Schluss mit dem Passwort-Zettel: Ein Stufenplan für den passwortlosen Login im Unternehmen
Photo: usicegov, Public domain, via Wikimedia Commons
Technisch ist die Frage längst geklärt: Passkeys, basierend auf dem FIDO2-Standard, sind resistent gegen Phishing, lassen sich nicht in Datenlecks verkaufen und beschleunigen den Login spürbar. Microsoft, Google und Apple haben die Grundlage gemeinsam geschaffen, und gängige Identity-Provider wie Entra ID, Google Workspace oder Keycloak unterstützen die Methode produktiv.
Warum also arbeiten die meisten Belegschaften noch immer mit Passwörtern, deren Wiederverwendung Sicherheitsbeauftragte nachts nicht schlafen lässt? Die Antwort liegt selten in der Technik. Sie liegt im Change-Management.
Warum die Einführung an Menschen scheitert, nicht an Software
Ein Passkey verhält sich für Nutzer zunächst ungewohnt: Er wird auf dem Gerät gespeichert, per Fingerabdruck oder PIN freigeschaltet und – je nach Konfiguration – zwischen Geräten synchronisiert. Wer zum ersten Mal vor einem Login ohne Passwort steht, reagiert häufig mit Misstrauen: Wo ist der Schlüssel jetzt? Was, wenn das Gerät verloren geht?
Genau diese Fragen müssen beantwortet werden, bevor der Rollout startet – nicht danach. Unternehmen, die Passkeys per Grupppenrichtlinie aufzwingen ohne Begleitung, erleben erfahrungsgemäß Helpdesk-Wellen und stillen Widerstand.
Stufe eins: Bewusstsein und freiwillige Pilotphase
Beginnen Sie mit einer freiwilligen Pilotgruppe aus zehn bis zwanzig Mitarbeitern unterschiedlicher Abteilungen und Technikaffinität. Wichtig: Nicht nur die Digital-Natives einbeziehen. Wenn die Buchhaltung und der Vertrieb den Passkey-Login im Alltag meistern, überträgt sich das schneller auf die Organisation als jede interne E-Mail der IT.
Begleiten Sie die Pilotphase mit einer kurzen, verständlichen Kommunikation. Eine bewährte Vorlage:
Liebe Kolleginnen und Kollegen, ab sofort können Sie sich bei [Anwendung] ohne Passwort anmelden – mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Ihr Schlüssel bleibt sicher auf Ihrem Gerät und kann niemals gestohlen oder weitergegeben werden. Bei Fragen hilft der IT-Support unter [Kontaktweg] weiter.
Stufe zwei: Pflicht für definierte Gruppen, Fallback bleibt bestehen
In der zweiten Stufe wird die Passkey-Anmeldung für klar abgegrenzte Gruppen verpflichtend – typischerweise alle mit Zugriff auf sensible Daten: Personalabteilung, Finanzen, Geschäftsführung. Entscheidend ist ein sauber durchdachter Fallback:
- Mindestens zwei Passkeys pro Nutzer, verteilt auf zwei Geräte.
- Ein dokumentierter Wiederherstellungsprozess über die IT mit Identitätsnachweis.
- Beibehaltung von TOTP als Übergangslösung, nicht als Dauerzustand.
SMS-basierte Codes sollten in dieser Phase endgültig ausgemustert werden – sie sind der schwächste Faktor der gesamten Kette.
Stufe drei: Passwort-Deaktivierung und laufender Betrieb
Erst wenn die Fehlerraten im Helpdesk sinken und die Akzeptanzmessungen stabil sind, wird die Passwort-Anmeldung für die migrierten Anwendungen deaktiviert. Ab diesem Punkt zählt kontinuierliche Pflege: Neue Mitarbeiter erhalten den Passkey-Login im Onboarding, ausgeschiedene werden zuverlässig entfernt, und die Plattformabdeckung wird quartalsweise geprüft.
Die Haftungsfrage bei Verlust oder Diebstahl
Viele Führungskräfte fragen: Was passiert rechtlich, wenn ein Gerät mit Passkey verloren geht? Die Entwarnung ist relativ klar: Ein gestohlener Passkey ist ohne die biometrische Sperre oder PIN des Geräts nutzlos – anders als ein notiertes Passwort. Der Verlust selbst begründet keinen Datenabfluss. Entscheidend ist der zeitnahe Entzug des Schlüssels im Identity-Management, weshalb der Wiederherstellungsprozess dokumentiert und geübt sein muss. DSGVO-relevant wird es erst, wenn trotz Alarmzeichen keine Sperre erfolgte – ein Punkt, den die IT-Leitung intern schriftlich festhalten sollte.
Checkliste für die ersten 30 Tage
- Pilotgruppe aus allen Abteilungen zusammenstellen
- Passkey-Registrierung für alle Pilotgeräte durchführen
- Zweitgerät als Backup-Schlüssel einrichten
- Kommunikationsmail mit Support-Kontakt versenden
- Wöchentliche Auswertung der Helpdesk-Anfragen
- Wiederherstellungsprozess einmal im Test durchspielen
- Ergebnisse dokumentieren und nächste Stufe terminieren
Wer diesen Pfad geht, erreicht in der Regel binnen eines Quartals eine Belegschaft, die Passwörter für kritische Anwendungen nicht mehr braucht. Der Aufwand ist überschaubar – der Sicherheitsgewinn dagegen ist einer der größten, die derzeit für vergleichsweise kleines Geld zu haben sind.
