Passwörter, Multi-Faktor-Authentifizierung und Passkeys

Ein erratenes Passwort allein darf keine Tür öffnen. Vier Regeln setzen wir in jedem Betrieb um. Darunter vergleichen wir neun Anmeldeverfahren: welches welchem Angriff standhält und warum Codes per App oder SMS gegen die aktuelle Phishing-Welle nicht reichen.

Vier Regeln

• Multi-Faktor-Authentifizierung für alle Zugänge, bevorzugt phishing-resistent: FIDO2-Schlüssel oder Passkeys, sonst Push mit Zahlenabgleich.
• Passwort-Manager statt Zettel unter der Tastatur und statt Excel-Datei.
• Administratorkonten getrennt vom Alltagskonto (Tier 0/1/2).
• LAPS: lokale Administratorpasswörter automatisch und je Gerät verschieden.

Ausprobieren in der Desktop-Ansicht: Passwort-Rechner, Authenticator-Code, Passkey-Demo IT-Sicherheits-Check

Neun Verfahren im Vergleich

Nur Passwort

Benutzername und Passwort, sonst nichts. Der Dienst vergleicht das eingegebene Passwort mit einem gespeicherten Prüfwert. Wer das Passwort kennt, ist drin – egal wer.

Dafür: Überall möglich, nichts einzurichten.
Dagegen: Ein geleaktes oder erratenes Passwort reicht; Phishing-Seiten bekommen alles, was sie brauchen; Keylogger und Schulterblick genügen.
Komfort 3 von 5, Aufwand 1 von 5.

Unsere Empfehlung: Nur noch für Zugänge ohne Außenanbindung und ohne Daten. Für E-Mail, Cloud und Fernzugang ungeeignet.

Passwort + SMS-Code

Sechs Ziffern per SMS, abgetippt. Nach dem Passwort schickt der Dienst einen Code an die hinterlegte Handynummer. Der Code wird abgetippt und ist wenige Minuten gültig.

Dafür: Jedes Handy kann es; Besser als nur ein Passwort.
Dagegen: SIM-Tausch: Der Angreifer lässt sich beim Mobilfunkanbieter eine neue SIM für die Nummer des Benutzers ausstellen; Der Code lässt sich auf einer Phishing-Seite in Echtzeit abtippen; SMS kommen verspätet, im Ausland manchmal gar nicht.
Komfort 3 von 5, Aufwand 1 von 5.

Unsere Empfehlung: Nur als Übergang. Durch App oder Passkey ersetzen und als Rücksetzmethode abschalten.

Passwort + Code aus der Authenticator-App

Alle 30 Sekunden ein neuer Code, aus Geheimnis und Uhrzeit. App und Dienst teilen bei der Einrichtung ein Geheimnis. Aus Geheimnis und aktueller Uhrzeit berechnet die App alle 30 Sekunden einen sechsstelligen Code, den der Dienst genauso berechnet und vergleicht (TOTP).

Dafür: Funktioniert ohne Netz und ohne SIM; Kostenlos, jede Authenticator-App geht.
Dagegen: Der Code lässt sich auf einer Phishing-Seite abtippen und 30 Sekunden lang verwenden; Beim Handywechsel müssen alle Konten übertragen werden; Die Sicherung des Geheimnisses ist oft unklar.
Komfort 3 von 5, Aufwand 2 von 5.

Unsere Empfehlung: Solider Standard gegen Passwortdiebstahl. Gegen die aktuelle Phishing-Welle hilft er nicht.

Passwort + Push mit Zahlenabgleich

Die App fragt, der Benutzer tippt die angezeigte Zahl ein. Die App am Handy fragt „Anmeldung bestätigen?“. Der Benutzer tippt die zweistellige Zahl ein, die der Anmeldebildschirm zeigt (Number Matching). Ohne diese Zahl lässt sich nichts bestätigen, auch nicht aus Versehen.

