Technische Einordnung

Passkeys basieren auf FIDO2 und bieten eine phishing-resistente Authentifizierung mittels öffentlicher Kryptografie. Private Schlüssel verbleiben auf dem Gerät, öffentliche Schlüssel werden in Entra ID gespeichert. Damit ersetzen Passkeys klassische MFA-Methoden wie SMS oder Voice und erfüllen zugleich MFA-Anforderungen in einem Schritt learn.microsoft.com.

Microsoft plant, Passkey-Support für B2B-Nutzer und interne Gäste bis Ende des Kalenderjahres 2026 bereitzustellen. Die native SMS- und Voice-MFA wird ab Februar 2027 für diese Nutzergruppen eingestellt, externe Nutzer folgen im Juli 2027 learn.microsoft.com.

Typisches Praxisszenario

Ein mittelständisches Unternehmen lädt externe Partner als B2B-Gäste in Entra ID ein. Diese Gäste können sich künftig mit Passkeys anmelden – entweder passwortlos oder als MFA‑Alternative – und profitieren von phishing-resistenter Authentifizierung learn.microsoft.com.

Interne Gastnutzer, etwa Mitarbeitende aus Tochtergesellschaften, die bislang SMS-MFA nutzten, müssen bis Februar 2027 auf ein phishing-resistentes Verfahren wechseln – Passkeys, Windows Hello oder FIDO2. Unternehmen müssen daher frühzeitig Passkey-Profile konfigurieren und Nutzer vorbereiten learn.microsoft.com.

Technische Umsetzungsschritte

  1. Identifizieren Sie B2B- und interne Gastnutzer, die aktuell SMS oder Voice als MFA verwenden.
  2. Aktivieren Sie im Entra Admin Center unter Sicherheit → Authentifizierungsmethoden die Passkey‑Profile und übertragen Sie globale Einstellungen in ein Default‑Profil learn.microsoft.com.
  3. Erstellen Sie gezielte Passkey‑Profile: Legen Sie fest, ob gerätegebundene oder synchronisierte Passkeys erlaubt sind, und definieren Sie ggf. Attestations- und Schlüsselrestriktionen learn.microsoft.com.
  4. Weisen Sie die Profile den entsprechenden Benutzergruppen zu – etwa B2B‑Gäste oder interne Gäste.
  5. Starten Sie eine Registrierungs‑Kampagne, um Nutzer beim nächsten MFA‑Login zur Passkey‑Registrierung zu bewegen; ab September 2026 erfolgt dies automatisch für SMS/Voice‑Nutzer learn.microsoft.com.
  6. Kommunizieren Sie frühzeitig mit den Nutzern über die Umstellung und bieten Sie Hilfestellung bei der Einrichtung.
  7. Testen Sie die Anmeldung mit Passkeys auf verschiedenen Plattformen und Browsern, um Kompatibilitätsprobleme zu erkennen learn.microsoft.com.

Was im Microsoft-365-Tenant geprüft werden sollte

  • Sind B2B- und interne Gastnutzer identifiziert, die SMS oder Voice als MFA nutzen?
  • Wurde die Passkey‑Profile-Funktion im Entra Admin Center aktiviert?
  • Sind Passkey‑Profile mit passenden Einstellungen (Typ, Attestation, Restriktionen) angelegt und zugewiesen?
  • Läuft eine Registrierungs‑Kampagne oder ist eine automatische Aktivierung ab September 2026 geplant?
  • Ist die Nutzerkommunikation zur Umstellung vorbereitet?
  • Wurde die Anmeldung mit Passkeys auf relevanten Plattformen getestet?

