Rückblick: Warum der Passkey selbst schwer anzugreifen ist

In den ersten drei Teilen unserer Passkey-Serie haben wir erklärt, was ein Passkey ist, welche Technologie dahintersteckt und wie sicher dieses Anmeldeverfahren tatsächlich ist.

Die wichtigsten Grundlagen sind:

• Ein Passkey verwendet ein kryptografisches Schlüsselpaar.
• Der öffentliche Schlüssel wird beim jeweiligen Dienst gespeichert.
• Der private Schlüssel verbleibt geschützt auf dem Gerät.
• Der private Schlüssel wird bei der Anmeldung nicht übertragen.
• Der Passkey ist an den vorgesehenen Dienst und dessen Domain gebunden.
• Jede Anmeldung verwendet eine neue kryptografische Anfrage.

Dadurch kann ein Passkey nicht wie ein Passwort auf einer beliebigen gefälschten Internetseite eingegeben werden.

Ein Angreifer kann den privaten Schlüssel auch nicht einfach telefonisch erfragen. Der Benutzer kennt ihn nicht und kann ihn normalerweise weder anzeigen noch weitergeben.

Die Grundlagen finden Sie in den vorherigen Beiträgen:

• Was ist ein Passkey?
• Welche Technologie steckt hinter Passkeys?
• Wie sicher sind Passkeys wirklich?

Je schwieriger die eigentliche Anmeldung anzugreifen ist, desto stärker konzentrieren sich Täter auf die Abläufe davor und auf die Zugriffsrechte danach.

Angreifer knacken den Passkey normalerweise nicht

Die Formulierung „Passkey gehackt“ ist häufig ungenau. In den meisten realistischen Angriffsszenarien wird die kryptografische Technik nicht gebrochen.

Cyberkriminelle suchen stattdessen nach einem einfacheren Weg. Sie versuchen beispielsweise:

• den Benutzer zu einer Freigabe zu bewegen
• eine fremde Sitzung autorisieren zu lassen
• einen eigenen Passkey registrieren zu lassen
• ein schwächeres Anmeldeverfahren auszuwählen
• die Kontowiederherstellung zu manipulieren
• den IT-Support zu täuschen
• eine bereits aktive Sitzung zu übernehmen
• ein entsperrtes oder kompromittiertes Gerät zu missbrauchen

Diese Wege sind für Angreifer häufig schneller, günstiger und erfolgversprechender als ein direkter Angriff auf die zugrunde liegende Public-Key-Kryptografie.

Angriffsweg 1: Manipulation bei der Passkey-Registrierung

Ein Passkey kann erst verwendet werden, nachdem sein öffentlicher Schlüssel mit dem jeweiligen Benutzerkonto verknüpft wurde.

Dieser Vorgang wird als Registrierung bezeichnet. Er ist einer der sicherheitskritischsten Schritte im gesamten Passkey-Verfahren.

Wird der Passkey eines Angreifers mit einem fremden Konto verbunden, muss dieser anschließend keine Kryptografie mehr umgehen. Sein Schlüssel wurde vom System als gültige Anmeldemethode eingetragen.

Ein möglicher Angriff beginnt deshalb nicht zwingend mit einer Passkey-Anmeldung, sondern mit dem Versuch, eine neue Anmeldemethode registrieren zu lassen.

Der Täter kann sich beispielsweise als Mitarbeiter der internen IT, als externer Dienstleister oder als Microsoft-Support ausgeben.

Typische Behauptungen können sein:

• Das Unternehmen stelle gerade auf Passkeys um.
• Die bisherige MFA-Methode werde kurzfristig abgeschaltet.
• Das Benutzerkonto müsse aus Sicherheitsgründen neu registriert werden.
• Eine neue Unternehmensrichtlinie verlange die sofortige Einrichtung.
• Der Mitarbeiter müsse eine angeblich fehlerhafte Anmeldung reparieren.
• Ohne die Registrierung werde das Konto gesperrt.

