Passkeys im Unternehmen einführen: Microsoft Entra ID, Windows 11 und sicherer Rollout

Montagmorgen im IT Service: Ein Mitarbeitender hat sein Smartphone gewechselt, die Authenticator App ist noch nicht eingerichtet, und der Zugriff auf Microsoft 365 fehlt. Gleichzeitig melden sich andere Kolleginnen und Kollegen weiterhin per SMS oder Einmalcode an. Solche Fälle zeigen, warum eine passwortlose, phishingresistente Anmeldung nicht nur ein Sicherheitsprojekt ist. Sie betrifft Geräteverwaltung, Identitätsmanagement, Support und den Arbeitsalltag deiner Teams.

Passkeys und Windows Hello for Business können die Anmeldung mit Microsoft Entra ID deutlich robuster machen. Der private Schlüssel verbleibt dabei auf dem Gerät oder in einem Sicherheitsgerät. Für die Anmeldung wird eine kryptografische Herausforderung beantwortet, statt ein Passwort auf einer möglicherweise gefälschten Website einzugeben. Das schützt besonders wirksam gegen klassische Phishing Angriffe und gegen das Abfangen von Einmalcodes.

Die Einführung gelingt aber nicht durch das bloße Aktivieren einer Methode im Entra Admin Center. Du brauchst eine nachvollziehbare Zielarchitektur, einen begrenzten Pilot und belastbare Prozesse für Verlust, Gerätewechsel und Notfälle.

Infografik zu Passkeys im Unternehmen einführen: Microsoft Entra ID, Windows 11 und sicherer Rollout (KI-generiert).

Passkeys, FIDO2 und Windows Hello for Business richtig einordnen

Im Unternehmensumfeld werden mehrere Begriffe oft vermischt. Für deine Planung ist die Unterscheidung wichtig.

Methode	Typischer Einsatz	Wichtiger Punkt
Windows Hello for Business	Anmeldung an verwalteten Windows Geräten und bei Entra ID Ressourcen	Der Schlüssel ist an Benutzerkonto und Gerät gebunden, die Freigabe erfolgt etwa per PIN oder Biometrie.
FIDO2 Sicherheitsschlüssel	Anmeldung an mehreren Geräten, gemeinsam genutzten Arbeitsplätzen oder bei privilegierten Konten	Der Schlüssel ist ein separates, physisches Gerät und kann je nach Modell PIN, Fingerabdruck oder beides nutzen.
Passkey	Oberbegriff für FIDO basierte, kryptografische Anmeldedaten	Passkeys können gerätegebunden oder zwischen Geräten synchronisiert sein. Für Unternehmensszenarien musst du die zugelassenen Varianten bewusst festlegen.
Microsoft Authenticator Push	Häufig bestehende MFA Methode	Sie ist besser als kein zweiter Faktor, bietet aber nicht denselben Phishing Schutz wie FIDO2 basierte Verfahren.

Windows Hello for Business ist für viele Windows 11 Arbeitsplätze der naheliegende Einstieg. Mitarbeitende entsperren ihr Gerät mit Gesichtserkennung, Fingerabdruck oder PIN und können sich damit bei Entra ID geschützten Anwendungen anmelden. Die PIN ist dabei kein Ersatzpasswort, das an Microsoft übertragen wird. Sie schützt den privaten Schlüssel auf dem jeweiligen Gerät.

FIDO2 Sicherheitsschlüssel ergänzen dieses Modell. Sie sind sinnvoll für Administrationskonten, für Arbeitsplätze ohne persönliche Gerätebindung, für Mitarbeitende ohne geeignetes Smartphone oder als kontrollierte Alternative bei Gerätewechseln.

Voraussetzungen vor dem Pilot prüfen

Bevor du Passkeys breit ausrollst, solltest du den aktuellen Zustand erfassen. Besonders wichtig sind die Kombinationen aus Identität, Betriebssystem, Browser und Gerätemanagement.

Prüfe zunächst, ob deine Benutzerkonten in Microsoft Entra ID verwaltet werden und wie die Anmeldung aktuell erfolgt. Bei hybriden Umgebungen musst du zusätzlich klären, ob Windows Hello for Business über Cloud Kerberos Trust, Key Trust oder ein anderes vorgesehenes Bereitstellungsmodell betrieben wird. Die passende Variante hängt von deiner lokalen Active Directory Umgebung, dem Zugriff auf lokale Ressourcen und deiner bestehenden Geräteverwaltung ab.

Für Windows 11 Geräte sollte die Verwaltung über Microsoft Intune oder eine vergleichbare Endpoint Management Lösung sauber funktionieren. Ohne verlässliche Compliance Informationen und klar zugewiesene Konfigurationsrichtlinien wird der Rollout unnötig schwer.

