Ein Mitarbeiter erhält eine täuschend echte Microsoft-365-Mail, gibt sein Kennwort auf einer gefälschten Seite ein und der Angreifer meldet sich kurz darauf am Firmenkonto an. Genau dieses Szenario soll eine passwortlose Anmeldung erklärt aus Sicht von KMU vermeiden: Nicht das Passwort wird komplizierter, sondern es verliert als Zugangsnachweis an Bedeutung.
Für Geschäftsführer und IT-Verantwortliche ist das mehr als eine Komfortfrage. Gestohlene, wiederverwendete oder abgefangene Kennwörter gehören weiterhin zu den häufigsten Ursachen für kompromittierte Konten. Wer den Zugriff auf E-Mail, ERP, Dateien oder interne Anwendungen absichert, reduziert damit ein konkretes Geschäftsrisiko. Passwortlos funktioniert aber nicht automatisch sicher. Entscheidend sind die gewählte Methode, die Einbindung in die vorhandene IT und ein belastbarer Prozess für Verlust, Wechsel und Wiederherstellung von Geräten.
Passwortlose Anmeldung erklärt: Was dahintersteckt
Bei einer passwortlosen Anmeldung weist sich eine Person ohne klassisches, dauerhaft verwendetes Passwort aus. Stattdessen bestätigt sie ihre Identität beispielsweise mit einem Passkey, einem Hardware-Sicherheitsschlüssel, einer Authenticator-App oder einer biometrischen Freigabe am Gerät. Die biometrischen Daten selbst – etwa Fingerabdruck oder Gesichtserkennung – verlassen dabei in der Regel nicht das Endgerät. Sie dienen nur dazu, einen lokal geschützten Zugangsschlüssel freizugeben.
Technisch besonders relevant sind Passkeys auf Basis des FIDO2-Standards. Beim Einrichten entsteht ein Schlüsselpaar: Der öffentliche Schlüssel wird beim jeweiligen Dienst hinterlegt, der private Schlüssel bleibt geschützt auf dem Endgerät oder einem Sicherheitsschlüssel. Bei der Anmeldung wird keine geheime Zeichenfolge an den Dienst übertragen. Stattdessen bestätigt das Gerät kryptografisch, dass es den passenden privaten Schlüssel besitzt.
Das macht Phishing erheblich schwieriger. Ein Passkey ist an die echte Internetadresse des Dienstes gebunden. Versucht ein Mitarbeiter, ihn auf einer täuschend ähnlichen Phishing-Seite zu verwenden, passt diese Bindung nicht. Eine gewöhnliche Mehrfaktor-Authentifizierung mit Passwort und Einmalcode kann dagegen weiterhin abgefangen werden, wenn Nutzer den Code auf einer manipulierten Seite eingeben oder eine Freigabe unachtsam bestätigen.
Passwortlos bedeutet nicht zwangsläufig, dass im gesamten Unternehmen kein Passwort mehr existiert. Viele Organisationen starten mit besonders schützenswerten Zugängen, etwa E-Mail, Administrationskonten, Fernzugriffen oder Cloud-Anwendungen. Parallel bleiben einzelne Altanwendungen zunächst passwortbasiert. Das ist ein realistischer Übergang, solange diese Ausnahmen dokumentiert, zusätzlich abgesichert und regelmäßig überprüft werden.
Warum gerade KMU profitieren
In kleinen und mittelständischen Unternehmen teilen sich oft wenige Personen die Verantwortung für IT, Fachanwendungen und Support. Passwort-Resets, gesperrte Konten und unsichere Notizzettel kosten Zeit. Schwerer wiegt jedoch die Angriffsfläche: Ein einziges kompromittiertes Konto kann reichen, um Rechnungsdaten zu manipulieren, E-Mails zu missbrauchen oder sich im Netzwerk weiterzubewegen.
Passwortlose Verfahren reduzieren vor allem drei Risiken. Erstens entfällt die Wiederverwendung einfacher oder alter Kennwörter. Zweitens sinkt die Wirksamkeit vieler Phishing-Angriffe. Drittens lassen sich Zugriffe besser an konkrete Personen und Geräte binden. Das ist besonders relevant, wenn Mitarbeiter im Homeoffice arbeiten, externe Dienstleister Wartungszugänge benötigen oder Fachkräfte mobil auf interne Systeme zugreifen.