Da Passkeys tatsächlich zunehmend eingeführt werden, wirkt eine solche Geschichte für viele Beschäftigte zunächst plausibel.

Warum unangekündigte Umstellungen besonders riskant sind

Beschäftigte können eine echte Passkey-Einführung nur dann von einem Betrugsversuch unterscheiden, wenn sie vorher wissen, wie der offizielle Ablauf aussieht.

Erfolgt die erste Information über einen unerwarteten Telefonanruf, eine Chatnachricht oder eine fremde E-Mail, fehlt dieser Vergleich.

Unternehmen sollten deshalb vor einer Umstellung eindeutig kommunizieren:

• wann die Einführung beginnt
• welche Benutzer betroffen sind
• welche Geräte verwendet werden dürfen
• über welchen offiziellen Weg die Registrierung erfolgt
• welche Ansprechpartner zuständig sind
• ob eine telefonische Begleitung vorgesehen ist
• welche Informationen niemals abgefragt werden

Die Beschäftigten müssen ausdrücklich wissen, dass sie einen unerwarteten Vorgang abbrechen und über eine bereits bekannte Rufnummer nachfragen dürfen.

Angriffsweg 2: Device-Code-Phishing

Ein aktueller Angriffsweg gegen Microsoft-365-Konten ist das sogenannte Device-Code-Phishing.

Der Device-Code-Ablauf ist ursprünglich für Geräte vorgesehen, auf denen keine komfortable Anmeldung möglich ist. Dazu können beispielsweise Fernseher, Drucker oder andere Geräte mit eingeschränkter Eingabemöglichkeit gehören.

Das Gerät zeigt einen kurzen Code an. Der Benutzer öffnet auf einem anderen Gerät eine offizielle Microsoft-Anmeldeseite, gibt den Code ein und bestätigt den Zugriff.

Angreifer können diesen legitimen Ablauf missbrauchen:

1. Der Angreifer startet auf seinem eigenen System eine Device-Code-Anmeldung.
2. Er erhält einen gültigen Code für seine Sitzung.
3. Der Code wird dem Opfer über eine manipulierte Nachricht oder Website angezeigt.
4. Das Opfer öffnet möglicherweise sogar die echte Microsoft-Anmeldeseite.
5. Der Benutzer gibt den fremden Code ein und bestätigt den Zugriff.
6. Dadurch wird die Sitzung des Angreifers autorisiert.

Der Benutzer kann bei diesem Vorgang durchaus einen Passkey verwenden. Der Passkey wird dabei nicht gestohlen.

Das Problem besteht darin, dass der Benutzer mit seinem sicheren Passkey die falsche Sitzung legitim bestätigt.

Ein sicherer Schlüssel verhindert nicht, dass mit ihm versehentlich die falsche Tür geöffnet wird.

Woran Beschäftigte Device-Code-Phishing erkennen können

Ein Gerätecode sollte nur eingegeben werden, wenn der Benutzer selbst gerade bewusst ein bekanntes Gerät oder eine bekannte Anwendung eingerichtet hat.

Besondere Vorsicht ist erforderlich, wenn:

• ein Gerätecode unerwartet per E-Mail oder Chat zugesandt wird
• ein angeblicher Supportmitarbeiter den Code vorgibt
• der Benutzer selbst kein neues Gerät eingerichtet hat
• eine Dokumentenfreigabe plötzlich eine Geräteanmeldung verlangt
• eine angebliche Voicemail oder Rechnung zur Codeeingabe führt
• ungewöhnlicher Zeitdruck aufgebaut wird
• die angezeigte Anwendung nicht zum erwarteten Vorgang passt

Unternehmen sollten den Device-Code-Ablauf sperren, wenn er betrieblich nicht benötigt wird. Wird er benötigt, sollte seine Verwendung über geeignete Zugriffsrichtlinien eingeschränkt werden.

