Passkeys setzen sich zunehmend als Alternative zu Passwörtern und klassischen MFA-Verfahren durch. Für Unternehmen entsteht damit jedoch eine neue Frage:
Welcher Passkey ist eigentlich der richtige? Denn synchronisierte Passkeys auf Smartphones und Computern und hardwaregebundene Passkeys auf einem physischen Sicherheitsschlüssel verfolgen zwar denselben FIDO2-Ansatz, unterscheiden sich aber deutlich bei Kontrolle, Wiederherstellung, Portabilität und Einsatzgebiet.
Für eine professionelle Passkey-Strategie reicht es deshalb nicht aus, einfach „Passkeys zu aktivieren“. IT-Abteilungen müssen festlegen, welcher Authenticator für welche Benutzergruppe eingesetzt wird. Ein Standardanwender benötigt möglicherweise eine andere Lösung als ein Global Administrator, Geschäftsführer oder Mitarbeiter mit Zugriff auf besonders sensible Daten.
In diesem Beitrag zeigen wir, worin sich synchronisierte und gerätegebundene Passkeys unterscheiden, welche Rolle Hardware-Sicherheitsschlüssel wie ein YubiKey spielen und wie Unternehmen daraus eine sinnvolle Passkey-Strategie entwickeln können.
Passkey ist nicht gleich Passkey
Passkeys basieren auf FIDO2- beziehungsweise WebAuthn-Technologie und verwenden asymmetrische Kryptografie. Statt eines Passworts oder eines anderen gemeinsam gespeicherten Geheimnisses wird ein kryptografisches Schlüsselpaar verwendet.
Der Dienst speichert den öffentlichen Schlüssel. Der dazugehörige private Schlüssel befindet sich auf dem Authenticator des Benutzers.
Dadurch kann der Benutzer authentifiziert werden, ohne sein eigentliches Geheimnis an den jeweiligen Online-Dienst übertragen zu müssen.
Genau an dieser Stelle entsteht jedoch ein wichtiger Unterschied: Wo befindet sich der private Schlüssel und kann er auf andere Geräte übertragen werden?
Grundsätzlich begegnen Unternehmen heute zwei wichtigen Kategorien:
- synchronisierte Passkeys
- gerätegebundene Passkeys
Was ist ein synchronisierter Passkey?
Ein synchronisierter Passkey wird über das jeweilige Credential-Ökosystem eines Benutzers zwischen mehreren Geräten verfügbar gemacht.
Der große Vorteil ist der Komfort. Ein Benutzer kann beispielsweise einen Passkey auf einem Gerät erstellen und ihn anschließend innerhalb des unterstützten Ökosystems auch auf weiteren Geräten verwenden.
Das vereinfacht insbesondere den Alltag von Benutzern, die mehrere persönliche Endgeräte einsetzen.
Typische Vorteile synchronisierter Passkeys
- hoher Benutzerkomfort
- einfache Nutzung auf mehreren Geräten
- weniger Abhängigkeit von klassischen Passwörtern
- vereinfachte Wiederherstellung innerhalb des jeweiligen Ökosystems
- keine zusätzliche physische Hardware erforderlich
Für viele Standardanwender kann diese Form der Authentifizierung eine sehr gute Lösung sein.
In Unternehmen entstehen allerdings zusätzliche Fragen: Wer kontrolliert die Synchronisation? Welche privaten Geräte sind erlaubt? Was geschieht beim Offboarding? Welche Credential Provider dürfen eingesetzt werden? Und reicht das Sicherheitsniveau für privilegierte Konten?
Was ist ein gerätegebundener Passkey?
Bei einem gerätegebundenen Passkey bleibt das kryptografische Credential an den jeweiligen Authenticator gebunden.
Ein Hardware-Sicherheitsschlüssel wie ein YubiKey ist ein typisches Beispiel dafür. Der private Schlüssel wird innerhalb des Hardware-Authenticators erzeugt und bleibt an diesen gebunden.
Das Credential wird nicht automatisch über einen Cloud-Dienst auf andere persönliche Geräte synchronisiert.
Für Unternehmen kann genau diese Eigenschaft entscheidend sein, weil sich dadurch eine besonders klare Trennung zwischen Identität, Benutzer und Authenticator herstellen lässt.
