Passkeys: Sind sie für den Einsatz in Unternehmen geeignet?

Dieser Blog wurde erstmals im Jahr 2024 veröffentlicht und wurde inzwischen aktualisiert. 

Passkeys setzen sich dank Verbraucherdiensten wie Google, Apple, Facebook, Meta und anderen zunehmend durch. Die Verwendung von Passkeys erhöht die Sicherheit im Vergleich zu herkömmlichen passwortbasierten Anmeldungen oder passwortloser MFA erheblich.

Es ist normal, dass einige Lösungen für Verbraucher auch im beruflichen Bereich eingesetzt werden - man denke nur an die Möglichkeit, Emoji-Reaktionen auf E-Mails zu senden. Aber nur weil ich mich bei Instagram mit einem Hauptschlüssel anmelden kann, heißt das, dass Unternehmen das auch tun sollten?

Kurzum: Sind Passkeys für den Einsatz in Unternehmen geeignet?

Die FIDO-Allianz wurde 2013 von verschiedenen Unternehmen gegründet, um einen Authentifizierungsstandard zu entwickeln, der als zweiter Faktor dienen sollte; heute kann FIDO als starke passwortlose Authentifizierungsmethode dienen.

Seit 2013 hat sich FIDO zu einer der beliebtesten passwortlosen Anmeldemethoden entwickelt, vor allem weil es dem Akronym, aus dem sich sein Name zusammensetzt, alle Ehre macht: Es ermöglicht eine schnelle Online-Identifizierung. Die FIDO-Allianz legt einen starken Fokus auf den Verbraucherbereich. Kein Wunder, denn ihre größten Mitglieder sind in diesem Bereich tätig: Apple, Google, PayPal und Microsoft. RSA ist ein Mitglied der FIDO Alliance und ist Co-Vorsitzender der Arbeitsgruppe „Enterprise Deployment“.

FIDO-Berechtigungsnachweise verwenden asymmetrische Schlüsselpaare zur Authentifizierung bei einem Dienst. Wenn ein FIDO-Berechtigungsnachweis bei einem Dienst registriert wird, wird ein neues Schlüsselpaar auf dem FIDO-Authentifikator erzeugt, und der Dienst vertraut dann diesem Schlüsselpaar - und nur diesem Schlüsselpaar. Das Schlüsselpaar ist mit dem genauen Domänennamen des Dienstes verbunden.

Gerade diese strikte Verknüpfung zwischen einem Dienst und einem FIDO-Zugangsdatum sorgt für eine hohe Widerstandsfähigkeit gegen Phishing: Würde ein Benutzer versuchen, sich mit dem für die echte Website erstellten Passkey auf einer gefälschten Phishing-Seite anzumelden, würde dies fehlschlagen, da die angegebene Domain nicht mit dem Zugangsdatum übereinstimmen würde.

Im Jahr 2022 haben Apple, Google und Microsoft die Unterstützung für eine neue Art von FIDO-Anmeldeinformationen eingeführt, die sie als Hauptschlüssel. Im Jahr 2023 hat die FIDO-Allianz den Begriff "HauptschlüsselFür jede Art von FIDO-Berechtigungsnachweis gibt es einen "Passkey", was zu Verwirrung darüber führen kann, was eine Organisation genau meint, wenn sie von "Passkeys" spricht.

Diese mögliche Unklarheit wurde von der FIDO Alliance (siehe unten) beseitigt, könnte aber in Unternehmen immer noch bestehen. Es ist wichtig, diese Unklarheit zu beseitigen, denn nicht alle Passkeys sind gleich oder für die Verwendung in Unternehmen geeignet.

Arten von Passkeys

Es gibt jetzt zwei Arten von Passkeys, wie von der FIDO Alliance definiert: gerätegebundene und synchronisierte.

Gerätegebundene Passkeys vs. synchronisierte Passkeys

Gerätegebundene Passkeys werden in der Regel auf speziellen “Sicherheitsschlüssel”-Geräten gespeichert. Dieser Passkey-Typ gilt allgemein als sicherer, da der private Schlüssel das Gerät niemals verlässt und somit vor dem Auslesen oder einer Fernmanipulation geschützt ist.

