Microsoft wird Entra-Passkeys unter Windows einführen

Microsoft macht Windows ein Stück passwortloser: Entra-Passkeys bringen ab Ende April phishingsichere Logins per Gesicht, Finger­abdruck oder PIN auf deutlich mehr Geräte - auch außerhalb klassischer Firmenrechner.

Passwortlos auf mehr Windows-Geräten

Nutzer können künftig passwortlos auf Microsoft-Entra-Ressourcen zugreifen, indem sie einen lokal gespeicherten Passkey verwenden und sich per Windows Hello anmelden. Die Passkeys sind FIDO2-basiert und werden im geschützten Windows-Hello-Container auf dem jeweiligen Gerät abgelegt.

Das funktioniert nicht nur auf Entra-zugehörigen oder registrierten Firmenrechnern, sondern auch auf privaten und gemeinsam genutzten PCs, sofern die entsprechenden Richtlinien dies erlauben. Administratoren steuern den Einsatz über die Entra-ID-Richtlinien für Authentifizierungsmethoden.

So funktionieren Entra-Passkeys auf Windows

Microsoft beschreibt die neuen Entra-Passkeys als gerätegebundene Zugangsdaten, die fest an einen bestimmten PC gekoppelt sind und diesen nicht verlassen. Sie werden im lokalen Windows-Hello-Container gespeichert, der durch eine Windows-Hello-Anmeldung mit Gesicht, Fingerabdruck oder PIN freigeschaltet wird. Mehrere Passkeys für verschiedene Arbeits- oder Schulkonten können parallel auf einem Gerät abgelegt werden.

Technisch unterscheiden sich Entra-Passkeys von Windows Hello for Business: Während Hello for Business auch für die Anmeldung am Gerät selbst und Single-Sign-on in Unternehmensumgebungen gedacht ist, fokussiert Entra-Passkey auf die Anmeldung an Entra-ID-Ressourcen ohne klassische Kennwörter.

Gesteuert wird das Verhalten über die Entra-ID-Authentifizierungsmethoden, nicht über Gruppenrichtlinien oder Intune-Profile, wie es bei Windows Hello for Business üblich ist.

Allgemeine Verfügbarkeit (weltweit): Wir werden Ende April 2026 mit der Einführung beginnen und gehen davon aus, dass diese bis Mitte Juni 2026 abgeschlossen sein wird.

Allgemeine Verfügbarkeit (GCC, GCC High, DoD): Wir werden Anfang Juli 2026 mit der Einführung beginnen und gehen davon aus, dass diese bis Ende Juli 2026 abgeschlossen sein wird.

Nach Angaben von Microsoft sollen die neuen Passkeys eine Lücke schließen, die bislang vor allem private und gemeinsam genutzte Windows-Geräte betraf. Dort war der Zugriff auf Entra-Konten häufig noch passwortbasiert und trotz Multifaktor-Authentifizierung ein Ziel für Angriffe mit gestohlenen Zugangsdaten.

Passkeys sind kryptografisch an das jeweilige Gerät gebunden und werden nicht über das Netzwerk übertragen. Damit lassen sie sich weder per Phishing noch per Malware so einfach abgreifen wie klassische Passwörter und gelten als weniger anfällig für Brute-Force- oder Credential-Stuffing-Angriffe. Für Unternehmen bedeutet das eine kleinere Angriffsfläche, insbesondere dort, wo Mitarbeitende mit eigenen oder geteilten PCs auf Cloud-Ressourcen zugreifen.

Setzt ihr in euren Windows-Umgebungen schon auf Passkeys - oder bleibt das klassische Passwort für euch vorerst unverzichtbar? Schreibt mir eure Erfahrungen und Pläne gern in die Kommentare.


Siehe auch: