Dein Team soll sich einfach und mit passendem Schutz bei geschäftlichen Diensten anmelden können. Passkeys können dafür ein sinnvoller Baustein sein. Für eine betreute Einführung brauchst Du jedoch mehr als die Aktivierung einer neuen Anmeldeoption: Unterstützte Konten, geeignete Geräte und ein kontrollierter Ersatzweg müssen zusammenpassen. Hier erfährst Du, wie Du den Auftrag abgrenzt und Angebote anhand des tatsächlichen Arbeitsalltags vergleichst.
Beginne mit den wichtigsten Anmeldungen
Erstelle zunächst eine überschaubare Liste der geschäftlichen Konten, die für Dein Team besonders wichtig sind. Dazu können zentrale Arbeitsdienste, einzelne Fachanwendungen oder Verwaltungszugänge gehören. Notiere, wer die Konten verwendet und welche Auswirkungen ein verlorener Zugang hätte. So lässt sich erkennen, wo ein Pilot sinnvoll ist und welche Konten eine besonders sorgfältige Planung benötigen.
Trenne persönliche Arbeitskonten von gemeinsam verwendeten oder technischen Konten. Für Menschen gedachte Anmeldeverfahren passen nicht automatisch zu einem automatisierten Prozess oder einem unbeaufsichtigten Dienst. Beschreibe den tatsächlichen Zugriff, statt jede Anmeldung unter dieselbe Überschrift zu setzen. Eine fachliche Betreuung kann daraus geeignete Einsatzfälle und die dazugehörigen Grenzen ableiten.
Prüfe außerdem, wer über die jeweilige Anwendung entscheiden darf. Ein zentral betreuter Dienst kann anders eingebunden sein als ein Konto bei einem externen Lieferanten. Der Anbieter sollte die vorhandene Zuständigkeit berücksichtigen. Eine Einführung wird verständlicher, wenn Dein Unternehmen nicht gleichzeitig technische Änderungen beauftragt und erst danach klärt, wer den betreffenden Zugang überhaupt verwalten darf.
Lass Unterstützung und Anmeldeweg konkret prüfen
Frage für jede vorgesehene Anwendung, ob Passkeys in der tatsächlich verwendeten Variante unterstützt werden. Ein allgemeiner Hinweis des Herstellers genügt nicht immer, wenn Dein Unternehmen eine andere Ausgabe, einen besonderen Kontotyp oder eine abweichende Anbindung verwendet. Lass den konkreten Weg anhand aktueller Herstellerinformationen und der vorhandenen Umgebung prüfen, bevor eine umfassende Umstellung zugesagt wird.
Wenn eine zentrale Anmeldung mehrere Anwendungen erschließt, sollte der Dienstleister erklären, an welcher Stelle der Passkey eingesetzt wird. Eine erfolgreiche Anmeldung am zentralen Dienst bedeutet nicht, dass jede nachgelagerte Berechtigung bereits richtig eingerichtet ist. Anmeldung und Zugriffsrechte gehören zusammen, haben aber unterschiedliche Aufgaben. Dein Team soll den richtigen Dienst erreichen und dort nur die vorgesehenen Funktionen nutzen können.
Halte nicht unterstützte Wege ausdrücklich fest. Ein Angebot kann trotzdem sinnvoll sein, wenn es einen begrenzten Teil der Konten verbessert und für den Rest eine begründete Lösung vorsieht. Entscheidend ist die ehrliche Abdeckung. Eine pauschale Aussage, alle Passwörter seien danach verschwunden, sollte nur getroffen werden, wenn dies für den vereinbarten Umfang tatsächlich nachgewiesen ist.
Verstehe den Schutz ohne Absolutversprechen
Passkeys verwenden FIDO-basierte kryptografische Anmeldeverfahren. Ein wichtiger Unterschied zu einem wiederverwendeten Passwort ist die Bindung an den vorgesehenen Dienst. Die FIDO Alliance beschreibt diese Verfahren als widerstandsfähig gegen typische Angriffe über gefälschte Anmeldeseiten. Das ist ein konkreter Nutzen, aber keine Aussage, dass dadurch jede Art von Konto- oder Geräteangriff ausgeschlossen wird. FIDO Alliance: Passkeys im Unternehmenseinsatz
Lass den Anbieter erklären, was im geplanten Ablauf geschützt wird und welche Aufgaben daneben bleiben. Gerätepflege, richtige Berechtigungen und ein sicherer Umgang mit bestehenden Sitzungen werden durch eine neue Anmeldeoption nicht automatisch erledigt. Für Deinen Vergleich brauchst Du deshalb den Zusammenhang mit der vorhandenen Betreuung. Ein starkes Einzelverfahren ist besonders nützlich, wenn die übrigen Wege bewusst mitgeplant sind.
Vermeide außerdem die Gleichsetzung von Passkey und einer einzigen Bedienform. Die Freigabe kann je nach vorgesehenem Mittel unterschiedlich erfolgen. Dein Team sollte den tatsächlich unterstützten Arbeitsweg kennenlernen, ohne aus einem Produktbegriff selbst technische Eigenschaften abzuleiten. Eine verständliche Einweisung beschreibt, was Beschäftigte tun, wie sie den richtigen Vorgang erkennen und wo sie bei einem Problem Hilfe erhalten.
Entscheide über synchronisierte und gebundene Varianten
Bei synchronisierten Passkeys spielt der verwendete Verwaltungs- und Synchronisationsdienst eine wichtige Rolle. Gerätegebundene Varianten bleiben dagegen an das jeweilige Mittel gebunden, etwa einen passenden Sicherheitsschlüssel. Die FIDO Alliance erläutert diese Unterschiede einschließlich der Folgen eines Geräte- oder Schlüsselverlusts. Für Deinen Betrieb ist deshalb entscheidend, welches Modell zum tatsächlichen Arbeitsweg und zu den Verwaltungsanforderungen passt.
Frage, ob geschäftliche Passkeys in einem unternehmensseitig kontrollierten Kontext verwaltet werden können. Ein persönlicher Synchronisationszugang eines Beschäftigten kann andere organisatorische Folgen haben als eine geschäftlich betreute Lösung. Lass Eigentum, Berechtigung und späteren Austritt ausdrücklich berücksichtigen. Du solltest erkennen können, wer den Zugang verwaltet und welche Abhängigkeit von einer einzelnen Person oder einem privaten Konto entsteht.
Bei einem physischen Sicherheitsschlüssel gehören Beschaffung, Zuordnung und Ersatz in den Auftrag. Frage nach der Unterstützung auf den tatsächlich verwendeten Geräten. Eine bestimmte Steckverbindung oder Funkmöglichkeit passt nicht automatisch zu jeder Umgebung. Dein Unternehmen braucht einen nachvollziehbaren praktischen Weg, nicht nur eine allgemeine Empfehlung für eine bestimmte Bauform.
Beziehe gemeinsam verwendete Arbeitsplätze ein
Wenn Beschäftigte zwischen mehreren Arbeitsplätzen wechseln, sollte die Anmeldung diesen Alltag unterstützen. Frage, welche Mittel mitgeführt werden und welche Informationen auf einem gemeinsam verwendeten Gerät verbleiben. Eine erfolgreiche Einrichtung am persönlichen Bürorechner belegt noch nicht, dass derselbe Weg an einer wechselnden Station passend funktioniert. Lass diese Variante ausdrücklich in den Pilot aufnehmen, wenn sie für Dein Unternehmen wichtig ist.
Unterscheide das gemeinsame Gerät vom gemeinsamen Konto. Mehrere Menschen können denselben Arbeitsplatz verwenden und dennoch getrennte berechtigte Konten benötigen. Eine neue Anmeldeoption sollte die Verantwortung nicht durch eine beiläufig gemeinsam genutzte Identität verwischen. Besprich mit dem Dienstleister, wie Zuordnung, Abmeldung und der Wechsel zwischen Personen im konkreten Dienst umgesetzt werden sollen.
Wenn ein mobiler Arbeitsweg dazugehört, prüfe ihn ebenfalls gezielt. Welche Geräte und Programme werden verwendet, und welche Hilfe ist unterwegs erreichbar? Dein Team sollte nicht erst beim ersten Außentermin merken, dass ein wichtiger Zugang eine ungeklärte Voraussetzung hat. Die tatsächlichen Varianten bestimmen den Einführungsumfang; eine vollständige pauschale Gerätematrix ohne Bedarf ist nicht nötig.
Plane die erste Registrierung geschützt
Die erste Zuordnung des neuen Anmeldemittels ist ein eigener wichtiger Schritt. Frage, wie die berechtigte Person erkannt wird und wie der Dienstleister die Einrichtung begleitet. Ein allgemeiner Link an eine beliebige Kontaktadresse kann eine andere Wirkung haben als ein kontrollierter vorhandener Anmeldeweg. Lass die vorgesehenen Voraussetzungen erläutern, bevor Dein Team selbstständig neue Mittel registriert.
Besprich auch, wer zusätzliche Passkeys hinzufügen darf und wie eine unerwartete Registrierung bemerkt wird. Die konkrete Anwendung und ihre Verwaltungsmöglichkeiten bestimmen den Ablauf. Der Auftrag sollte erklären, welche Einstellungen geprüft und welche Hinweise an Beschäftigte gegeben werden. So wird die Einführung nicht allein auf die sichtbare erfolgreiche erste Anmeldung verkürzt.
Für den Pilot solltest Du geeignete Konten und vereinbarte Testhandlungen nutzen. Zugangsdaten und geheime Wiederherstellungsmittel gehören nicht in eine allgemeine Angebotsanfrage. Wenn die tatsächliche Einrichtung beginnt, werden berechtigte Zugriffe über einen passenden geschützten Weg behandelt. Die Unterstützung soll die neue Anmeldung ermöglichen, ohne dabei unnötige Kopien sensibler Mittel zu erzeugen.
Vereinbare einen Ersatzweg vor dem Verlust
Kläre vor der breiten Nutzung, was bei einem defekten Gerät, einem verlorenen Schlüssel oder einem nicht erreichbaren Synchronisationszugang passiert. Wer nimmt die Meldung entgegen, wie wird die Berechtigung geprüft und wer entscheidet über ein neues Mittel? Ein guter Ersatzweg lässt sich vorab verstehen. Er sollte nicht erst aus spontanen Telefonabsprachen entstehen, wenn die betroffene Person dringend arbeiten muss.
NIST unterscheidet in SP 800-63B zwischen der normalen Anmeldung und einer Kontowiederherstellung nach Verlust erforderlicher Anmeldemittel. Die Veröffentlichung betrachtet dafür verschiedene Verfahren und eine risikobezogene Auswahl. Sie ist eine technische Orientierung und keine automatische deutsche Rechtspflicht für Deinen Betrieb. Wichtig ist der konkrete geplante Wiederherstellungsweg einschließlich einer nachvollziehbaren Identitätsprüfung. NIST: SP 800-63B, Abschnitt 4.2
Frage außerdem, wie ein verlorenes oder kompromittiertes Mittel aus dem betroffenen Konto entfernt wird. Ein Ersatzgerät allein beendet nicht automatisch jeden alten Zugriff. Der Dienstleister sollte Anmeldung, Wiederherstellung und Entzug zusammen betrachten. Ein weiterhin aktiver schwächerer Ausweichweg kann den praktischen Schutz beeinflussen und gehört deshalb ausdrücklich in die Bewertung.
