Was passiert, wenn ein YubiKey verloren geht, gestohlen wird oder plötzlich nicht verfügbar ist?
Wer einen zweiten Sicherheitsschlüssel bereits registriert hat, kann in vielen Fällen einfach mit diesem weiterarbeiten. Ohne vorbereiteten Backup-Zugang hängt die Wiederherstellung dagegen vom jeweiligen Dienst, dessen Recovery-Verfahren und den im Unternehmen eingerichteten Alternativen ab.
Deshalb gehört die Frage nach Backup und Recovery bereits vor der Ausgabe des ersten YubiKeys in jedes Rollout-Konzept. Gerade bei Administratoren, Geschäftsführern und anderen kritischen Konten sollte ein verlorener Hardware-Schlüssel nicht zum ungeplanten Notfall werden.
Dieser Ratgeber erklärt, wie Unternehmen eine belastbare Backup-Strategie aufbauen, wie viele YubiKeys sinnvoll sind, wie sich Primär- und Backup-Key eindeutig kennzeichnen lassen und was nach Verlust oder Diebstahl konkret zu tun ist.
Die Kurzantwort: Wie viele YubiKeys braucht ein Benutzer?
Für wichtige Konten sind zwei bereits registrierte Sicherheitsschlüssel eine sinnvolle Ausgangsbasis: ein primärer YubiKey für den täglichen Einsatz und ein zweiter Schlüssel als Backup. Yubico empfiehlt ausdrücklich, einen Ersatzschlüssel einzurichten und Primär- und Backup-Key möglichst gleichzeitig zu registrieren.
Das bedeutet jedoch nicht, dass jedes Unternehmen pauschal exakt zwei Schlüssel pro Mitarbeiter kaufen muss. Die richtige Anzahl hängt von Risikoklasse, Recovery-Möglichkeiten, Plattform, Benutzerrolle und Betriebsmodell ab.
| Benutzertyp | Sinnvolle Planung | Warum? |
|---|---|---|
| Standardanwender | Primärschlüssel plus definierter Recovery-Weg; je nach Risiko zusätzlicher Backup-Key | Kosten und Wiederherstellungsaufwand abwägen |
| Geschäftsführung / Schlüsselpersonen | Primär- und Backup-Key | Ausfall des Zugangs kann geschäftskritisch sein |
| IT-Administratoren | Mindestens Primär- und Backup-Key in das Zugriffskonzept einplanen | Privilegierte Zugänge benötigen kontrolliertes Recovery |
| Break-Glass-/Notfallkonten | Separates, dokumentiertes Notfallkonzept | Nicht mit dem normalen Benutzer-Recovery vermischen |
| Großer Unternehmens-Rollout | Benutzerschlüssel plus zentral geplanter Ersatzbestand | Schneller Austausch bei Verlust oder Defekt |
Warum ein Backup-YubiKey wichtig ist
Hardwaregebundene Authentifizierung gewinnt einen wesentlichen Teil ihrer Sicherheit daraus, dass ein kryptografischer Zugang an einen physischen Authenticator gebunden ist.
Genau diese Eigenschaft muss beim Recovery berücksichtigt werden.
Ist nur ein einziger Sicherheitsschlüssel registriert und geht dieser verloren, kann nicht einfach eine Kopie des YubiKeys aus einer Cloud heruntergeladen werden. Ob der Benutzer wieder Zugang erhält, hängt dann von weiteren registrierten Authentifizierungsmethoden oder vom Wiederherstellungsprozess des jeweiligen Dienstes ab.
Ein bereits registrierter zweiter Hardware-Schlüssel kann diesen Prozess erheblich vereinfachen.
Ist ein Backup-YubiKey eine Kopie des ersten YubiKeys?
Nein. Ein zweiter YubiKey ist normalerweise keine 1:1-Kopie des primären YubiKeys.
Bei FIDO2/WebAuthn wird der zweite Sicherheitsschlüssel separat beim jeweiligen Dienst registriert. Der Dienst kennt anschließend mehrere gültige Credentials für denselben Benutzer.
