Seit FIDO2 und Authenticator-Passkeys im letzten Jahr allgemein verfügbar (GA) geworden sind, hat das Thema Passkeys in Microsoft Entra ID in vielen Tenants, die ich begleite, deutlich an Tempo gewonnen. Vor ein paar Monaten lief das Ganze noch als Experiment in der Preview (siehe Passkeys in Microsoft Authenticator: Preview für Entra ID). Heute planen immer mehr Unternehmen Passkeys als verpflichtende Authentifizierungsmethode ein, und zwar längst nicht mehr nur für Testgruppen. Für Passkeys sprechen gute Gründe: Sie sind resistent gegen Phishing, kommen ohne Passwort aus und sind für die Nutzer angenehmer. Wer aber vom Pilotbetrieb in die Fläche gehen will, muss deutlich mehr tun, als im Admin Center ein paar neue Methoden zu aktivieren.

Die Passkey-Richtlinie legt Zielgruppen und zugelassene Modelle fest

Die zentrale Konfiguration findet im Admin Center unter Schutz → Authentifizierungsmethoden → Richtlinien → Passkey (FIDO2) statt. Hier legen Sie fein abgestuft fest, welche Gruppen Passkeys verwenden dürfen, ob die Registrierung erlaubt oder eingeschränkt ist und ob eine Attestation verlangt wird. Besonders wichtig ist die Liste der zugelassenen FIDO2-Keys, die über die AAGUID gepflegt wird. Damit lassen sich etwa nur bestimmte Modelle wie YubiKeys oder FEITIAN-Keys zulassen, während Billiggeräte draußen bleiben. Für Authenticator-Passkeys, also gerätegebundene Passkeys im Microsoft Authenticator auf Smartphones und Tablets, gibt es seit einiger Zeit eine eigene Einstellung. Sie lässt sich unabhängig ein- und ausschalten und ist mittlerweile reif für den Produktivbetrieb (Microsoft-Dokumentation).

Tipp: Halten Sie die AAGUID-Liste der zugelassenen FIDO2-Keys anfangs klein und erweitern Sie sie erst, wenn erste Erfahrungen vorliegen. Bei zu vielen Modellen wuchert sonst der Supportaufwand.

Nutzer registrieren ihre Passkeys meist selbst über My Security Info

In der Regel richten die Nutzer ihre Passkeys im My-Security-Info-Portal (mysignins.microsoft.com/security-info) ein. Bei technikaffinen Gruppen läuft das nach meiner Erfahrung fast immer reibungslos, sobald die Methode in der Richtlinie freigegeben und sichtbar ist. Viel hängt an der Kommunikation. Verständliche Anleitungen, Hinweise auf unterstützte Geräte (z. B. Authenticator-App, Hardware-Keys) und FAQs zu den üblichen Stolperfallen helfen sehr. Für Überraschungen sorgt vor allem die Registrierung von FIDO2-Keys mit und ohne Attestation, etwa wenn ältere Modelle Probleme bereiten oder der Browser nicht mitspielt.

Sicherheit und Bedienkomfort gegeneinander abzuwägen, bleibt dabei die eigentliche Herausforderung. Attestation bringt mehr Kontrolle, macht die Registrierung in manchen Fällen aber schwieriger. In vielen Projekten sind wir gut damit gefahren, auf Attestation zu verzichten und stattdessen einzelne Key-Modelle gezielt per Whitelisting freizugeben. So bleibt der Frust gering, ohne dass die Sicherheit leidet.

Authentifizierungsstärken binden Passkeys in Conditional Access ein

Seit Herbst 2024 lassen sich Passkeys auch über Authentifizierungsstärken in Conditional Access einsetzen (Hintergrund). Für besonders schützenswerte Anwendungen oder Admin-Portale können Sie damit festlegen, dass ausschließlich Passkeys (z. B. FIDO2-Hardware oder Authenticator-Passkey) akzeptiert werden. Eingerichtet wird das im Entra Admin Center unter Schutz → Conditional Access → Authentifizierungsstärken. Endlich gibt es also ein Werkzeug, mit dem man Passwörter aus sensiblen Bereichen verbannen kann, ohne sie sofort für alle Dienste abzuschaffen. Für mich ist das Zusammenspiel von FIDO2-Key, Authenticator-Passkey und sorgfältig geplantem Conditional Access der praxistauglichste Weg zur Passwortfreiheit.

Das vereinfachte Ablaufdiagramm unten zeigt, an welcher Stelle Passkeys in den Authentifizierungs- und CA-Prozess greifen:

flowchart TD
  Anmeldung["Anmeldung Benutzer"] --> MFAStart["Multi-Faktor-Auswahl"]
  MFAStart --> PasskeyOption["Passkey (FIDO2 oder Authenticator)"]
  MFAStart --> AndereMethode["Andere Methode"]
  PasskeyOption --> CAStark["CA Richtlinie prüft Authentifizierungsstärke"]
  AndereMethode --> CAStark
  CAStark --> Zugriff["Zugriff gewährt/verweigert"]

Abbildung: So greifen Passkey-Authentifizierung und Authentifizierungsstärken in Conditional Access ineinander.

Der Temporary Access Pass erleichtert das Onboarding

Für einen produktiven Passkey-Rollout ist der Temporary Access Pass (TAP) kaum wegzudenken, vor allem bei neuen Kolleg:innen oder beim Umstieg von alten auf neue Geräte. Mit diesem zeitlich befristeten Einmalpasswort registrieren Nutzer ihren ersten Passkey sicher, auch wenn ihnen keine andere Authentifizierungsmethode zur Verfügung steht. In meinen Projekten hat sich TAP immer wieder als unverzichtbar herausgestellt, besonders wenn das klassische Passwort schon abgeschaltet ist oder die Registrierung aus der Ferne stattfinden muss. Praktische Hinweise zum Einsatz von TAP finden Sie im Beitrag Temporary Access Pass: Einstieg und Recovery in Entra ID.

Der Helpdesk braucht vor dem Start klare Prozesse

Am häufigsten wird unterschätzt, wie gut der Support vorbereitet sein muss. Passkeys sind zwar einfach zu bedienen, doch in den ersten Wochen kommen zuverlässig Rückfragen und Fälle auf, die vorher niemand auf dem Schirm hatte. Smartcard-Leser blockieren die Registrierung, Android und iOS verhalten sich je nach Version unterschiedlich, und Nutzer verlieren ihren Authenticator oder Hardware-Key. Ich empfehle deshalb, feste Abläufe für das Zurücksetzen durch den Support, die Ausgabe von Ersatz-Keys und die Authentifizierung per TAP festzulegen und sie regelmäßig zu testen. Schon eine kleine FAQ-Sammlung zu den häufigsten Fehlermeldungen im My-Security-Info-Portal hält den Frust bei den Nutzern in Grenzen.

In der Praxis entfalten Passkeys in Entra ID ihren größten Nutzen, wenn Sicherheitsteam, IT-Support und Kommunikation an einem Strang ziehen und neben der Technik auch Abläufe und Nutzer im Auge behalten. Niemand muss alles auf einen Schlag umstellen. Nach meiner Erfahrung kommt man am nachhaltigsten voran, wenn man schrittweise und nach Zielgruppen ausrollt, mit Pilotgruppen beginnt, klare Richtlinien festlegt und den Support gründlich vorbereitet.