Above IT Oy veröffentlicht weiterhin Microsoft 365 Schulungsvideos. Im aktuellen Microsoft 365 Schulungsvideo behandelt Above IT ‚Consigliere‘ Lauri Haveri die Registrierung und Verwendung von FIDO2-Passkeys bei der Microsoft 365 Authentifizierung. Ähnliche Schulungsvideos werden wir auch in Zukunft regelmäßig veröffentlichen – zur Freude Ihrer IT-Abteilung!
Was ist eigentlich ein Passkey?
Ein Passkey (dt. Pääsyavain) ist eine auf einem Gerät oder in einer Software gespeicherte Kennung, mit der Sie sich beispielsweise bei Ihrem Microsoft 365-Konto ohne Passwort anmelden. In der deutschsprachigen Benutzeroberfläche von Microsoft wird er als Passkey (FIDO2) bezeichnet. Zur Anmeldung entsperrt der Benutzer das Gerät auf die gleiche Weise wie ein Smartphone, etwa mit einem PIN-Code. Passkeys basieren auf dem offenen FIDO2-Standard.
Wie unterscheiden sich die verschiedenen Passkeys voneinander?
Einen digitalen Passkey kann man beispielsweise im Microsoft Authenticator, im Google Passwort-Manager oder im Apple iCloud-Schlüsselbund einrichten.
Eine weitere gängige Option ist der physische Sicherheitsschlüssel, umgangssprachlich auch Security Key genannt. Physische Sicherheitsschlüssel werden zum Beispiel von Yubico und Token2 hergestellt. Im Bild dieses vLog-Artikels sind beispielsweise zwei Sicherheitsschlüssel von Token2 zu sehen, mit einer Ein-Euro-Münze zum Größenvergleich. Mit dem Sicherheitsschlüssel erledigen Sie praktisch beide Schritte der Authentifizierung: etwas, das Sie besitzen (das Gerät), und etwas, das Sie sind oder wissen (Fingerabdruck oder PIN). Ein separates Passwort muss weder gemerkt noch regelmäßig geändert werden.
Der Administrator kann im Microsoft Entra-Portal bei Bedarf festlegen, welche Arten von Passkeys für die Authentifizierung zugelassen werden. Alternativ können auch alle Arten von Passkeys zugelassen werden. Mit der Anforderung „Authentifizierungsstärken“ der bedingten Zugriffsverwaltung lässt sich zudem eine phishingresistente Anmeldung für eine bestimmte Benutzergruppe festlegen. Dies erfordert jedoch eine Entra ID P1-Lizenz, die beispielsweise in Microsoft 365 Business Premium enthalten ist.
Warum lohnt sich die Einführung eines physischen Sicherheitsschlüssels?
Ein physischer Sicherheitsschlüssel ist praktisch unmöglich zu phishen. Anders als bei einem Passwort oder einem SMS-Code kann der Benutzer ihn nicht versehentlich auf einer Betrugsseite preisgeben.
Die Anmeldung erfolgt schneller als die Eingabe eines Passworts, einer Nummer im MS Authenticator oder eines Einmalcodes. Ein physischer Sicherheitsschlüssel erfordert keine Anschaffung eines separaten Diensthandys für die Benutzer.
Typische Einsatzszenarien für physische Sicherheitsschlüssel sind unter anderem separate Break-Glass-Konten, also „Scheibe einschlagen“-Konten mit vollständigen Administratorrechten, deren Passkey im Tresor aufbewahrt wird – für den Fall, dass aus irgendeinem Grund kein anderes Konto mit seiner Authentifizierung mehr funktioniert.
Es ist außerdem sehr praktisch, einen physischen Passkey für IT-Experten einzuführen, die mehrere Dutzend verschiedene Administratorkonten verwalten. Dabei kann ein- und derselbe physische Passkey samt PIN-Code für die Authentifizierung genutzt werden, sodass Passwörter nicht mehr gemerkt und gepflegt werden müssen.
Sehen Sie im Video, wie es in der Praxis funktioniert
Passkeys einrichten – Schritt-für-Schritt-Anleitung
- Der Administrator aktiviert im Microsoft Entra Admin Center unter den Authentifizierungsmethodenrichtlinien die Methode Passkey (FIDO2) und legt fest, welche Benutzer oder Gruppen sie verwenden dürfen.
- Der Benutzer registriert den Passkey unter mysignins.microsoft.com im Bereich Sicherheitsinformationen, indem er Anmeldemethode hinzufügen und Passkey auswählt. Der physische Schlüssel wird per USB oder NFC verbunden, der digitale Schlüssel wird beispielsweise in der Authenticator-App erstellt.
- Abschließend kann mit der bedingten Zugriffsverwaltung eine phishingresistente Anmeldung beispielsweise für Administratoren verlangt werden.
Möchte Ihre IT-Abteilung Passkeys organisationsweit einführen? Kontaktieren Sie uns, damit wir Ihre IT-Abteilung bei der Planung und Einführung unterstützen können.
