Passwörter sind seit Jahrzehnten das schwächste Glied in der Unternehmenssicherheit – und die Zahlen belegen dies. Die durchschnittlichen Kosten für eine einzelne Passwortzurücksetzung betragen $70 pro Vorfall, einschließlich des Aufwands für Supportmitarbeiter, der Infrastruktur und der damit verbundenen Produktivitätsverluste. Die Reaktion der Branche ist eindeutig: Passkeys ersetzen Passwörter – und die Verbreitung schreitet schneller voran als bei jeder bisherigen Authentifizierungstechnologie.
Im Jahr 2026, 87% der Unternehmen führen Passkeys derzeit aktiv ein oder testen sie in Pilotprojekten, gegenüber 53% nur zwei Jahre zuvor. Der Markt für passwortlose Authentifizierung erreichte $24,1 Milliarden im Jahr 2025 und wird bis 2030 voraussichtlich $55,7 Milliarden erreichen. Dies ist kein Trend, der sich erst in den Anfängen befindet – es handelt sich um einen Wandel, der bereits in vollem Gange ist.
In diesem Artikel wird erläutert, was Passkeys sind, warum sie für die Sicherheitslage Ihres Unternehmens wichtig sind und wie Sie sie in acht praktischen Schritten implementieren können.
Ein Passkey ist ein kryptografisches Zugangsmedium vom Typ FIDO, das Passwörter vollständig ersetzt.
Wenn Sie einen Passkey bei einem Dienst registrieren, generiert Ihr Gerät ein Schlüsselpaar aus öffentlichem und privatem Schlüssel. Zur Authentifizierung signiert das Gerät eine eindeutige Challenge mit dem privaten Schlüssel – die vom Dienst anhand des öffentlichen Schlüssels überprüft wird –, und für die Nutzung ist entweder Ihre biometrische Authentifizierung oder die Geräte-PIN erforderlich.
Es wird kein Passwort erstellt, gespeichert, übertragen oder könnte gestohlen werden. Ein Angreifer hat keine Möglichkeit, Daten durch Phishing zu erbeuten.
Passkeys gibt es in zwei Formen:
Synchronisierte Passkeys—Der private Schlüssel wird in einem Synchronisierungsnetzwerk (wie beispielsweise dem Apple iCloud-Schlüsselbund oder dem Google-Passwortmanager) gespeichert und ist auf allen Geräten des Nutzers verfügbar, die mit diesem Netzwerk verbunden sind. Diese Lösungen legen den Schwerpunkt auf Komfort und eignen sich besonders gut für Verbraucheranwendungen.
Gerätegebundene Passkeys—ein privater Schlüssel, der auf einem einzigen Gerät gespeichert ist und dieses Gerät nicht verlassen darf. Diese bieten das höchste Sicherheitsniveau und sind die richtige Wahl für Unternehmensumgebungen, privilegierten Zugriff und Compliance-orientierte Anwendungsfälle.
Der umfassende Leitfaden von RSA zur passwortlosen Authentifizierung erläutert, wie sich Passkeys in eine umfassendere Architektur für die Identitätssicherheit einfügen.
Passkeys bieten Verbesserungen in drei Bereichen, die für Sicherheitsverantwortliche von größter Bedeutung sind:
Sicherheit: Phishing von vornherein ausgeschlossen. Passkeys sind kryptografisch an die Domain gebunden, unter der sie registriert wurden. Eine Phishing-Seite mit einer ähnlich aussehenden URL erhält eine Antwort, die für den echten Dienst mathematisch ungültig ist. Laut Googles Forschung, Konten, die durch Passkeys geschützt sind, sind 99,91 TP14T – geringeres Risiko einer Kompromittierung als Konten, die ausschließlich mit einem Passwort geschützt sind. Die eigenen Erkenntnisse von RSA – näher beleuchtet in Sind Passkeys für den Einsatz in Unternehmen geeignet?—bestätigen, dass gerätegebundene Passkeys die gesamte Klasse von Angriffen durch das Abfangen von Anmeldedaten ausschließen.
Benutzererlebnis: Schnellere, reibungslose Anmeldung. Die Passkey-Authentifizierung erfolgt durch eine einzige biometrische Geste oder die Eingabe einer PIN. Man muss sich kein Passwort merken, nicht auf ein Einmalpasswort warten und keine Push-Benachrichtigung bestätigen. Unternehmen, die Passkeys einsetzen, berichten durchweg von höheren Anmelderaten, einer schnelleren Authentifizierung und einer messbar geringeren Benutzerbelastung. Die Entscheidung von Microsoft, Passkeys ab Mai 2025 zur Standardanmeldung für neue Konten zu machen führte zu einem Anstieg der erfolgreichen Authentifizierungen um 120%.
Kostensenkung: weniger Anrufe beim Helpdesk, geringere Betrugsraten. Das Zurücksetzen von Passwörtern ist einer der größten wiederkehrenden Kostenfaktoren im IT-Support. Durch den Verzicht auf Passwörter entfällt der gesamte Workflow zum Zurücksetzen von Passwörtern vollständig. Unternehmen, die auf Passkeys umgestellt haben, berichten von einer erheblichen Verringerung des Helpdesk-Aufkommens und der Kosten für die SMS-Authentifizierung – was bei groß angelegten Implementierungen zu erheblichen Einsparungen führt.
Die Sicherheitsgewinne gelten allgemein, doch die Dringlichkeit variiert je nach Sektor:
Finanzdienstleistungen: PCI DSS 4.0 schreibt ausdrücklich eine phishing-resistente MFA für den Zugriff auf die Karteninhaberdatenumgebung vor, wobei Passkeys als zulässiger Mechanismus genannt werden. Die Fintech-Branche liegt mit etwa 60%: Einführung des aktiven Passworts bei berechtigten Nutzern im Jahr 2026.
Gesundheitswesen: In HIPAA-regulierten Umgebungen bietet die Verwendung von Passkeys den Vorteil, dass die gemeinsame Nutzung von Passwörtern und die Wiederverwendung von Anmeldedaten vermieden werden – beides hartnäckige Probleme im klinischen Umfeld, in dem ein schneller Zugriff auf Geräte für den Betriebsablauf entscheidend ist.
Bundes- und Verteidigungsbereich: Verordnung Nr. 14028 und OMB M-22-09 Phishing-resistente MFA ist vorgeschrieben. Gerätegebundene Passkeys, die die FIPS 140-3 Level 3-Zertifizierung erfüllen, genügen dieser Anforderung in vollem Umfang.
SaaS für Unternehmen und Remote-Arbeit: Mit 75% Organisationen, die in hybriden Umgebungen tätig sind (RSA ID IQ Bericht 2026), Passkeys ermöglichen eine einheitliche, gegen Phishing geschützte Authentifizierung in Cloud-, On-Premises- und Fernzugriffsszenarien, ohne dass Benutzer für jedes System separate Anmeldedaten verwalten müssen.), Passkeys ermöglichen eine einheitliche, gegen Phishing geschützte Authentifizierung in Cloud-, On-Premises- und Fernzugriffsszenarien, ohne dass Benutzer für jedes System separate Anmeldedaten verwalten müssen.
Die Einführung von Passkeys in Unternehmen lässt sich im Rahmen einer strukturierten Umsetzung erreichen. Hier ist ein bewährtes achtstufiges Vorgehen:
Schritt 1: Überprüfen Sie Ihre aktuelle Authentifizierungslandschaft. Erfassen Sie alle Zugriffspunkte: VPN, Cloud-Anwendungen, lokale Systeme, Arbeitsstationen mit privilegiertem Zugriff. Ermitteln Sie, welche davon noch auf Passwörter oder eine durch Phishing angreifbare MFA basieren. Diese Bestandsaufnahme dient Ihnen als Roadmap für die Umsetzung.
Schritt 2: Wählen Sie die Art Ihres Passworts aus. Im Unternehmensbereich sind gerätegebundene Passkeys die richtige Standardlösung für privilegierte Konten und regulierten Zugriff. Synchronisierte Passkeys können für Anwendungen mit geringerem Risiko und für Endverbraucher geeignet sein. RSA-Analyse zu Passkey-Strategien in Unternehmen trägt dazu bei, diese Entscheidung einzuordnen.