In der Praxis kann ein FIDO-Rollout beispielsweise so aussehen:
- Der Benutzer erhält YubiKey A und YubiKey B.
- YubiKey A wird beim gewünschten Konto registriert.
- YubiKey B wird beim selben Konto als weiterer Sicherheitsschlüssel registriert.
- YubiKey A wird täglich verwendet.
- YubiKey B wird sicher und getrennt aufbewahrt.
Fällt A aus oder geht verloren, existiert mit B bereits ein gültiger zweiter Authenticator.
Wann sollte der Backup-YubiKey registriert werden?
Am besten direkt zusammen mit dem primären YubiKey.
Solange der Hauptschlüssel vorhanden ist und der Benutzer regulär auf seine Konten zugreifen kann, lässt sich ein zweiter Schlüssel kontrolliert hinzufügen und anschließend testen.
Wer einen Ersatzschlüssel dagegen ungeöffnet in einen Tresor legt und ihn nie bei den benötigten Diensten registriert, besitzt zwar Ersatzhardware – aber noch keinen unmittelbar nutzbaren Backup-Zugang.
Für Unternehmen sollte deshalb gelten:
- Primärschlüssel ausgeben,
- Backup-Key gleichzeitig registrieren,
- beide Schlüssel eindeutig kennzeichnen und dokumentieren,
- Login mit beiden Schlüsseln testen,
- Backup-Key anschließend getrennt und sicher aufbewahren.
Praxis-Tipp: Primär- und Backup-YubiKey mit Covers unterscheiden
Wer zwei gleiche YubiKeys verwendet, sollte auf einen Blick erkennen können, welcher der tägliche Primärschlüssel und welcher der Backup-Key ist. Das reduziert Verwechslungen und erleichtert Ausgabe, Aufbewahrung und Verwaltung.
Eine einfache Möglichkeit dafür sind unterschiedliche YubiKey Covers. Auf yubikey-shop.at gibt es neben verschiedenen Designs auch speziell für diesen Anwendungsfall geeignete Varianten wie Backup Alert, Backup Safety und Backup Code.
So lässt sich beispielsweise der Primär-Key mit einem neutralen Design versehen, während der Ersatzschlüssel bewusst ein auffälliges Backup-Design erhält.
| Schlüssel | Kennzeichnung | Aufbewahrung |
|---|---|---|
| Primär-YubiKey | Neutrales oder persönliches Cover | Beim Benutzer für den täglichen Einsatz |
| Backup-YubiKey | Zum Beispiel Backup Alert, Backup Safety oder Backup Code | Separat an einem sicheren Ort |
Für USB-C-/NFC-Modelle wie den YubiKey 5C NFC und den Security Key C NFC sind die Covers für YubiKey USB-C erhältlich.
Für USB-A-/NFC-Modelle wie den YubiKey 5 NFC und den Security Key NFC gibt es entsprechend die Covers für YubiKey USB-A.
Die Kennzeichnung ist jedoch nur eine organisatorische Hilfe. Sie ersetzt weder die getrennte Aufbewahrung noch eine saubere Inventarisierung. In Unternehmensumgebungen sollte weiterhin dokumentiert werden, welcher physische Authenticator welchem Benutzer und welcher Funktion zugeordnet ist.
Wo sollte der Backup-YubiKey aufbewahrt werden?
Primär- und Backup-Key sollten nicht gemeinsam transportiert werden.
Wer beide YubiKeys am selben Schlüsselbund trägt, verliert im schlimmsten Fall beide gleichzeitig. Gleiches gilt für Notebooktasche, Rucksack oder Aktentasche.
| Primärschlüssel | Backup-Schlüssel |
|---|---|
| Beim Benutzer | Sicherer separater Ort |
| Tägliche Nutzung | Nur für Recovery beziehungsweise Ersatz |
| Schlüsselbund oder definierter Arbeitsplatz | Tresor, gesicherter Schrank oder geregelte Unternehmensverwahrung |
Der Backup-Key muss sicher, aber im Ernstfall erreichbar sein. Ein Ersatzschlüssel, an den niemand mehr herankommt oder dessen Zuordnung nicht dokumentiert ist, löst das Recovery-Problem ebenfalls nicht.
