Rückblick: Was ist ein Passkey?

Ein Passkey ist ein digitaler Anmeldeschlüssel, der ein klassisches Passwort ersetzen kann. Der Benutzer muss sich dabei keine lange Zeichenfolge merken und auch kein Geheimnis in eine Website eingeben.

Stattdessen bestätigt er die Anmeldung über ein Gerät, auf dem der Passkey gespeichert oder verfügbar ist.

Die lokale Freigabe kann beispielsweise erfolgen über:

• Fingerabdruck
• Gesichtserkennung
• Windows Hello
• Geräte-PIN
• Smartphone-Entsperrung
• FIDO2-Sicherheitsschlüssel

Diese Entsperrmethode ist jedoch nicht der eigentliche Passkey. Sie erlaubt dem Gerät lediglich, den gespeicherten kryptografischen Schlüssel für die konkrete Anmeldung zu verwenden.

Ein Passkey ist kein Fingerabdruck und keine PIN. Er ist ein kryptografischer Schlüssel, der durch Fingerabdruck, Gesichtserkennung oder PIN freigegeben werden kann.

Die Grundlage: asymmetrische Kryptografie

Passkeys verwenden asymmetrische Kryptografie. Dabei wird nicht nur ein einzelner Schlüssel genutzt, sondern ein zusammengehörendes Schlüsselpaar.

Dieses Paar besteht aus:

• einem öffentlichen Schlüssel
• einem privaten Schlüssel

Beide Schlüssel gehören mathematisch zusammen, erfüllen jedoch unterschiedliche Aufgaben.

Der öffentliche Schlüssel darf beim Onlinedienst gespeichert werden. Er muss nicht geheim gehalten werden.

Der private Schlüssel ist dagegen die entscheidende Anmeldeinformation. Er verbleibt geschützt auf dem Gerät, dem Sicherheitsschlüssel oder in einem vorgesehenen Passkey-Speicher.

Der private Schlüssel wird bei der Anmeldung nicht an die Website übertragen. Stattdessen verwendet ihn das Gerät, um eine einmalige kryptografische Anfrage des Dienstes zu beantworten.

Warum heißt es öffentlicher und privater Schlüssel?

Der öffentliche Schlüssel kann mit einem Schloss verglichen werden, das der Onlinedienst kennt.

Der private Schlüssel ist der dazu passende geheime Schlüssel. Er bleibt beim Benutzer und weist nach, dass dieser über die richtige Anmeldeinformation verfügt.

Der Vergleich ist vereinfacht, verdeutlicht aber den Unterschied zum Passwort.

Bei einem Passwort müssen Benutzer und Dienst dasselbe Geheimnis kennen oder zumindest eine daraus berechnete Prüfinformation speichern. Bei einem Passkey besitzt nur der Benutzer den privaten Schlüssel.

Der Anbieter benötigt lediglich den öffentlichen Schlüssel, um eine kryptografische Antwort zu prüfen.

Was passiert bei der Registrierung eines Passkeys?

Bevor ein Passkey zur Anmeldung verwendet werden kann, muss er zunächst für ein Benutzerkonto registriert werden.

Der Ablauf sieht vereinfacht folgendermaßen aus:

1. Der Benutzer meldet sich zunächst auf einem bereits zugelassenen Weg an.
2. Er öffnet die Einstellungen für Sicherheit oder Anmeldemethoden.
3. Der Dienst fordert das Gerät zur Erzeugung eines neuen Schlüsselpaares auf.
4. Das Gerät erzeugt einen öffentlichen und einen privaten Schlüssel.
5. Der Benutzer bestätigt die Erstellung lokal mit PIN oder Biometrie.
6. Der öffentliche Schlüssel wird an den Dienst übermittelt.
7. Der private Schlüssel verbleibt geschützt auf dem Gerät oder im Passkey-Speicher.

Der Dienst speichert zusätzlich Informationen darüber, zu welchem Benutzerkonto und zu welcher Internetadresse der öffentliche Schlüssel gehört.

Diese Bindung ist ein wesentlicher Bestandteil des Schutzes gegen Phishing.

Eine gefälschte Website besitzt eine andere Internetadresse und kann den für den echten Dienst registrierten Passkey daher nicht ohne Weiteres verwenden.

Was passiert bei der Anmeldung?

