Passkeys in Microsoft 365 und Google Workspace einrichten: Leitfaden für kleine Unternehmen

Ein Mitarbeiter verliert auf einer Dienstreise sein Smartphone, auf dem sein einziger Passkey gespeichert war. Gleichzeitig verlangt Microsoft 365 oder Google Workspace beim Login eine zusätzliche Bestätigung. Ohne vorbereiteten Wiederherstellungsweg wird aus einer sicheren Anmeldung schnell ein Arbeitsausfall. Passkeys senken das Risiko erfolgreicher Phishing-Angriffe deutlich, ersetzen aber kein durchdachtes Berechtigungskonzept.

Passkeys sind digitale Zugangsschlüssel nach dem WebAuthn-Standard. Statt ein Passwort auf einer Anmeldeseite einzugeben, bestätigt die Person den Login über die Displaysperre ihres Geräts, etwa per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Der private Teil des Schlüssels bleibt auf dem Gerät oder in einem geschützten Passkey-Speicher. Die Website erhält nur den öffentlichen Schlüssel.

Der entscheidende Vorteil liegt im Phishing-Schutz: Ein Passkey ist an die echte Website gebunden. Wer auf einer täuschend ähnlichen Login-Seite landet, kann den Passkey dort normalerweise nicht verwenden. Das ist ein klarer Unterschied zu Passwörtern und Einmalcodes, die Mitarbeitende auf gefälschten Seiten eingeben können. Für Microsoft-365-Konten sollten Sie deshalb auch die weiteren Schutzmaßnahmen aus unserem Beitrag „Microsoft 365 vor Phishing schützen: Diese Einstellungen sollten kleine Unternehmen 2026 prüfen“ beachten.

Für welche kleinen Unternehmen Passkeys sinnvoll sind

Passkeys passen besonders gut, wenn Ihr Team überwiegend mit persönlichen, verwalteten Geräten arbeitet und bereits zentrale Benutzerkonten in Microsoft 365 oder Google Workspace verwendet. Sie eignen sich für Büroarbeitsplätze, mobile Teams und Geschäftsführungen, die häufig auf sensible Cloud-Dienste zugreifen.

Weniger geeignet sind Passkeys als alleinige Methode, wenn mehrere Personen ein gemeinsames Benutzerkonto verwenden. Das sollte ohnehin die Ausnahme bleiben. Gemeinsame Logins verhindern nachvollziehbare Berechtigungen und erschweren den Austritt von Mitarbeitenden. Richten Sie stattdessen persönliche Konten und Gruppenrechte ein.

Passkeys lösen außerdem nicht jedes Sicherheitsproblem. Ein kompromittiertes Endgerät, großzügige Freigaben oder fehlende Gerätesperren bleiben Risiken. Gerade bei KI-Diensten und Automatisierungen müssen Sie Zugriffsrechte getrennt prüfen. Dazu passt unser Leitfaden „KI-Agenten DSGVO-konform einsetzen: Zugriffsrechte und Freigaben für kleine Unternehmen“.

Vor dem Rollout: Diese Entscheidungen brauchen Sie

Führen Sie Passkeys nicht ohne Pilotphase für alle Konten ein. Starten Sie mit zwei bis fünf technisch versierten Personen, darunter mindestens ein Administrator. Prüfen Sie dabei Anmeldungen an Windows, macOS, iOS und Android sowie in den wichtigsten Browsern Ihres Teams.

Legen Sie vorab schriftlich fest:

• Welche Benutzergruppen Passkeys zuerst erhalten.
• Ob private Smartphones für geschäftliche Passkeys erlaubt sind.
• Ob synchronisierte Passkeys über Apple iCloud-Schlüsselbund, Google Passwortmanager oder Microsoft-gebundene Geräte zulässig sind.
• Welche Hardware-Sicherheitsschlüssel Sie beschaffen.
• Wie ein verlorenes oder gestohlenes Gerät gemeldet wird.
• Wer Passkeys zurücksetzen oder entfernen darf.
• Welche zwei Personen Zugriff auf die Notfallkonten haben.

Für Rollen mit hohen Rechten, etwa globale Administratoren, Buchhaltung oder Geschäftsführung, sind zwei unabhängige Anmeldemethoden sinnvoll. Ein Passkey auf dem Dienstgerät kann durch einen FIDO2-Sicherheitsschlüssel als Reserve ergänzt werden.

