Bildquelle: Pexels / https://www.pexels.com/photo/5473955/
Kurz gesagt Passkeys können Anmeldungen sicherer und bequemer machen, weil sie kein klassisches Passwort mehr übertragen. Für den IT-Betrieb ist damit aber noch kein Prozess fertig. Entscheidend wird, wie Registrierung, Gerätewechsel, Verlustfälle, Helpdesk-Prüfung und Ausnahmen geregelt sind.
Ein Passkey ist ein digitaler Anmeldeschlüssel, der auf einem Gerät oder in einem vertrauenswürdigen Konto gespeichert wird. Beim Login wird nicht mehr ein Passwort eingegeben, sondern das Gerät bestätigt die Anmeldung mit einem kryptografischen Verfahren. Passkeys.dev beschreibt den Ansatz als passwortlose Anmeldung auf Basis von FIDO- und WebAuthn-Technik. Für ITSM ist wichtig: Die Technik nimmt Phishing viel Angriffsfläche, sie verschiebt aber Verantwortung in Geräteverwaltung, Identitätsprozess und Support.
Passkeys ersetzen das geteilte Geheimnis Passwort durch ein Schlüsselpaar. Der öffentliche Teil liegt beim Dienst, der private Teil bleibt beim Nutzergerät oder in einer geschützten Synchronisation. Der Dienst muss dadurch kein Passwort prüfen, das abgefangen, wiederverwendet oder auf einer gefälschten Seite eingegeben werden kann.
Der Sicherheitsgewinn endet nicht beim ersten Login
Passkeys wirken auf den ersten Blick wie eine reine Sicherheitsfunktion. Der Nutzer bestätigt per Fingerabdruck, Gesichtserkennung, PIN oder Gerätesperre, der Dienst prüft den passenden Schlüssel und fertig. In der Praxis beginnt danach die Betriebsarbeit. Wer darf Passkeys registrieren? Für welche Anwendungen sind sie Pflicht? Welche Geräte sind erlaubt? Wie wird ein Schlüssel entfernt, wenn ein Gerät verloren geht oder ein Mitarbeiter das Unternehmen verlässt?
Ohne diese Antworten entsteht ein neues Schattenverzeichnis. Ein Teil der Anmeldungen läuft über alte Passwörter, ein Teil über Mehrfaktorverfahren, ein Teil über Passkeys auf privaten oder dienstlichen Geräten. Das kann sicherer sein als vorher, muss aber nicht automatisch besser steuerbar sein. Gerade ITSM-Generalisten sollten deshalb nicht nur fragen, ob Passkeys technisch funktionieren. Wichtiger ist, ob der Anmeldeweg in den vorhandenen Serviceprozess passt.
Gerätewechsel wird zur Supportfrage
Der häufigste Konflikt entsteht selten im normalen Login. Er entsteht, wenn das Gerät kaputtgeht, ersetzt wird, verloren wird oder noch nicht sauber eingerichtet ist. Dann braucht der Nutzer einen Wiederherstellungsweg. Dieser Weg darf nicht schwächer sein als die Anmeldung, die er ersetzt. Ein Helpdesk, der nach kurzer Telefonprüfung einen neuen Zugang freischaltet, kann den Sicherheitsgewinn wieder verkleinern.
Deshalb gehört zur Einführung ein klares Modell für Wiederherstellung. Welche Identitätsprüfung ist nötig? Welche Rolle darf einen Passkey zurücksetzen oder neu registrieren? Wird die Aktion protokolliert? Gibt es eine Wartezeit bei besonders kritischen Konten? Werden alte Schlüssel automatisch entfernt? Diese Fragen klingen nach Detailarbeit, entscheiden aber darüber, ob Passkeys im Alltag Vertrauen schaffen oder neue Ausnahmewege produzieren.
Phishing wird schwieriger, aber Ausnahmen bleiben gefährlich
Ein großer Vorteil von Passkeys ist die Bindung an den echten Dienst. Ein Angreifer kann Nutzer schwerer dazu bringen, ein Passwort auf einer gefälschten Seite einzugeben, weil kein Passwort eingegeben wird. NIST behandelt moderne Authentifikatoren deshalb ausführlich in seinen Vorgaben zur digitalen Identität. Auch die CISA empfiehlt starke Anmeldeverfahren und Mehrfaktorabsicherung als Schutz vor Kontoübernahmen.