Bei einer späteren Anmeldung fordert der Onlinedienst keinen Benutzernamen und kein Passwort im klassischen Sinn an.

Stattdessen erzeugt der Dienst eine einmalige zufällige Anfrage. Diese wird häufig als Challenge bezeichnet.

Der Ablauf ist vereinfacht:

1. Der Benutzer öffnet die echte Website oder Anwendung.
2. Der Dienst erzeugt eine einmalige kryptografische Anfrage.
3. Das Gerät prüft, ob ein passender Passkey vorhanden ist.
4. Der Benutzer gibt den Passkey lokal frei.
5. Das Gerät signiert die Anfrage mit dem privaten Schlüssel.
6. Die signierte Antwort wird an den Dienst zurückgesendet.
7. Der Dienst prüft die Antwort mit dem öffentlichen Schlüssel.
8. Bei erfolgreicher Prüfung wird der Zugang freigegeben.

Der private Schlüssel verlässt das Gerät während dieses Vorgangs nicht.

Die übertragene Antwort ist außerdem nur für die konkrete Anmeldung gültig. Sie kann nicht einfach gespeichert und später erneut verwendet werden.

Was bedeutet Challenge-Response-Verfahren?

Das technische Prinzip hinter der Anmeldung wird als Challenge-Response-Verfahren bezeichnet.

Der Dienst stellt eine einmalige Aufgabe. Das Gerät beantwortet diese Aufgabe mithilfe des privaten Schlüssels.

Der öffentliche Schlüssel ermöglicht anschließend die Prüfung, ob die Antwort tatsächlich vom passenden privaten Schlüssel erzeugt wurde.

Die Herausforderung verändert sich bei jeder Anmeldung. Eine bereits verwendete Antwort ist deshalb für eine spätere Anmeldung nicht mehr brauchbar.

Der private Schlüssel wird nicht übertragen. Er beweist seine Existenz, indem er eine einmalige Anfrage korrekt beantwortet.

Welche Rolle spielt FIDO2?

FIDO2 bezeichnet eine Gruppe technischer Standards für sichere und passwortlose Authentifizierung.

FIDO steht für „Fast Identity Online“. Ziel ist es, Anmeldungen sicherer zu machen und die Abhängigkeit von gemeinsam verwendeten Passwörtern zu reduzieren.

FIDO2 besteht im Wesentlichen aus zwei Bereichen:

• WebAuthn für die Kommunikation zwischen Website, Browser und Anmeldegerät
• CTAP für die Kommunikation zwischen Gerät und externem Authenticator

Diese Standards sorgen dafür, dass Passkeys herstellerübergreifend und auf unterschiedlichen Plattformen eingesetzt werden können.

Browser, Betriebssysteme, Smartphones, Sicherheitsschlüssel und Onlinedienste können dadurch nach gemeinsamen Regeln zusammenarbeiten.

Was ist WebAuthn?

WebAuthn ist die Abkürzung für Web Authentication. Es handelt sich um eine standardisierte Schnittstelle für sichere Authentifizierung im Web.

WebAuthn beschreibt, wie eine Website oder Webanwendung mit dem Browser und dem Authenticator des Benutzers kommuniziert.

WebAuthn regelt beispielsweise:

• wie ein neues Schlüsselpaar angefordert wird
• wie der öffentliche Schlüssel registriert wird
• wie eine Anmeldeanfrage erstellt wird
• wie die Antwort des Authenticators übermittelt wird
• wie Website und Internetadresse in die Prüfung einbezogen werden
• wie Benutzerbestätigung und Geräteinformationen verarbeitet werden

Der Browser bildet dabei eine kontrollierende Zwischenschicht. Eine Website erhält keinen direkten Zugriff auf den privaten Schlüssel.

Sie kann lediglich eine Registrierung oder Anmeldung anfordern. Die eigentliche kryptografische Verarbeitung übernimmt der Authenticator.

Was ist CTAP?

CTAP steht für Client to Authenticator Protocol.

Dieses Protokoll wird eingesetzt, wenn der Authenticator nicht direkt in dem Gerät integriert ist, auf dem die Anmeldung stattfindet.

Mögliche externe Authenticatoren sind:

• USB-Sicherheitsschlüssel
• NFC-Sicherheitsschlüssel
• Bluetooth-Sicherheitsschlüssel
• Smartphones zur Bestätigung einer Anmeldung auf einem Computer

CTAP regelt die Kommunikation zwischen dem Computer oder Smartphone und dem eigentlichen Authenticator.

