Überblick
Passkeys ersetzen Passwörter und phishinganfällige MFA durch kryptografische Schlüsselpaare. Dadurch sinkt das Risiko von Credential-Phishing, während die Anmeldung einfacher wird. Die Passkey-Erfahrung aus Verbraucherkonten wurde jedoch nicht für Workforce-Governance entwickelt. Unternehmensbereitstellungen benötigen zusätzlich Richtlinien für Speicherung, Wiederherstellung, Gerätevertrauen, Offboarding, Audit-Nachweise und regulierte Rollen.
Dieser Leitfaden beschreibt, was Security-Architekten und IAM-Verantwortliche bei Auswahl und Betrieb von Workforce-Passkeys bewerten sollten.
Consumer- und Workforce-Passkeys: die Lücke verstehen
- Synchronisierung außerhalb der Unternehmenskontrolle. Consumer-Passkeys können über ein persönliches Provider-Konto synchronisiert werden. Die Relying Party kann ein registriertes Credential widerrufen, IT hat jedoch möglicherweise nur begrenzte Sicht auf Synchronisierung, Wiederherstellung und Gerätebestand des Providers.
- Begrenzte Geräteherkunft. Standardmäßig synchronisierte Passkeys liefern Eigenschaften wie Backup-Berechtigung und Backup-Status, aber meist keinen verifizierbaren, gerätespezifischen Beleg dafür, dass ein Credential auf einem verwalteten Unternehmensgerät erstellt wurde. Siehe Trusted Authenticator Lineage für die Signale, die ein Unternehmen bewerten kann.
- Unterschiedliche administrative Grenzen. Eine Workforce-Bereitstellung benötigt serverseitiges Credential-Inventar und Widerruf sowie klare Richtlinien für Provider-Konten, Wiederherstellung, Ersatz und Offboarding. Die Verwaltung des Relying-Party-Eintrags verwaltet nicht automatisch jede beim Synchronisierungsprovider gespeicherte Kopie.
Was zu bewerten ist
- Gerätegebundene und unternehmenskontrolliert synchronisierte Passkeys. Privilegierte, administrative und regulierte Rollen können gerätegebundene Passkeys benötigen, deren private Schlüssel weder exportiert noch synchronisiert werden. Für andere Benutzer kann unternehmenskontrollierte Synchronisierung sinnvoll sein. Die Richtlinie sollte das Modell je Risikostufe bestimmen.
- Attestierung und Herkunft. Wenn Attestierung verfügbar und angemessen ist, prüfen Sie nur die Herkunft und Sicherheitseigenschaften, die sie tatsächlich nachweist. Behandeln Sie den aktuellen Gerätestatus als separates Signal aus MDM, Endpoint-Security, Plattformattestierung oder einer anderen Statusquelle.
- Lebenszyklusverwaltung. Bewerten Sie Erstanmeldung, Registrierung weiterer Geräte, Wiederherstellung nach Geräteverlust, Credential-Ersatz, serverseitigen Widerruf und Offboarding. Bootstrap- und Recovery-Pfade dürfen nicht unbemerkt auf phishinganfällige SMS, E-Mail-Links oder temporäre Passwörter zurückfallen.
- Plattformübergreifende Interoperabilität. Testen Sie den tatsächlichen Workforce-Mix aus Windows, macOS, iOS, Android, externen Security Keys, gemeinsam genutzten Geräten, virtuellen Desktops und Ausnahmeworkflows. WebAuthn-API-Unterstützung bedeutet nicht überall dieselbe Betriebserfahrung.
- Offene Standards. Bestätigen Sie FIDO2 und WebAuthn für Authentifizierung sowie geeignete Standards wie OIDC, SAML und SCIM für Föderation und Provisionierung. Standards reduzieren Lock-in, dennoch müssen Fähigkeiten und Konfiguration jeder Anwendung und jedes Identitätsanbieters geprüft werden.
Fragen an Anbieter
- Kann eine Richtlinie Registrierung oder Nutzung von Passkeys verhindern, die über persönliche Provider-Konten synchronisiert werden?
- Welche Attestierungs- und Backup-Statusdaten werden erfasst, validiert, gespeichert und für Richtlinien bereitgestellt?
- Können wir für Administratoren gerätegebundene Passkeys verlangen und für andere Teams unternehmenskontrollierte Synchronisierung zulassen?
- Was geschieht bei einem Passkey-Fehler, und sind sämtliche Bootstrap- und Recovery-Pfade ebenfalls phishingresistent?
- Welche Audit-Datensätze gibt es für Registrierung, Authentifizierung, Ersatz, Widerruf, Änderungen des Backup-Status und Wiederherstellung?
So nutzen Sie diese Ressource
Nutzen Sie diese Punkte, um Security, IT und Einkauf abzustimmen, Lücken gegenüber der bestehenden MFA-Bereitstellung zu dokumentieren und messbare Akzeptanzkriterien vor dem Rollout zu definieren.