Typische Vorteile hardwaregebundener Passkeys
- klar definierter physischer Authenticator
- keine automatische Cloud-Synchronisation des privaten Credentials
- phishing-resistente FIDO2-Authentifizierung
- geeignet für besonders sensible Konten
- einfacher unabhängig vom persönlichen Smartphone nutzbar
- geeignet für Administratoren und privilegierte Benutzer
- physisch an Mitarbeiter ausgebbar
Synced Passkey vs. YubiKey im direkten Vergleich
| Kriterium | Synchronisierter Passkey | Hardwaregebundener Passkey / YubiKey |
|---|---|---|
| Phishing-resistente Authentifizierung | Ja | Ja |
| FIDO2 / WebAuthn | Ja | Ja |
| Synchronisation | Innerhalb des unterstützten Ökosystems möglich | Credential bleibt auf dem Hardware-Authenticator |
| Zusätzliche Hardware | Meist nicht erforderlich | Physischer Security Key erforderlich |
| Portabilität | Über das jeweilige Ökosystem | Physischer Schlüssel kann zwischen Geräten genutzt werden |
| Unternehmenskontrolle | Abhängig vom verwendeten Credential Provider | Sehr klare Zuordnung zu physischem Authenticator möglich |
| Privilegierte Konten | Abhängig von Sicherheitsrichtlinie | Besonders interessant |
| Shared Devices | Je nach Plattform eingeschränkt | Gut geeignet |
| Backup | Über Provider bzw. weitere Passkeys | Zweiter Security Key empfehlenswert |
Warum Unternehmen nicht nur eine Passkey-Art brauchen
Eine der wichtigsten Erkenntnisse für Unternehmen ist: Die Entscheidung muss nicht „entweder oder“ lauten.
Eine moderne Passkey-Strategie kann verschiedene Authenticator-Typen kombinieren.
Die FIDO Alliance geht ebenfalls davon aus, dass Unternehmen unterschiedliche FIDO-Credentials für unterschiedliche Sicherheitsanforderungen einsetzen können. Für niedrigere oder mittlere Assurance-Anforderungen können synchronisierte Passkeys sinnvoll sein. Bei höheren Sicherheitsanforderungen können gerätegebundene Credentials oder entsprechend zertifizierte Hardware-Authenticators erforderlich oder besser geeignet sein.
Die eigentliche Aufgabe der IT besteht deshalb darin, Benutzergruppen zu klassifizieren.
Welche Benutzer sollten einen Hardware-Sicherheitsschlüssel erhalten?
1. Administratoren
Administratorkonten sollten zu den ersten Konten gehören, deren Authentifizierung geprüft wird.
Ein kompromittiertes Benutzerkonto ist problematisch. Ein kompromittiertes Administratorkonto kann dagegen Zugriff auf eine gesamte Microsoft-365-, Cloud-, Netzwerk- oder Security-Infrastruktur ermöglichen.
Für Global Administratoren, Security Administratoren, Systemadministratoren und andere privilegierte Rollen sind hardwaregebundene Passkeys deshalb besonders interessant.
2. Geschäftsführer und Führungskräfte
Führungskräfte sind attraktive Angriffsziele, weil ihre Konten häufig Zugang zu sensiblen Geschäftsdaten, Finanzinformationen, Kommunikationssystemen und Entscheidungsprozessen besitzen.
Gleichzeitig stehen sie regelmäßig im Fokus gezielter Phishing- und Social-Engineering-Angriffe.
Ein physischer FIDO2-Sicherheitsschlüssel kann hier Teil einer besonders robusten Account-Security-Strategie sein.
3. Mitarbeiter mit Zugriff auf sensible Informationen
Dazu gehören beispielsweise Mitarbeiter aus:
- Finanzabteilungen
- Personalwesen
- Forschung und Entwicklung
- IT und Cybersecurity
- Geschäftsführung
- Rechtsabteilungen
- kritischer Infrastruktur
4. Benutzer gemeinsam genutzter Geräte
In Produktionsumgebungen, Logistik, Gesundheitswesen, Einzelhandel oder anderen Bereichen werden Computer teilweise von mehreren Personen verwendet.
Hier kann ein physischer Sicherheitsschlüssel einen großen praktischen Vorteil bieten: Der Benutzer bringt seinen eigenen Authenticator mit und verwendet ihn an unterschiedlichen Arbeitsplätzen.
