Conditional Access und Passkeys: Wie der Umstieg auf phishing-resistente Anmeldung gelingt

Der Umstieg auf Passkeys hat feste Termine. Microsoft macht Passkeys in Microsoft Entra ID zur Standardanmeldung und stellt die selbst bereitgestellte Zustellung von SMS- und Sprachanruf-Codes ein (Zeitplan). Seit dem 1. September 2026 werden Benutzer mit SMS oder Sprachanruf automatisch für Passkeys freigeschaltet und zur Registrierung aufgefordert, sofern der Tenant die vorübergehende Opt-out-Möglichkeit nicht genutzt hat. Ab dem 1. Februar 2027 entfällt die Microsoft-Zustellung für alle Benutzer außer Global Administrators und externen Benutzern, für diese ab dem 1. Juli 2027. Wer bis dahin nur SMS hinterlegt hat, muss bei der nächsten Anmeldung einen Passkey registrieren, bevor es weitergeht.

Der Umstieg kommt also ohnehin. Für die Geschäftsführung bleibt die Frage, ob er geplant verläuft oder am Stichtag beim Helpdesk landet.

Was ist ein Passkey?

Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar. Der private Schlüssel bleibt auf dem Gerät der Mitarbeiterin oder des Mitarbeiters, zum Beispiel im Smartphone oder auf einem kleinen USB-Sicherheitsschlüssel, und wird mit Fingerabdruck, Gesichtserkennung oder PIN freigegeben. Bei der Anmeldung prüft das Gerät, ob es wirklich mit der echten Microsoft-Anmeldeseite spricht. Auf einer nachgebauten Seite gibt es den Schlüssel nicht heraus. Es gibt also keinen Code, den jemand weitergeben oder abfangen könnte.

Warum lassen sich SMS- und App-Codes weiterleiten?

Weil ein Code nicht weiß, wo er eingegeben wird. Bei einem Adversary-in-the-Middle-Angriff schaltet sich eine gefälschte Seite zwischen Benutzer und Microsoft. Der Benutzer gibt Passwort und Code ein, die Seite reicht beides in Echtzeit weiter und erhält die angemeldete Sitzung. Das funktioniert bei SMS, bei Codes aus einer Authenticator-App und grundsätzlich auch bei Push-Bestätigungen. Wie solche Angriffe in Microsoft 365 ablaufen und was dagegen hilft, zeigen wir in unserer Webinar-Aufzeichnung.

Phishing-resistente Methoden durchbrechen diese Kette, weil die Anmeldung kryptografisch an die Adresse gebunden ist, an der sie stattfindet.

Welche phishing-resistenten Methoden bietet Microsoft Entra ID?

Entra ID kennt vier phishing-resistente Methoden. Die Wahl hängt von Gerätelandschaft und Rolle ab.

• Passkeys in Microsoft Authenticator. Gerätegebundene Passkeys auf dem Diensttelefon. Für die meisten Mitarbeitenden der naheliegende Einstieg, weil die App oft schon installiert ist.
• FIDO2-Sicherheitsschlüssel. Hardware-Schlüssel per USB oder NFC. Geeignet für Administratoren, Notfallkonten und Personen ohne Diensttelefon.
• Windows Hello for Business. Anmeldung am Windows-Gerät per Gesicht, Fingerabdruck oder PIN, die zugleich als phishing-resistenter Nachweis für Entra ID dient. Die Verteilung erfolgt über Microsoft Intune.
• Zertifikatbasierte Authentifizierung. Sinnvoll, wenn bereits eine Public-Key-Infrastruktur und Smartcards vorhanden sind.

Passkeys sind in allen Entra-ID-Editionen ohne Zusatzlizenz nutzbar. Für die Durchsetzung über Conditional Access und für die Auswertungsberichte brauchen Sie Entra ID P1. Über Passkey-Profile in der Richtlinie für Authentifizierungsmethoden steuern Sie, welche Passkey-Arten für welche Gruppe zugelassen sind, etwa nur gerätegebundene Passkeys für Administratoren.

Wie erzwingt man Passkeys mit Conditional Access?

Über Authentifizierungsstärken. Statt „MFA verlangen“ wählen Sie in der Richtlinie „Authentifizierungsstärke verlangen“ und die integrierte Stärke „Phishing-resistente MFA“. Sie umfasst Windows Hello for Business, FIDO2-Passkeys und zertifikatbasierte Authentifizierung. Beide Gewährungssteuerungen lassen sich nicht in derselben Richtlinie kombinieren.

Legen Sie früh eine Richtlinie für alle Benutzer (ohne Notfallkonten) mit dieser Stärke im Report-only-Modus an. Sie zeigt im Anmeldeprotokoll, wer heute schon bestehen würde und wer noch nicht. Die Durchsetzung erfolgt dann gruppenweise, getrennt nach Plattform: zuerst für Windows-Benutzer, die bereit sind, dann für iOS, Android und macOS. Wie Sie Conditional Access ohne Aussperren einführen, beschreiben wir in Conditional Access einführen, ohne Mitarbeitende auszusperren.

Wie registrieren Mitarbeitende ihren ersten Passkey?

Bestehende Benutzer melden sich mit ihrer bisherigen MFA an und registrieren den Passkey unter „Sicherheitsinformationen“. Für neue Mitarbeitende und für Personen, die ihr Gerät verloren haben, gibt es den Temporary Access Pass (TAP), einen zeitlich begrenzten Code, den die IT nach Identitätsprüfung ausstellt. Mit dem TAP richten neue Mitarbeitende ihren ersten Passkey oder Windows Hello for Business ein, ohne zuerst ein Passwort kennen zu müssen. Gültigkeit und Einmalnutzung legen Sie in der TAP-Richtlinie fest.

