Microsoft schaltet "passwordless by default" seit Frühjahr/Sommer 2026 schrittweise für bestehende Business-Premium-Tenants frei. Apple, Google und Microsoft setzen inzwischen gemeinsam auf den FIDO2-Standard. Die Botschaft ist eindeutig: Das klassische Passwort ist auf dem Rückzug — auch wenn der Weg dorthin holpriger ist, als es die Marketingfolien vermuten lassen.

Warum Passwörter das Problem bleiben

Gestohlene Zugangsdaten sind seit Jahren die mit Abstand häufigste Ursache für Datenpannen — daran hat sich auch 2026 nichts geändert. Passkeys funktionieren technisch grundlegend anders: Statt eines Geheimnisses, das eingegeben und damit abgefangen werden kann, erzeugt das Gerät ein kryptografisches Schlüsselpaar. Der private Schlüssel verlässt das Gerät nie, beim Dienst wird nur der öffentliche Schlüssel hinterlegt. Beim Login beweist das Gerät kryptografisch den Besitz des privaten Schlüssels — ohne dass jemals ein Passwort übertragen wird, das abgegriffen werden könnte.

Der eigentliche Vorteil: Phishing-Resistenz

Der entscheidende Sicherheitsgewinn liegt nicht in der Bequemlichkeit, sondern in der strukturellen Phishing-Resistenz. Eine gefälschte Login-Seite kann ein Passwort abgreifen — sie kann aber keinen privaten Schlüssel stehlen, der das Gerät nie verlässt. Das schließt eine der häufigsten Einfallstore für Angreifer nicht nur ab, sondern strukturell aus.

Warum die Umstellung trotzdem stockt

Eine aktuelle Befragung von 2.000 Sicherheitsexperten zeigt: 90 Prozent berichten von konkreten Problemen bei der Einführung passwortloser Lösungen. Die Hürden liegen weniger im Prinzip als in der Umsetzung — komplexe Unternehmensumgebungen mit Legacy-Systemen, unterschiedlichen Betriebssystemen und speziellen Zugriffsanforderungen erschweren einen sauberen Rollout.

Die Einführung passwortloser Authentifizierung ist kein isoliertes Technikprojekt, sondern Teil einer kontinuierlichen Sicherheitsevolution — vergleichbar mit der schrittweisen Etablierung von MFA und Zero Trust.

Wie eine Umstellung praktisch gelingt

Ein strukturierter, mehrstufiger Ansatz hat sich in der Praxis bewährt:

  • Bestandsaufnahme aller aktuell genutzten Authentifizierungsverfahren
  • Konfiguration entsprechender Zugriffsrichtlinien (Conditional Access)
  • Pilotphase mit einer kleinen, technikaffinen Nutzergruppe
  • Schrittweiser Rollout in mehreren Wellen statt eines "Big Bang"
  • Optionale, spätere Deaktivierung klassischer Passwörter nach einer Übergangsphase

Wichtig: Nicht jede passwortlose Lösung ist gleich sicher — dieselbe Lehre, die schon bei MFA galt (SMS-Codes sind schwächer als Authenticator-Apps oder Hardware-Token), gilt auch hier.

Fazit

Passkeys sind 2026 kein Zukunftsthema mehr, sondern werden von den großen Plattformanbietern aktiv zum Standard gemacht. Für Unternehmen lohnt sich der frühzeitige, aber strukturierte Umstieg — nicht aus Modernitätsgründen, sondern weil er eines der wirksamsten verfügbaren Mittel gegen Phishing und Zugangsdatendiebstahl ist.