Microsoft Entra ID Passkeys: Previews für MFA ohne SMS

Einführung: warum das wichtig ist

Die MFA-Einführung nimmt weiter zu, aber viele Organisationen kämpfen weiterhin mit Benutzer-Reibung, Schulungsaufwand und Helpdesk-Kosten – insbesondere dann, wenn Benutzer den Zugriff auf ihre Authentifizierungsmethoden verlieren. Auf der Ignite 2025 stellte Microsoft synchronisierte Passkeys und hoch­sichere Kontowiederherstellung für Entra ID vor – jetzt als public preview verfügbar – mit dem Ziel, starke Authentifizierung einfacher bereitzustellen und für Endbenutzer leichter nutzbar zu machen.

Was ist neu

1) Synchronisierte Passkeys (public preview)

Synchronisierte Passkeys entfernen Passwörter vollständig und ermöglichen Benutzern die Anmeldung über Biometrie oder eine Geräte-PIN, wobei Passkeys geräteübergreifend über Plattformen wie iCloud Keychain und Google Password Manager synchronisiert werden.

Wesentliche von Microsoft hervorgehobene Vorteile:

• Höhere Anmelde-Erfolgsquote gegenüber Legacy-Methoden (genannte Microsoft Consumer-Daten: 95 % vs. 30 %).
• Schnellere Anmeldung im Vergleich zu Passwort + codebasierter MFA (genannt: 14x schneller).
• Phishing-resistente Authentifizierung, die die Angriffsfläche für Credential-Diebstahl und OTP-Abfangen reduziert.
• Breite native OS-Unterstützung auf den wichtigsten Plattformen.

2) Passkey-Profile für granulare Admin-Steuerung

Um häufige Rollout-Bedenken (Reibung bei der Registrierung, inkonsistente UX, Helpdesk-Tickets) zu adressieren, führt Entra ID eine gruppenbasierte Konfiguration für Passkey-Authentifizierung ein.

Admins können Anforderungen je Gruppe definieren, z. B.:

• Anforderungen an Attestation
• Passkey-Typ (device-bound vs synced)
• Steuerungen für spezifische Passkey-Provider

Damit werden Passkeys von einem einzelnen tenantweiten Toggle zu einem richtliniengetriebenen Bereitstellungsmodell, das an reale Personas und Risikoprofile ausgerichtet ist.

3) Hochsichere Kontowiederherstellung mit Ausweis + Biometrie (public preview)

Wenn Benutzer den Zugriff auf ihre normalen Anmeldemethoden (einschließlich Passkeys) verlieren, wird die Wiederherstellung zum schwachen Glied – und zum Ziel für Identitätsvortäuschung und Social Engineering. Microsofts neuer Wiederherstellungsprozess nutzt Verifizierung eines staatlichen Ausweisdokuments plus einen KI-gestützten biometrischen Abgleich.

So funktioniert es:

• Benutzer wählen „Recover my account“ im Entra-Anmeldeerlebnis.
• Sie schließen eine Remote-Dokumentenverifizierung ab (z. B. Führerschein, Reisepass).
• Sie führen einen Face Check durch (Liveness + Selfie-Abgleich mit dem Ausweisfoto) mit Microsoft Entra Verified ID Face Check, basierend auf Azure AI services.
• Entra ID gleicht verifizierte Attribute (z. B. Name/Adresse) mit dem Verzeichnis/HR-System der Organisation ab.
• Nach der Wiederherstellung werden Benutzer aufgefordert, einen synchronisierten Passkey zu registrieren, um zukünftige Sperren zu reduzieren.

Organisationen können ID-Verifizierungsanbieter über den Microsoft Security Store auswählen: Idemia, LexisNexis und AU10TIX, mit Abdeckung in 192 Ländern.

Auswirkungen für IT-Admins und Endbenutzer

• Geringeres Helpdesk-Volumen und niedrigere Kosten, da Passwort-Resets und fragile Wiederherstellungsmethoden reduziert werden.
• Verbesserte Sicherheitslage, indem phishing-resistente Authentifizierung und stärkere Wiederherstellungskontrollen vorangetrieben werden.
• Planbarere Deployments durch gruppenbezogene Passkey-Profile und stufenweise Aktivierung.
• Besseres Endbenutzer-Erlebnis mit weniger Codes, weniger Fehlern und einem geführten Wiederherstellungsablauf.

Action Items / nächste Schritte

1. Synchronisierte Passkeys pilotieren mit einer kontrollierten Benutzergruppe; Geräte-/Plattform-Readiness und Benutzerkommunikation validieren.
2. Passkey-Profile erstellen nach Persona (z. B. Frontline, Contractors, privilegierte Admins) und Provider-/Attestation-Anforderungen definieren.
3. Anforderungen an die Kontowiederherstellung bewerten (Datenschutz, Compliance, HR-Attributabgleich) und vor der Aktivierung in Produktion Simulationen durchführen.
4. Einen IDV-Provider auswählen im Microsoft Security Store und operativen Support für Wiederherstellungsszenarien planen.

Lizenzhinweise

• Passkeys: Für alle Microsoft Entra ID-Kunden enthalten
• Kontowiederherstellung: Mit Microsoft Entra ID P1 enthalten
• Face Check: Add-on pro Verifizierung oder enthalten in Microsoft Entra Suite
• Government ID check: Pay-per-verification über den Microsoft Security Store