Das Problem
Das Passwort ist der beste Freund des Angreifers
Passwörter haben zwei Grundprobleme: Menschen wählen schlechte, und selbst gute können gestohlen werden. Phishing-Seiten, die Ihrem Login zum Verwechseln ähnlich sehen, geleakte Passwörter aus anderen Diensten und schlichtes Abfangen haben das Passwort zum schwächsten Glied in fast allen Organisationen gemacht.
Klassische MFA hilft, schließt die Lücke aber nicht. Moderne Phishing-Werkzeuge schalten sich zwischen Nutzer und echte Loginseite und leiten Passwort und Einmalcode in Echtzeit weiter. Und Nutzer von Authentifizierungs-Apps lassen sich ermüden: genug Anfragen, und ein gewisser Teil tippt auf "Genehmigen", um Ruhe zu haben.
Die Lösung
Passkeys: der Schlüssel, der nur in Ihr Schloss passt
Ein Passkey ist ein kryptografisches Schlüsselpaar anstelle eines Passworts. Der private Teil liegt im Telefon, PC oder Sicherheitsschlüssel des Nutzers und verlässt das Gerät nie; der Nutzer entsperrt ihn lokal mit Fingerabdruck, Gesicht oder PIN. Die Technologie dahinter heißt FIDO2/WebAuthn und ist Standard in Windows, macOS, iOS und Android.
Entscheidend ist, dass ein Passkey an die Domäne gebunden ist, für die er erstellt wurde. Eine gefälschte Loginseite kann Ihrer zum Verwechseln ähnlich sehen – aber der Passkey antwortet ihr schlicht nicht. Phishing beim Login wird nicht nur schwieriger, es wird technisch unmöglich. Es gibt keinen Code, zu dessen Preisgabe sich der Nutzer verleiten ließe.
Die Vorteile
Was Sie davon haben
- Phishing-Resistenz: die Angriffskategorie, mit der die meisten Sicherheitsvorfälle beginnen, funktioniert beim Login nicht mehr.
- Nichts zu leaken: der Server speichert nur den öffentlichen Schlüssel – ein Datenleck bei Ihnen oder einem Dienstleister gibt keine verwertbaren Anmeldedaten preis.
- Schnellere Anmeldung: ein Fingerabdruck ist stärker und schneller als Passwort plus Einmalcode – die Nutzer merken, dass die sichere Wahl auch die bequeme ist.
- Weniger Helpdesk-Tickets: vergessene Passwörter sind einer der größten Einzelposten in jedem Helpdesk – diese Tickets verschwinden zusammen mit den Passwörtern.
- Nachweisbare Stärke: Phishing-resistente MFA ist die Art von Kontrolle, nach der Aufsichtsbehörden und Versicherer zunehmend direkt fragen.
Wo sollten Sie anfangen?
Dort, wo gestohlene Anmeldedaten den größten Schaden anrichten: Administratoren, Fernzugriff und Geschäftsleitung. Diese Gruppen sind klein genug für eine schnelle Einführung und exponiert genug, dass der Nutzen vom ersten Tag an spürbar ist. Sicherheitsschlüssel oder die eingebauten Passkeys der Plattform – beides funktioniert.
Der breite Rollout lässt sich in Etappen angehen: Lassen Sie Passkeys neben dem bisherigen Login bestehen, und stellen Sie die Nutzer Gruppe für Gruppe um. Die meisten Identitätsplattformen, darunter Entra ID, unterstützen das heute ohne zusätzliche Lizenzen – oft ist die größte Arbeit die Entscheidung.
Bereit, das Passwort in Rente zu schicken?
Wir helfen Ihnen, einen Plan für Phishing-resistente MFA zu erstellen – von den exponiertesten Konten bis zur gesamten Organisation. Ergebnisse auf Englisch, Dialog auf Deutsch.