Was tun, wenn der YubiKey verloren wurde?
Ein verlorener oder gestohlener YubiKey sollte nicht nur ersetzt, sondern auch aus den zugehörigen Diensten entfernt werden.
1. Verlust sofort melden
Unternehmen sollten einen klaren Meldeweg definieren. Der Benutzer muss wissen, ob er sich an Helpdesk, IT-Administration, Security-Team oder Identity-Team wenden soll.
2. Zugang über den Backup-Key herstellen
Ist der zweite YubiKey bereits registriert, kann er bei unterstützten Diensten unmittelbar für die Authentifizierung genutzt werden.
3. Verlorenen YubiKey deregistrieren
Der verlorene Authenticator sollte aus den betroffenen Konten beziehungsweise Identity-Systemen entfernt werden.
Wichtig ist dabei die Dokumentation: Ein Unternehmen muss wissen, bei welchen Diensten der Schlüssel eingesetzt wurde. Je dezentraler Mitarbeiter ihre YubiKeys selbst registrieren dürfen, desto schwieriger kann diese Aufgabe werden.
4. Neuen Ersatzschlüssel bereitstellen
Der bisherige Backup-Key kann vorübergehend die Rolle des Primärschlüssels übernehmen. Anschließend sollte wieder ein neuer Backup-Key eingerichtet werden, damit die Redundanz erhalten bleibt.
5. Ereignis dokumentieren
Bei geschäftlichen und insbesondere privilegierten Zugängen sollte der Verlust nachvollziehbar dokumentiert werden. Je nach Sicherheitskonzept können weitere Prüfungen erforderlich sein.
Ist ein verlorener YubiKey automatisch ein kompromittiertes Konto?
Nein. Der physische Verlust eines YubiKeys bedeutet nicht automatisch, dass ein Angreifer Zugang zum Konto erhalten hat.
Trotzdem sollte der Schlüssel als verloren behandelt und möglichst schnell aus den verbundenen Diensten entfernt werden.
Wie hoch das konkrete Risiko ist, hängt unter anderem von der verwendeten Authentifizierungsmethode, Benutzerverifikation und dem jeweiligen Dienst ab.
Was passiert bei einem defekten YubiKey?
Aus Sicht der Verfügbarkeit ähnelt ein Defekt dem Verlust: Der Benutzer kann den primären Authenticator nicht mehr verwenden.
Ist ein zweiter Schlüssel bereits registriert, bleibt der Zugriff erhalten. Danach kann ein Ersatzgerät bereitgestellt und neu registriert werden.
Ein Backup-Key schützt deshalb nicht nur vor Diebstahl. Er hilft auch bei Defekt, versehentlichem Verlust oder wenn der primäre Schlüssel kurzfristig nicht verfügbar ist.
Backup-Key oder andere Recovery-Methode?
Nicht jedes Unternehmen muss für jeden einzelnen Mitarbeiter exakt dasselbe Recovery-Modell verwenden.
Grundsätzlich kommen mehrere Strategien infrage:
- zweiter registrierter Hardware Security Key,
- andere vom Identity Provider unterstützte Wiederherstellungsmethode,
- administrativ kontrollierter Recovery-Prozess,
- temporärer Zugang nach Identitätsprüfung,
- definierte Notfallkonten für bestimmte Enterprise-Szenarien.
Welche Variante geeignet ist, hängt vom Risiko ab.
Für ein gewöhnliches Benutzerkonto kann ein zentral administrierter Wiederherstellungsprozess ausreichend sein. Bei einem hochprivilegierten Administrator oder einem geschäftskritischen Konto kann ein zweiter physischer Authenticator die bessere Wahl sein.
Warum schwache Recovery-Methoden die YubiKey-Strategie untergraben können
Eine Authentifizierung ist nur so belastbar wie der Weg, über den sie im Notfall umgangen oder zurückgesetzt werden kann.
