Ein Mitarbeitender verlässt das Unternehmen. Sein geschäftlicher Laptop wird zurückgegeben, das Benutzerkonto deaktiviert und die Zugriffsrechte werden entzogen. Doch was geschieht mit Passkeys, die über private Geräte oder persönliche Cloud-Konten synchronisiert wurden? Und wer stellt sicher, dass weiterhin genutzte Passwörter, gemeinsam verwendete Zugänge und Wiederherstellungsinformationen geschützt bleiben?

Solche Fragen zeigen, dass moderne Authentifizierung weit über den eigentlichen Anmeldevorgang hinausgeht. Während Passkeys bestimmte Sicherheitsrisiken klassischer Passwörter reduzieren, entstehen für Unternehmen neue Anforderungen an die Organisation und Kontrolle digitaler Zugänge.

Die Herausforderung besteht deshalb nicht darin, zwischen Passkeys und Passwortmanagern zu wählen, sondern beide sinnvoll in eine sichere Zugriffsstrategie einzubinden.

Passkeys verändern die Anmeldung, aber nicht das gesamte Sicherheitskonzept

Klassische Passwörter begleiten Unternehmen seit Jahrzehnten. Sie ermöglichen den Zugang zu Anwendungen, Cloud-Diensten und internen Systemen. Gleichzeitig gehören gestohlene, mehrfach verwendete oder unsicher gespeicherte Passwörter zu den bekannten Sicherheitsrisiken.

Passkeys bieten hierfür einen modernen Ansatz. Anstelle eines klassischen Passworts kommen kryptografische Schlüsselpaare zum Einsatz. Der öffentliche Schlüssel wird beim jeweiligen Dienst hinterlegt, während der private Schlüssel beim verwendeten Authenticator geschützt bleibt.

Die Anmeldung wird beispielsweise über einen Fingerabdruck, die Gesichtserkennung oder eine Geräte-PIN freigegeben. Das eigentliche Geheimnis muss dabei nicht an den Onlinedienst übertragen werden.

Ein wesentlicher Vorteil ist die Widerstandsfähigkeit gegenüber Phishing. Passkeys sind an den jeweiligen Dienst gebunden und können deshalb nicht einfach auf einer gefälschten Anmeldeseite abgefangen und wiederverwendet werden.

Eine sichere Anmeldung bedeutet jedoch nicht automatisch, dass sämtliche Zugriffe innerhalb eines Unternehmens sicher organisiert sind.

Passkeys beantworten in erster Linie die Frage, wie sich ein Benutzer bei einem Dienst authentifiziert. Welche Informationen dieser anschliessend einsehen oder bearbeiten darf, wird weiterhin durch die jeweiligen Berechtigungen bestimmt.

Wenn der sichere Login zur organisatorischen Herausforderung wird

Im privaten Alltag können Passkeys besonders komfortabel sein. Sie lassen sich je nach Anbieter über mehrere Geräte synchronisieren und ermöglichen eine Anmeldung ohne manuelle Passworteingabe.

Im Unternehmensumfeld spielen jedoch zusätzliche Faktoren eine Rolle.

Geschäftliche Passkeys können auf firmeneigenen oder privaten Geräten gespeichert werden. Manche sind fest an einen bestimmten Authenticator gebunden, andere werden verschlüsselt zwischen mehreren Geräten synchronisiert.

Dabei stellt sich eine entscheidende Frage: Wie viel Kontrolle besitzt das Unternehmen über die verwendeten Anmeldemethoden?

Werden geschäftliche Passkeys über private Konten verwaltet, können beispielsweise Gerätewechsel, Wiederherstellungsverfahren oder der Austritt von Mitarbeitenden schwieriger zu kontrollieren sein.

Bei synchronisierten Passkeys ist zudem nicht in jeder Umgebung vollständig ersichtlich, auf welchen Geräten sich Kopien befinden. Unternehmen sollten deshalb festlegen, welche Geräte und Anbieter für geschäftliche Zugänge zugelassen sind.

Gleichzeitig müssen Verfahren bestehen, mit denen registrierte Passkeys bei den jeweiligen Diensten widerrufen werden können. So lässt sich verhindern, dass eine nicht mehr zugelassene Anmeldemethode weiterhin für den betreffenden Zugang verwendet wird.

