Stellen Sie sich eine Werbeagentur mit 15 Mitarbeitern vor. Eine Mitarbeiterin loggt sich morgens ins Microsoft-365-Konto ein. Statt eines Passworts erscheint ein Fenster: „Bitte bestätigen Sie die Anmeldung auf Ihrem Smartphone.“ Sie tippt auf ihr Handy, entsperrt es mit dem Fingerabdruck – fertig. Kein Passwort. Nichts zu merken. Nichts zu vergessen. Willkommen in der Welt der Passkeys.
Was vor drei Jahren noch nach Science-Fiction klang, ist 2026 der neue Standard. Microsoft schaltet alle neuen Tenants seit April 2025 „passwordless by default“, ab dem 1. September 2026 werden auch bestehende Business-Kunden schrittweise umgestellt. Google, Apple und die großen Cloud-Dienste ziehen mit. In diesem Artikel klären wir, was Passkeys sind, warum sie 2026 im Mittelstand ankommen und worauf KMU bei der Umstellung achten müssen.
Was Passkeys sind – und warum sie sicherer sind als Passwörter
Ein Passkey ist ein kryptografischer Schlüssel, der auf dem Gerät gespeichert wird – Handy, Notebook oder Hardware-Token. Statt ein Passwort einzutippen, entsperren Sie das Gerät mit Fingerabdruck, Gesichtserkennung oder einer PIN. Das Gerät bestätigt der Zielseite: „Ja, hier ist der richtige Nutzer.“ Fertig.
Der entscheidende Unterschied zum Passwort: Es gibt nichts, was man weitergeben, phishen oder auf einem Server abgreifen könnte. Ein Passkey verlässt das Gerät nicht. Damit fallen zwei der häufigsten Angriffsvektoren weg: Phishing (weil das Gerät nur der echten Webseite antwortet) und Passwort-Diebstahl (weil es kein Passwort mehr gibt, das gestohlen werden könnte).
Technisch dahinter steht der FIDO2/WebAuthn-Standard – eine Kooperation aus Microsoft, Google, Apple und der FIDO Alliance. 2026 unterstützen praktisch alle modernen Cloud-Dienste und Betriebssysteme die Technologie nativ.
Warum die Umstellung 2026 für KMU akut wird
Drei parallele Entwicklungen machen Passkeys 2026 zum Pflichtthema:
- Microsoft zieht die Zügel an. Seit April 2025 sind neue Microsoft-365-Tenants standardmäßig passwortfrei. Ab dem 1. September 2026 werden bestehende Business-Kunden mit SMS- oder sprachgestützter Zwei-Faktor-Authentifizierung schrittweise auf Passkeys umgestellt.
- Cyber-Versicherer fordern es. In Antragsformularen 2026 taucht die Frage nach passwortloser oder FIDO2-basierter Authentifizierung immer häufiger auf – wer Nein ankreuzt, zahlt mehr oder bekommt keine Police.
- Phishing-Angriffe werden 2026 durch KI industrialisiert. Klassische Passwörter mit Zwei-Faktor-SMS halten das nicht mehr auf. Passkeys sind praktisch phishing-resistent, weil sie an die konkrete Webseite gebunden sind.
Was Passkeys 2026 im KMU konkret abdecken
Für rund 80 Prozent der typischen KMU-Anwendungen sind Passkeys 2026 einsatzbereit:
- Microsoft 365 (inklusive Outlook, Teams, SharePoint) – über Windows Hello for Business, iCloud Keychain oder plattformeigene Passkey-Systeme.
- Große Cloud-Dienste – Google Workspace, AWS-Konsolen, Dropbox, Slack, Zoom, DATEV Online, viele Bankportale und Versicherungsplattformen.
- Regulierte Anwendungen mit Hardware-Token. Wer AAL3-Anforderungen erfüllen muss (Gesundheit, Finanz, Behörden), setzt FIDO2-Sicherheitsschlüssel wie YubiKey oder Titan ein.
Wo Passkeys 2026 noch nicht ankommen: Legacy-Anwendungen mit klassischem Active Directory, ältere Branchensoftware und viele On-Premises-Systeme. Für diese Bereiche bleiben Passwörter (idealerweise mit Passwortmanager) und Zwei-Faktor-Authentifizierung erst mal Standard.
Die typischen KMU-Fallen bei der Umstellung
Passkeys sind für Nutzer einfach – für den Rollout im Unternehmen aber weder trivial noch spontan. Drei Punkte gehen oft schief:
- Kein Recovery-Konzept. Was passiert, wenn das Handy verloren geht oder ein Mitarbeiter das Gerät wechselt? Ohne einen zweiten Passkey (Backup) oder einen sauberen Recovery-Prozess ist der Zugang weg.
- Kein Rollen-Konzept. Wer bekommt Passkeys? Nur die Geschäftsführung? Alle Mitarbeitenden? Externe Dienstleister? Ohne klare Regelung entsteht ein Flickenteppich aus alten Passwörtern und neuen Passkeys.
- Kein Kommunikations-Plan. „Ab morgen bitte mit Fingerabdruck anmelden“ reicht nicht. Mitarbeitende brauchen eine kurze Anleitung, warum es sicherer ist und was sie zu tun haben. Sonst entstehen Anrufe beim Helpdesk und Frust am Arbeitsplatz.
Was KMU jetzt tun sollten
Aus unserer Beratungspraxis: Drei Schritte für einen realistischen Einstieg:
- Bestandsaufnahme. Welche Anwendungen sind im Einsatz? Welche unterstützen Passkeys bereits, welche nicht? Für Microsoft-365-Umgebungen ist der Weg klar. Für Legacy-Anwendungen bleibt eine Übergangsphase.
- Pilot mit ein bis zwei Rollen. Statt einer Big-Bang-Umstellung starten wir in [Managed-Services-Projekten](https://bavaria-informatics.com/services/#managed-services) meist mit der Geschäftsführung und einer Abteilung. Wer den Rollout erlebt hat, wird zum internen Multiplikator.
- Recovery-Prozess dokumentieren. Vor der Umstellung: Was ist der Backup-Weg? Ein zweiter Passkey (zum Beispiel ein YubiKey im Firmentresor)? Ein Notfall-Kontakt in der IT? Die Antwort muss stehen, bevor der erste Mitarbeiter umgestellt wird.
Eine ehrliche Einschätzung: Passkeys machen Anmeldungen für die meisten Mitarbeitenden schneller und sicherer. Sie ersetzen aber nicht die Grund-Hygiene: gute Rollen, aufgeräumte Berechtigungen, regelmäßige Zugangskontrolle. Wer Passkeys ohne diese Basis ausrollt, hat nur die Login-Maske geändert – nicht das eigentliche Problem.
Fazit
Passkeys sind 2026 der neue Standard für Cloud-Anmeldungen. Microsoft-Kunden werden ab September aktiv umgestellt, die anderen großen Anbieter ziehen mit. Für KMU heißt das: Vor dem Herbst 2026 sollten die Bestandsaufnahme, der Pilot und der Recovery-Prozess stehen – dann läuft die Umstellung ruhig und schafft mehr Sicherheit als jede Passwort-Richtlinie zuvor.
Wenn Sie wissen wollen, wie eine realistische Passkeys-Einführung für Ihren Betrieb aussieht, sprechen Sie uns an. Wir analysieren Ihre aktuelle Anmelde-Landschaft in einem Erstgespräch und zeigen den Weg vom Passwort zum Passkey – kostenfrei und ohne Fachchinesisch.