Das bedeutet jedoch auch, dass der Benutzer bei Verlust oder Beschädigung des Geräts einen neuen Passkey auf einem neuen Gerät registrieren muss. Gerätegebundene Passkeys werden insbesondere in Umgebungen mit hohen Sicherheitsanforderungen und in Unternehmensanwendungen bevorzugt und nutzen häufig Hardware wie Sicherheitsschlüssel oder Trusted Platform Modules (TPMs).

Gerätegebundene Passkeys werden nun auch in bestimmten mobilen Anwendungen unterstützt, beispielsweise in der RSA Authenticator-App für iOS und Android.

Synchronisierte Passkeys

Bei synchronisierten Passkeys wird das Schlüsselmaterial über eine sogenannte Remote-Sync-Fabric gespeichert und kann anschließend auf allen anderen Geräten desselben Nutzers wiederhergestellt werden. Die derzeit wichtigsten Sync-Fabrics sind Microsoft, Google und Apple. Das bedeutet: Wenn Sie Ihr Android-Smartphone als Passkey registrieren, wird das entsprechende Schlüsselmaterial von Google gespeichert und steht somit kurz darauf auf all Ihren anderen Android-Geräten zur Verfügung.

Synchronisierte Passkeys sind - neben der Unterstützung durch weit verbreitete Dienste wie WhatsApp oder Facebook - ein Hauptgrund für den starken Anstieg der allgemeinen Verwendung von Passkeys. Es ist leicht zu erkennen, warum: Ein Nutzer mit vielen Konten und vielen Geräten kann denselben synchronisierten Hauptschlüssel für alle verwenden.

Passkeys ersetzen herkömmliche Passwörter durch kryptografische Schlüsselpaare und bieten so eine sichere, gegen Phishing geschützte Authentifizierung. Wenn sich ein Nutzer für einen Dienst registriert, generiert sein Gerät ein einzigartiges Paar aus privatem und öffentlichem Schlüssel. Der private Schlüssel bleibt sicher auf dem Gerät des Nutzers gespeichert, während der öffentliche Schlüssel an den Dienst weitergegeben wird. Bei der Authentifizierung weist das Gerät den Besitz des privaten Schlüssels nach, indem es eine vom Dienst gesendete Herausforderung signiert; die Signatur wird dann anhand des gespeicherten öffentlichen Schlüssels verifiziert. Es werden keine gemeinsamen Geheimnisse übertragen und keine Passwörter erstellt oder gespeichert, wodurch das Risiko von Identitätsdiebstahl oder Replay-Angriffen drastisch reduziert wird.

Herkömmliche Kennwörter beruhen auf gemeinsam genutzten Geheimnissen, die erraten, gestohlen oder gefälscht werden können, was sie zu einem häufigen Einfallstor für Angreifer macht. Sie werden oft in verschiedenen Konten wiederverwendet, unsicher gespeichert und sind anfällig für Brute-Force- oder Credential-Stuffing-Angriffe.

Passkeys beseitigen diese Risiken, indem sie Passwörter durch eine Kryptografie mit öffentlichen und privaten Schlüsseln ersetzen. Die Authentifizierung erfolgt durch den Nachweis des Besitzes dieses Schlüssels – ohne dass dieser übertragen wird. Dieser Ansatz macht die gängigsten Angriffsvektoren überflüssig, darunter Phishing, Diebstahl von Anmeldedaten und die Wiederverwendung von Passwörtern. Für Unternehmen bieten Passkeys einen großen Fortschritt bei der sicheren Authentifizierung und reduzieren gleichzeitig den Aufwand für Passwort-Zurücksetzungen und Supportanfragen.