Geräteverlust, Mitarbeiterwechsel und Offboarding: Wer behält den Überblick?

Ein verlorenes Smartphone oder ein beschädigter Laptop darf nicht dazu führen, dass Mitarbeitende dauerhaft von geschäftskritischen Anwendungen ausgeschlossen sind.

Ebenso wenig darf die Wiederherstellung eines Kontos zu einer Sicherheitslücke werden.

Wenn ein Unternehmen starke Passkeys einsetzt, die Identität bei der Kontowiederherstellung jedoch nur unzureichend überprüft, können Angreifer versuchen, diesen alternativen Weg auszunutzen.

Deshalb gehören sichere Wiederherstellungsverfahren genauso zur Einführung von Passkeys wie die eigentliche Registrierung.

Besonders wichtig ist ausserdem ein geregeltes Offboarding.

Wird ein Mitarbeitender aus dem zentralen Identitätssystem entfernt, können damit verbundene Zugriffe unterbunden werden. Allerdings sind nicht zwangsläufig sämtliche Anwendungen, separat angelegten Konten oder gemeinsam verwendeten Zugänge an dieses System angeschlossen.

Unternehmen müssen deshalb auch prüfen, ob zusätzliche Anmeldemethoden widerrufen, aktive Sitzungen beendet, Berechtigungen entfernt oder gemeinsam verwendete Passwörter geändert werden müssen.

Dasselbe gilt bei internen Rollenwechseln. Wer innerhalb des Unternehmens neue Aufgaben übernimmt, sollte ausschliesslich die dafür benötigten Zugriffsrechte erhalten.

Passkeys verbessern die Authentifizierung. Ein strukturiertes Berechtigungs- und Zugangsmanagement bleibt trotzdem unverzichtbar.

Warum professionelles Passwortmanagement weiterhin notwendig ist

Die zunehmende Verbreitung von Passkeys bedeutet nicht, dass klassische Passwörter kurzfristig verschwinden.

Zahlreiche Unternehmensanwendungen, ältere IT-Systeme und spezialisierte Softwarelösungen setzen weiterhin auf Benutzername und Passwort. Hinzu kommen gemeinsam verwendete Geschäftskonten, technische Zugänge und Wiederherstellungsinformationen.

Unternehmen werden daher noch längere Zeit verschiedene Arten von Zugangsdaten parallel verwalten.

Genau hier bleibt ein professioneller Passwortmanager für Unternehmen relevant.

Anstatt Passwörter in Excel-Dateien, persönlichen Notizen oder privaten Browserprofilen abzulegen, ermöglicht eine zentrale Passwortverwaltung, geschäftliche Zugangsdaten geschützt und strukturiert bereitzustellen.

Moderne Unternehmenslösungen unterstützen dabei beispielsweise die Organisation nach Teams und Abteilungen, rollenbasierte Zugriffsrechte sowie die kontrollierte Weitergabe benötigter Passwörter.

Dies reduziert die Abhängigkeit von einzelnen Mitarbeitenden und erleichtert die Verwaltung gemeinsam genutzter Zugänge.

Auch für die IT-Administration ergeben sich Vorteile: Zugriffsberechtigungen lassen sich nachvollziehbarer organisieren, und bei personellen Veränderungen können Freigaben gezielt angepasst werden.

Passwortmanagement ist somit nicht nur eine technische Schutzmassnahme, sondern auch ein wichtiger Bestandteil effizienter Unternehmensprozesse.

Dabei gilt: Ein Passwortmanager ersetzt weder ein vollständiges Identity-and-Access-Management noch die Verwaltung geschäftlicher Endgeräte. Die jeweiligen Systeme ergänzen sich innerhalb einer umfassenden Sicherheitsstrategie.

Passkeys und Passwortmanager: Ergänzung statt Konkurrenz

Die Diskussion um passwortlose Authentifizierung vermittelt gelegentlich den Eindruck, dass Passwortmanager künftig überflüssig werden.

In der betrieblichen Praxis greift diese Betrachtung zu kurz.

Passkeys lösen bestimmte Probleme der klassischen Passwortanmeldung. Passwortmanager hingegen helfen Unternehmen, weiterhin notwendige Passwörter und geschäftliche Zugangsinformationen sicher zu organisieren.

Beide Ansätze erfüllen damit unterschiedliche Aufgaben.