Ein Unternehmen kann beispielsweise phishing-resistente FIDO2-Authentifizierung einführen und gleichzeitig einen sehr schwachen Recovery-Prozess beibehalten. Dann kann ein Angreifer versuchen, nicht FIDO2 selbst anzugreifen, sondern die Kontowiederherstellung.
Deshalb sollte bei einem YubiKey-Projekt nicht nur gefragt werden: „Wie melden sich unsere Mitarbeiter an?“
Ebenso wichtig ist die Frage: „Wie weisen sie ihre Identität nach, wenn der Authenticator nicht mehr vorhanden ist?“
Welche Rolle spielen hardwaregebundene Passkeys?
FIDO-Sicherheitsschlüssel können hardwaregebundene Passkeys speichern. Dabei bleibt das Credential an den jeweiligen Hardware-Authenticator gebunden.
Das unterscheidet diesen Ansatz von synchronisierten Passkeys, die über ein unterstütztes Passkey-Ökosystem auf mehrere Geräte verteilt werden können.
Gerade für Unternehmen mit hohen Anforderungen an Kontrolle und Schlüsselbindung kann diese Eigenschaft gewünscht sein. Sie bedeutet aber gleichzeitig, dass Backup und Recovery bewusst geplant werden müssen.
Mehr zu den beiden Strategien finden Sie in unserem Ratgeber Synced Passkeys vs. YubiKey: Welche Strategie ist für Unternehmen richtig?.
Müssen Primär- und Backup-YubiKey dasselbe Modell sein?
Nicht zwingend. Entscheidend ist, dass der Ersatzschlüssel die für den jeweiligen Anwendungsfall benötigten Protokolle, Schnittstellen und Plattformanforderungen erfüllt.
In einem standardisierten Unternehmens-Rollout können identische Modelle trotzdem Vorteile bieten: Beschaffung, Dokumentation, Support und Benutzerschulung werden einfacher.
Andererseits kann ein bewusst unterschiedlicher Anschluss sinnvoll sein. Verwendet ein Mitarbeiter beispielsweise hauptsächlich USB-C, muss im Notfall aber auch an älteren USB-A-Systemen arbeiten, kann ein anderer Formfaktor beim Backup-Key sinnvoll sein – sofern beide Schlüssel die benötigten Authentifizierungsverfahren unterstützen.
Security Key Series oder YubiKey 5 Series als Backup?
Hier ist die verwendete Funktion entscheidend.
Die Security Key Series konzentriert sich auf FIDO2/WebAuthn und FIDO U2F. Für reine FIDO-Anwendungen kann sie deshalb sowohl als primärer als auch als Backup-Schlüssel eine wirtschaftlich interessante Lösung sein.
Der Security Key NFC bietet USB-A und NFC. Für Geräte mit USB-C steht der Security Key C NFC zur Verfügung.
Benötigt ein Unternehmen zusätzlich Protokolle wie Personal Identity Verification (PIV), OpenPGP, OATH oder Yubico OTP, sollte die YubiKey 5 Series geprüft werden.
Der YubiKey 5 NFC kombiniert USB-A und NFC mit der Multi-Protokoll-Funktionalität der YubiKey 5 Series. Der YubiKey 5C NFC bietet diese Ausrichtung für USB-C und NFC.
| Anforderung | Passende Serie prüfen |
|---|---|
| Nur FIDO2/WebAuthn und FIDO U2F | Security Key Series oder YubiKey 5 Series |
| FIDO + PIV | YubiKey 5 Series |
| FIDO + OpenPGP | YubiKey 5 Series |
| FIDO + OATH/OTP | YubiKey 5 Series |
| USB-A + NFC | Security Key NFC oder YubiKey 5 NFC |
| USB-C + NFC | Security Key C NFC oder YubiKey 5C NFC |
Eine detaillierte Entscheidungshilfe finden Sie in unserem Vergleich YubiKey 5 vs. Security Key – alle Unterschiede einfach erklärt.
Kann ein Security Key als Backup für einen YubiKey 5 dienen?
Für reine FIDO2/WebAuthn-Anwendungen kann das grundsätzlich möglich sein, wenn der jeweilige Dienst beide Schlüssel unterstützt.
