Probleme · Sicherheit, Backup & Datenschutz
Wie führen wir passwortlose Anmeldung im KMU ein?
Kurz gesagt
Passwortlos anmelden heisst in Microsoft Entra ID: Statt eines Kennworts bestätigt ein registriertes Gerät, Biometrie oder ein Sicherheitsschlüssel die Identität. Wähle die Methode nach Arbeitsplatz, räume Konten vorher auf, teste mit einer gemischten Pilotgruppe und lege den Ablauf bei Geräteverlust vor dem Rollout fest. Gesperrte Bildschirme gehören dazu.
Für wen das gilt
Für KMU, die Microsoft 365 nutzen und die Anmeldung sicherer und einfacher machen wollen, vom festen Büroarbeitsplatz über den Aussendienst bis zum geteilten Gerät am Empfang oder in der Werkstatt. Das Thema gehört zum Zeitdieb Sicherheit, Backup & Datenschutz.
Die Schwäche klassischer Kennwörter zeigt sich im Alltag: Eine Mitarbeitende steht beim Kunden und weiss ihr Passwort nicht mehr, ein verlorenes Notebook ist plötzlich auch ein Zugangsrisiko, ein notiertes Passwort wird von mehreren genutzt, und später weiss niemand, wer gehandelt hat.
Auf einen Blick: Welche Methode passt wo?
| Methode | Wie | Passt für |
|---|---|---|
| Windows Hello for Business | PIN oder Biometrie, an das Gerät gebunden | persönliche, verwaltete Windows-Arbeitsplätze |
| FIDO2-Sicherheitsschlüssel | physischer Schlüssel | mehrere Geräte, keine Sensoren, erhöhter Schutz gegen Phishing, Aussendienst |
| Authenticator-Verfahren | Bestätigung auf dem Handy | kontrollierter Übergang |
Nicht die modernste Methode ist automatisch die richtige. Die Wahl entsteht aus den Arbeitsabläufen: persönliche Windows-Arbeitsplätze, gemeinsam genutzte Geräte und Schichtarbeit, mobiles Arbeiten und externe Mitarbeitende. Prüf auch, ob die wichtigsten Fachanwendungen und Browser die Methode unterstützen.
Aus der Praxis
Teste die Methode direkt am echten Arbeitsplatz. Funktioniert die Anmeldung mit Handschuhen oder bei wechselndem Licht? Gibt es für eine Person ohne eigenen Arbeitsplatz einen sicheren Aufbewahrungsort für den Schlüssel? Solche Fragen entscheiden, ob der Schutz akzeptiert oder umgangen wird.
An Arbeitsplätzen mit Publikumsverkehr zeigt sich die zweite Hälfte: Eine Person hilft kurz im Lager, ein Besucher wartet am Empfang, die nächste Schicht übernimmt. Bleibt die Sitzung offen, war die Anmeldung zwar stark geschützt, die Informationen sind es in diesem Moment aber nicht mehr. Die automatische Sperre muss zur Umgebung passen: zu kurz stört den Ablauf, zu lang macht den Schutz wirkungslos. Am Empfangsterminal passt eher eine kurze Sperrzeit. Bei einer laufend überwachten Maschine braucht es vielleicht eine andere, aber klar begrenzte Lösung, die bewusst gestaltet und regelmässig hinterfragt wird.
Eine Pilotgruppe aus technisch versierten Personen sagt wenig. Aussagekräftiger ist ein Pilot mit unterschiedlichen Arbeitsrealitäten, der Hindernisse dokumentiert: Wo war die Anleitung unklar, wann fehlte ein Ersatzweg, welche Anwendung verhielt sich anders?
Ehrlich gesagt
Passwortlos ist kein Produktversprechen, sondern ein kontrollierter Wechsel mit geübtem Notfallweg. Der Nutzen entsteht nicht dadurch, dass das Passwort verschwindet, sondern wenn die Anmeldung morgens am Arbeitsplatz, unterwegs und beim Gerätewechsel verlässlich bleibt. Ohne geklärten Supportprozess wird die starke Anmeldung beim ersten verlorenen Handy durch eine einfache Anfrage ausgehebelt.
So gehst du vor
- Arbeitsrealitäten erfassen und daraus die Methode je Gruppe ableiten (Tabelle oben).
- Konten ordnen: jede Person ein eigenes Konto; veraltete Konten, zu breite Gruppen und unklare Admin-Rechte bereinigen. Privilegierte Konten bekommen getrennte Zugänge und strengere Vorgaben.
- Geteilte Geräte regeln: welches persönliche Konto, wann die Sitzung gesperrt wird, wer bei Verlust eines Faktors informiert wird.
- Pilot mit gemischter Gruppe: Anmeldung, Gerätewechsel, Offline-Situationen, neue Browser, genutzte Dienste.
- Wiederherstellung vor dem Rollout festlegen: Identitätsprüfung, Berechtigung für das Registrieren neuer Faktoren, Reserveverfahren. Mit einer realen Person und einem nicht betroffenen Gerät testen.
- Sperren erklären: Den Grund nennen, damit die Regel als Schutz von Kunden- und Firmendaten verstanden wird.
Was zu tun ist, wenn doch einmal eine gefälschte Anmeldeseite auftaucht, steht in Wie erkenne ich Phishing und reagiere richtig?. Die Preise für Sicherheitsleistungen findest du auf der Preisseite.
Häufige Fragen
Ist die Windows-Hello-PIN nicht einfach ein kurzes Passwort?
Nein. Die PIN ist an das jeweilige Gerät gebunden und kein wiederverwendetes Kennwort. Windows Hello for Business nutzt auf unterstützten Geräten PIN, Gesichtserkennung oder Fingerabdruck.
Wann passt ein FIDO2-Sicherheitsschlüssel?
Wenn Personen mehrere Geräte nutzen, kein geeigneter Sensor vorhanden ist oder besonders phishing-resistente Anmeldung gefragt ist, etwa im Aussendienst. Der Schlüssel muss wie ein Schlüssel behandelt werden: sicher aufbewahren, Verlust sofort melden, Ersatz kontrolliert registrieren.
Dürfen sich mehrere Personen ein Konto an einem gemeinsamen Gerät teilen?
Nein. Ein gemeinsames Gerät verlangt keine gemeinsamen Zugangsdaten. Gemeinsame Logins machen Berechtigungen und Nachvollziehbarkeit unscharf. Nötig sind eigene Konten, getrennte Profile, eingeschränkte Rollen und ein klarer Ablauf beim Schichtwechsel.
Was passiert, wenn jemand sein Handy oder seinen Schlüssel verliert?
Das ist eine normale Betriebssituation. Mitarbeitende müssen wissen, wen sie informieren. Der Support sperrt Faktoren, prüft Sitzungen und registriert Ersatz nach festgelegter Identitätsprüfung, ohne die starke Anmeldung durch eine einfache Anfrage auszuhebeln.
Reicht passwortlos als Schutz?
Nein. Es senkt das Risiko von Passwortdiebstahl und klassischen Phishing-Seiten, ersetzt aber keinen sorgfältigen Betrieb. Bleibt eine Sitzung offen, sind die Informationen in diesem Moment ungeschützt. Automatische Sperre und manuelles Sperren beim Weggehen gehören dazu.