5. Externe und technische Benutzer
Auch externe Administratoren, Dienstleister oder Mitarbeiter ohne klassisches Firmen-Smartphone können von einem physischen Authenticator profitieren.
Damit muss die Unternehmensauthentifizierung nicht zwingend an ein privat oder geschäftlich genutztes Smartphone gekoppelt werden.
Für welche Benutzer können synchronisierte Passkeys sinnvoll sein?
Synchronisierte Passkeys können insbesondere für Standardanwender attraktiv sein, bei denen Benutzerfreundlichkeit und einfache Gerätewechsel eine wichtige Rolle spielen.
Wenn ein Unternehmen beispielsweise mehrere tausend Benutzer besitzt, muss nicht zwangsläufig jeder einzelne Mitarbeiter dieselbe Authenticator-Klasse erhalten.
Ein risikobasierter Ansatz kann wirtschaftlicher und gleichzeitig sicherer sein.
| Benutzergruppe | Mögliche Passkey-Strategie |
|---|---|
| Standardanwender | Synchronisierter oder Plattform-Passkey je nach Unternehmensrichtlinie |
| IT-Administratoren | Hardwaregebundener Passkey |
| Geschäftsführung | Hardwaregebundener Passkey |
| Security-Team | Hardwaregebundener Passkey |
| Shared-Device-Benutzer | Physischer Security Key prüfen |
| Externe Administratoren | Hardwaregebundene Lösung prüfen |
| Besonders sensible Benutzer | Hardwaregebundene Passkeys priorisieren |
Welche Rolle spielt der YubiKey?
Ein YubiKey kann als FIDO2-Hardware-Sicherheitsschlüssel eingesetzt werden und damit einen hardwaregebundenen Passkey bereitstellen.
Bei der Auswahl sollten Unternehmen zunächst klären, welche Funktionen überhaupt benötigt werden.
Security Key Series: FIDO im Mittelpunkt
Wenn ein Unternehmen primär FIDO2, WebAuthn und Passkeys benötigt, ist die Security Key Series von Yubico besonders interessant.
Sie konzentriert sich auf moderne FIDO-basierte Authentifizierung und ist damit für größere Passkey-Projekte eine wirtschaftlich attraktive Option.
Zur Verfügung stehen unter anderem:
YubiKey 5 Series: mehr als nur FIDO2
Wer neben Passkeys zusätzliche Authentifizierungs- und Kryptografiefunktionen benötigt, sollte die YubiKey 5 Series betrachten.
Die Serie unterstützt neben FIDO2/WebAuthn weitere Protokolle wie Smart Card/PIV, OpenPGP, OTP und OATH.
Typische Modelle sind:
Eine detaillierte Entscheidungshilfe bietet unser Vergleich YubiKey 5 NFC vs. Security Key – welcher Sicherheitsschlüssel ist der richtige?.
USB-A oder USB-C?
Bei größeren Rollouts wird diese scheinbar einfache Frage schnell relevant.
Unternehmen sollten vor der Bestellung prüfen, welche Anschlüsse tatsächlich auf den eingesetzten Geräten vorhanden sind.
In modernen Notebook-Flotten dominiert zunehmend USB-C. In älteren Desktop-Umgebungen ist USB-A dagegen weiterhin stark verbreitet.
NFC kann zusätzlich sinnvoll sein, wenn die Sicherheitsschlüssel auch mit kompatiblen Smartphones oder Tablets eingesetzt werden sollen.
Für heterogene Umgebungen kann es daher sinnvoll sein, zwei verschiedene Modelle einzusetzen statt jeden Mitarbeiter mit demselben Schlüssel auszustatten.
Der wichtigste Punkt: Recovery vor dem Rollout planen
Hardwaregebundene Credentials bringen einen wichtigen Unterschied mit sich: Wenn der physische Authenticator nicht mehr verfügbar ist, muss ein definierter Wiederherstellungsweg existieren.
Die FIDO Alliance empfiehlt bei gerätegebundenen Passkeys unter anderem, mehrere Credentials beziehungsweise Authenticatoren zu registrieren und einen vom Unternehmen definierten Recovery-Prozess vorzusehen.
In der Praxis bedeutet das beispielsweise:
- primären YubiKey registrieren
- zweiten YubiKey als Backup hinterlegen
- Backup sicher aufbewahren
- Verlustprozess dokumentieren
- Helpdesk-Prozess definieren
- verlorenen Authenticator aus dem Benutzerkonto entfernen
Gerade bei Administratoren sollte Recovery niemals improvisiert werden.
