Passkeys in Microsoft Authenticator gibt es für Entra ID jetzt als Preview

Zum World Password Day hat Microsoft eine Neuerung angekündigt, die im Alltag tatsächlich etwas bewegt: Passkeys in Microsoft Authenticator für Entra ID stehen ab sofort als Public Preview für iOS und Android bereit. In vielen Tenants, die ich betreue, taucht immer wieder dieselbe Frage auf. Wie bekommen Mitarbeitende endlich einen sicheren und bequemen Ersatz für Passwörter, ohne dass dafür neue Hardware angeschafft werden muss? Die gerätegebundenen Passkeys beantworten genau diese Frage. Sie bringen die FIDO2-Unterstützung in der Cloud ein gutes Stück weiter, und das ganz ohne Security Keys aus Plastik oder Metall.

Ein gerätegebundener Passkey liegt geschützt in der Authenticator-App

Im Kern steckt dahinter ein asymmetrisches Schlüsselpaar. Der private Schlüssel bleibt ausschließlich auf dem Smartphone, um seine sichere Verwahrung kümmert sich Microsoft Authenticator. Dadurch ist der Passkey besonders phishingsicher und lässt sich trotzdem bequem auf dem Gerät nutzen, das ohnehin jeder dabeihat. Bei der Anmeldung gibt der Benutzer den Zugriff auf den privaten Schlüssel etwa per Face ID oder Fingerabdruck frei. Im Vergleich zu klassischen FIDO2-Security-Keys ändert sich damit Grundlegendes, denn jedes moderne Smartphone wird zum FIDO2-Gerät. Zusätzliche Hardware oder ein separater USB/NFC-Key sind nicht mehr nötig.

In der Preview lässt sich ein Passkey bisher nur mit Microsoft Authenticator für iOS oder Android registrieren. Das passiert auch nicht im normalen MFA-Flow, sondern gezielt im Bereich „Sicherheitsinformationen“ des eigenen Kontos. Wie die Dokumentation von Microsoft und die Grundlagen zu Passkeys beschreiben, entsteht im Hintergrund ein FIDO2-Credential, das an ein einzelnes Gerät gebunden ist und über eine AAGUID identifiziert wird. Wer schon mit Hardware-Keys arbeitet, kennt das Prinzip. Neu ist nur, dass jetzt das Handy den FIDO-Token ersetzt.

Die Authentifizierungsmethoden-Richtlinie steuert FIDO2 und Passkeys gezielt

Bevor es an den Rollout geht, sollte feststehen, wie und für wen die Passkey-Methode freigeschaltet wird. Gesteuert wird das zentral über die Authentifizierungsmethoden-Richtlinie in Entra ID, an der ohnehin bald kein Weg mehr vorbeiführt (siehe meinen Beitrag zur Migration). Dort erlauben oder blockieren Sie die FIDO2/Passkey-Authentifizierung für ausgewählte Gruppen. Spannend sind dabei die AAGUIDs. Mit ihnen legen Sie sehr fein fest, welche Gerätetypen als Passkey zulässig sind, beispielsweise nur Microsoft Authenticator und keine anderen FIDO2-Keys. Wie man die AAGUIDs ermittelt und hinterlegt, erklärt die Anleitung von Microsoft. Gute Erfahrungen habe ich damit gemacht, zunächst mit einer kleinen Pilotgruppe zu beginnen und neue Methoden eng zu begleiten.

# Beispiel: FIDO2 mit AAGUID für Authenticator erlauben
Set-MsolAuthenticationMethodPolicy -PolicyType Fido2 -IncludeAAGUIDs @('b6b27cbe-c130-4b5e-a77f-1e18e6a1aef2')

Mein Tipp: Prüfen Sie regelmäßig, welche AAGUIDs auf den verschiedenen Geräten auftauchen. Updates oder neue Authenticator-Versionen sorgen hier gern für Überraschungen.

