Passkeys und FIDO2 — Ende der Passwort-Ära im Enterprise

Passwoerter sind das schwaechste Glied der Sicherheit — Phishing, Credential Stuffing, Passwort-Wiederverwendung und schwache Passwoerter verursachen die Mehrheit der Sicherheitsvorfaelle. Passkeys bieten endlich eine echte Alternative, unterstuetzt von Apple, Google und Microsoft. Im Gegensatz zu frueheren Versuchen der passwortlosen Authentifizierung (Hardware-Tokens, SMS OTP) sind Passkeys direkt in Betriebssysteme und Browser integriert und erfordern keine zusaetzliche Hardware.

Was sind Passkeys¶

Ein kryptographisches Schluesselpaar basierend auf dem WebAuthn/FIDO2-Standard. Der private Schluessel verlaesst nie das Geraet — er ist durch Biometrie (Fingerabdruck, Face ID) oder eine PIN geschuetzt. Kein Passwort zum Stehlen, kein Phishing (der Schluessel ist an eine bestimmte Domain gebunden), kein Password Spray. Passkeys synchronisieren sich automatisch ueber iCloud Keychain, Google Password Manager oder Windows Hello, sodass sie geraeteuebergreifend funktionieren.

Enterprise-Implementierung¶

• Hybrider Ansatz: Passkeys als primaere Methode + Passwort-Fallback + MFA fuer die Uebergangszeit
• WebAuthn-Bibliotheken: SimpleWebAuthn (Node.js), py_webauthn (Python), java-webauthn-server — serverseitige Validierung
• Conditional UI: Autofill Passkey im Login-Formular — nahtlose UX ohne zusaetzliche Schritte

Die serverseitige Implementierung umfasst Registrierung (Speicherung von Public Key und Credential ID) und Authentifizierung (Challenge-Response mit Signatur). Bibliotheken abstrahieren die Kryptographie — der Entwickler arbeitet mit einer einfachen API. Fuer Enterprise-Bereitstellungen integrieren Sie mit Ihrem bestehenden Identity Provider (Keycloak, Azure AD, Okta).

Herausforderungen¶

Account Recovery ist die groesste Herausforderung. Was, wenn der Benutzer alle Geraete verliert? Loesungen: Recovery Codes, Trusted Contact oder Fallback auf verifizierte E-Mail mit temporaerem Zugang. Enterprise Enrollment erfordert schrittweise Migration — bieten Sie Passkeys als Option an, zwingen Sie Benutzer nicht. Cross-Platform-Komplikationen: ueber iCloud synchronisierte Passkeys funktionieren nicht auf Android-Geraeten und umgekehrt.

Beginnen Sie heute mit der Implementierung von Passkeys¶

Bieten Sie Passkeys als primaere Authentifizierungsmethode an, behalten Sie einen Passwort-Fallback fuer die Uebergangszeit bei. Die Aera der Passwoerter geht zu Ende — Unternehmen, die Passkeys frueher adoptieren, haben sicherere Benutzer und niedrigere Kosten fuer Passwort-Resets.