Behandle Verwaltungszugänge gesondert
Konten mit weitreichenden Rechten können andere Anforderungen haben als gewöhnliche Arbeitskonten. Lass ihren Schutzbedarf und mögliche Notfallzugänge gesondert prüfen. Eine einmal für das Team gewählte Variante sollte nicht automatisch auf jede Verwaltung übertragen werden. Frage nach der passenden Zuordnung, der sicheren Aufbewahrung benötigter Ersatzmittel und dem Verfahren bei Ausfall einer verantwortlichen Person.
Die Zuständigkeit darf dabei nicht vollständig an einem einzelnen externen Ansprechpartner hängen. Dein Unternehmen sollte die notwendigen berechtigten Rollen und einen nachvollziehbaren Übergabeweg kennen. Das bedeutet nicht, geheime Mittel breit zu verteilen. Ein gut geplanter Zugriff unterscheidet normale Betreuung und begrenzte Notfallsituationen und macht die jeweiligen Befugnisse verständlich.
Lass den vereinbarten Notfallweg kontrolliert erproben, soweit dies für die Einführung notwendig ist. Eine schriftliche Beschreibung kann helfen, belegt aber nicht allein seine praktische Nutzbarkeit. Der Umfang der Erprobung sollte bewusst begrenzt sein und darf den laufenden Betrieb nicht unkontrolliert beeinträchtigen. Frage nach Ergebnis, offenen Punkten und dem Zeitpunkt, zu dem die Übergabe als abgeschlossen gilt.
Prüfe den Pilot im tatsächlichen Alltag
Ein sinnvoller Pilot zeigt nicht nur eine erfolgreiche Anmeldung. Dein Team sollte den vereinbarten Ablauf auf den benötigten Geräten verstehen und einen vorgesehenen Problemfall melden können. Frage, welche Varianten geprüft werden und welche bewusst außerhalb des Umfangs bleiben. So kannst Du aus einem gelungenen Beispiel die passende Aussage ableiten, ohne es als Nachweis für alle Konten zu behandeln.
Lass Rückmeldungen aus dem Team aufnehmen. Ist die Zuordnung verständlich, fehlen Voraussetzungen oder ist ein Hilfsweg zu umständlich? Eine Anpassung vor der breiten Einführung kann den späteren Betreuungsaufwand verringern. Der Anbieter sollte erklären, welche Änderung technisch möglich ist und welche Schutzanforderung dabei erhalten bleiben muss. Nutzbarkeit und Sicherheit sollten gemeinsam betrachtet werden.
Nach einem passenden Pilot legst Du den weiteren Umfang fest. Welche Konten folgen, welche Beschäftigten benötigen Unterstützung und welche alten Anmeldewege sollen nach bestätigter Nutzbarkeit noch bestehen? Eine solche Entscheidung braucht eine konkrete Grundlage. Allein die Verfügbarkeit einer Lizenz oder eine gelungene Vorführung ist kein vollständiger Umstellungsplan für Deinen Betrieb.
Vergleiche Einführung und laufende Betreuung
Bitte Anbieter, Bestandsaufnahme, technische Einrichtung, notwendige Mittel, Einweisung und spätere Betreuung getrennt auszuweisen. Wer hilft bei Gerätewechsel, Austritt oder Verlust? Welche Leistungen sind im Preis enthalten und welche werden zusätzlich beauftragt? Du kannst Angebote dann anhand derselben Konten und Arbeitswege vergleichen, statt nur Kosten pro Schlüssel oder Lizenz nebeneinanderzustellen.
Passende Unterstützung anfragen
Auf der Startseite von IT-Sicherheit Angebote kannst Du kostenfrei und unverbindlich Unterstützung anfragen. Halte eine allgemeine Übersicht der wichtigen Dienste, verwendeten Geräte und besonderen Arbeitswege bereit. Geheime Anmeldemittel oder Wiederherstellungscodes brauchst Du dafür nicht weiterzugeben. Den konkreten Einführungs- und Betreuungsumfang vereinbarst Du anschließend mit dem jeweiligen Anbieter.