Alle zwei Wochen tippt jemand aus einem KMU-Team sein Microsoft-365-Passwort auf einer Seite ein, die wie login.microsoftonline.com aussieht, es aber nicht ist. Ein Passwortmanager fängt das manchmal ab, eine MFA-Abfrage verzögert den Angriff um Sekunden — aber keins von beidem stoppt ihn zuverlässig. Passkeys — die einzige heute breit verfügbare Technologie, die dieses Szenario strukturell eliminiert — weil man einen Schlüssel schlicht nicht auf einer gefälschten Seite eintippen kann.
Im Jahr 2026 sind Passkeys keine „Zukunftstechnologie" mehr. Microsoft, Google, Banken, Allegro, Facebook, LinkedIn — alle großen Anbieter, mit denen ein KMU im Alltag arbeitet, unterstützen sie. Und trotzdem nutzen in den polnischen KMU, in die wir hineinkommen, vielleicht 5 % der Mitarbeitenden tatsächlich einen Passkey. Nachfolgend: was das ist, warum es funktioniert und wie Sie es einführen, ohne die Buchhalterin am Freitag um 16:30 Uhr aus ihrem Konto auszusperren.
Was ein Passkey eigentlich ist
Ein Passkey ist ein kryptografischer Schlüssel, der auf Ihrem Telefon, Laptop oder einem physischen USB-Stick (YubiKey, Google Titan) gespeichert ist. Statt ein Passwort einzutippen, bestätigen Sie die Anmeldung per Fingerabdruck, PIN oder Face ID. Der Schlüssel verlässt das Gerät nie — nur eine Signatur, die Ihren Zugriff belegt, geht an den Server. Er kann durch ein Passwort-Datenleck nicht gestohlen werden, weil in der Datenbank gar kein Passwort liegt.
Vier Dinge, die man verstehen sollte, um dieser Technologie die „Magie"-Aura zu nehmen:
- Ein Passkey ist an eine Domain gebunden. Ein für
microsoft.comregistrierter Schlüssel funktioniert aufmicr0soft-login.plnicht. Das ist keine Frage guten Willens — das Protokoll lässt es einfach nicht zu. - Man kann ihn nicht „am Telefon vorlesen" oder in ein Formular kopieren. Es gibt nichts, was man einem Angreifer übergeben könnte, egal wie überzeugend er ist.
- Der Schlüssel wird zwischen Ihren Geräten synchronisiert — über Apple iCloud Keychain, Google Password Manager oder 1Password/Bitwarden. Neues Telefon? Die Logins erscheinen von selbst.
- MFA verschwindet als separater Schritt — ein Passkey ist an sich „etwas, das Sie haben" plus „etwas, das Sie sind" (Biometrie/PIN). Kein SMS-Code mehr, keine Authenticator-App, die man alle fünf Minuten öffnet.
Warum das besser ist als Passwort + MFA
Klassisches MFA (SMS, App-Code, Push) schützt vor der Nutzung eines gestohlenen Passworts, aber nicht vor Echtzeit-Phishing. Der Angreifer stellt eine gefälschte Seite auf, die für Sie echt aussieht, Sie tippen Login und Passwort ein, bekommen auf dem Telefon einen Push „Sind Sie das?" — Sie tippen „ja", schließlich melden Sie sich ja an. Drei Sekunden später sind Sie eingeloggt — aber nicht bei Microsoft, sondern beim Angreifer, der sich im Hintergrund schon in Ihre Sitzung eingehängt hat. Dieses Szenario heißt AiTM (adversary-in-the-middle) und wurde 2025 zum Standard bei Phishing-Kampagnen gegen Unternehmen.
Ein Passkey funktioniert in diesem Szenario schlicht nicht. Der Browser prüft, dass die Domain nicht microsoft.com ist, und der Schlüssel wird nicht verwendet. Sie müssen „nicht darauf reinfallen" — technisch können Sie nicht darauf reinfallen.
Wo Passkeys heute schon funktionieren
Im Juli 2026 sieht das Bild für ein typisches polnisches KMU so aus:
- Microsoft 365 — volle Unterstützung, auch für Business Basic. In Entra ID (früher Azure AD) in etwa 15 Minuten aktiviert.
- Google Workspace — Passkey in allen Tarifen aktiv, auch in Starter. Kann für die gesamte Organisation verpflichtend gemacht werden.
- Banken — mBank, ING, Santander unterstützen Passkey für Firmenkunden. Alior und BNP sind in der Pilotphase. PKO bleibt bei SMS.
- Allegro Business, InPost, DHL — Passkey verfügbar, oft aber hinter „sicherere Anmeldung" versteckt.
- Comarch, enova, Subiekt — keine native Unterstützung. Aber wenn Sie sich per SSO aus Microsoft 365 anmelden, schützt der Passkey den kompletten Eingang.
Was noch nicht funktioniert: die meisten polnischen B2B-Großhandelsportale, ZUS-/e-Finanzamts-Portale (qualifizierte Signatur statt Passkey), ältere ERP-Versionen im lokalen Betrieb.
Ein Beispiel aus der Praxis
Bei einem unserer Kunden — einer 18-köpfigen Anwaltskanzlei in Poznań — haben wir binnen 12 Monaten vier Phishing-Kampagnen gegen M365-Postfächer protokolliert. Zwei davon waren erfolgreich: einmal tippte eine Assistentin ihr Passwort auf einer Seite ein, die SharePoint „vorgab" zu sein, einmal klickte ein Partner auf einen „Teams-Voicemail"-Link und bestätigte den MFA-Push. In beiden Fällen richtete der Angreifer eine Weiterleitungsregel für Rechnungen ein und verschickte mehrere gefälschte Benachrichtigungen an Mandanten, bevor wir es in den Protokollen bemerkten.
Die Passkey-Einführung dauerte drei Wochen und lief so:
- Woche 1 — Pilot: sechs Admins und Partner registrierten Passkeys auf ihren Diensthandys (iPhone und Android). Wir kauften sechs YubiKey 5C NFC (insgesamt 1 080 PLN) als Notfall-Backup, falls ein Telefon verloren geht.
- Woche 2 — der Rest des Teams: 12 Personen registrierten Passkeys auf ihren Telefonen. Eine Abendschulung (60 Minuten), danach eine 15-minütige Einzelsitzung für drei Personen, die keine Biometrie auf ihrem Telefon aktiviert hatten.
- Woche 3 — Durchsetzung: wir aktivierten in Entra ID eine Richtlinie „Passkey oder Hardware-Schlüssel — Pflicht". Passwörter existieren weiter, aber damit kann man sich von außen nicht mehr anmelden. Vier Personen meldeten „ich sehe kein Fenster" — es lag am alten Edge; Update, Problem gelöst.
Konkrete Ergebnisse nach sechs Monaten: null erfolgreiche Phishing-Versuche (Versuche kommen weiterhin — vier abgewehrt). Das Onboarding einer neuen Anwältin sank von 40 Minuten „MFA in drei Apps einrichten" auf 8 Minuten „Passkey auf dem Telefon registrieren". Kosten: 1 080 PLN einmalig für Schlüssel + null monatlich (M365 Business Premium deckt das bereits ab) + 8 Stunden unserer Arbeit für die Einführung.
Praktische Grenzen, die niemand erwähnt
Passkeys sind kein Allheilmittel. Vier Dinge, die man vor Freitag 16:30 Uhr wissen sollte:
- Verlorenes Telefon = gesperrtes Konto, wenn kein zweiter Passkey auf einem anderen Gerät existiert. Jeder Nutzer sollte mindestens zwei haben: Telefon + Laptop, oder Telefon + YubiKey in einer Schublade im Büro. Diesen Schritt nicht überspringen.
- Nicht jede Anwendung unterstützt Passkeys. Eine alte Firmenanwendung, in die man sich mit einem lokalen Konto (nicht SSO) einloggt, verlangt weiterhin ein Passwort. Passkeys schützen das Tor, nicht jeden Raum dahinter.