Angriffsweg 3: Downgrade auf eine schwächere Anmeldemethode

Viele Konten verfügen nicht nur über einen Passkey. Zusätzlich bleiben häufig weitere Anmeldemethoden aktiv.

Dazu können gehören:

• klassisches Passwort
• SMS-Code
• Sprachanruf
• E-Mail-Code
• Authenticator-Push-Bestätigung
• alte Anwendungskennwörter
• vorläufige Ausnahmeverfahren

Angreifer versuchen dann nicht, den Passkey zu überwinden. Sie wählen einfach eine schwächere Methode aus.

Dieser Wechsel auf ein weniger sicheres Verfahren wird als Downgrade bezeichnet.

Ein Täter kann dem Benutzer beispielsweise erklären, dass der Passkey vorübergehend nicht funktioniere und deshalb eine alternative Bestätigung erforderlich sei.

Wird anschließend ein SMS-Code, ein Einmalpasswort oder eine Push-Benachrichtigung abgefragt, ist die phishingresistente Anmeldung praktisch umgangen.

Warum zusätzliche Methoden die Sicherheit begrenzen können

Während einer Übergangsphase ist es häufig notwendig, Passkeys parallel zu bisherigen Verfahren einzuführen.

Dauerhaft sollte jedoch geprüft werden, welche schwächeren Methoden wirklich noch benötigt werden.

Ein Konto wird nicht allein durch seine stärkste Anmeldemethode geschützt. Entscheidend ist auch der schwächste weiterhin zulässige Zugang.

Bei besonders schützenswerten Konten sollten Richtlinien deshalb ausdrücklich eine phishingresistente Authentifizierung verlangen.

Für Microsoft-365- und Entra-ID-Umgebungen können hierzu unter anderem Authentication Strengths und Conditional-Access-Richtlinien eingesetzt werden.

Angriffsweg 4: Manipulation der Kontowiederherstellung

Benutzer können Geräte verlieren, Smartphones wechseln oder den Zugriff auf einen Passkey-Speicher verlieren.

Deshalb benötigt jedes Passkey-System ein Verfahren zur Kontowiederherstellung.

Genau dieser Wiederherstellungsweg kann zur entscheidenden Schwachstelle werden.

Mögliche Wiederherstellungsverfahren sind:

• Bestätigung per SMS oder E-Mail
• telefonische Prüfung durch den Helpdesk
• Zurücksetzung durch einen Administrator
• Temporary Access Pass
• Ersatz-Sicherheitsschlüssel
• Bestätigung über ein weiteres registriertes Gerät
• Wiederherstellung über ein Plattformkonto

Kann ein Angreifer den Helpdesk täuschen oder einen schwachen Wiederherstellungsweg nutzen, muss er den Passkey selbst nicht besitzen.

Nach der erfolgreichen Wiederherstellung kann er möglicherweise eine neue eigene Anmeldemethode registrieren.

Die Sicherheit eines Kontos endet dort, wo seine Wiederherstellung schwächer ist als seine Anmeldung.

Angriffsweg 5: Social Engineering gegen den IT-Support

Nicht nur die eigentlichen Benutzer sind mögliche Ziele. Auch Helpdesk- und Supportmitarbeiter werden gezielt manipuliert.

Der Angreifer gibt sich beispielsweise als Beschäftigter aus, dessen Smartphone angeblich verloren, beschädigt oder ausgetauscht wurde.

Häufig kennt der Täter bereits öffentlich zugängliche oder zuvor gestohlene Informationen:

• Name und Position des Beschäftigten
• Abteilung und Vorgesetzte
• geschäftliche E-Mail-Adresse
• Telefonnummer
• eingesetzte IT-Dienstleister
• Urlaubs- oder Reisedaten
• Namen aktueller Projekte oder Kunden

Diese Informationen reichen möglicherweise aus, um im telefonischen Gespräch glaubwürdig zu wirken.