• Phishing-resistent: Passkeys wurden entwickelt, um traditionelle Phishing-Angriffe zu verhindern. Da es kein Passwort gibt, gibt es auch nichts zu stehlen oder wiederzuverwenden.
• Schnell und bequem: Die Anmeldung mit einem Hauptschlüssel ist oft genauso einfach wie die Verwendung biometrischer Daten (z. B. Face ID oder Fingerabdruck), was das Erlebnis für die Nutzer noch angenehmer macht.
• Vertraute Benutzererfahrung: Passkey-Anmeldungen ähneln den üblichen Authentifizierungsmustern für Mobiltelefone, so dass die Lernkurve gering bis gar nicht ist.
• Sicherheit bei der Domänenzuordnung: Passkeys bieten eine zusätzliche Schutzebene, da sie sicherstellen, dass das Schlüsselmaterial nur mit der ursprünglichen Service-Domäne funktioniert - ein Vorteil, den nicht alle MFA-Methoden bieten.
• Von der Regierung genehmigt: In den USA ist der Widerstand gegen Phishing eine der wichtigsten Triebfedern für die Erteilung von Bundesaufträgen. Durchführungsverordnung 14028 erfordert eine passwortlose, phishing-resistente Authentifizierung zum Schutz kritischer Infrastrukturen.

Passkeys bieten zwar erhebliche Vorteile, sind aber auch mit einigen Herausforderungen und Problemen verbunden.

• Benutzererfahrung: Aufforderungen zur Passkey-Eingabe – wie beispielsweise die Aufforderung, den Sicherheitsschlüssel in den USB-Anschluss einzustecken oder die PIN einzugeben – sehen je nach Betriebssystem und Browser unterschiedlich aus. Diese Aufforderungen erschweren wahrscheinlich die Einweisung der Nutzer und führen zu einer Zunahme der Supportanrufe.
• Ablenkung von anderen Angriffen: Wer glaubt, dass die Verwendung von Passkeys ihn plötzlich immun gegen MFA-Umgehungsversuche wie Social-Engineering-Angriffe macht, irrt sich gewaltig. Passkeys helfen gegen eine bestimmte Art von Social-Engineering-Angriff: Phishing. Leider gibt es noch andere Varianten. Die Angriffe auf MGM Resorts oder Caesars Palace in Las Vegas hatten eine Social-Engineering-Komponente: Der Angreifer nutzte den Helpdesk aus, um selbst einen MFA-Authentifikator zu registrieren.
• Herausforderungen bei Geräteverlust oder -erneuerung: Wenn Nutzer den Zugriff auf ein Gerät verlieren, das gerätegebundene Passkeys unterstützt, können diese nicht wiederhergestellt werden.
• Eingeschränkter Support für alle Dienste: Zwar nimmt die Verbreitung zu, doch unterstützen noch nicht alle Websites oder Unternehmenssysteme Passkeys, was deren alltägliche Nutzbarkeit einschränken kann.
• Verwirrung bei den Nutzern oder mangelndes Bewusstsein: Das Konzept der Passkeys ist für viele Nutzer noch neu, was zu Verwirrung hinsichtlich der Einrichtung, der Synchronisierung oder der technischen Abläufe im Hintergrund führen kann. Unterschiedliche Bezeichnungen (Passkeys, Sicherheitsschlüssel, FIDO-Schlüssel) und sich weiterentwickelnde Standards in der Branche können diese Verwirrung noch verstärken und es für Nutzer und Unternehmen erschweren, Best Practices klar zu verstehen und Passkeys konsequent einzuführen und anzuwenden. Dies kann zudem zu Fehlern bei der Einrichtung und Nutzung, zu einer erhöhten Anzahl von Supportanfragen und zu potenziellen Sicherheitslücken führen.
• Infrastrukturbereitschaft: Die Einführung von Passkeys kann es erforderlich machen, dass Unternehmen Anpassungen an ihren Identitätsplattformen, Richtlinien zur Geräteverwaltung und Schulungsmaßnahmen vornehmen – insbesondere bei der Abkehr von veralteten Authentifizierungsverfahren. Unternehmen stellen möglicherweise fest, dass ältere oder lokal betriebene Ressourcen aufgrund der ausschließlich webbasierten Authentifizierung nicht mit Passkeys kompatibel sind. In solchen Fällen sollten Unternehmen ihre MFA modernisieren, indem sie passwortlos Funktionen, die umgebungsübergreifend einsetzbar sind und die bestehende Infrastruktur aufrechterhalten können.