Schritt 3: Wählen Sie eine FIDO2-zertifizierte Plattform aus. RSA ID Plus ist FIDO2-zertifiziert und unterstützt gerätegebundene mobile Passkeys über die RSA Authenticator App, gerätegebundene Hardware-Passkeys über die RSA iShield Key 2-Serie und andere FIDO-Sicherheitsschlüssel, synchronisierte Passkeys, QR-Codes, herkömmliche OTP- und Push-Authentifizierung, sodass Sie Ihre Systeme modernisieren können, ohne auf Ihre bestehende Infrastruktur verzichten zu müssen.
Schritt 4: Aktivieren Sie die Passkeys in der RSA Authenticator-App. Bei mobilen Passkeys, Aktivieren Sie die FIDO-Authentifizierung in der RSA ID Plus-Verwaltungskonsole und ermöglichen die Nutzung der RSA Authenticator App als FIDO-Authentifikator. Benutzer registrieren bei der ersten Registrierung ihren gerätegebundenen Passkey – es ist keine zusätzliche Hardware erforderlich.
Schritt 5: Führen Sie einen kontrollierten Pilotversuch durch. Beginnen Sie mit einer definierten Gruppe: IT-Mitarbeiter, ein einzelner Geschäftsbereich oder Benutzer mit Sonderrechten. Erfassen Sie die Erfolgsquote bei der Authentifizierung, die Auswirkungen auf den Helpdesk und die Benutzerzufriedenheit, bevor Sie das System flächendeckend einführen.
Schritt 6: Integrieren Sie die Lösung in Ihr IAM und Ihre Unternehmensanwendungen. RSA ID Plus lässt sich integrieren mit SecurID und die die gesamte Palette an Unternehmensanwendungen—Microsoft 365, Salesforce, ServiceNow, Cisco AnyConnect und Hunderte weitere — so funktionieren Passkeys in Ihrer gesamten Umgebung einheitlich, ohne dass Authentifizierungsabläufe neu eingerichtet werden müssen.
Schritt 7: Verfahren für das Lebenszyklusmanagement festlegen. Legen Sie fest, was geschieht, wenn ein Gerät verloren geht oder gestohlen wird oder ein Mitarbeiter das Unternehmen verlässt. Mit RSA ID Plus werden Passkeys zentral verwaltet – Registrierung, Deaktivierung und Wiederherstellung erfolgen über eine einzige Verwaltungsebene, sodass keine Lücken im Benutzerlebenszyklus entstehen.
Schritt 8: Endnutzer schulen und die Akzeptanz verfolgen. Passkeys sind einfacher zu verwenden als Passwörter – allerdings kann die erstmalige Registrierung etwas Einarbeitungszeit erfordern. Eine kurze Einweisung in die Registrierung und die Nutzung der biometrischen Authentifizierung verringert den Aufwand. Verfolgen Sie die Akzeptanzraten, die Häufigkeit der Ausweichauthentifizierung und das Helpdesk-Ticketvolumen, um den Fortschritt zu messen.
Passkeys sind keine neue Technologie – sie sind der Authentifizierungsstandard, den Unternehmen derzeit in großem Umfang einführen. Die Kombination aus konzeptioneller Phishing-Resistenz, einer deutlich verbesserten Benutzererfahrung und messbaren Kosteneinsparungen spricht stärker für Passkeys als jeder bisherige Fortschritt im Bereich der Authentifizierung.
Die 2026 RSA ID IQ Report stellte fest, dass 90% der Unternehmen nach wie vor Schwierigkeiten bei der Abschaffung von Passwörtern haben – obwohl 69% im selben Jahr einen Sicherheitsvorfall aufgrund unzureichender Identitätssicherheit meldeten. Die Kluft zwischen Absicht und Umsetzung ist real, lässt sich aber schließen. Unternehmen, die frühzeitig handeln, verschaffen sich einen Sicherheits- und Betriebsvorteil; diejenigen, die zögern, setzen sich einem wachsenden Risiko durch Angriffe auf Zugangsdaten aus, die herkömmliche MFA nicht abwehren kann.