Passkeys in Microsoft 365 einrichten

Microsoft 365 nutzt für Unternehmensidentitäten in der Regel Microsoft Entra ID. Die zentrale Voraussetzung ist, dass Sie die Passkey- beziehungsweise FIDO2-Anmeldemethode in den Authentifizierungsmethoden von Entra ID für eine Testgruppe erlauben. Die Bezeichnungen in der Verwaltungsoberfläche können sich ändern, deshalb sollten Sie sich an den aktuellen Einstellungen für „Authentication methods“ und „Passkey“ orientieren.

Gehen Sie praktisch in dieser Reihenfolge vor:

• Legen Sie eine Pilotgruppe an, beispielsweise „Passkeys Pilot“.
• Aktivieren Sie Passkeys zunächst nur für diese Gruppe.
• Entscheiden Sie, ob nur bestimmte FIDO2-Sicherheitsschlüssel erlaubt werden sollen. Eine Einschränkung auf bekannte Hersteller kann bei besonders sensiblen Konten sinnvoll sein.
• Lassen Sie Pilotnutzer einen Passkey unter „Sicherheitsinformationen“ ihres Microsoft-Kontos hinzufügen.
• Testen Sie die Anmeldung im Browser und in den von Ihnen verwendeten Microsoft-Apps.
• Prüfen Sie, ob vorhandene Regeln für mehrstufige Anmeldung und bedingten Zugriff weiterhin wie erwartet greifen.
• Dokumentieren Sie die Rücksetzung eines Passkeys durch den Helpdesk oder Administrator.

Für Windows-Geräte kann Windows Hello for Business ebenfalls eine passwortlose Anmeldung ermöglichen. Verwechseln Sie das nicht mit einem universell nutzbaren Hardware-Schlüssel: Windows Hello ist häufig an das jeweilige Gerät gebunden. Für Mitarbeitende, die zwischen mehreren Rechnern wechseln oder unterwegs arbeiten, ist ein zusätzlicher FIDO2-Schlüssel oft die praktischere Reserve.

Besondere Vorsicht gilt für globale Administratoren. Sperren Sie nicht sämtliche Administratoren gleichzeitig auf eine noch ungetestete Methode um. Mindestens zwei separate Notfallkonten sollten vorhanden bleiben. Diese Konten erhalten lange, einzigartige Passwörter, werden nur für echte Störungen verwendet und ihre Zugangsdaten werden geschützt sowie getrennt vom Arbeitsalltag verwahrt. Jede Nutzung muss nachvollziehbar dokumentiert und danach überprüft werden.

Passkeys in Google Workspace einrichten

In Google Workspace werden Passkeys über die Google-Kontensicherheit der einzelnen Nutzer verwendet. Als Administrator steuern Sie in der Admin-Konsole, ob Ihre Organisation passwortlose Anmeldungen und Passkeys zulässt oder verlangt. Auch hier empfiehlt sich eine begrenzte Organisationseinheit oder Testgruppe, bevor Sie Einstellungen für alle Mitarbeitenden aktivieren.

Der typische Ablauf sieht so aus:

• Erstellen Sie eine Pilotgruppe oder eigene Organisationseinheit.
• Prüfen Sie in den Sicherheitseinstellungen der Admin-Konsole, ob Passkeys für diese Nutzer zugelassen sind.
• Lassen Sie Pilotnutzer in ihrem Google-Konto unter „Sicherheit“ einen Passkey hinzufügen.
• Testen Sie den Login auf den üblichen Geräten und Browsern.
• Prüfen Sie die Wiederherstellungsoptionen für verlorene Geräte.
• Aktivieren Sie Passkeys danach schrittweise für weitere Teams.

Google erlaubt häufig Passkeys, die mit dem Google Passwortmanager oder dem Schlüsselbund eines Mobilgeräts synchronisiert werden. Das ist komfortabel, erfordert aber klare Regeln: Wenn ein privates Apple- oder Google-Konto Passkeys synchronisiert, kann ein Ausscheiden aus dem Unternehmen oder der Wechsel des Privatkontos zusätzlichen Verwaltungsaufwand auslösen.