Der Betrieb darf daraus aber nicht schließen, dass alle Risiken verschwinden. Es bleiben Ausnahmen, Altanwendungen, Gastkonten, Dienstkonten, mobile Sonderfälle und externe Partner. Wenn diese Randfälle weiter mit schwachen Passwörtern arbeiten, wird der neue Standard uneinheitlich. Ein sauberer Rollout braucht deshalb eine Liste der Anwendungen, Nutzergruppen und Ausnahmen. Jede Ausnahme sollte ein Ablaufdatum, einen Besitzer und eine Ersatzmaßnahme haben.
Der Service Desk braucht neue Prüfschritte
Für den Service Desk verändert sich die Gesprächslogik. Früher ging es oft um Passwort vergessen, Konto gesperrt oder Mehrfaktorgerät verloren. Mit Passkeys kommen Fragen dazu: Ist der Schlüssel auf dem richtigen Gerät registriert? Wird er über ein Plattformkonto synchronisiert? Ist das Gerät verwaltet? Ist der Browser oder die App kompatibel? Hat der Nutzer mehrere Passkeys für denselben Dienst?
Das muss nicht kompliziert werden, wenn der Ablauf vorbereitet ist. Sinnvoll sind kurze Entscheidungsbäume für Standardfälle. Ein neuer Mitarbeiter braucht eine Erstregistrierung. Ein Gerätewechsel braucht eine kontrollierte Übergabe. Ein Verlustfall braucht Sperre und Nachweis. Eine Führungskraft mit kritischem Zugriff braucht möglicherweise strengere Prüfung. Ein externer Dienstleister braucht einen klar begrenzten Zugang. So wird aus einer Sicherheitsfunktion ein betreibbarer Service.
Passkeys gehören in Identitätsmanagement und Change-Prozess
Die Einführung sollte nicht als isolierter Authentifizierungswechsel laufen. Sie berührt Identitätsmanagement, Gerätemanagement, Informationssicherheit, Datenschutz, Einkauf, Schulung und Applikationsbetrieb. Eine Anwendung, die Passkeys unterstützt, ist noch nicht automatisch bereit für den produktiven Pflichtbetrieb. Vorher muss klar sein, wie Nutzer informiert werden, wie Fehler gemeldet werden, welche Metriken beobachtet werden und wie der Rückweg aussieht.
Ein praktikabler Change beginnt mit einem begrenzten Anwendungsfall. Gut geeignet sind Dienste mit hohem Phishingrisiko, klarer Nutzergruppe und beherrschbarer Supportlast. Danach folgt eine Auswertung: Wie viele Registrierungen funktionieren beim ersten Versuch? Wie häufig braucht der Helpdesk Unterstützung? Welche Geräte oder Browser machen Probleme? Welche Ausnahmen bleiben offen? Erst diese Betriebsdaten zeigen, ob der nächste Rollout-Schritt tragfähig ist.
Ein Mindestplan für die Einführung
- Lege fest, für welche Anwendungen Passkeys zuerst gelten und warum.
- Definiere erlaubte Gerätetypen, verwaltete Geräte und private Sonderfälle.
- Beschreibe Registrierung, Gerätewechsel, Verlustfall und Austritt als Supportablauf.
- Schließe alte Passwortwege nicht blind, sondern mit geprüftem Rückfallplan.
- Protokolliere Neuregistrierungen, Löschungen und Wiederherstellungen nachvollziehbar.
- Vergib Ausnahmen nur mit Besitzer, Frist und Ersatzmaßnahme.
- Miss Supportfälle, Fehlversuche und offene Altverfahren nach dem Start.
Fazit
Passkeys können die Anmeldung spürbar verbessern, weil sie das klassische Passwort aus dem täglichen Risiko nehmen. Für den Betrieb reicht diese technische Stärke allein nicht aus. Erst ein sauberer Betriebsplan macht daraus einen verlässlichen Service: mit klarer Registrierung, kontrollierter Wiederherstellung, gepflegten Ausnahmen und einem Service Desk, der die neuen Fälle sicher bearbeiten kann.
