Passkeys statt Passwörter: der praktische Umstieg für Kanzleien
Phishing-resistente Anmeldung ohne Passwort: was Passkeys sind und wie der Umstieg in Microsoft 365 Schritt fuer Schritt ablaeuft.
Passwörter sind das schwächste Glied in der IT-Sicherheit von Kanzleien. Sie werden vergessen, wiederverwendet, auf Zetteln notiert und vor allem: Sie lassen sich stehlen. Passkeys lösen dieses Problem an der Wurzel. In diesem Artikel erklären wir, was Passkeys sind, warum sie gerade für Kanzleien sinnvoll sind und wie der Umstieg in Microsoft 365 konkret abläuft.
Was ist ein Passkey überhaupt?
Ein Passkey ist ein digitaler Schlüssel, der auf Ihrem Gerät gespeichert wird: im Smartphone, im Windows-Rechner (über Windows Hello) oder auf einem kleinen USB-Sicherheitsschlüssel. Statt ein Passwort einzutippen, bestätigen Sie die Anmeldung mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Das klingt nach einem kleinen Komfortgewinn, ist aber technisch ein fundamentaler Unterschied.
Der entscheidende Punkt: Beim Passkey verlässt das Geheimnis nie Ihr Gerät. Es gibt kein Passwort, das auf einem Server liegt und dort gestohlen werden könnte. Und es gibt nichts, das Sie versehentlich auf einer gefälschten Webseite eingeben könnten.
Warum "phishing-resistent" mehr ist als ein Schlagwort
Die häufigsten Angriffe auf Kanzleien laufen heute über täuschend echte E-Mails: Eine Nachricht sieht aus wie von Microsoft, der Link führt auf eine nachgebaute Anmeldeseite, und wer dort Passwort und sogar den SMS-Code eingibt, hat den Angreifern die Tür geöffnet. Auch die klassische Zwei-Faktor-Anmeldung per App oder SMS schützt davor nur bedingt, denn der zweite Faktor lässt sich auf der gefälschten Seite gleich mit abphishen.
Ein Passkey funktioniert auf einer gefälschten Seite schlicht nicht. Er ist technisch an die echte Adresse gebunden, zum Beispiel login.microsoftonline.com. Die nachgebaute Seite bekommt keine Antwort, selbst wenn der Anwender hereingelegt wurde. Genau deshalb stufen Sicherheitsbehörden Passkeys als phishing-resistent ein. Für Kanzleien mit ihrer Verschwiegenheitspflicht ist das kein Nice-to-have, sondern die derzeit wirksamste einzelne Schutzmaßnahme für den Zugang zu E-Mail und Dokumenten.
Der Umstieg in Microsoft 365, Schritt für Schritt
1. Voraussetzungen prüfen. Passkeys werden in Microsoft Entra ID (der Anmeldeverwaltung hinter Microsoft 365) über die Authentifizierungsmethoden gesteuert. Dort wird "Passkey (FIDO2)" aktiviert, wahlweise für alle oder zunächst für eine Pilotgruppe.
2. Mit einer Pilotgruppe starten. Zwei bis drei Personen, idealerweise eine davon aus dem Sekretariat, richten ihre Passkeys ein und arbeiten zwei Wochen damit. So zeigen sich Stolpersteine, bevor die ganze Kanzlei umstellt.
3. Passkeys einrichten. Jede Person meldet sich unter mysignins.microsoft.com an und fügt unter Sicherheitsinformationen einen Passkey hinzu. Auf dem Smartphone übernimmt das die Microsoft Authenticator App, am Windows-PC Windows Hello, alternativ ein USB-Sicherheitsschlüssel. Der Vorgang dauert pro Person etwa fünf Minuten.
4. Anmelderichtlinien nachziehen. Sobald alle einen Passkey haben, wird per Richtlinie festgelegt, dass für den Zugriff auf Kanzleidaten eine phishing-resistente Anmeldung nötig ist. Erst dieser Schritt bringt den echten Sicherheitsgewinn, denn er nimmt gestohlenen Passwörtern jeden Wert.
Was ist mit Altgeräten?
Die berechtigte Sorge: Nicht jedes Gerät kann Passkeys. Ältere Windows-Versionen ohne Windows Hello, der betagte Kanzlei-Laptop im Besprechungsraum, das private Tablet einer Mitarbeiterin. Dafür gibt es drei praktikable Wege. Erstens: USB-Sicherheitsschlüssel funktionieren auch an älteren Rechnern, solange ein aktueller Browser läuft. Zweitens: Das Smartphone kann als Passkey-Träger für den PC dienen, die Anmeldung wird dann per QR-Code und Bluetooth bestätigt. Drittens: Für Geräte, die gar nicht mitspielen, bleibt übergangsweise die Anmeldung per Authenticator-App, eingeschränkt durch Richtlinien auf das Nötigste. Wichtig ist, diese Ausnahmen zu dokumentieren und mit einem Ablaufdatum zu versehen, sonst bleiben sie ewig.
Break-Glass: der Notfallzugang
Ein Punkt, der bei aller Begeisterung nie fehlen darf: Was passiert, wenn der Administrator ausgesperrt ist? Für diesen Fall gehört in jede Microsoft-365-Umgebung ein sogenanntes Break-Glass-Konto: ein Notfall-Administratorkonto, das von den strengen Anmelderichtlinien ausgenommen ist, ein sehr langes, sicher verwahrtes Passwort hat und dessen Nutzung überwacht wird. Es wird nie im Alltag verwendet, nur im Notfall, etwa wenn eine fehlerhafte Richtlinie alle aussperrt. Ohne Break-Glass-Konto sollte niemand Anmelderichtlinien verschärfen.
Fazit
Der Umstieg auf Passkeys ist für eine Kanzlei mit überschaubarem Aufwand machbar: ein Nachmittag Vorbereitung, fünf Minuten pro Person, zwei Wochen Pilotbetrieb. Dem steht ein Sicherheitsgewinn gegenüber, den keine Schulung und kein noch so komplexes Passwort erreicht. Die Anmeldung wird dabei nicht mühsamer, sondern schneller. Es gibt wenige Maßnahmen in der IT-Sicherheit, bei denen Komfort und Schutz gleichzeitig steigen. Diese ist eine davon.
Fragen dazu? [email protected]