Passkeys im Team: Was passiert, wenn das Handy weg ist?

Das Gerät ist nicht immer der einzige Speicherort

Ein Passkey verwendet ein kryptografisches Schlüsselpaar für die Anmeldung. Die FIDO Alliance unterscheidet synchronisierte Passkeys und solche, die an ein bestimmtes Gerät gebunden bleiben. Bei der Anmeldung bestätigt die Person den Zugriff beispielsweise per Geräte-PIN oder biometrischer Prüfung. Das Verfahren ist auf Schutz vor Phishing ausgelegt; die übrige Kontoverwaltung bleibt trotzdem wichtig.

Ein synchronisierter Passkey kann über den gewählten Anbieter auf weiteren unterstützten Geräten verfügbar werden. Ein gerätegebundener Passkey bleibt dagegen auf seinem Authentifikator. Das kann auch ein separater Sicherheitsschlüssel sein: Er lässt sich an einem anderen unterstützten Rechner verwenden, ohne dass sein privater Schlüssel dorthin kopiert wird.

Die Frage an die Administration lautet deshalb nicht bloß, welche App installiert ist. Entscheidend ist, welcher Passkey für welches Konto registriert wurde und ob er synchronisiert wird. Ein zweites Gerät auf dem Schreibtisch ist erst dann ein Ersatzweg, wenn die Anmeldung damit tatsächlich möglich ist.

Auch synchronisierte Passkeys brauchen einen Ersatzplan

Das FIDO-Whitepaper zur Bereitstellung synchronisierter Passkeys beschreibt zwei unterschiedliche Ausfälle. Bei gerätegebundenen Zugängen kann das verlorene Gerät zugleich den einzigen verfügbaren Passkey enthalten. Bei synchronisierten Zugängen kann wiederum der Zugang zum Passkey-Anbieter fehlen oder das Ersatzgerät diesen Anbieter nicht unterstützen. Die im Papier betrachteten Abläufe richten sich an Verbraucherdienste; die konkrete Firmenrichtlinie muss zusätzlich berücksichtigt werden.

Lassen Sie vor der Einführung klären, wer einen Wiederherstellungsweg freigeben darf und wie die anfragende Person dabei identifiziert wird. Wenn für das Arbeitskonto ein privates Synchronisationskonto verwendet werden soll, gehört dessen Rolle ausdrücklich in diese Entscheidung. Die Firma sollte wissen, welche Abhängigkeit sie damit akzeptiert und welche Unterstützung sie leisten kann.

OWASP empfiehlt bei der Gestaltung solcher Dienste mehrere registrierte Authentifikatoren und einen sorgfältig abgesicherten Wiederherstellungsweg. Die Empfehlung ist keine Zusage, dass Ihr gebuchtes Produkt jede dieser Möglichkeiten unterstützt. Ein zusätzlich gekaufter Sicherheitsschlüssel muss zum Dienst und zur Richtlinie passen und vorher registriert sein.

Eine Kopie sehen und eine Anmeldung sperren sind verschiedene Dinge

Microsoft beschreibt die Grenze für Entra ID recht deutlich: Administratoren können einen Passkey aus den Anmeldemethoden eines Benutzerkontos löschen. Zugleich können sie nicht genau sehen oder kontrollieren, auf welchen Geräten Kopien eines synchronisierten Passkeys liegen. Wer eine strikte Bindung an ein bestimmtes Gerät verlangt, muss diese Anforderung daher schon bei der Wahl des zulässigen Passkey-Modells berücksichtigen.

Diese Aussage betrifft Microsoft Entra ID. Für andere Dienste brauchen Sie deren Verwaltungsweg. Halten Sie fest, ob die Administration eine Registrierung am Dienst entfernen kann oder lediglich einen Eintrag auf einem verwalteten Gerät. Das Entfernen am Dienst ist für den Widerruf entscheidend; eine lokale Anzeige im Passwortmanager beantwortet diese Frage nicht allein.

Beim Ausscheiden bleibt das Benutzerkonto der Bezugspunkt

Wenn jemand das Team verlässt, genügt als Übergabeprotokoll kein Haken hinter der Rückgabe des Handys. Prüfen Sie am verwendeten Dienst, wie das Konto gesperrt, registrierte Anmeldemethoden behandelt und bestehende Sitzungen beendet werden. Welche Maßnahme wann greift, hängt vom Identitätsdienst und den angeschlossenen Anwendungen ab. Der Artikel behauptet keinen einheitlichen Sofort-Widerruf.

OWASP behandelt Wiederherstellung, Registrierung, Widerruf und Sitzungen als zusammenhängende Aufgaben. Daraus folgt für die Einführung eine praktische Anforderung: Zuständige Personen müssen die Verwaltung erreichen können, auch wenn die bisher betreuende Person ausfällt. Dieser Ersatz darf nicht davon abhängen, dass genau deren einziges Anmeldegerät noch funktioniert.

Den Ausfall üben, solange noch nichts verloren ist

Verwenden Sie für die Abnahme ein dafür vorgesehenes Testkonto und ungefährliche Daten. Der folgende Ablauf ist ein Prüfplan, kein von uns ausgeführter Passkey-Test.

1. Das bisherige Gerät bleibt unbenutzt. Die Testperson meldet sich über den vereinbarten Ersatzweg an.
2. Die zuständige Administration entfernt anschließend eine Testregistrierung am Dienst. Eine erneute Anmeldung damit muss entsprechend der vorgesehenen Richtlinie abgewiesen werden.
3. Für ein gesperrtes Testkonto wird getrennt geprüft, welche neuen Anmeldungen und bereits offenen Anwendungen noch möglich sind. Das beobachtete Verhalten wird mit dem dokumentierten Verfahren abgeglichen.

Was nach der Abnahme vorliegen sollte

Bewahren Sie das Ergebnis als betriebliche Anleitung auf: betroffener Dienst, zulässiger Passkey-Typ, eingerichteter Ersatzweg und erreichbare zuständige Stelle. Geheimnisse und Wiederherstellungscodes gehören nicht in ein allgemein zugängliches Teamdokument. Die Anleitung muss erklären, wie eine berechtigte Person weiterkommt und wie ein nicht mehr berechtigter Zugang endet.