Was kann die Branche angesichts der Herausforderungen, die die heutigen Passkeys bei der Bereitstellung einheitlicher Workflows über verschiedene Browser, Geräte und Betriebssysteme hinweg darstellen, tun, um ein wirklich nahtloses, plattformübergreifendes Erlebnis zu gewährleisten? Wie können wir den besten Weg finden, um die Unstimmigkeiten zu beseitigen, die die Benutzer verwirren und eine breite Akzeptanz verhindern könnten?

Bei RSA ist unsere UX-Leitung aktiv an den Arbeitsgruppen der FIDO Alliance beteiligt, um sich für einheitliche Benutzererfahrungen einzusetzen. Indem wir unsere Erkenntnisse einbringen, wollen wir dazu beitragen, Standards zu entwickeln, die zu weniger Ablenkungen, weniger Reibungsverlusten und mehr Einheitlichkeit für Endbenutzer führen.

Mobilität ist ein weiterer Aspekt bei der Schaffung eines nahtlosen Passkey-Erlebnisses in verschiedenen Umgebungen. Mitarbeiter erwarten zunehmend den Komfort mobiler Arbeitsabläufe. Wenn sich der Zugriff auf Unternehmensressourcen über ein Smartphone genauso intuitiv anfühlt wie das Entsperren desselben Geräts, wird die Akzeptanz neuer Authentifizierungsmethoden - wie Passkeys - deutlich einfacher. Ein reibungsloses mobiles Erlebnis trägt dazu bei, den Widerstand der Benutzer zu brechen, die Lernkurve zu minimieren und den Übergang weg von Passwörtern viel reibungsloser zu gestalten. Durch die Bereitstellung einer vertrauten, transparenten Benutzeroberfläche, die unabhängig vom Gerät oder der Plattform des Benutzers konsistent ist, können Unternehmen Verwirrung vermeiden und das Vertrauen stärken. Die mobile FIDO-Lösung von RSA dient als Beispiel dafür, wie ein Passkey geräteunabhängig implementiert werden kann.

Für sichere Einrichtungen und Umgebungen mit hohen Sicherheitsanforderungen, in denen mobile Authentifizierung nicht zulässig ist, bietet das RSA iShield Key 2 Reihe bietet einen FIPS 140-3 Level 3, FIDO2-zertifizierten Hardware-Authentifikator, der phishing-resistente, plattformübergreifende Sicherheit ohne Passwort bietet.

Man sagt, wenn man einen Hammer hat, kann alles wie ein Nagel aussehen. Die Umwandlung einer Lösung - selbst einer großartigen Lösung -, die ursprünglich für den Privatgebrauch gedacht war, in eine Unternehmensanwendung kann erhebliche Risiken mit sich bringen.

Vielleicht haben Sie beim Lesen dieses Artikels ein mulmiges Gefühl bei der Erwähnung des Begriffs "Synchronisationsgewebe" gehabt. Ihr Bauchgefühl war richtig.

Die Tatsache, dass synchronisierte Passkeys wie von Zauberhand auf allen Geräten erscheinen, auf denen der Nutzer über Apple oder Google angemeldet ist, ist im Unternehmensumfeld ein deutliches Warnsignal und sollte einige wichtige Fragen aufwerfen:

• Sollten Nutzer überhaupt mehrere (möglicherweise auch privat genutzte) Geräte zur Authentifizierung verwenden dürfen? Wenn ja... wie viele?
• Synchronisierte Passkeys ermöglichen die Wiederherstellung eines "verlorenen" Passkeys mit den Kontowiederherstellungsprozessen von, sagen wir, Google oder Apple. Das ist großartig... aber sind diese Verfahren für Sie sicher genug?
• Die Apple-Funktion, die es Benutzern ermöglicht, Passkeys mit Freunden oder der Familie zu teilen, ist ganz nett... aber gilt das auch für Passkeys, die für die Anmeldung bei Unternehmensanwendungen verwendet werden?