Sind Sie bereit, Ihre Reise ohne Passwort zu beginnen? Laden Sie die vollständige Übersicht über die passwortlose Lösung von RSA für Unternehmen herunter Erfahren Sie, wie RSA ID Plus Ihr Unternehmen von einer passwortabhängigen zu einer phishingresistenten Struktur führen kann – ohne die Systeme zu beeinträchtigen, auf die sich Ihre Teams heute verlassen.
Ein Passkey ist ein kryptografisches Zugangsdatum, das Passwörter bei der Authentifizierung ersetzt. Ihr Gerät generiert ein Schlüsselpaar aus öffentlichem und privatem Schlüssel; der Dienst speichert lediglich den öffentlichen Schlüssel und Anmelden erfordert den Nachweis des privaten Schlüssels mittels biometrischer Daten oder einer Geräte-PIN – ohne dass ein Passwort über das Netzwerk übertragen wird. Passkeys gibt es in zwei Formen: synchronisierte Passkeys, bei denen der private Schlüssel in einer Cloud-Synchronisierungsstruktur gespeichert und geräteübergreifend genutzt wird (geeignet für den privaten Gebrauch); und gerätegebundene Passkeys, bei denen der private Schlüssel das Gerät niemals verlässt – die richtige Wahl für Unternehmen, privilegierten Zugriff und Compliance-orientierte Umgebungen.
Passkeys sind kryptografisch an die Domain gebunden, unter der sie erstellt wurden. Bei der Authentifizierung überprüft der Passkey, ob die Website mit der registrierten Herkunftsdomain übereinstimmt. Eine Phishing-Website – selbst wenn sie identisch mit der echten Website aussieht – hat eine andere Domain und erhält eine kryptografisch ungültige Antwort. Es gibt keine Anmeldedaten, die gestohlen, weitergeleitet oder wiederholt werden könnten.
Ja. Laut einer Umfrage der FIDO Alliance/HID aus dem Jahr 2025, 87% von Unternehmen führen derzeit aktiv die Einführung durch oder Testbetrieb mit Passkeys. Lösungen für den Unternehmensbereich wie RSA ID Plus Unterstützung gerätegebundener Passkeys mit zentraler Lebenszyklusverwaltung, Integration in Hunderte von Unternehmensanwendungen und Unterstützung hybrider Umgebungen.
Passkeys bieten Sicherheit (Konten sind um 99,91 TP14T weniger anfällig für Kompromittierungen als solche, die ausschließlich mit Passwörtern geschützt sind), Kosteneinsparungen (der mit Passwörtern verbundene Aufwand beläuft sich bei den meisten Unternehmen jährlich auf über 1 TP15T1M) und Verbesserungen der Benutzererfahrung (schnellere Anmeldung, höhere Erfolgsraten, geringeres Helpdesk-Aufkommen). Unternehmen, die Passkeys eingeführt haben, verzeichneten Rückgang der Passwortnutzung um 26% in der gesamten Nutzerbasis.
Überprüfen Sie Ihre aktuelle Authentifizierungslandschaft, wählen Sie Ihren Passkey-Typ aus, entscheiden Sie sich für eine FIDO2-zertifizierte Plattform, aktivieren Sie Passkeys in Ihrer Authentifizierungs-App, führen Sie einen Pilotversuch mit einer Testgruppe durch, integrieren Sie die Lösung in Ihr IAM und Ihre Anwendungen, festlegen Lebenszyklusmanagement und Schulung der Endnutzer. Siehe die RSA ID Plus-Produktseite zur Umsetzung Beratung und Unterstützung bei der Integration.
Ja. Passwörter werden gemäß PCI DSS 4.0, NIST SP 800-63B (AAL2 und AAL3 mit gerätegebundenen Schlüsseln), der Executive Order 14028 und OMB M-22-09 für Bundesbehörden als phishingresistente MFA anerkannt. Gerätegebundene Passkeys über FIPS 140-3-zertifizierte Hardware erfüllen die strengsten Authentifizierungsanforderungen der Regierung.