Der Support wird anschließend gebeten, bestehende Authentifizierungsmethoden zu löschen, das Konto zurückzusetzen oder eine vorläufige Anmeldung zu ermöglichen.

Wie ein sicherer Helpdesk-Prozess aussehen sollte

Supportmitarbeiter benötigen einen verbindlichen Prozess zur Identitätsprüfung. Persönliche Bekanntheit oder glaubwürdiges Auftreten dürfen nicht ausreichen.

Sinnvolle Maßnahmen sind:

• Rückruf über eine bereits hinterlegte Rufnummer
• Bestätigung durch einen festgelegten Verantwortlichen
• Mehrpersonenfreigabe bei privilegierten Konten
• Dokumentation jeder Zurücksetzung
• zeitlich eng begrenzte Übergangszugänge
• sofortige Information des Kontoinhabers
• Überwachung der anschließenden Neuregistrierung
• keine Ausnahmen allein aufgrund von Zeitdruck

Für Administratoren, Geschäftsführung und andere besonders schützenswerte Konten sollten zusätzliche Prüfungen vorgesehen werden.

Angriffsweg 6: Diebstahl einer aktiven Sitzung

Nach einer erfolgreichen Anmeldung erstellt ein Cloud-Dienst eine Sitzung. Dadurch muss der Benutzer seinen Passkey nicht vor jeder einzelnen Aktion erneut bestätigen.

Diese Sitzung wird über digitale Zugriffsinformationen verwaltet, die häufig als Token bezeichnet werden.

Gelingt es einem Angreifer, ein gültiges Sitzungstoken zu stehlen, kann er möglicherweise auf das Konto zugreifen, ohne den Passkey erneut verwenden zu müssen.

Der Passkey wurde in diesem Fall nicht kompromittiert. Angegriffen wird der Zustand nach der erfolgreichen Anmeldung.

Token können unter anderem gefährdet werden durch:

• Schadsoftware auf dem Endgerät
• kompromittierte Browserprofile
• gestohlene Browserdaten
• unsichere Erweiterungen
• Adversary-in-the-Middle-Angriffe gegen schwächere Anmeldemethoden
• Fernzugriff auf ein bereits angemeldetes Gerät

Der Wechsel zu Passkeys reduziert viele Angriffe auf die Anmeldung. Er beseitigt jedoch nicht automatisch das Risiko gestohlener oder missbrauchter Sitzungen.

Schutz vor Token- und Sitzungsdiebstahl

Der Schutz aktiver Sitzungen benötigt mehrere aufeinander abgestimmte Maßnahmen.

• aktuelle Betriebssysteme und Browser
• zentral verwaltete Endgeräte
• Endpoint-Security und Angriffserkennung
• Geräteverschlüsselung
• Conditional Access
• geräte- und risikobasierte Zugriffsregeln
• erneute Anmeldung vor besonders kritischen Aktionen
• Überwachung auffälliger Anmeldungen und Aktivitäten
• Widerruf aktiver Sitzungen bei einem Verdachtsfall
• gerätegebundene Token, soweit technisch unterstützt

Microsoft bietet für unterstützte Anwendungen und Geräte eine Token Protection an. Dabei werden Sitzungstoken kryptografisch an ein registriertes Gerät gebunden.

Ein entwendetes Token soll dadurch nicht ohne Weiteres auf einem anderen Gerät verwendet werden können.

Diese Funktion ist Teil eines mehrschichtigen Schutzkonzepts und ersetzt weder Gerätesicherheit noch Monitoring.

Angriffsweg 7: Kompromittierte oder entsperrte Endgeräte

Befindet sich Schadsoftware auf dem Notebook oder Smartphone, muss der Angreifer den Passkey möglicherweise überhaupt nicht auslesen.

Er kann versuchen, das bereits angemeldete Gerät und die dort verfügbaren Anwendungen zu missbrauchen.