Sobald jedoch eine Funktion der YubiKey 5 Series wie PIV, OpenPGP, OATH oder OTP abgesichert werden soll, reicht die Security Key Series dafür nicht aus.
Deshalb sollte ein Unternehmen nicht einfach den günstigsten Schlüssel als Ersatz bestellen, sondern zunächst festhalten, welche Credentials und Protokolle im Ausfall tatsächlich benötigt werden.
Wie viele Ersatzschlüssel braucht ein Unternehmen?
„Zwei YubiKeys pro Mitarbeiter“ ist eine einfache Strategie, aber nicht die einzige mögliche Architektur.
Modell A: Zwei Schlüssel pro Benutzer
Jeder Benutzer erhält einen Primär- und einen persönlichen Backup-Key.
- Backup ist bereits registriert.
- Benutzer kann bei Verlust schnell weiterarbeiten.
- Wenig Abhängigkeit vom Helpdesk im Ausfallmoment.
- Mit unterschiedlichen Covers lassen sich beide Schlüssel eindeutig unterscheiden.
Modell B: Zwei Schlüssel nur für kritische Benutzer
Administratoren, Management und andere Schlüsselrollen erhalten einen persönlichen Backup-Key. Standardbenutzer nutzen einen zentral definierten Recovery-Prozess.
Das kann für Unternehmen sinnvoll sein, die Kosten und Sicherheitsanforderungen nach Benutzergruppen staffeln möchten.
Modell C: Persönliche Schlüssel plus zentraler Ersatzbestand
Zusätzlich zu den ausgegebenen Authenticators hält die IT unregistrierte Ersatzgeräte vor.
Diese Geräte ersetzen jedoch keinen bereits registrierten Backup-Key. Sie ermöglichen lediglich eine schnelle Hardwarebereitstellung, nachdem der Benutzer über einen anderen kontrollierten Weg wieder Zugang erhalten hat.
Ein Ersatzgerät im Lager ist nicht dasselbe wie ein registrierter Backup-Authenticator.
Beispiel: YubiKey-Planung für 100 Mitarbeiter
Ein Unternehmen möchte 100 Mitarbeiter auf phishing-resistente FIDO2-Authentifizierung umstellen.
Statt automatisch 200 identische Schlüssel zu bestellen, kann die IT zunächst Benutzergruppen bilden:
| Gruppe | Beispiel | Recovery-Strategie |
|---|---|---|
| Kritisch | Administratoren, Geschäftsführung, Security-Team | Persönlicher Primär- und Backup-Key |
| Standard | Normale Büroanwender | Je nach Risikomodell zweiter Key oder kontrollierter zentraler Recovery-Prozess |
| Sonderzugänge | Technische oder Notfallkonten | Separates Break-Glass-Konzept |
Danach wird festgelegt, wie viele zusätzliche Geräte als kurzfristiger Ersatzbestand benötigt werden. Für Benutzer mit zwei identischen YubiKeys kann die IT gleichzeitig unterschiedliche Covers vorsehen, um Primär- und Backup-Key bereits bei der Ausgabe eindeutig zu kennzeichnen.
Backup-YubiKeys richtig dokumentieren
Bei größeren Rollouts reicht es nicht, lediglich zwei Schlüssel auszuhändigen.
Die IT sollte nachvollziehen können:
- welcher Authenticator welchem Benutzer zugeordnet ist,
- welcher Schlüssel Primär- und welcher Backup-Key ist,
- welches Modell eingesetzt wird,
- ob USB-A, USB-C oder NFC benötigt wird,
- bei welchen zentral verwalteten Plattformen die Credentials registriert sind,
- wann ein Schlüssel ausgegeben, ersetzt oder zurückgenommen wurde,
- welcher Prozess bei Verlust ausgelöst werden muss.
Ein Cover erleichtert die visuelle Unterscheidung. Die organisatorische Zuordnung sollte trotzdem im Identity-, Asset- oder entsprechenden Verwaltungsprozess dokumentiert werden.