Die Registrierungskampagne in Entra ID fordert Benutzer nach der nächsten MFA-Anmeldung zur Einrichtung eines Passkeys auf. Kombinieren Sie sie mit einer Kommunikation in mehreren Wellen: Ankündigung mit Begründung, Anleitung je Gerätetyp, Erinnerung kurz vor der Durchsetzung. Microsoft stellt dafür anpassbare Vorlagen bereit.

In welcher Reihenfolge sollte man umstellen?

1. Notfallkonten mit FIDO2-Sicherheitsschlüsseln ausstatten und aus den Richtlinien ausnehmen.
2. Administratoren auf phishing-resistente Methoden umstellen und per Authentifizierungsstärke verpflichten. Hier ist der Schaden bei einer Übernahme am größten.
3. Pilotgruppe aus verschiedenen Abteilungen und Gerätetypen.
4. Alle Mitarbeitenden in Wellen nach Plattform, gesteuert über die Report-only-Auswertung.

Beobachten Sie dabei die Anzahl der Helpdesk-Tickets. Steigt sie, verlangsamen Sie das Tempo.

Was gilt für geteilte Geräte und Frontline-Mitarbeitende?

Windows Hello for Business ist für Geräte gedacht, an denen sich jede Person mit dem eigenen Konto anmeldet, nicht für Kiosk-Geräte mit einem gemeinsamen Konto. Für Schichtarbeitsplätze, Lager und Produktion sind FIDO2-Sicherheitsschlüssel meist die bessere Wahl: Die Person trägt den Schlüssel bei sich und meldet sich an jedem freigegebenen Gerät an. Klären Sie früh, wer die Schlüssel ausgibt, wie Verlust gemeldet wird und wie schnell Ersatz bereitsteht.

Was passiert mit dem Passwort danach?

Das Passwort verschwindet nicht sofort, es verliert aber seine Bedeutung. Sobald eine Richtlinie phishing-resistente MFA verlangt, reicht ein gestohlenes Passwort allein nicht mehr für den Zugriff. Für den Übergang empfehlen wir die Self-Service-Kennwortzurücksetzung (SSPR), damit vergessene Passwörter nicht beim Helpdesk landen, und einen klaren Prozess für verlorene Geräte über den TAP.

Ist Token Protection eine sinnvolle Ergänzung?

Ja, als nächster Schritt. Wenn Anmeldedaten nicht mehr abgefangen werden können, versuchen Angreifer, bereits ausgestellte Sitzungstoken zu entwenden. Token Protection, eine Sitzungssteuerung in Conditional Access, akzeptiert nur Token, die an das Gerät gebunden sind, auf dem sie ausgestellt wurden. Für native Anwendungen wie Outlook, Teams und OneDrive unter Windows ist das allgemein verfügbar. Die Unterstützung für Browser-Anwendungen ist eine Vorschau (Stand Oktober 2026).

Welche Nachweise braucht der Prüfer?

Der Bericht „Aktivität der Authentifizierungsmethoden“ in Entra ID zeigt, wie viele Benutzer welche Methode registriert haben und welche tatsächlich verwendet werden. Ergänzen Sie ihn um den Export der Conditional-Access-Richtlinien mit Authentifizierungsstärke und um Auszüge aus den Anmeldeprotokollen. Entra ID bewahrt die meisten Überwachungsdaten nur 30 Tage auf. Für Audits sollten Sie die Protokolle deshalb in einen Log Analytics Workspace oder Microsoft Sentinel weiterleiten.

Häufig gestellte Fragen

Kostet die Umstellung auf Passkeys zusätzliche Lizenzen?

Die Registrierung und Anmeldung mit Passkeys ist in allen Entra-ID-Editionen enthalten. Für die Durchsetzung über Conditional Access und für die Berichte brauchen Sie Entra ID P1, zum Beispiel über Microsoft 365 Business Premium. Kosten entstehen gegebenenfalls für FIDO2-Sicherheitsschlüssel.

Was passiert am 1. Februar 2027 mit Benutzern, die nur SMS haben?

Sie können SMS und Sprachanruf dann nicht mehr für die Anmeldung nutzen, sofern kein eigener Telefonie-Anbieter angebunden ist. Bei der nächsten Anmeldung müssen sie einen Passkey registrieren, bevor sie weiterarbeiten können. Für Global Administrators und externe Benutzer gilt der 1. Juli 2027.

Sind synchronisierte Passkeys für Unternehmen geeignet?

Für normale Benutzer können sie eine gute Wahl sein, weil sie auf mehreren eigenen Geräten verfügbar sind. Für Administratoren und besonders schutzbedürftige Rollen empfehlen wir gerätegebundene Passkeys oder Sicherheitsschlüssel. Über Passkey-Profile lässt sich das je Gruppe steuern.

Wie lange dauert der Umstieg?

Das hängt von Gerätestand, Anzahl der Standorte und Schichtmodellen ab. Ein verlässlicher Zeitplan entsteht nach der Report-only-Auswertung, weil sie zeigt, wie viele Benutzer und Geräte schon bereit sind.

Der nächste Schritt

Im Gap Assessment prüfen wir zum Festpreis, welche Anmeldemethoden in Ihrem Tenant registriert sind, wer noch von SMS abhängt und welche Richtlinien fehlen. Den laufenden Betrieb, die Auswertung der Anmeldeprotokolle und die Reaktion auf auffällige Anmeldungen übernehmen wir auf Wunsch im Rahmen von Managed Security.

Erstgespräch vereinbaren