Schadsoftware kann beispielsweise:

• E-Mails und Dateien auslesen
• Browserinhalte beobachten
• aktive Sitzungen verwenden
• Aktionen im Namen des Benutzers durchführen
• weitere Schadprogramme installieren
• Daten an externe Systeme übertragen

Ein ähnliches Risiko entsteht, wenn ein entsperrtes Gerät unbeaufsichtigt bleibt oder über eine kompromittierte Fernwartung gesteuert wird.

Passkeys ersetzen deshalb keine Endgerätesicherheit.

Erforderlich bleiben unter anderem:

• Patchmanagement
• Endpoint-Schutz
• Festplattenverschlüsselung
• automatische Bildschirmsperre
• zentrale Geräteverwaltung
• kontrollierte Fernwartung
• regelmäßige Überwachung

Angriffsweg 8: Missbrauch eines Plattformkontos

Synchronisierte Passkeys können über geschützte Plattformdienste auf mehreren Geräten eines Benutzers verfügbar gemacht werden.

Dazu können beispielsweise die Passkey-Speicher eines Betriebssystems oder eines geeigneten Passwortmanagers gehören.

Dadurch wird ein Gerätewechsel komfortabler. Gleichzeitig wird das zugrunde liegende Plattformkonto sicherheitsrelevant.

Ein Angreifer könnte versuchen:

• das Plattformkonto zu übernehmen
• die Kontowiederherstellung zu manipulieren
• ein eigenes Gerät mit dem Konto zu verbinden
• eine schwächere alternative Anmeldung zu verwenden

Unternehmen müssen deshalb entscheiden, ob synchronisierte Passkeys für alle Benutzergruppen geeignet sind oder ob besonders kritische Konten gerätegebundene Passkeys beziehungsweise FIDO2-Sicherheitsschlüssel erhalten sollen.

Angriffsweg 9: Missbrauch bereits kompromittierter Konten

Hat ein Angreifer bereits Zugriff auf ein Konto, versucht er häufig, seine Position dauerhaft abzusichern.

Dazu kann er neue Geräte, Anwendungen oder Authentifizierungsmethoden hinzufügen.

Mögliche Aktivitäten sind:

• Registrierung eines zusätzlichen Passkeys
• Hinzufügen einer Authenticator-Methode
• Änderung von Wiederherstellungsinformationen
• Einrichtung versteckter Postfachregeln
• Freigabe einer OAuth-Anwendung
• Registrierung eines neuen Geräts
• Erweiterung bestehender Berechtigungen

Dadurch kann ein einfacher Passwortwechsel unzureichend sein. Ein bereits registrierter fremder Passkey oder eine aktive Sitzung kann weiterhin Zugriff ermöglichen.

Welche Änderungen überwacht werden sollten

Änderungen an Authentifizierungsmethoden gehören zu den wichtigsten Ereignissen einer Identitätsplattform.

Unternehmen sollten insbesondere überwachen:

• Hinzufügen eines neuen Passkeys
• Löschen bestehender Anmeldemethoden
• Änderung von Telefonnummern oder Wiederherstellungsadressen
• Registrierung neuer Geräte
• Vergabe administrativer Rollen
• Änderungen an Conditional-Access-Richtlinien
• neue Anwendungs- und OAuth-Freigaben
• ungewöhnliche Anmeldungen nach einer Methodenänderung

Microsoft Entra ID protokolliert Änderungen an Authentifizierungsmethoden in den Audit Logs.

Für eine nachhaltige Auswertung sollte geprüft werden, ob die standardmäßige Aufbewahrungsdauer genügt oder die Protokolle in ein zentrales Monitoring- beziehungsweise SIEM-System übertragen werden müssen.

Welche Warnsignale Beschäftigte kennen sollten

Technische Schutzmaßnahmen sind wichtig. Viele Angriffe beginnen jedoch mit einer ungewöhnlichen Aufforderung an einen Beschäftigten.