Was muss beim Offboarding passieren?
Verlässt ein Mitarbeiter das Unternehmen, genügt es nicht, lediglich den YubiKey zurückzufordern.
Die zugehörigen Credentials und Berechtigungen müssen entsprechend dem Identity- und Access-Management-Prozess entfernt werden.
Das gilt für Primär- und Backup-Schlüssel gleichermaßen.
Ein sauberer Offboarding-Prozess sollte deshalb Hardware-Rückgabe und digitalen Berechtigungsentzug als getrennte Kontrollpunkte behandeln.
Was ist bei Administratoren besonders wichtig?
Administratoren besitzen häufig Zugang zu besonders sensiblen Ressourcen: Microsoft Entra ID, Cloud-Plattformen, Server, Netzwerkkomponenten oder Entwicklungsinfrastruktur.
Hier sollte der Recovery-Prozess nicht schwächer sein als die reguläre Anmeldung.
Ein zweiter registrierter Hardware-Key kann insbesondere für solche Konten sinnvoll sein. Zusätzlich sollten Unternehmen festlegen, wie verlorene Credentials widerrufen, Notfallzugänge kontrolliert und Ereignisse dokumentiert werden.
Für SSH-Zugänge haben wir die Besonderheiten separat im Beitrag YubiKey für SSH: Serverzugänge und Admin-Konten sicher absichern zusammengefasst.
Checkliste: Backup-Strategie vor dem YubiKey-Rollout
- Welche Benutzergruppen erhalten YubiKeys?
- Welche Konten sind geschäftskritisch?
- Wer benötigt einen persönlichen Backup-Key?
- Welche Benutzer können über einen zentralen Prozess wiederhergestellt werden?
- Welche Protokolle werden benötigt: nur FIDO oder auch PIV, OpenPGP, OATH beziehungsweise OTP?
- Werden USB-A, USB-C und/oder NFC benötigt?
- Wer registriert Primär- und Backup-Key?
- Wie werden Primär- und Backup-Key sichtbar unterschieden?
- Sollen unterschiedliche YubiKey Covers eingesetzt werden?
- Wer dokumentiert die Zuordnung?
- Wo wird der Backup-Key aufbewahrt?
- Wie meldet ein Benutzer einen Verlust?
- Wer entfernt einen verlorenen Authenticator aus den Diensten?
- Wie wird ein Ersatzschlüssel ausgegeben?
- Wie wird der neue Backup-Key registriert?
- Was passiert beim Offboarding?
Typische Fehler bei Backup und Recovery
Fehler 1: Nur einen YubiKey kaufen und Recovery später planen
Das funktioniert so lange, bis der Schlüssel tatsächlich verloren geht. Recovery sollte vor dem Rollout definiert sein.
Fehler 2: Backup-Key kaufen, aber nicht registrieren
Ein unregistrierter Ersatzschlüssel im Tresor ermöglicht nicht automatisch die Anmeldung am Konto.
Fehler 3: Primär- und Backup-Key verwechseln
Gerade zwei identische YubiKeys sind optisch kaum auseinanderzuhalten. Unterschiedliche Covers können eine einfache visuelle Kennzeichnung schaffen.
Fehler 4: Beide YubiKeys gemeinsam aufbewahren
Auch unterschiedlich gekennzeichnete Schlüssel sollten nicht gemeinsam transportiert werden. Sonst können beide bei demselben Ereignis verloren gehen.
Fehler 5: Den verlorenen Schlüssel nicht deregistrieren
Nach einem Verlust sollte das zugehörige Credential bei den betroffenen Diensten entfernt werden.
Fehler 6: Security Key und YubiKey 5 Series verwechseln
Die Security Key Series ist auf FIDO2/WebAuthn und FIDO U2F ausgerichtet. Wer PIV, OpenPGP, OATH oder OTP benötigt, muss die entsprechenden Modelle der YubiKey 5 Series einplanen.
FAQ: YubiKey verloren, Backup und Ersatz
Was passiert, wenn ich meinen YubiKey verliere?
