Die unbequeme Wahrheit zuerst: Das klassische Passwort ist als alleiniger Schutz für externe Zugänge nicht mehr zeitgemäß. Die meisten erfolgreichen Angriffe auf Unternehmenskonten laufen über gestohlene oder gephishte Zugangsdaten — nicht über geknackte Kryptografie. Die Antwort darauf ist gestaffelt: Mehr-Faktor-Authentifizierung als Pflicht, phishing-resistente Verfahren als Ziel.
Die 2FA-Rangliste — nicht jeder zweite Faktor ist gleich gut
- Phishing-resistent (erste Wahl): Passkeys bzw. FIDO2 — ob als Hardware-Schlüssel oder gerätegebunden mit Biometrie. Der entscheidende Unterschied: Die Anmeldung ist kryptografisch an die echte Domain gebunden. Eine täuschend echte Phishing-Seite bekommt schlicht kein gültiges Login, egal wie überzeugt der Nutzer ist.
- Solide Mittelklasse: App-basierte Einmalcodes (TOTP) und Push-Bestätigungen. Deutlich besser als nichts — aber phishbar: Wer Code oder Push-Freigabe auf einer gefälschten Seite eingibt bzw. genervt „Ja” tippt (Stichwort MFA-Fatigue), ist trotzdem kompromittiert.
- Nur noch Notlösung: SMS-Codes. Besser als Passwort-only, aber anfällig für SIM-Swapping und Abfangen — für Administratoren und kritische Systeme nicht mehr angemessen.
Passkeys im Unternehmen: was praktisch zu klären ist
Die Plattform-Unterstützung ist da — Microsoft, Google, Apple und die großen Identitätsanbieter tragen Passkeys seit Jahren. Die eigentlichen Fragen sind organisatorisch: Wie werden Passkeys beim Onboarding ausgerollt und beim Offboarding entzogen? Was ist der Wiederherstellungsweg bei Geräteverlust (und ist der genauso stark abgesichert wie der Login selbst)? Werden synchronisierte Passkeys aus privaten Cloud-Konten geduldet oder nur verwaltete? Wer diese vier Fragen beantwortet hat, kann umstellen — sinnvollerweise zuerst bei Admin-Konten, VPN und E-Mail.
Nicht vergessen: der Passwort-Manager für den Rest. Solange nicht jeder Dienst Passkeys kann, bleiben Passwörter im Spiel — dann aber generiert, einzigartig und zentral verwaltet. Wir betreiben unseren Passwort-Manager selbst gehostet; die BSI-Warnungen zu Schwachstellen in einzelnen Produkten der letzten Jahre zeigen: Auch dieses Werkzeug gehört ins Patch- und Schwachstellenmanagement.
Einordnung für DSGVO und ISO 27001
Starke Authentifizierung ist keine Kür, sondern Kernbestand der TOM nach Art. 32 und der Zugriffssteuerung nach ISO 27001. Prüfer fragen inzwischen konkret nach MFA-Abdeckung — und „alle außer der Geschäftsführung” ist die falsche Antwort, denn genau diese Konten sind die wertvollsten Ziele.
Fazit
Die Roadmap für 2026 ist unspektakulär und wirksam: MFA flächendeckend, SMS ausmustern, Passkeys für die kritischen Zugänge zuerst, Wiederherstellungswege absichern. Das meiste davon ist mit Bordmitteln der vorhandenen Plattformen machbar. Bei Konzept und Umsetzung unterstützt unser Informationssicherheits-Team — pragmatisch und ohne Produktverkauf.