Diese Checkliste hilft vor dem Start:

• Lege fest, welche Benutzergruppen zuerst passwortlos arbeiten sollen.
• Inventarisiere Windows Versionen, Geräteklassen, Browser und mobile Betriebssysteme.
• Prüfe, ob Geräte Microsoft Entra registriert, Entra hybrid eingebunden oder lokal verwaltet sind.
• Aktualisiere Browser, Betriebssysteme und Sicherheitsschlüssel auf unterstützte Versionen.
• Definiere, welche Anmeldemethoden künftig erlaubt, eingeschränkt oder abgeschaltet werden.
• Prüfe Conditional Access Richtlinien auf Abhängigkeiten von bestehenden MFA Methoden.
• Kläre, welche Anwendungen moderne Anmeldung unterstützen und wo noch Altlasten bestehen.
• Dokumentiere einen Wiederherstellungsprozess, bevor der erste Benutzer produktiv startet.

Gerade ältere Anwendungen können die Umstellung bremsen. Legacy Authentication, einfache Kennwortabfragen oder Anwendungen ohne Unterstützung für moderne Authentifizierung passen nicht zu einer phishingresistenten Strategie. Solche Ausnahmen solltest du nicht stillschweigend weiterbetreiben. Erfasse sie, benenne Verantwortliche und plane ihre Ablösung oder technische Anpassung.

Die Pilotgruppe bewusst klein und aussagekräftig wählen

Ein Pilot mit ausschließlich IT Administratoren liefert oft ein zu optimistisches Bild. Diese Gruppe kennt Anmeldemethoden, besitzt meist moderne Geräte und kann Fehler selbstständig einordnen. Für einen belastbaren Test brauchst du unterschiedliche Arbeitsrealitäten.

Stelle eine Pilotgruppe zusammen, die verschiedene Szenarien abdeckt:

• Mitarbeitende mit verwaltetem Windows 11 Notebook
• Personen mit mehreren Geräten, etwa Notebook und Desktop
• Teams mit gemeinsam genutzten Arbeitsplätzen
• Nutzerinnen und Nutzer im Außendienst oder mit eingeschränkter Netzverbindung
• Service Desk Mitarbeitende
• ausgewählte Fachadministratoren mit erhöhten Berechtigungen
• Mitarbeitende mit unterschiedlichen Browser Präferenzen

Definiere für den Pilot konkrete Erfolgskriterien. Dazu gehören nicht nur erfolgreiche Registrierungen. Miss auch, ob die tägliche Anmeldung zuverlässig funktioniert, ob Browser die gewünschten Passkeys erkennen und ob Supportfälle ohne improvisierte Ausnahmen gelöst werden können.

Ein guter Pilot beantwortet unter anderem diese Fragen:

• Können Nutzerinnen und Nutzer Windows Hello for Business selbstständig einrichten?
• Funktioniert die Anmeldung an Microsoft 365, internen Webanwendungen und virtuellen Arbeitsplätzen?
• Wie verhält sich der Prozess bei einem neuen Windows Gerät?
• Ist die Anmeldung mit FIDO2 Sicherheitsschlüsseln auf freigegebenen Browsern konsistent?
• Können verlorene Geräte oder Schlüssel ohne Sicherheitslücke ersetzt werden?
• Welche Fehlermeldungen erreichen den Service Desk und sind sie verständlich dokumentiert?

Kompatibilität von Geräten und Browsern testen

Passkey Unterstützung ist kein einheitlicher Schalter. Sie entsteht aus dem Zusammenspiel von Betriebssystem, Browser, Hardware, Richtlinien und Zielanwendung. Teste deshalb echte Anmeldewege statt nur die Registrierung einer Methode.

Bei Windows 11 solltest du Windows Hello for Business auf Geräten mit und ohne Biometrie prüfen. Eine PIN muss immer als nutzbare Freigabeoption vorhanden sein, wenn ein Fingerabdrucksensor oder eine Kamera nicht verfügbar ist oder temporär nicht funktioniert.

Für browserbasierte Anmeldungen testest du mindestens die in deinem Unternehmen freigegebenen Versionen von Microsoft Edge, Google Chrome und Mozilla Firefox. Besonderes Augenmerk verdienen Sitzungen in privaten Browserfenstern, Remote Desktop Szenarien, virtuelle Desktops und Geräte mit restriktiven USB Richtlinien. Wenn du FIDO2 Sicherheitsschlüssel einsetzen willst, müssen USB, NFC oder Bluetooth passend zum Schlüsselmodell und zum Endgerät nutzbar sein.