Registrierung und Anmeldung kommen mit wenigen Schritten aus

Im Alltag nutzen lassen sich Passkeys erst, wenn die Anwender sie selbst registriert haben. Das funktioniert derzeit nur über den Self-Service für Sicherheitsinformationen unter https://mysignins.microsoft.com/security-info. Danach steht der Passkey in Authenticator bereit. Die Anmeldung selbst fühlt sich vertraut an. Der Benutzer gibt seinen Namen ein, wählt den Passkey als Methode und bestätigt am Gerät per Biometrie. Entscheidend ist, dass der private Schlüssel das Handy nie verlässt und die FIDO2-Signatur direkt dort entsteht. Zur Veranschaulichung habe ich den Ablauf in einem Diagramm dargestellt:

sequenceDiagram
    TeilnehmerUser ["User"] -> TeilnehmerWebApp ["Webanwendung"]: [Benutzernamen eingeben]
    TeilnehmerWebApp -> TeilnehmerEntraID ["Entra ID"]: [FIDO2/Passkey-Anfrage]
    TeilnehmerEntraID -> TeilnehmerAuthenticator ["Authenticator-App"]: [Challenge senden]
    TeilnehmerUser -> TeilnehmerAuthenticator: [Biometrisch bestätigen]
    TeilnehmerAuthenticator -> TeilnehmerEntraID: [Signierte Antwort]
    TeilnehmerEntraID -> TeilnehmerWebApp: [Anmeldung erfolgreich]

Abbildung: Authentifizierungsfluss mit Passkey in Microsoft Authenticator

Passkeys bieten endlich wirksamen Schutz gegen AiTM-Phishing

Den größten praktischen Nutzen sehe ich in der Widerstandsfähigkeit gegen AiTM-Phishing. Bei solchen Angriffen fangen die Täter gezielt MFA-Bestätigungscodes ab, und das ist nach wie vor ein ernstes Problem. Vor einiger Zeit habe ich dem Thema einen eigenen Beitrag gewidmet (AiTM-Phishing in Microsoft 365: Taktiken und Verteidigung). Genau diese Masche machen Passkeys deutlich schwerer. Der private FIDO2-Schlüssel wird nie übertragen, und die Anmeldung wird immer direkt auf dem legitimen Gerät autorisiert. Abgegriffene Session-Tokens allein öffnen deshalb keine Tür mehr. Zusammen mit Authentication Strengths in Conditional Access können Sie genau festlegen, bei welchen besonders schützenswerten Apps und Daten eine Anmeldung per Passkey Pflicht ist. Vor allem in hybriden Umgebungen, in denen mehrere Methoden parallel laufen, bringt das spürbar mehr Sicherheit.

Die Preview hat noch Grenzen, die man vor dem Test kennen sollte

Einschränkungen gibt es selbstverständlich noch. Als Public Preview ist die Funktion nicht für produktive Szenarien mit Compliance-Anforderungen vorgesehen. Bisher fehlen ein zentrales Reporting und automatische „Break-Glass“-Lösungen für den Fall, dass ein Handy verloren geht oder Authenticator neu installiert werden muss. Hinzu kommt, dass das Onboarding derzeit nur über den Self-Service für Sicherheitsinformationen läuft, weder über ein automatisiertes User-Provisioning noch beim Geräte-Enrollment. Wer Passkeys jetzt schon ausprobiert, sollte daher klare Kommunikationsregeln für Supportfälle und verlorene Geräte vereinbaren.

Nach meinen ersten Tests ziehe ich eine positive Bilanz. Passkeys in Microsoft Authenticator bringen Benutzerfreundlichkeit und Sicherheit ein großes Stück voran, passen aber noch nicht für jeden Anwendungsfall. Wer jetzt mit einer Pilotgruppe Erfahrungen sammelt, ist zur allgemeinen Verfügbarkeit (GA) gut gerüstet und kann den Mitarbeitenden dann eine moderne und tatsächlich phishingsichere Anmeldemethode anbieten.