Typische Warnsignale sind:

• unerwarteter Anruf zur Passkey-Einrichtung
• Androhung einer unmittelbaren Kontosperrung
• Aufforderung zur Eingabe eines fremden Gerätecodes
• Bitte um Bestätigung einer nicht selbst gestarteten Anmeldung
• Aufforderung, einen Sicherheitshinweis zu ignorieren
• ungeplante Änderung von MFA- oder Wiederherstellungsmethoden
• Einrichtung auf einem privaten, unbekannten oder fremden Gerät
• Verweigerung eines Rückrufs über die bekannte Supportnummer
• ungewöhnlicher Zeitdruck oder Geheimhaltung

Beschäftigte sollten keine fremde Anmeldeanfrage bestätigen, auch wenn der Vorgang auf einer echten Microsoft-Seite angezeigt wird.

Was nach einem verdächtigen Vorgang zu tun ist

Hat ein Benutzer einen fremden Gerätecode eingegeben, eine unbekannte Anmeldung bestätigt oder eine verdächtige Anmeldemethode registriert, sollte der Vorgang sofort gemeldet werden.

Mögliche Sofortmaßnahmen sind:

• betroffenes Benutzerkonto vorläufig sperren
• aktive Sitzungen und Refresh-Token widerrufen
• alle registrierten Authentifizierungsmethoden prüfen
• unbekannte Passkeys und Geräte entfernen
• Passwort und Wiederherstellungsinformationen zurücksetzen
• Anmelde- und Audit-Protokolle auswerten
• Postfachregeln und Weiterleitungen kontrollieren
• OAuth-Freigaben und Anwendungen prüfen
• OneDrive-, SharePoint- und Teams-Aktivitäten untersuchen
• administrative Änderungen und Rollen kontrollieren

Bei einem bestätigten Angriff sollten vorhandene Authentifizierungsmethoden nicht ungeprüft weiterverwendet werden.

Das Konto sollte aus einem vertrauenswürdigen Zustand heraus neu abgesichert und der Benutzer kontrolliert mit neuen Anmeldemethoden ausgestattet werden.

Wie Unternehmen Passkey-Angriffe praktisch erschweren

Passkeys entfalten ihre beste Wirkung, wenn sie Bestandteil eines vollständigen Identitäts- und Sicherheitskonzepts sind.

Zu den wichtigsten Maßnahmen gehören:

• phishingresistente Authentifizierung verbindlich vorgeben
• schwächere Ausweichmethoden schrittweise reduzieren
• Passkey-Registrierungen vorab ankündigen
• zulässige Geräte und Passkey-Arten festlegen
• Device-Code-Anmeldung sperren, wenn sie nicht benötigt wird
• sichere Helpdesk- und Rückrufverfahren einführen
• Änderungen an Authentifizierungsmethoden überwachen
• Administratorkonten getrennt und stärker schützen
• Conditional Access und risikobasierte Regeln einsetzen
• aktive Sitzungen und Token in die Sicherheitsplanung einbeziehen
• Wiederherstellungsverfahren regelmäßig testen
• Endgeräte zentral verwalten und überwachen

Administratorkonten besonders absichern

Angreifer interessieren sich besonders für Konten mit weitreichenden administrativen Berechtigungen.

Über ein kompromittiertes Administratorkonto können möglicherweise weitere Benutzer, Richtlinien, Geräte, Anwendungen und Anmeldemethoden beeinflusst werden.

Sinnvolle Schutzmaßnahmen sind:

• getrennte Arbeits- und Administratorkonten
• phishingresistente Anmeldung ohne schwache Rückfallmethoden
• gerätegebundene Passkeys oder FIDO2-Sicherheitsschlüssel
• begrenzte Anzahl globaler Administratoren
• zeitlich begrenzte Rollenaktivierung
• erneute Authentifizierung vor kritischen Aktionen
• Überwachung aller Methoden- und Rollenänderungen
• separat geschützte und dokumentierte Notfallkonten

Administratorkonten sollten nicht für tägliche E-Mail-Kommunikation, allgemeines Surfen oder normale Büroarbeit verwendet werden.

