerabdruck, Gesichtserkennung oder PIN. Der Dienst, bei dem Sie sich anmelden, kennt nur den öffentlichen Teil. Der entscheidende Punkt: Ein Passkey ist fest an die echte Webadresse gebunden. Landet ein Mitarbeiter auf einer täuschend echten Fake-Login-Seite, funktioniert der Passkey dort schlicht nicht. Es gibt nichts, was er versehentlich eintippen oder preisgeben könnte.

Microsoft macht Druck
Seit dem 1. September 2026 sind Passkeys in Microsoft Entra ID – der Anmeldung hinter Microsoft 365 – die Standardmethode. Wer heute noch per SMS oder Anruf bestätigt, wird bei der Anmeldung zur Registrierung eines Passkeys aufgefordert. Am 1. Februar 2027 stellt Microsoft die eigene SMS- und Sprachanruf-Bestätigung dann komplett ein. Bis dahin muss jede Person eine phishing-resistente Methode eingerichtet haben.

Die Vorteile im Alltag

• Schutz vor Phishing: Der häufigste Einstiegsweg für Angreifer fällt weitgehend weg.
• Schnellere Anmeldung: Finger auflegen statt Passwort tippen und auf die SMS warten.
• Weniger Support: Vergessene oder abgelaufene Passwörter sind einer der häufigsten Gründe für Support-Tickets.
• Keine Passwort-Wiederverwendung: Ein Passkey gilt nur für einen Dienst. Ein Datenleck bei einem anderen Anbieter betrifft Sie nicht.

Worauf Sie achten sollten

• Die richtige Variante wählen: Synchronisierte Passkeys (z. B. im iCloud- oder Google-Schlüsselbund) sind bequem. Gerätegebundene Passkeys wie zum Beispiel in der Microsoft-Authenticator-App bleiben dagegen unter Ihrer Kontrolle. 
• Mitarbeitende ohne Firmenhandy: Nicht alle wollen ihr privates Smartphone nutzen. Für sie ist ein Hardware-Schlüssel für rund 30 bis 60 Franken die saubere Lösung.
• Verlust und Gerätewechsel: Legen Sie fest, wie jemand wieder Zugang erhält, wenn das Smartphone weg ist – ohne dass dieser Prozess selbst zur Sicherheitslücke wird.
• Geteilte Konten und Altsysteme: Sammelpostfächer, Maschinen-Logins oder ältere Branchensoftware brauchen eine eigene Lösung. Diese Fälle sollten Sie früh erfassen.

So gelingt die Einführung
Beginnen Sie mit einer kleinen Pilotgruppe, idealerweise inklusive Geschäftsleitung und Buchhaltung – also jenen Konten, die am häufigsten angegriffen werden. Danach folgt der Rest der Belegschaft in Etappen, begleitet von einer kurzen Anleitung. Wichtig ist, dass die Umstellung vor Februar 2027 abgeschlossen ist, damit niemand plötzlich vor einem gesperrten Konto steht.

Ja, der Umstieg ist notwendig – auch für ein kleines Team. Passkeys sind sicherer und bequemer als Passwörter, und Microsoft gibt den Fahrplan ohnehin vor. Wer die Einführung jetzt plant, hat sie im Griff, statt sie im Februar unter Zeitdruck nachholen zu müssen.
Sie möchten Passkeys in Ihrem Unternehmen einführen? Wir prüfen Ihre Microsoft-365-Umgebung, planen den Rollout und begleiten Ihre Mitarbeitenden bei der Umstellung. Wir sind für Sie da. Schnell. Agil. Zuverlässig.