WebAuthn kümmert sich damit im Wesentlichen um die Seite zwischen Webanwendung und Browser. CTAP beschreibt die Verbindung zwischen dem verwendeten Gerät und einem externen Authenticator.

Was ist ein Authenticator?

Als Authenticator wird die Komponente bezeichnet, die den privaten Schlüssel speichert und die kryptografischen Anmeldevorgänge ausführt.

Ein Authenticator kann beispielsweise sein:

• ein Windows-Computer mit Windows Hello
• ein Smartphone
• ein Tablet
• ein integrierter Sicherheitschip
• ein externer FIDO2-Sicherheitsschlüssel
• ein geschützter Passkey-Speicher

Man unterscheidet häufig zwischen Plattform-Authenticators und externen Authenticators.

Ein Plattform-Authenticator ist direkt in das verwendete Gerät integriert. Dazu gehören beispielsweise Windows Hello oder die biometrische Authentifizierung eines Smartphones.

Ein externer Authenticator ist ein separates Gerät, etwa ein USB- oder NFC-Sicherheitsschlüssel.

Wie wird der private Schlüssel auf dem Gerät geschützt?

Der private Schlüssel wird nicht als frei zugängliche Datei gespeichert. Moderne Geräte verwenden geschützte Hardware- oder Softwarebereiche, um kryptografische Schlüssel vor unberechtigtem Zugriff zu schützen.

Je nach Plattform können dazu gehören:

• Trusted Platform Module, kurz TPM
• Secure Enclave
• Trusted Execution Environment
• geschützte Schlüsselspeicher des Betriebssystems
• Hardware-Sicherheitsmodule in externen Sicherheitsschlüsseln

Diese Komponenten sollen verhindern, dass der private Schlüssel einfach ausgelesen oder kopiert wird.

Statt den Schlüssel herauszugeben, führen sie die kryptografische Operation innerhalb des geschützten Bereichs aus.

Der übrige Computer erhält anschließend nur das Ergebnis der Operation.

Welche Rolle spielen Fingerabdruck, Gesichtserkennung und PIN?

Biometrie und Geräte-PIN werden verwendet, um den Authenticator lokal freizugeben.

Die Website erhält dabei normalerweise weder den Fingerabdruck noch das Gesichtsbild oder die Geräte-PIN.

Das Gerät meldet lediglich zurück, dass die erforderliche lokale Benutzerprüfung erfolgreich durchgeführt wurde.

Dadurch bleiben biometrische Informationen grundsätzlich auf dem jeweiligen Gerät oder innerhalb dessen geschützter Sicherheitskomponenten.

Für den Onlinedienst ist entscheidend, dass der richtige private Schlüssel verwendet und die vorgesehene Benutzerprüfung durchgeführt wurde.

Warum funktioniert ein Passkey nicht auf einer gefälschten Website?

Passkeys sind an den jeweiligen Dienst beziehungsweise dessen Domain gebunden.

Bei der Registrierung wird festgelegt, für welche Internetadresse der Passkey verwendet werden darf.

Meldet sich ein Benutzer beispielsweise bei einem echten Microsoft-Dienst an, kann der dafür registrierte Passkey nicht automatisch auf einer ähnlich aussehenden fremden Domain eingesetzt werden.

Der Browser und der Authenticator prüfen die Herkunft der Anfrage. Stimmt sie nicht mit dem registrierten Dienst überein, wird der passende Schlüssel nicht freigegeben.

Genau diese technische Bindung unterscheidet Passkeys von klassischen Passwörtern.

Ein Passwort kann der Benutzer auf jeder beliebigen Seite eintippen. Ein Passkey wird dagegen nur für den Dienst verwendet, für den er tatsächlich registriert wurde.

Was bedeutet Origin- und Domain-Bindung?

Webanwendungen werden anhand ihrer Herkunft unterschieden. Diese Herkunft wird häufig als Origin bezeichnet.

Sie setzt sich unter anderem zusammen aus:

• dem verwendeten Protokoll
• dem Domainnamen
• gegebenenfalls dem verwendeten Port

Zusätzlich arbeitet WebAuthn mit einer sogenannten Relying Party ID. Sie legt fest, zu welchem Dienst oder zu welcher Domain ein Passkey gehört.