Warum zwei YubiKeys pro kritischem Benutzer sinnvoll sind
Ein physischer Schlüssel kann verloren gehen, beschädigt werden oder schlicht zu Hause liegen bleiben.
Deshalb ist es bei besonders wichtigen Accounts sinnvoll, einen zweiten Authenticator zu registrieren.
Der zweite Schlüssel muss nicht permanent mitgeführt werden. Er kann an einem sicheren Ort aufbewahrt werden und ausschließlich zur Wiederherstellung dienen.
Dadurch verhindert das Unternehmen, dass aus einer starken Authentifizierung gleichzeitig ein Single Point of Failure entsteht.
Passkey-Rollout: So sollten Unternehmen vorgehen
Schritt 1: Anwendungen und Identitäten erfassen
Erstellen Sie eine Liste der relevanten Plattformen:
- Microsoft 365 und Entra ID
- Google Workspace
- VPN
- Cloud-Plattformen
- GitHub und Entwicklerdienste
- Passwortmanager
- administrative Systeme
- KI- und SaaS-Plattformen
Schritt 2: Benutzer nach Risiko gruppieren
Es ist selten wirtschaftlich sinnvoll, sämtliche Benutzer gleich zu behandeln.
Definieren Sie beispielsweise:
- Standard
- erhöhtes Risiko
- privilegiert
- kritisch
Schritt 3: Authenticator festlegen
Entscheiden Sie anschließend, ob für die jeweilige Gruppe synchronisierte Passkeys, Plattform-Passkeys oder Hardware-Sicherheitsschlüssel vorgesehen werden.
Schritt 4: Pilot durchführen
Beginnen Sie nicht mit der gesamten Organisation.
Ein sinnvoller Pilot umfasst beispielsweise IT-Administratoren, Security-Mitarbeiter und einige normale Anwender.
Testen Sie dabei nicht nur die Anmeldung, sondern ausdrücklich:
- Erstregistrierung
- neues Notebook
- neues Smartphone
- Verlust eines YubiKeys
- gesperrter Benutzer
- Offboarding
- Backup-Key
- Helpdesk-Prozess
Schritt 5: Rollout dokumentieren
Eine gute Dokumentation sollte dem Benutzer in wenigen Minuten erklären:
- Was ist mein YubiKey?
- Wann benötige ich ihn?
- Wie verwende ich ihn?
- Was mache ich bei Verlust?
- Wo befindet sich mein Backup?
- Wen kontaktiere ich bei Problemen?
Passkeys und Zero Trust
Passkeys sind kein vollständiges Zero-Trust-Konzept. Sie können aber einen wichtigen Baustein darstellen.
Zero Trust basiert darauf, Zugriffe nicht allein deshalb zu vertrauen, weil sich ein Benutzer innerhalb eines bestimmten Netzwerks befindet.
Identität und Authentifizierung erhalten dadurch eine wesentlich größere Bedeutung.
Phishing-resistente Authentifizierung reduziert insbesondere das Risiko, dass gestohlene Passwörter oder abgefangene Einmalcodes für eine erfolgreiche Anmeldung verwendet werden.
Passkeys und Compliance
Auch bei Compliance-Fragen sollte nicht pauschal davon ausgegangen werden, dass jeder Passkey automatisch dieselben Anforderungen erfüllt.
Die FIDO Alliance unterscheidet ausdrücklich zwischen unterschiedlichen Assurance-Leveln und weist darauf hin, dass bei hohen Anforderungen auch Eigenschaften des Authenticators und gegebenenfalls Zertifizierungen relevant werden können.
Unternehmen in regulierten Branchen sollten deshalb zunächst ihre konkrete regulatorische und technische Anforderung definieren und erst danach den Authenticator auswählen.
Für besonders anspruchsvolle Umgebungen bietet Yubico zusätzlich FIPS-Produktlinien an.
Wie viele Security Keys sollte ein Unternehmen bestellen?
Die benötigte Stückzahl sollte nicht einfach der Mitarbeiteranzahl entsprechen.