Bei der Verwendung von synchronisierten Passkeys hängt die Sicherheit Ihres Unternehmens plötzlich weitgehend von der technischen und organisatorischen Sicherheit von Apple und Google ab. Sicher, eine gewisse Abhängigkeit besteht ohnehin durch die Verwendung von iOS und Android-, aber synchronisierte Passkeys erhöhen diese Abhängigkeit erheblich.

Es handelt sich auch nicht um eine theoretische Schwachstelle. Umstrukturierung Es wurde erörtert, wie sich Bedrohungsakteure damit Zugang zu seinen Systemen verschafft hatten, und es wurde darauf hingewiesen, dass die Funktion bedeutet, dass “wenn Ihr Google-Konto kompromittiert ist, jetzt auch Ihre MFA-Codes”.”

Die Frage, ob Passkeys im Unternehmen verwendet werden sollten, kann nicht allgemein beantwortet werden. Jede Organisation ist anders und muss ihre eigenen Sicherheits- und Betriebsprioritäten abwägen.

Außerdem sollte die Frage, ob Passkeys verwendet werden sollen, keine Ja/Nein-Frage sein. Die Einführung von Passkeys oder passwortlosen Anmeldungen im Allgemeinen sollte dazu genutzt werden, die gesamten MFA-Prozesse einer Organisation grundlegend zu überprüfen. Was für Hardware-OTP-Tokens seit 15 Jahren gut ist, gilt heute wahrscheinlich nicht mehr uneingeschränkt für Passkeys oder andere MFA-Methoden.

RSA ist der Ansicht, dass Passkeys im Unternehmensumfeld eingesetzt werden können, sofern sie mit der Unternehmensstrategie im Einklang stehen und die Unternehmen sich gründlich mit den folgenden Fragen auseinandersetzen. Wir haben gesehen, dass Unternehmen Passkeys erfolgreich einsetzen bei RSA^® ID Plus, unsere umfassende IAM-Plattform (Identity and Access Management), die eine Reihe von passwortlosen Optionen bietet.

Da wir ein sicherheitsorientiertes Unternehmen sind und die Prinzipien Secure by Design / Secure by Default anwenden, verhindern wir standardmäßig die Verwendung synchronisierter Passkeys. In RSA-Umgebungen stehen standardmäßig nur gerätegebundene Passkeys zur Verfügung, um ein Höchstmaß an Sicherheit zu gewährleisten, und zwar sofort und ohne zusätzlichen Aufwand für die Administratoren.

Bei der Prüfung, ob Passkeys eingeführt werden sollen, sollten sich Organisationen fragen: Wie werden unsere Authentifikatoren registriert? Gibt es Prozesse, die das Szenario "Ich habe meinen Authentifikator verloren" sicher handhaben? Wie sieht es mit der Klassifizierung von Benutzern, Anwendungen und Daten aus?

Passkeys sind eine MFA-Methode unter vielen anderen. Ja, die Phishing-Resistenz ist fantastisch, aber können sich Nutzer damit auch bei allen geschützten Ressourcen anmelden, auf die sie zugreifen müssen?.

Aus diesen und vielen anderen Gründen ist es wichtig, dass Ihr MFA-System nicht nur technisch auf dem neuesten Stand ist, sondern auch eine Vielzahl von MFA-Methoden unterstützt, z. B. QR-Codes, biometrische Verfahren, OTP, Push-Nachrichten und Passkeys.

Es ist auch wichtig, dass die Prozesse rund um MFA an neue Bedrohungen angepasst werden. Dies geht weit über das eigentliche MFA-System hinaus: Ist Ihr Helpdesk auch vor Social Engineering-Angriffen sicher?

Wenn Passkeys für Sie sinnvoll sind, dann wollen wir Ihnen helfen. Kontakt um mehr zu erfahren oder ein kostenlose, 45-tägige Testversion von ID Plus.