Der Browser kontrolliert, ob die angeforderte Anmeldung zu dieser Relying Party passt.

Dadurch kann eine fremde Website nicht einfach behaupten, sie sei der ursprünglich registrierte Dienst.

Was speichert der Onlinedienst?

Der Onlinedienst speichert nicht den privaten Schlüssel des Benutzers.

Gespeichert werden typischerweise:

• der öffentliche Schlüssel
• eine Kennung des Passkeys
• die Zuordnung zum Benutzerkonto
• Informationen zum verwendeten Verfahren
• gegebenenfalls technische Eigenschaften des Authenticators

Wird die Datenbank eines Dienstes kompromittiert, erhält ein Angreifer dadurch nicht automatisch einen verwendbaren privaten Schlüssel.

Der öffentliche Schlüssel erlaubt die Prüfung einer Anmeldung, aber nicht die Erzeugung einer gültigen Antwort.

Das reduziert das Risiko, dass gestohlene Serverdaten unmittelbar zur Kontoübernahme eingesetzt werden können.

Warum ist ein öffentlicher Schlüssel für Angreifer wenig hilfreich?

Der öffentliche Schlüssel ist mathematisch mit dem privaten Schlüssel verbunden. Trotzdem lässt sich der private Schlüssel nicht praktikabel aus dem öffentlichen Schlüssel zurückberechnen.

Der öffentliche Schlüssel kann daher zur Prüfung verwendet werden, ohne das eigentliche Geheimnis offenzulegen.

Ein Angreifer, der nur den öffentlichen Schlüssel besitzt, kann keine gültige kryptografische Anmeldung erzeugen.

Er müsste zusätzlich Zugriff auf den privaten Schlüssel oder den freigegebenen Authenticator erhalten.

Synchronisierte und gerätegebundene Passkeys

Nicht jeder Passkey wird auf dieselbe Weise gespeichert.

Grundsätzlich lassen sich zwei wichtige Varianten unterscheiden:

• synchronisierte Passkeys
• gerätegebundene Passkeys

Synchronisierte Passkeys können über einen geschützten Plattformdienst auf mehrere Geräte eines Benutzers übertragen werden.

Dadurch kann ein Passkey beispielsweise auf einem Smartphone eingerichtet und später auch auf einem weiteren Gerät desselben Benutzerkontos verwendet werden.

Gerätegebundene Passkeys verlassen dagegen grundsätzlich nicht das Gerät oder den Sicherheitsschlüssel, auf dem sie erstellt wurden.

Für Unternehmen ist diese Unterscheidung relevant. Synchronisierte Passkeys bieten häufig mehr Komfort. Gerätegebundene Passkeys ermöglichen dagegen eine strengere Bindung an kontrollierte Hardware.

Wie funktioniert die Anmeldung mit einem Smartphone an einem Computer?

Ein Passkey kann auf einem Smartphone gespeichert sein, obwohl die Anmeldung auf einem Computer erfolgt.

In diesem Fall zeigt der Computer häufig einen QR-Code an. Der Benutzer scannt ihn mit seinem Smartphone und bestätigt die Anmeldung dort.

Die Geräte bauen anschließend eine geschützte Verbindung auf. Zusätzlich kann geprüft werden, ob sich beide Geräte tatsächlich in räumlicher Nähe befinden.

Der private Schlüssel wird dabei nicht auf den Computer kopiert. Das Smartphone bestätigt lediglich die konkrete Anmeldeanfrage.

Dieses Verfahren verbindet die bequeme Nutzung eines vorhandenen Smartphones mit der Sicherheit des dort geschützten Passkeys.

Was sind auffindbare Anmeldedaten?

Moderne Passkeys können so gespeichert werden, dass das Gerät selbst erkennt, welche Benutzerkonten für einen bestimmten Dienst vorhanden sind.

Solche Anmeldedaten werden häufig als discoverable credentials oder auffindbare Anmeldedaten bezeichnet.

Dadurch muss der Benutzer unter Umständen nicht einmal mehr zuerst seinen Benutzernamen eingeben.

Der Dienst fordert eine Anmeldung an und das Gerät zeigt die verfügbaren passenden Konten an.

Das ermöglicht eine vollständig passwortlose Anmeldung.

Was ist der Unterschied zwischen Authentifizierung und Benutzerprüfung?