In die Planung gehören:
- Anzahl der Benutzer
- Backup-Schlüssel
- Ersatzbestand
- neue Mitarbeiter
- Administratoren
- Testgeräte
- unterschiedliche USB-Anschlüsse
Bei einem Rollout für 100 kritische Benutzer können daher deutlich mehr als 100 physische Schlüssel sinnvoll sein.
Für größere Projekte bietet yubikey-shop.at Mengen- und Projektpreise bereits ab 10 YubiKeys.
Wie lassen sich YubiKeys im Unternehmen verwalten?
Je größer der Rollout, desto wichtiger werden Lifecycle-Prozesse.
Die reine Ausgabe eines Sicherheitsschlüssels ist nur der Anfang.
Unternehmen müssen nachvollziehen können:
- welcher Mitarbeiter welchen Schlüssel besitzt
- wann ein Schlüssel ausgegeben wurde
- welcher Ersatzschlüssel existiert
- was beim Mitarbeiter-Austritt geschieht
- wie verlorene Schlüssel behandelt werden
Für größere Umgebungen finden Sie auf yubikey-shop.at außerdem Informationen zum zentralen YubiKey Management mit Pointsharp.
FAQ: Synced Passkeys und hardwaregebundene Passkeys
Sind synchronisierte Passkeys unsicher?
Nein. Synchronisierte Passkeys basieren ebenfalls auf FIDO-Technologie und bieten einen erheblichen Sicherheitsgewinn gegenüber klassischen Passwortverfahren. Für Unternehmen stellt sich jedoch zusätzlich die Frage nach Kontrolle, Credential-Synchronisation und dem gewünschten Assurance-Level.
Ist ein YubiKey ein Passkey?
Ein FIDO2-fähiger YubiKey kann hardwaregebundene Passkeys speichern und für WebAuthn-/FIDO2-Anmeldungen eingesetzt werden.
Was ist sicherer: synchronisierter Passkey oder YubiKey?
Das lässt sich nicht pauschal beantworten, weil die richtige Lösung vom Risikoprofil abhängt. Für hohe Sicherheitsanforderungen und privilegierte Benutzer bietet ein hardwaregebundener Authenticator jedoch Eigenschaften, die für Unternehmen besonders interessant sind.
Muss jeder Mitarbeiter einen YubiKey bekommen?
Nein. Eine risikobasierte Passkey-Strategie kann verschiedene Authenticatoren kombinieren. Hardware-Sicherheitsschlüssel können beispielsweise gezielt für Administratoren und besonders schützenswerte Benutzer eingesetzt werden.
Security Key oder YubiKey 5?
Wenn ausschließlich FIDO2, WebAuthn und Passkeys benötigt werden, sollte die Security Key Series geprüft werden. Werden zusätzlich PIV, OpenPGP, OTP oder andere Protokolle benötigt, ist die YubiKey 5 Series die vielseitigere Plattform.
Sollte jeder Benutzer zwei YubiKeys erhalten?
Bei besonders wichtigen Konten ist ein zweiter registrierter Authenticator als Backup empfehlenswert. Bei großen Standard-Rollouts kann das Recovery-Modell je nach Plattform und Benutzergruppe unterschiedlich gestaltet werden.
Fazit: Unternehmen brauchen eine Passkey-Strategie – nicht nur Passkeys
Passkeys lösen eines der größten Probleme klassischer Authentifizierung: die Abhängigkeit von Passwörtern und anderen phishbaren Geheimnissen.
Der nächste Schritt besteht jedoch darin, Passkeys nicht als einheitliche Technologie zu betrachten.
Synchronisierte Passkeys bieten hervorragenden Komfort und können für viele Standardanwender die richtige Lösung sein. Hardwaregebundene Passkeys auf einem YubiKey bieten dagegen eine besonders klare Kontrolle über den Authenticator und eignen sich deshalb vor allem für Administratoren, Führungskräfte, sensible Benutzer und andere Accounts mit erhöhtem Sicherheitsbedarf.
Die beste Unternehmensstrategie kann deshalb aus mehreren Authenticator-Klassen bestehen.
Sie planen einen YubiKey- oder Passkey-Rollout?
Wir unterstützen Unternehmen, Behörden und Bildungseinrichtungen bei der Auswahl der passenden Modelle. Für größere Projekte stehen individuelle Konditionen und Mengenrabatte zur Verfügung.
Passende YubiKeys entdecken oder Projektpreise ab 10 Stück anfragen.