Während Passkeys den Anmeldevorgang bei unterstützten Diensten absichern, bietet professionelles Passwortmanagement eine strukturierte Grundlage für die Verwaltung bestehender Zugänge.

Abhängig von der jeweiligen Lösung können moderne Passwortmanager zusätzlich die Speicherung und Nutzung von Passkeys unterstützen. Diese Funktion ist jedoch nicht bei jedem Anbieter vorhanden.

Für Unternehmen ist deshalb weniger entscheidend, möglichst schnell sämtliche Passwörter abzuschaffen. Viel wichtiger ist eine Zugriffsstrategie, die sowohl bestehende Anwendungen als auch neue Authentifizierungsverfahren berücksichtigt.

Fünf Massnahmen für eine sichere Zugriffsverwaltung

Unternehmen müssen ihre bestehende IT-Infrastruktur nicht von heute auf morgen vollständig auf Passkeys umstellen. Ein schrittweises Vorgehen reduziert organisatorische Risiken und ermöglicht eine kontrollierte Einführung.

Folgende Massnahmen bieten eine sinnvolle Grundlage:

1. Bestehende Zugänge erfassen: Prüfen Sie, welche Anwendungen Passkeys bereits unterstützen und wo weiterhin klassische Passwörter benötigt werden. Berücksichtigen Sie auch technische Konten und gemeinsam verwendete Zugänge.
2. Klare Geräterichtlinien definieren: Legen Sie fest, ob geschäftliche Passkeys auf privaten Geräten gespeichert werden dürfen, welche Anbieter zugelassen sind und wann gerätegebundene Passkeys erforderlich sind.
3. Wiederherstellung und Offboarding regeln: Definieren Sie verbindliche Prozesse für Geräteverlust, Kontowiederherstellung, Rollenwechsel und Mitarbeiteraustritte. Prüfen Sie dabei auch alternative Anmeldemethoden.
4. Passwortmanagement zentral organisieren: Stellen Sie sicher, dass weiterhin benötigte Passwörter geschützt gespeichert, kontrolliert freigegeben und bei personellen Veränderungen zuverlässig verwaltet werden.
5. Einführung schrittweise überprüfen: Beginnen Sie mit geeigneten Benutzergruppen und kontrollieren Sie regelmässig, ob Anmeldeverfahren, Berechtigungen und Sicherheitsrichtlinien den betrieblichen Anforderungen entsprechen.

Ebenso wichtig ist die Überprüfung bestehender Rückfalloptionen. Wenn neben einem Passkey weiterhin eine deutlich schwächere Anmeldemethode aktiv bleibt, kann dies den zusätzlichen Sicherheitsgewinn einschränken.

Fazit: Die Zukunft gehört einer kontrollierten Zugriffsverwaltung

Passkeys sind ein wichtiger Fortschritt für die digitale Sicherheit. Sie vereinfachen die Anmeldung, reduzieren die Abhängigkeit von klassischen Passwörtern und erschweren bestimmte Formen von Phishing erheblich.

Für Unternehmen liegt die eigentliche Herausforderung jedoch nicht allein in der Einführung neuer Technologien. Entscheidend ist, dass geschäftliche Zugänge unabhängig von einzelnen Geräten, Mitarbeitenden oder Anmeldemethoden kontrolliert verwaltet werden können.

Professionelles Passwortmanagement bleibt dabei ein wichtiger Bestandteil der IT-Sicherheit. Denn solange klassische Passwörter, gemeinsam verwendete Zugänge und andere sensible Zugangsinformationen bestehen, benötigen Unternehmen klare Regeln für deren Speicherung, Nutzung und Freigabe.

Passkeys und Passwortmanager sollten deshalb nicht als Gegensätze betrachtet werden. Gemeinsam mit Identitätsmanagement, Geräteverwaltung und konsequenten Berechtigungskonzepten bilden sie wichtige Bausteine einer sicheren Unternehmens-IT.

Mit PassSecurium können Unternehmen ihre weiterhin benötigten Passwörter und geschäftlichen Zugänge zentral und geschützt verwalten. Rollenbasierte Berechtigungen und kontrollierte Freigaben unterstützen dabei eine strukturierte Passwortverwaltung auch während der schrittweisen Einführung moderner Authentifizierungsverfahren.