Wenn ein zweiter Authenticator oder eine andere zulässige Recovery-Methode eingerichtet wurde, können Sie darüber wieder auf das Konto zugreifen. Der verlorene YubiKey sollte anschließend möglichst schnell aus allen zugehörigen Diensten entfernt werden.
Brauche ich zwei YubiKeys?
Für wichtige Konten ist ein zweiter bereits registrierter Sicherheitsschlüssel eine sinnvolle Backup-Strategie. Unternehmen können die konkrete Anzahl nach Benutzerrolle und Risikoklasse festlegen.
Wie unterscheide ich zwei identische YubiKeys?
Primär- und Backup-Key können mit unterschiedlichen Covers optisch gekennzeichnet werden. Auf yubikey-shop.at gibt es dafür unter anderem die Designs Backup Alert, Backup Safety und Backup Code. Die organisatorische Zuordnung sollte zusätzlich dokumentiert werden.
Muss der zweite YubiKey dasselbe Modell sein?
Nicht zwingend. Er muss jedoch die benötigten Protokolle und die erforderliche Gerätekompatibilität bieten. Identische Modelle können die Administration vereinfachen.
Kann ich meinen ersten YubiKey auf einen zweiten kopieren?
Bei FIDO2/WebAuthn werden die Sicherheitsschlüssel separat beim jeweiligen Dienst registriert. Ein Backup-Key ist daher nicht einfach eine Kopie des ersten Authenticators.
Reicht ein unregistrierter Ersatz-YubiKey im IT-Lager?
Nein, nicht als unmittelbarer FIDO-Backup-Zugang. Ein Lagergerät kann schnell als neue Hardware ausgegeben werden, besitzt aber noch kein beim Benutzerkonto registriertes Credential.
Kann ein Security Key als Backup für einen YubiKey 5 verwendet werden?
Bei reinen FIDO2/WebAuthn- beziehungsweise FIDO-U2F-Anwendungen kann das je nach Dienst möglich sein. Für PIV, OpenPGP, OATH oder OTP ist die Security Key Series jedoch nicht geeignet.
Soll der Backup-YubiKey am selben Schlüsselbund hängen?
Nein. Primär- und Backup-Key sollten getrennt aufbewahrt werden, damit nicht beide bei demselben Ereignis verloren gehen.
Wie viele YubiKeys sollte ein Unternehmen bestellen?
Die Menge ergibt sich aus Benutzerzahl, Risikogruppen, persönlicher Backup-Strategie und zusätzlichem Ersatzbestand. Für größere Rollouts sollte zuerst das Betriebs- und Recovery-Modell definiert und danach die Stückzahl kalkuliert werden.
Zusammenfassung: Backup planen und Schlüssel eindeutig kennzeichnen
Ein YubiKey-Rollout ist erst dann vollständig geplant, wenn auch Verlust, Defekt und Recovery berücksichtigt sind.
Für wichtige Benutzer ist ein bereits registrierter zweiter Hardware-Schlüssel eine robuste Möglichkeit, die Verfügbarkeit zu erhöhen. Primär- und Backup-Key sollten möglichst gemeinsam eingerichtet, anschließend getrennt aufbewahrt und eindeutig dokumentiert werden.
Wer zwei gleiche Modelle verwendet, kann die Unterscheidung zusätzlich mit unterschiedlichen YubiKey Covers vereinfachen. Ein neutral gekennzeichneter Primär-Key und ein deutlich erkennbares Backup-Design machen die Rollen bereits auf den ersten Blick sichtbar.
Für reine FIDO2/WebAuthn-Anwendungen bietet sich die Security Key Series an. Werden zusätzlich PIV, OpenPGP, OATH oder OTP benötigt, sollte die YubiKey 5 Series geprüft werden.
Sie planen einen Rollout für mehrere Mitarbeiter? Auf yubikey-shop.at können Sie Primär- und Backup-YubiKeys passend zu Ihren Geräten auswählen und mit unterschiedlichen Covers eindeutig kennzeichnen. Bei größeren Stückzahlen können Unternehmen individuelle Projektkonditionen anfragen.