Dafür: Bequem, nichts abzutippen außer der Zahl; Der Zahlenabgleich stoppt blindes Bestätigen; Zeigt Ort und Anwendung der Anmeldung.
Dagegen: Eine Phishing-Seite in Echtzeit zeigt die Zahl einfach auf der Fälschung an; Braucht eine Datenverbindung am Handy; Ohne erzwungenen Zahlenabgleich anfällig für Bombardement.
Komfort 4 von 5, Aufwand 2 von 5.

Unsere Empfehlung: Gute Wahl für Alltag und Komfort, solange Passkeys noch nicht gehen. Der Zahlenabgleich muss erzwungen sein.

Hardware-Sicherheitsschlüssel (FIDO2) · phishing-resistent

Ein USB- oder NFC-Schlüssel unterschreibt nur für die echte Domain. Der Schlüssel enthält den privaten Schlüssel, der Dienst kennt nur den öffentlichen. Bei der Anmeldung unterschreibt der Schlüssel eine Zufallsaufgabe – aber nur, wenn die Domain mit der Registrierung übereinstimmt. Freigabe durch Berühren oder PIN.

Dafür: Phishing-resistent: Eine Fälschung bekommt keine Unterschrift; Kein Geheimnis, das man abtippen oder verraten könnte; Funktioniert an jedem Rechner, auch ohne Handy.
Dagegen: 25 bis 70 Euro je Schlüssel; Ein zweiter Schlüssel als Ersatz ist Pflicht; Verlust muss gemeldet und der Schlüssel entfernt werden.
Komfort 4 von 5, Aufwand 3 von 5.

Unsere Empfehlung: Für Administratoren, Geschäftsführung und alle mit Zugriff auf Geld oder Personaldaten. Unsere erste Wahl für Microsoft 365.

Passkey am Gerät · phishing-resistent

Wie der Hardware-Schlüssel, nur im Sicherheitschip des Geräts. Derselbe Mechanismus wie beim Hardware-Schlüssel, nur liegt der private Schlüssel im Sicherheitschip von Rechner oder Handy (TPM, Secure Enclave). Freigabe per PIN, Fingerabdruck oder Gesicht. Das Gerät antwortet nur der registrierten Domain.

Dafür: Phishing-resistent; Nichts zu kaufen, nichts zu verlieren; Anmeldung in zwei Sekunden, ohne Passwort.
Dagegen: Gilt nur auf diesem Gerät, jedes Gerät braucht eine eigene Registrierung; Gerät kaputt heißt Passkey weg, ein Ersatzweg muss vorbereitet sein.
Komfort 5 von 5, Aufwand 2 von 5.

Unsere Empfehlung: Standard für verwaltete Firmengeräte.

Synchronisierter Passkey · phishing-resistent

Der Passkey liegt im Apple- oder Google-Konto und ist auf allen Geräten da. Der Passkey wird verschlüsselt im Konto des Anbieters gespeichert (iCloud-Schlüsselbund, Google-Passwortmanager) und auf alle Geräte dieses Kontos verteilt. Die Anmeldung läuft wie beim Passkey am Gerät.

Dafür: Phishing-resistent; Auf allen eigenen Geräten verfügbar, Gerätewechsel unproblematisch.
Dagegen: Genauso sicher wie das Apple- oder Google-Konto dahinter; Im Betrieb schwer zu verwalten: Wer hat ihn auf welchem Gerät?; Verheiratet ein privates Konto mit dem Firmenzugang.
Komfort 5 von 5, Aufwand 2 von 5.

Unsere Empfehlung: Privat sehr gut. Im Betrieb nur mit klaren Regeln, welche Konten synchronisieren dürfen.

Windows Hello for Business · phishing-resistent

Microsofts Passkey für den Windows-Arbeitsplatz, zentral verwaltet. Schlüssel im TPM des Rechners, Freigabe per PIN oder Biometrie, Verwaltung über Entra ID und Intune. Die PIN gilt nur auf diesem Gerät und ersetzt das Passwort an Windows und Microsoft 365.

Dafür: Phishing-resistent; Zentral verwaltet, zentral sperrbar; Ersetzt das Passwort am Arbeitsplatz.
Dagegen: Nur Windows, nur mit passender Verwaltung; Einrichtung je Gerät, PIN je Gerät.
Komfort 5 von 5, Aufwand 3 von 5.