Bei synchronisierten Passkeys ist eine klare Sicherheitsentscheidung erforderlich. Ein über ein privates Ökosystem synchronisierter Passkey kann bequem sein, wirft im Unternehmen aber Fragen zu Kontentrennung, Gerätewechsel und Datenabfluss auf. Für geschäftskritische Konten sind Windows Hello for Business und zentral ausgegebene FIDO2 Sicherheitsschlüssel häufig besser steuerbar.

Recovery ist Teil der Sicherheitsarchitektur

Die stärkste Anmeldemethode verliert ihren Wert, wenn der Support bei Verlust eines Geräts schnell auf unsichere Ersatzwege zurückfällt. Plane Wiederherstellung deshalb von Anfang an als festen Prozess.

Lege fest, wie du in diesen Situationen vorgehst:

Situation	Kontrollierte Reaktion
Notebook verloren oder defekt	Gerät in der Verwaltung sperren oder entfernen, Anmeldedaten prüfen, Ersatzgerät kontrolliert bereitstellen.
FIDO2 Sicherheitsschlüssel verloren	Schlüssel als Methode entfernen, Ersatzschlüssel registrieren, Vorfall je nach Kontoart bewerten.
Neues Smartphone	Nicht automatisch auf SMS oder Anruf ausweichen, sondern eine definierte Übergangsmethode mit Identitätsprüfung nutzen.
Biometrie funktioniert nicht	Windows Hello PIN als vorgesehene Alternative verwenden.
Privilegiertes Konto ausgesperrt	Separates, streng kontrolliertes Notfallverfahren nutzen und jeden Einsatz nachbereiten.

Besonders für Administratoren solltest du nicht nur einen einzigen Schlüssel vorsehen. Registriere nach deiner Sicherheitsvorgabe einen zweiten, sicher verwahrten FIDO2 Sicherheitsschlüssel oder etabliere einen dokumentierten Notfallzugang mit sehr restriktiven Kontrollen. Dieser Zugang darf nicht zum bequemen Dauerweg werden.

Der Service Desk braucht klare Prüfschritte zur Identitätsfeststellung. „Der Anrufer kennt die Personalnummer“ reicht nicht. Welche Nachweise zulässig sind, wer einen Reset freigibt und wie der Vorgang protokolliert wird, muss intern verbindlich geregelt sein.

Unsichere MFA Methoden schrittweise ablösen

SMS und Sprachanrufe sind für viele Nutzer vertraut, aber sie bieten keinen ausreichenden Schutz gegen moderne Phishing Angriffe und können bei Rufnummernmissbrauch gefährdet sein. Auch Push Bestätigungen sind nicht automatisch phishingresistent, vor allem wenn Nutzer Bestätigungen unkritisch freigeben.

Schalte bisherige Methoden nicht am ersten Tag für alle ab. Gehe in Stufen vor:

• Kommuniziere früh, welche Methode künftig genutzt wird und warum.
• Registriere im Pilot Windows Hello for Business oder FIDO2 Sicherheitsschlüssel.
• Prüfe die Nutzung und behebe technische Hürden.
• Erzwinge für geeignete Gruppen die bevorzugte Methode über Authentication Strengths und Conditional Access.
• Entferne schwächere Methoden erst, wenn Recovery und Support nachweislich funktionieren.
• Überwache Anmeldelogs, Registrierungen und auffällige Fallbacks fortlaufend.

Authentication Strengths in Microsoft Entra ID helfen dir, für besonders schützenswerte Anwendungen gezielt phishingresistente Methoden zu verlangen. Das ist sinnvoller als eine pauschale Regel, die jede Anmeldung unabhängig vom Risiko gleich behandelt. Beginne beispielsweise mit Administrationsportalen, vertraulichen Datenbereichen oder Remotezugängen.

Rollout dokumentieren und Wissen aufbauen

Eine technische Richtlinie allein macht noch keine erfolgreiche Einführung. Deine Anwender brauchen kurze, konkrete Anleitungen: Wie richte ich Windows Hello ein? Was mache ich bei einem Gerätewechsel? Wo bewahre ich einen Sicherheitsschlüssel auf? Wann melde ich einen Verlust?

Auch dein IT Team sollte regelmäßig üben, statt Recovery nur theoretisch zu beschreiben. Simuliere den Verlust eines Notebooks, den Austausch eines Sicherheitsschlüssels und die Anmeldung an einem Ersatzgerät. So erkennst du Lücken, bevor sie unter Zeitdruck entstehen.

Wenn du die Konfiguration vertiefen oder dein Team gezielt auf Microsoft Entra ID, Windows 11 und moderne Authentifizierung vorbereiten möchtest, findest du passende Seminare und Termine bei uns auf cmt.de.