Bei Passkeys werden zwei Vorgänge unterschieden:

• der Nachweis, dass der passende Authenticator vorhanden ist
• die lokale Prüfung, dass der richtige Benutzer den Authenticator bedient

Der Besitz des privaten Schlüssels weist den Authenticator gegenüber dem Onlinedienst aus.

Fingerabdruck, Gesichtserkennung oder PIN prüfen lokal, ob der aktuelle Benutzer diesen Schlüssel verwenden darf.

In technischen Richtlinien kann festgelegt werden, ob eine ausdrückliche Benutzerprüfung erforderlich ist oder lediglich eine Anwesenheitsbestätigung genügt.

Für sensible Unternehmenszugänge sollte eine klare Benutzerprüfung vorgesehen werden.

Warum ist die Technik sicherer als ein klassisches Passwort?

Passkeys lösen mehrere grundlegende Probleme klassischer Passwörter.

• Der Benutzer muss kein gemeinsames Geheimnis eingeben.
• Der private Schlüssel wird nicht an den Dienst übertragen.
• Der Schlüssel ist an den richtigen Dienst gebunden.
• Jeder Dienst erhält ein eigenes Schlüsselpaar.
• Gestohlene öffentliche Schlüssel reichen nicht zur Anmeldung.
• Wiederverwendung desselben Passworts entfällt.
• Automatisiertes Erraten klassischer Passwörter wird vermieden.

Ein Passkey für einen Dienst kann außerdem nicht als Zugang zu einem anderen Dienst verwendet werden.

Bei Passwörtern ist genau diese Wiederverwendung ein häufiges Problem.

Ist die technische Sicherheit allein ausreichend?

Nein. Auch eine starke kryptografische Anmeldung benötigt sichere organisatorische Abläufe.

Der private Schlüssel kann technisch hervorragend geschützt sein. Trotzdem können Angreifer versuchen, sich über andere Wege Zugriff zu verschaffen.

Dazu gehören insbesondere:

• manipulierte Passkey-Registrierungen
• unsichere Kontowiederherstellung
• Social Engineering gegen Mitarbeiter
• Manipulation des IT-Supports
• schwächere alternative Anmeldemethoden
• bereits angemeldete Benutzersitzungen
• gestohlene oder ungeschützte Geräte
• Fehlkonfigurationen in Identitätsplattformen

Der Angreifer muss nicht zwangsläufig die Kryptografie brechen. Es kann genügen, einen eigenen Passkey registrieren zu lassen oder einen Wiederherstellungsprozess zu manipulieren.

Je stärker die Anmeldung technisch abgesichert wird, desto interessanter werden für Angreifer Registrierung, Wiederherstellung und Support.

Warum die Passkey-Registrierung besonders geschützt werden muss

Bei der Registrierung wird ein neuer öffentlicher Schlüssel mit dem Benutzerkonto verbunden.

Der dazugehörige private Schlüssel erhält anschließend die Möglichkeit, gültige Anmeldungen zu erzeugen.

Wird versehentlich der Passkey eines Angreifers registriert, muss dieser die technische Schutzfunktion nicht mehr umgehen.

Sein Schlüssel wurde vom System bereits als berechtigt eingetragen.

Unternehmen sollten deshalb genau regeln:

• wer Passkeys registrieren darf
• welche Geräte zugelassen sind
• wie die Identität des Benutzers geprüft wird
• ob Registrierungen protokolliert und überwacht werden
• wie unbekannte Passkeys erkannt werden
• wie eine Registrierung widerrufen wird

Welche Bedeutung hat FIDO2 für Microsoft 365?

Microsoft unterstützt phishingresistente Anmeldemethoden auf Grundlage moderner FIDO-Standards.

Je nach Umgebung können Benutzer beispielsweise Windows Hello, FIDO2-Sicherheitsschlüssel oder unterstützte Passkey-Verfahren verwenden.

Die technische Aktivierung allein genügt jedoch nicht.

Unternehmen sollten gleichzeitig prüfen:

• welche Authentifizierungsmethoden zugelassen sind
• welche Benutzer Passkeys registrieren dürfen
• wie Administratoren abgesichert werden
• welche Geräte verwendet werden dürfen
• welche Rückfallmethoden weiterhin bestehen
• wie Änderungen an Sicherheitsinformationen überwacht werden
• wie Konten im Notfall wiederhergestellt werden

Passkeys sollten deshalb in ein gesamtheitliches Identitäts- und Zugriffskonzept eingebunden werden.