Typische Fehler und Anti-Patterns

  • Kein phishing-resistentes Verfahren rechtzeitig bereitstellen – führt ab Februar 2027 zu Anmeldeunterbrechungen bei internen Gästen, sofern auch kein eigener Telefonie-Anbieter konfiguriert ist.
  • Nur gerätegebundene Passkeys erlauben, ohne synchronisierte Option – erschwert Wiederherstellung und Nutzung über Geräte hinweg.
  • Attestation zu streng setzen (Enforce attestation = Yes) ohne Notwendigkeit – kann Registrierungsprobleme verursachen.
  • Keine Nutzerkommunikation – führt zu Verwirrung und Supportanfragen.
  • Kompatibilität nicht geprüft – z. B. iOS, Android oder bestimmte Browser nicht unterstützt.
  • Keine Ausweichlösung bei fehlgeschlagener Registrierung – Nutzer bleiben ausgesperrt.

Praxis-Checkliste für Entscheider

  1. Prüfen Sie, welche Nutzergruppen SMS/Voice nutzen und ab wann Passkeys erforderlich sind.
  2. Entscheiden Sie, ob synchronisierte Passkeys (höhere Nutzerfreundlichkeit) oder gerätegebundene Passkeys (höhere Kontrolle) sinnvoll sind.
  3. Legen Sie fest, ob Attestation erforderlich ist – z. B. für regulierte Bereiche.
  4. Planen Sie die Rollout‑Phase: Pilotgruppe, Kommunikation, Schulung.
  5. Stellen Sie sicher, dass technische Voraussetzungen (Browser, Geräte) erfüllt sind.
  6. Bereiten Sie Support‑Prozesse für Nutzer vor, die Probleme bei der Registrierung haben.
  7. Überwachen Sie den Fortschritt und passen Sie Profile oder Kampagne bei Bedarf an.

Rollen und Verantwortlichkeiten

Die IT-Leitung entscheidet über Strategie und Priorisierung: Welche Nutzergruppen zuerst, welche Passkey‑Typen, ob Attestation erforderlich ist.

Administratoren konfigurieren Passkey‑Profile, starten Registrierungs‑Kampagnen, testen Plattformkompatibilität und unterstützen Nutzer bei der Einrichtung.

Business-Nutzen

Passkeys bieten eine deutlich höhere Sicherheit gegenüber SMS‑MFA, da sie phishing‑resistent sind und keine gemeinsamen Geheimnisse übertragen werden. Das reduziert Risiken bei externer Zusammenarbeit.

Synchronisierte Passkeys verbessern die Nutzerfreundlichkeit: Externe Partner können sich über verschiedene Geräte anmelden, was die Akzeptanz erhöht und Supportaufwand senkt.

Betriebsmodell nach der Einführung

Nach Einführung sollten Passkey‑Profile regelmäßig überprüft und bei Bedarf angepasst werden – etwa bei neuen Geräteplattformen oder geänderten Sicherheitsanforderungen.

Supportprozesse müssen Passkey‑Registrierung, -Wiederherstellung und -Problemlösung abdecken. Monitoring zeigt, ob Nutzer erfolgreich registrieren und sich anmelden.

Messbare Signale für Fortschritt

Anteil der B2B- und internen Gastnutzer, die bereits Passkeys registriert haben – Ziel: möglichst hoher Anteil vor Februar 2027.

Anzahl der Supportfälle im Zusammenhang mit Passkey‑Registrierung oder Anmeldung – sollte mit zunehmender Routine sinken.

Priorisierung: Was zuerst?

Zuerst interne Gastnutzer, da deren SMS/Voice‑MFA ab Februar 2027 eingestellt wird.

Dann B2B‑Gäste, um externe Zusammenarbeit sicher und reibungslos zu gestalten.

Parallel: Pilotgruppe definieren, Kommunikation vorbereiten, technische Tests durchführen.

Einordnung durch Azuric

Im Azuric‑Assessment prüfen wir, ob Passkey‑Profile aktiviert und sinnvoll konfiguriert sind – inklusive Typ, Attestation und Zielgruppen.

Wir bewerten die Rollout‑Vorbereitung: Gibt es eine Registrierungs‑Kampagne, Nutzerkommunikation und technische Tests? Sind Supportprozesse etabliert?

Quellen

Dieser Beitrag ist eine eigene Azuric-Einordnung. Die folgenden Quellen wurden zur fachlichen Grundlage herangezogen.