- Gemeinsam genutzte Konten passen nicht zu Passkeys. Wenn im Unternehmen ein
biuro@-Postfach von drei Personen mit demselben Passwort genutzt wird — Passkeys lösen das nicht. Das muss in individuelle Konten mit delegierten Berechtigungen aufgeteilt werden. - Wiederherstellung ist Ihre Sache. Microsoft/Google holt Ihnen das Konto nicht zurück, wenn Sie alle Geräte mit Schlüsseln verlieren. Deshalb braucht der Admin eine Notfall-Reset-Prozedur (Reserve-Schlüssel im Safe, zweiter Admin mit vollen Rechten).
Wie Sie es ohne Chaos einführen
Vier Prinzipien, mit denen die Einführung meistens gelingt:
- Fangen Sie bei sich und einem Admin an. Registrieren Sie einen Passkey auf Ihrem eigenen Konto, testen Sie die Anmeldung von verschiedenen Geräten, sperren Sie sich absichtlich aus (Telefon weglegen, am Laptop abmelden) und stellen Sie den Zugang wieder her. Bevor Sie es jemandem aufzwingen.
- Erzwingen Sie Passkeys nicht am ersten Tag. Lassen Sie zwei Wochen die Wahl: Passkey oder Passwort + MFA. Wer es einmal probiert, will nicht zurück. Erst danach die Pflicht aktivieren.
- Kaufen Sie 3–5 YubiKeys als Notfall-Arsenal. Legen Sie sie in einen Safe. Sie kosten 150–200 PLN pro Stück und retten den Tag, an dem jemand sein Telefon im Taxi liegen lässt.
- Schreiben Sie eine einseitige „Was tun, wenn ich mein Telefon verliere"-Prozedur. Zwei Telefonnummern zum Admin, eine Rufnummer, eine Reset-Prozedur — auf einem gedruckten Blatt, nicht in einer Confluence-Seite, in die man sich erst einloggen muss.
Passkey vs. MFA vs. Passwortmanager — was zusammen Sinn ergibt
Passkeys ersetzen keinen Passwortmanager. Es gibt weiterhin Systeme, die Passkeys nicht unterstützen — dort brauchen Sie starke, einzigartige Passwörter. Passwortmanager sind immer öfter auch „Passkey-Manager" (Bitwarden, 1Password) — ein Tresor, eine Anmeldung.
Passkeys ersetzen klassisches MFA in Konten, in denen Sie sie aktivieren. Sie brauchen nicht gleichzeitig SMS, Authenticator und Passkey — das ist ein Überstapel, der das Leben verkompliziert. Eine starke Anmeldung wirkt besser als drei schwache.
Womit Sie diesen Monat anfangen
Sie brauchen kein Quartalsprojekt. Sie brauchen einen Nachmittag und einen Monat für eine sanfte Einführung:
- Prüfen Sie, ob Ihre M365-/Google-Workspace-Lizenz Passkeys unterstützt (Spoiler: mit ziemlicher Sicherheit).
- Registrieren Sie einen Passkey auf Ihrem eigenen Konto. Sehen Sie, wie es sich anfühlt. Sperren Sie sich absichtlich aus und stellen Sie den Zugriff wieder her.
- Kaufen Sie 3–5 YubiKeys für den Safe als Plan B.
- Kündigen Sie dem Team an, dass sie im nächsten Monat Passkeys aktivieren können — ohne Zwang. Zeigen Sie in einer Sitzung, wie es geht.
- Nach einem Monat erzwingen Sie Passkey oder FIDO-Schlüssel für alle, die sich von außerhalb des Büros anmelden.
Wenn Sie nicht wissen, wo Sie ansetzen sollen, um das Team nicht mitten am Arbeitstag vom E-Mail-Postfach auszusperren — sprechen Sie mit jemandem, der das in polnischen KMU jede Woche einführt. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
Passkeys schützen nicht, weil sie modern sind. Sie schützen, weil es nichts gibt, was man auf einer gefälschten Seite eintippen könnte — und das ist die ganze Revolution.