Der Nutzen hängt jedoch vom Einsatzbereich ab. Für einen einzelnen Cloud-Dienst ist die Einführung oft überschaubar. Für Produktionssysteme, Kanzleisoftware oder ältere Fachanwendungen kann die Umstellung mehr Planung erfordern. Dort müssen Schnittstellen, Betriebssysteme, Identitätsanbieter und Wiederherstellungswege sorgfältig geprüft werden. Ein modernes Anmeldeverfahren ersetzt auch keine sichere Netzwerkarchitektur, aktuelle Systeme oder funktionierende Backups.
Passkey, MFA und Sicherheitsschlüssel richtig einordnen
Die Begriffe werden häufig vermischt. Für eine gute Entscheidung hilft eine klare Trennung:
Ein Passkey ersetzt das Passwort durch einen kryptografischen Schlüssel. Er kann auf einem verwalteten Notebook, Smartphone oder separaten Sicherheitsschlüssel liegen. Seine Stärke liegt in der Phishing-Resistenz und der einfachen Nutzung.
MFA, also Mehrfaktor-Authentifizierung, verlangt mehrere Nachweise. Das kann Passwort plus App-Code sein, aber auch ein Passkey plus Gerätebindung oder eine zusätzliche Vorgabe bei besonders sensiblen Vorgängen. MFA bleibt sinnvoll, wenn sie risikobasiert eingesetzt wird. Nicht jede Anmeldung muss dieselben Hürden haben, administrative Zugriffe aber häufig schon.
Ein Hardware-Sicherheitsschlüssel ist ein separates Gerät, meist per USB, NFC oder Bluetooth. Er eignet sich besonders für Administratoren, Führungskräfte und Personen mit Zugriff auf sensible Daten. Er ist unabhängig vom Smartphone und kann als zweiter, sicher verwahrter Schlüssel hinterlegt werden. Dafür entstehen Anschaffungs-, Verwaltungs- und Ersatzkosten.
Eine Authenticator-App mit Einmalcodes ist besser als ein Passwort allein, aber nicht im gleichen Maß phishing-resistent wie Passkeys oder FIDO2-Schlüssel. Push-Bestätigungen können zudem zu unbedachten Freigaben verleiten, wenn Angreifer Anfragen wiederholt auslösen. Wo möglich, sollten Unternehmen daher passwortlose, phishing-resistente Faktoren bevorzugen.
Passwortloser Zugriff braucht klare Regeln
Die Technik ist nur ein Teil der Lösung. Unternehmen sollten vor der Einführung festlegen, welche Anwendung mit welcher Methode abgesichert wird und wer im Ausnahmefall helfen darf. Besonders kritisch ist die Kontowiederherstellung. Wenn ein Mitarbeiter sein Smartphone verliert, darf der Support nicht allein aufgrund eines Anrufs einen neuen Zugang freischalten.
Ein belastbarer Prozess prüft die Identität nachvollziehbar, dokumentiert die Freigabe und entzieht verlorenen Geräten sofort die Berechtigung. Für Schlüsselrollen empfiehlt sich ein zweiter, registrierter Passkey oder Hardware-Schlüssel, der getrennt und sicher aufbewahrt wird. Gemeinsame Benutzerkonten sind dabei ein Problem: Sie verhindern eine eindeutige Zuordnung und erschweren die Reaktion auf Sicherheitsvorfälle. Wo immer möglich, braucht jede Person ein eigenes Konto.
Auch die Rechtevergabe bleibt entscheidend. Ein passwortlos angemeldeter Nutzer mit zu vielen Berechtigungen ist weiterhin ein Risiko. Das Prinzip der minimalen Rechte gilt deshalb genauso wie bisher: Mitarbeiter erhalten nur den Zugriff, den sie für ihre Aufgabe brauchen, und nur so lange wie erforderlich. Privilegierte Konten für Administration, Buchhaltung oder externe Wartung sollten von normalen Benutzerkonten getrennt sein.
Sicherer Fernzugriff ohne Passwortfalle
Der größte Sicherheitsgewinn entsteht oft beim externen Zugriff. Ein klassisches VPN stellt das Netzwerk häufig großflächig bereit. Ist ein Benutzerkonto kompromittiert, kann der Angreifer je nach Konfiguration weitreichende Systeme erreichen. Ein moderner Secure-Access-Ansatz prüft dagegen Nutzer, Gerät und konkrete Anwendung, bevor Zugriff gewährt wird.