Unsere Empfehlung: Für Betriebe mit Microsoft 365 und verwalteten Windows-Geräten der direkte Weg zur passwortlosen Anmeldung.

Smartcard oder Zertifikat · phishing-resistent

Ein Zertifikat auf Karte oder Gerät weist den Benutzer aus. Ein von der eigenen Zertifizierungsstelle ausgestelltes Zertifikat liegt auf einer Chipkarte oder im Gerät. Die Anmeldung läuft über Kryptografie, das Passwort entfällt oder wird zur Karten-PIN.

Dafür: Phishing-resistent; Bewährt in Behörden und Großbetrieben; Dieselbe Karte öffnet Türen und Drucker.
Dagegen: Eigene Zertifikatsinfrastruktur nötig; Kartenleser, Ausgabeprozess, Sperrlisten; Für kleine Betriebe meist zu aufwendig.
Komfort 3 von 5, Aufwand 5 von 5.

Unsere Empfehlung: Wo es besteht, beibehalten. Neu einführen nur mit gutem Grund: Passkeys leisten dasselbe mit weniger Aufwand.

Welche Anmeldung welchem Angriff standhält

✓ hält stand · ~ kommt darauf an · ✗ Angriff gelingt · – nicht betroffen. In der Desktop-Ansicht erklärt jede Zelle ihre Begründung und spielt den Angriff Schritt für Schritt durch.

Die sechs Angriffe

Nachgebaute Anmeldeseite in Echtzeit: Die Fälschung reicht alles, was der Benutzer eingibt, sofort an den echten Dienst weiter und bekommt dafür die angemeldete Sitzung. Die aktuelle Welle gegen Microsoft 365 arbeitet genau so.

Geleaktes oder erratenes Passwort: Passwörter aus Datendiebstählen anderer Dienste und Listen häufiger Passwörter werden automatisiert bei Microsoft 365, VPN und Webmail durchprobiert.

SIM-Tausch: Der Angreifer lässt sich beim Mobilfunkanbieter mit erschwindelten Daten eine neue SIM-Karte für die Nummer des Benutzers ausstellen. Ab dann kommen die SMS des Benutzers bei ihm an.

MFA-Bombardement: Mit dem gestohlenen Passwort löst der Angreifer nachts dutzende Bestätigungsanfragen aus, bis der genervte Benutzer einmal auf Ja tippt.

Geräteverlust oder Diebstahl: Handy oder Notebook sind weg. Der Finder hat das Gerät, aber nicht die PIN, den Finger oder das Gesicht des Benutzers – hoffentlich.

Mitlesen am Arbeitsplatz: Ein Keylogger auf dem Rechner oder ein Blick über die Schulter erfasst Passwort und Code beim Tippen.

Häufige Fragen

Was ist ein Passkey?
Ein Schlüsselpaar: Der private Schlüssel bleibt im Sicherheitschip des Geräts, der öffentliche liegt beim Dienst. Bei der Anmeldung unterschreibt das Gerät eine Zufallsaufgabe – aber nur für die Domain, für die der Passkey registriert wurde. Eine Phishing-Seite bekommt deshalb nichts, auch wenn man auf sie hereinfällt.

Warum reicht der Code aus der App nicht?
Weil er eine Zahl ist, die man abtippen kann. Eine nachgebaute Anmeldeseite reicht Passwort und Code in Echtzeit an den echten Dienst weiter und bekommt die Sitzung. So läuft auch die aktuelle Welle gegen Microsoft 365.

Was empfehlen Sie für Microsoft 365?
Wir empfehlen FIDO2-Schlüssel oder Passkeys für alle Konten, Windows Hello for Business auf verwalteten Geräten und bedingten Zugriff, der nur diese Geräte zulässt. Übergangsweise genügt Push mit erzwungenem Zahlenabgleich. SMS sollten Sie als Anmelde- und Rücksetzmethode abschalten.

Stand des Katalogs: 09.10.2026.