Die Entscheidung für die Einführung von Passkeys ist der einfache Teil. Dieser Leitfaden behandelt die drei Phasen einer erfolgreichen Einführung – Bestandsaufnahme, Pilotphase und unternehmensweite Einführung – anhand von Beispielen aus der Praxis von Unternehmen, die diesen Weg bereits beschritten haben. Einen vollständigen Überblick über die passwortlosen Funktionen von RSA finden Sie unter Seite zu den passwortlosen Lösungen von RSA.

Phase 1: Bestandsaufnahme und Planung (vier bis acht Wochen)

1. Führen Sie ein Authentifizierungs-Audit durch. Erfassen Sie alle Anwendungen, Infrastrukturkomponenten und Systeme, die eine Authentifizierung erfordern oder daran beteiligt sind, und notieren Sie dabei, welche davon FIDO2 noch nicht unterstützen.
2. Identifizieren Sie Nutzergruppen mit hohem Risiko. Administratoren mit Sonderrechten, Mitarbeiter der Finanzabteilung, Remote-Mitarbeiter und Nutzer gemeinsam genutzter Geräte erfordern jeweils unterschiedliche Vorgehensweisen – segmentieren Sie Ihre Belegschaft nach Risikostufen, bevor Sie die Bereitstellung planen.
3. Legen Sie Ihre Richtlinie für Passkeys fest. Entscheiden Sie, welche Benutzergruppen gerätegebundene Passkeys, synchronisierte Passkeys oder eine Kombination aus beiden verwenden sollen. RSA empfiehlt gerätegebundene Passkeys als Standard, wobei synchronisierte Passkeys für Fälle vorbehalten bleiben sollten, in denen der Kompromiss gerechtfertigt ist.
4. Überprüfen Sie interne Richtlinien, die sich auf die Verwendung von Passkeys auswirken könnten, wie z. B. Einschränkungen bei der Nutzung von USB-Anschlüssen, BLE oder Mobilgeräten. Erstellen Sie einen Zeitplan für die schrittweise Einführung. Legen Sie Meilensteine fest, weisen Sie Verantwortliche zu und definieren Sie Go/No-Go-Kriterien. Sichern Sie sich frühzeitig die Zustimmung der Geschäftsleitung.

Phase 2: Pilot-Einführung (sechs bis zehn Wochen)

1. Wählen Sie Ihre Pilotgruppe sorgfältig aus. IT- und Sicherheitsmitarbeiter eignen sich ideal als erste Nutzer. Durch die Einbeziehung einer kleinen Gruppe von Assistenten der Geschäftsleitung lassen sich praktische Sonderfälle wie gemeinsam genutzte Computer und Delegationsszenarien besser aufdecken.
2. Testen Sie je nach Anwendungsfall beide Passkey-Typen in Ihrer Umgebung. Überprüfen Sie die Registrierung, die Anmeldung, die erneute Authentifizierung nach dem Ruhezustand des Geräts sowie SSO für alle Gerätetypen und Betriebssysteme, die in Ihrem Unternehmen zum Einsatz kommen.
3. Entwickeln und testen Sie Helpdesk-Abläufe. Simulieren Sie Szenarien wie verlorene Geräte, vergessene PINs sowie die Ein- und Austrittsabwicklung, bevor diese in der Praxis auftreten. Die Helpdesk-Mitarbeiter sollten in der Lage sein, Wiederherstellungsabläufe sicher durchzuführen, ohne auf Social-Engineering-Angriffe hereinzufallen.
4. Legen Sie Erfolgskennzahlen fest. Erfassen Sie die Registrierungsraten, die Erfolgs- und Fehlerquoten bei der Authentifizierung sowie das Helpdesk-Ticketvolumen als Ausgangswerte, bevor Sie die Skalierung vornehmen.
5. Sammeln Sie strukturiertes Feedback. Befragen Sie die Pilotnutzer nach zwei und nach sechs Wochen. Nutzen Sie die gewonnenen Erkenntnisse, um die Schulungsunterlagen und die Konfiguration vor der flächendeckenden Einführung anzupassen.