Für KMU bedeutet das: Der Mitarbeiter sieht nur die Anwendungen, die er benötigt, etwa Zeiterfassung, ERP oder eine interne Fachanwendung. Der externe Dienstleister erhält einen zeitlich begrenzten Zugang zu genau dem System, das er warten soll. Eine passwortlose Anmeldung kann hier die Identität zuverlässig bestätigen. Ergänzend begrenzen Anwendungsfreigaben, Geräteprüfungen und Protokollierung den möglichen Schaden, falls ein Konto oder Endgerät auffällig wird.
Kyvion Secure Access verfolgt diesen Ansatz für sichere, browserbasierte Zugriffe auf interne Anwendungen ohne klassisches VPN. In Verbindung mit starken, phishing-resistenten Anmeldeverfahren lässt sich der Fernzugriff kontrollierter gestalten, ohne Mitarbeitende mit komplizierten Passwortvorgaben zu belasten.
So führen Sie Passkeys kontrolliert ein
Eine schrittweise Einführung ist für die meisten Unternehmen sinnvoller als ein harter Stichtag. Beginnen Sie mit einer Bestandsaufnahme: Welche Anwendungen unterstützen Passkeys oder FIDO2 bereits? Welche Konten besitzen besonders weitreichende Rechte? Wo greifen Mitarbeiter oder Dienstleister von außen zu?
Danach bietet sich ein Pilot mit IT-Administration und einer kleinen Nutzergruppe an. Prüfen Sie dabei nicht nur die Anmeldung, sondern den gesamten Lebenszyklus: Registrierung eines zweiten Geräts, Wechsel eines Smartphones, Verlust eines Sicherheitsschlüssels, Austritt eines Mitarbeiters und Wiederherstellung im Notfall. Erst wenn diese Fälle im Alltag funktionieren, sollte der Rollout breiter erfolgen.
Für die Umsetzung helfen fünf konkrete Maßnahmen:
- Priorisieren Sie E-Mail, Identitätsplattformen, Administrator- und Fernzugriffskonten vor weniger kritischen Anwendungen.
- Setzen Sie für privilegierte Nutzer mindestens zwei registrierte, phishing-resistente Faktoren ein.
- Definieren Sie einen dokumentierten Recovery-Prozess mit eindeutiger Identitätsprüfung und Vier-Augen-Freigabe für kritische Konten.
- Verwalten Sie Unternehmensgeräte zentral und entfernen Sie verlorene oder ausgeschiedene Geräte zeitnah aus den Berechtigungen.
- Behalten Sie Übergangslösungen mit Passwörtern im Blick und reduzieren Sie diese gezielt, statt sie dauerhaft zu dulden.
Die Kommunikation mit den Mitarbeitern sollte praktisch sein. Erklären Sie nicht nur die neue Anmeldemaske, sondern auch den Grund: Keine Freigabe unbekannter Anfragen, keine Eingabe von Codes auf verlinkten Seiten und sofortige Meldung bei Geräteverlust. Kurze, konkrete Anweisungen wirken besser als allgemeine Sicherheitsappelle.
Datensouveränität und Resilienz mitdenken
Passkeys können auf unterschiedlichen Geräten und Plattformen gespeichert oder synchronisiert werden. Das ist bequem, wirft aber Fragen zur Kontrolle über Unternehmenszugänge auf. Unternehmen sollten deshalb entscheiden, ob Schlüssel auf privat genutzten Geräten zulässig sind, ob nur verwaltete Geräte verwendet werden dürfen und wo Wiederherstellungsdaten liegen. Gerade bei sensiblen Daten oder regulierten Arbeitsabläufen ist diese Entscheidung Teil der Datensouveränität.
Cyber-Resilienz heißt außerdem, auch nach einem Geräteverlust, Phishing-Versuch oder Ausfall handlungsfähig zu bleiben. Dazu gehören dokumentierte Zugriffsprozesse, getrennte Notfallkonten mit besonders strengen Kontrollen, aktuelle Berechtigungslisten und getestete Wiederherstellungsabläufe. Passwortloser Zugang senkt ein Risiko deutlich, ersetzt diese Vorsorge aber nicht.
Der richtige erste Schritt ist daher selten die sofortige Abschaffung jedes Passworts. Prüfen Sie zuerst, welche Zugänge Ihr Geschäft tatsächlich gefährden würden und wie Identität, Rechte und Fernzugriff dort heute zusammenspielen. Wenn diese Grundlage stimmt, wird die passwortlose Anmeldung zu einer spürbaren Entlastung für Mitarbeiter und zu einem nachvollziehbaren Sicherheitsgewinn für das Unternehmen.