Für besonders schutzwürdige Konten sind Hardware-Sicherheitsschlüssel daher oft besser kontrollierbar. Google Workspace unterstützt Sicherheitsschlüssel für die Bestätigung in zwei Schritten und für passwortlose Anmeldeszenarien. Entscheidend ist, dass Sie die Schlüssel eindeutig einem Benutzer zuordnen und die Ausgabe dokumentieren.

Welche Hardware Sie wirklich brauchen

Ein FIDO2-Sicherheitsschlüssel ist ein kleiner USB-, USB-C-, Lightning- oder NFC-Schlüssel. Bekannte Hersteller sind Yubico, Nitrokey und Feitian. Entscheidend ist nicht der Markenname, sondern die Kompatibilität mit FIDO2 und den Anschlüssen Ihrer Geräte.

Einsatzfall	Sinnvolle Ausstattung
Fester Büroarbeitsplatz	Passkey auf dem Gerät plus ein reservierter USB-Sicherheitsschlüssel
Mitarbeitende mit Notebook und Smartphone	Passkey auf dem Smartphone oder Notebook plus NFC- oder USB-C-Schlüssel
Administratoren	Zwei registrierte Hardware-Schlüssel, getrennt aufbewahrt
Gemeinschaftsgerät	Keine gemeinsamen Passkeys, sondern persönliche Benutzerkonten

Beschaffen Sie keine Schlüssel, ohne die tatsächlichen Geräteanschlüsse zu prüfen. Ein USB-A-Schlüssel hilft wenig, wenn Ihr Team fast nur USB-C-Notebooks nutzt. NFC ist praktisch für Smartphones, aber nicht jedes Modell und jeder Browser unterstützt jede Kombination gleich zuverlässig.

Wiederherstellung: Der Teil, der im Alltag entscheidet

Bei Passwort-Logins genügte oft ein Zurücksetzen per E-Mail. Bei Passkeys muss klar sein, wie eine Person ihre Identität nach Geräteverlust nachweist. Erstellen Sie dafür eine kurze interne Anleitung mit festen Zuständigkeiten.

Ein funktionierender Prozess enthält mindestens:

• Meldung des Geräteverlusts an eine definierte Stelle.
• Sperrung oder Entfernung des betroffenen Passkeys aus dem Benutzerkonto.
• Identitätsprüfung der betroffenen Person, nicht nur eine Anfrage per E-Mail.
• Einrichtung eines neuen Passkeys auf einem freigegebenen Gerät.
• Prüfung, ob weitere Sitzungen oder Zugriffstokens widerrufen werden müssen.
• Dokumentation des Vorfalls.

Passkeys ersetzen Passwort-Manager nicht vollständig. Sie brauchen weiterhin sichere Ablagen für Zugangsdaten zu älteren Diensten, Dienstleisterportalen oder Notfallkonten. Wie Sie dafür geeignete Lösungen auswählen, lesen Sie in unserem Beitrag „Passwort-Manager für kleine Teams: sicher und DSGVO-konform“.

Rollout ohne unnötige Reibung

Kommunizieren Sie den Nutzen konkret: Mitarbeitende müssen weniger Passwörter eingeben und können sich besser gegen gefälschte Login-Seiten schützen. Eine rein technische Rundmail reicht nicht. Zeigen Sie in einem kurzen Termin, wie die Anmeldung funktioniert, wie ein Sicherheitsschlüssel verwendet wird und was bei Geräteverlust zu tun ist.

Planen Sie während der Einführung eine Übergangsphase ein, in der Passwort und bestehende Mehrfaktor-Methoden noch verfügbar bleiben. Erst wenn die Pilotgruppe zuverlässig arbeitet und die Notfallprozesse getestet sind, sollten Sie Passkeys verbindlich für weitere Teams ausrollen.

Wer die technischen Grundlagen und den sicheren Betrieb systematisch vertiefen möchte, findet passende Seminare bei cmt.de.

Passkeys entfalten ihren Vorteil nicht durch die bloße Aktivierung. Kleine Unternehmen profitieren dann, wenn sie persönliche Konten, saubere Admin-Rollen, geeignete Reserve-Hardware und einen getesteten Wiederherstellungsprozess zusammenführen.