Passkey-Schutz für Unternehmen im Ruhrgebiet

Passkeys werden durch die Veränderungen bei Microsoft Entra ID auch für kleine und mittlere Unternehmen zunehmend relevant.

Ob in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Castrop-Rauxel, Hattingen, Duisburg, Oberhausen oder Mülheim an der Ruhr: Microsoft 365, mobile Endgeräte und Cloud-Anwendungen sind inzwischen Bestandteil vieler betrieblicher Abläufe.

Gerade kleinere Unternehmen und Praxen verfügen jedoch häufig nicht über eine eigene Abteilung für Identitäts- und Zugriffsmanagement.

Die Einführung von Passkeys, die Absicherung von Microsoft-365-Konten, das Gerätemanagement, die Kontowiederherstellung und die Überwachung sicherheitsrelevanter Änderungen müssen innerhalb des allgemeinen IT-Betriebs organisiert werden.

Die InoBit Datensysteme GmbH unterstützt Unternehmen und Praxen im Ruhrgebiet dabei, Passkeys sicher einzuführen und die verbleibenden Angriffswege rund um Benutzerkonten, Geräte und Supportprozesse nachvollziehbar abzusichern.

Fazit: Angreifer umgehen Passkeys über den schwächsten verbleibenden Weg

Passkeys gehören zu den sichersten allgemein verfügbaren Anmeldeverfahren.

Sie schützen wirksam vor gefälschten Anmeldeseiten, gestohlenen Passwörtern, Credential Stuffing und vielen Angriffen auf klassische Mehrfaktor-Authentifizierung.

Cyberkriminelle reagieren darauf, indem sie ihre Angriffe verlagern.

Statt den privaten Schlüssel zu knacken, manipulieren sie Benutzer, Helpdesk-Mitarbeiter, Gerätecodes, Wiederherstellungsverfahren, alternative Anmeldemethoden und aktive Sitzungen.

Unternehmen sollten Passkeys deshalb nicht isoliert betrachten. Entscheidend ist das vollständige Umfeld aus Registrierung, Endgerätesicherheit, Berechtigungen, Monitoring, Support und Kontowiederherstellung.

Passkeys schließen eine der größten Türen für Cyberangriffe. Ein belastbarer Sicherheitsbetrieb muss jedoch auch die Neben- und Hintereingänge kontrollieren.

Mit diesem Beitrag endet unsere vierteilige Passkey-Serie. Die zentrale Erkenntnis lautet: Passkeys sind ein wesentlicher Fortschritt für die sichere Anmeldung, entfalten ihre volle Wirkung aber erst in Verbindung mit kontrollierten Geräten, klaren Prozessen und kontinuierlicher Überwachung.

Wichtiger Hinweis

Dieser Beitrag erläutert allgemeine Angriffswege und Schutzmaßnahmen im Zusammenhang mit Passkeys, Microsoft 365, Microsoft Entra ID, Benutzerkonten und aktiven Sitzungen.

Er ersetzt keine individuelle technische Prüfung, Sicherheitsberatung oder Vorfallanalyse.

Welche Schutzmaßnahmen in einer konkreten Umgebung erforderlich und verfügbar sind, hängt unter anderem von den eingesetzten Microsoft-Lizenzen, Endgeräten, Anwendungen, Authentifizierungsmethoden, Benutzergruppen und betrieblichen Abläufen ab.

Bei einem konkreten Verdacht auf eine Kontoübernahme sollten aktive Sitzungen, Authentifizierungsmethoden, Geräte, Berechtigungen und Protokolle unverzüglich durch qualifizierte IT-Verantwortliche geprüft werden.