Phase 3: Unternehmensweite Einführung (zwei bis sechs Monate)

1. Starten Sie ein Change-Management-Programm. Kurze Videoanleitungen und schriftliche Arbeitshilfen sind effektiver als umfangreiche Dokumentationen. Passen Sie die Inhalte an die jeweiligen Nutzergruppen an – die Arbeitserfahrung eines Remote-Entwicklers unterscheidet sich von der eines Nutzers, der an einem gemeinsamen Arbeitsplatz arbeitet.
2. Führen Sie die Einführung schrittweise durch. Nehmen Sie die Einführung nach Abteilungen, Regionen oder Risikostufen vor. Nutzer mit hohem Risiko stehen in der Regel an erster Stelle; Nutzer, die Geräte gemeinsam nutzen oder auf ältere Systeme angewiesen sind, kommen zuletzt an die Reihe.
3. Halten Sie alternative Authentifizierungsmethoden bereit. Entfernen Sie ältere MFA-Verfahren nicht sofort. Behalten Sie OTP-Push-Benachrichtigungen, QR-Codes oder Hardware-Token als Ausweichmöglichkeiten bei, bis die Registrierungsquote Ihren Zielwert erreicht hat (in der Regel 90%+ pro Abteilung).
4. Überwachen Sie den Stand der Einführung und die Authentifizierungssicherheit. Nutzen Sie die Dashboards der Plattform, um den Abschluss der Registrierung, Ausfallraten und Helpdesk-Trends zu verfolgen. Richten Sie frühzeitig Warnmeldungen für Anomalien ein.
5. Schließen Sie den Kreis mit Sicherheitsmaßnahmen. Aktualisieren Sie nach der vollständigen Bereitstellung die Dokumentation zu Ihren MFA-Richtlinien und führen Sie eine Überprüfung nach der Bereitstellung durch. Passkeys verhindern das Phishing von Anmeldedaten – doch Social Engineering am Helpdesk bleibt ein echtes Risiko.

Im Folgenden finden Sie anschauliche Beispiele, die auf gängigen Bereitstellungsmustern basieren.

Szenario 1: Finanzdienstleistungen – Regionalbank, 5.000 Mitarbeiter
Eine mittelgroße Regionalbank führte gerätegebundene Passkeys über RSA ID Plus mit FIPS 140-3-zertifizierte Hardware-Sicherheitsschlüssel für berechtigte Benutzer und Filialmitarbeiter.

• Größte Herausforderung: Die alte Kassieranwendung erforderte eine FIDO2-Proxy-Schicht; die Helpdesk-Mitarbeiter mussten vor der Einführung ein Training zur Abwehr von Social-Engineering-Angriffen absolvieren.
• Passworttyp: Gerätegebundene Hardware-Sicherheitsschlüssel
• Zeitleiste: Sechs Monate
• Ergebnisse: 43% – Reduzierung der Helpdesk-Anfragen; keine passwortbezogenen Sicherheitsverletzungen nach der Bereitstellung

Szenario 2: Regierung – Bundesbehörde, 12.000 Mitarbeiter
Eine zivile Bundesbehörde musste die Vorgaben der EO 14028 und der OMB-Richtlinie M-22-09 hinsichtlich phishing-resistenter Multi-Faktor-Authentifizierung (MFA) in einer hybriden Umgebung erfüllen, die auch luftisolierte, als geheim eingestufte Netzwerksegmente umfasste.

• Zentrale Herausforderungen: Für die vom Internet getrennten Segmente war eine internetunabhängige Authentifizierung erforderlich; ein älteres Fallverwaltungssystem benötigte eine FIDO2-Proxy-Schicht; mehr als 30 Außenstellen benötigten Unterstützung bei der Fernregistrierung.
• Passworttyp: FIPS 140-3 Stufe 3 RSA iShield Key 2 für alle Mitarbeiter; RSA DS100 OTP-Token für Air-Gap-Segmente
• Zeitleiste: Zehn Monate
• Ergebnisse: Vollständige Zertifizierung gemäß EO 14028 / M-22-09; die Rate der erfassten Anmeldedaten sank von 18% auf unter 1%; Reduzierung der Helpdesk-Tickets um 38%