Was Unternehmen bei der technischen Einführung beachten sollten

Vor der Einführung sollte geklärt werden, welche Variante von Passkeys zum jeweiligen Unternehmen passt.

Wichtige Fragen sind:

• Sollen Passkeys synchronisiert oder gerätegebunden sein?
• Sind private Smartphones erlaubt?
• Werden externe FIDO2-Sicherheitsschlüssel eingesetzt?
• Wie werden verlorene Geräte behandelt?
• Welche Plattformen und Browser werden unterstützt?
• Wie werden Passkeys bei einem Gerätewechsel übertragen?
• Wie werden Beschäftigte beim Ausscheiden entfernt?
• Wie werden Administrator- und Notfallkonten geschützt?
• Welche Protokolle und Warnmeldungen werden ausgewertet?

Die passende Lösung hängt von Benutzerstruktur, Geräten, Cloud-Diensten, Schutzbedarf und betrieblicher Organisation ab.

Passkey-Technologie für Unternehmen im Ruhrgebiet

Passkeys und phishingresistente Anmeldemethoden werden für Unternehmen im Ruhrgebiet zunehmend relevant.

Ob in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Castrop-Rauxel, Hattingen, Duisburg, Oberhausen oder Mülheim an der Ruhr: Viele Unternehmen nutzen Microsoft 365, Cloud-Anwendungen und mobile Arbeitsplätze.

Damit wächst die Bedeutung sicherer digitaler Identitäten.

Gerade kleinere und mittlere Unternehmen verfügen jedoch selten über eine eigene Abteilung für Identitätsmanagement oder Authentifizierung.

Die InoBit Datensysteme GmbH unterstützt Unternehmen im Ruhrgebiet dabei, Passkey-Technologien verständlich einzuordnen und technisch sowie organisatorisch sicher einzuführen.

Fazit: Passkeys beweisen Identität, ohne ein Passwort zu übertragen

Die technische Stärke von Passkeys beruht auf asymmetrischer Kryptografie.

Für jedes Benutzerkonto wird ein Schlüsselpaar erzeugt. Der öffentliche Schlüssel wird beim jeweiligen Dienst gespeichert. Der private Schlüssel verbleibt geschützt beim Benutzer.

Bei der Anmeldung stellt der Dienst eine einmalige kryptografische Anfrage. Das Gerät beantwortet sie mit dem privaten Schlüssel, ohne diesen selbst zu übertragen.

FIDO2, WebAuthn und CTAP sorgen dafür, dass Websites, Browser, Betriebssysteme, Smartphones und Sicherheitsschlüssel nach gemeinsamen technischen Regeln zusammenarbeiten können.

Die Bindung an den richtigen Dienst schützt vor vielen klassischen Phishing-Angriffen.

Trotzdem bleibt die Umgebung rund um den Passkey relevant. Registrierung, Geräteverwaltung, Support und Wiederherstellung müssen ebenso geschützt werden wie die eigentliche Anmeldung.

Die entscheidende Stärke eines Passkeys liegt darin, dass das eigentliche Geheimnis beim Benutzer bleibt und niemals an den Onlinedienst übertragen wird.

Im dritten Teil unserer Passkey-Serie betrachten wir ausführlich, wie sicher Passkeys tatsächlich sind, welche Angriffe sie verhindern und wo ihre technischen und organisatorischen Grenzen liegen.

Wichtiger Hinweis

Dieser Beitrag erläutert allgemeine technische Grundlagen von Passkeys, FIDO2, WebAuthn und kryptografischen Anmeldeverfahren. Er ersetzt keine individuelle technische Prüfung oder Sicherheitsberatung.

Die konkrete Umsetzung und Speicherung von Passkeys hängt von der verwendeten Plattform, dem Betriebssystem, dem Browser, dem Identitätsanbieter, den eingesetzten Endgeräten und den jeweiligen Sicherheitsrichtlinien ab.

Vor einer betrieblichen Einführung sollten insbesondere Geräteverwaltung, Authentifizierungsrichtlinien, administrative Rollen, Wiederherstellungsverfahren und weiterhin zugelassene alternative Anmeldemethoden geprüft werden.