Auf den Punkt: Microsoft bindet FIDO2-Passkeys in Windows Hello ein, sodass sich Nutzer bei Microsoft Entra ID mit gerätegebundener asymmetrischer Kryptographie statt Passwort anmelden können.
Microsoft erweitert Entra ID um eine passwortlose Authentifizierungsmethode für Windows-Geräte, die FIDO2-Passkeys direkt in den Windows-Hello-Container integriert. Damit lässt sich die klassische, phishing-anfällige Passwort-Anmeldung durch asymmetrische Kryptographie ersetzen.
Microsoft integriert FIDO2-Passkeys in Windows Hello und macht sie damit für die Anmeldung an Microsoft Entra ID nutzbar. Anstelle eines Passworts kommt ein kryptographisches Schlüsselpaar zum Einsatz: Der private Schlüssel wird lokal im Windows-Hello-Container erzeugt und gespeichert, verlässt das Gerät zu keinem Zeitpunkt und lässt sich ausschließlich durch lokale Benutzer-Authentifizierung freischalten – etwa per Biometrie oder Geräte-PIN.
Entscheidend für das Sicherheitsmodell ist die klare Trennung zwischen lokaler Entsperrung und Dienst-Authentifizierung: Die PIN oder biometrische Verifizierung dient ausschließlich dazu, den auf dem Gerät gespeicherten privaten Schlüssel freizuschalten. Sie wird selbst nicht an Microsoft Entra ID übermittelt und kann daher auch nicht für eine Anmeldung ohne physischen Zugriff auf das Gerät missbraucht werden. Die eigentliche Authentifizierung gegenüber dem Dienst läuft über das FIDO2-Protokoll mittels Public-Key-Kryptographie: Das Gerät sendet eine signierte Challenge-Antwort, die an die jeweilige Zielanwendung gebunden ist.
Für Administratoren, die Entra ID betreiben, bedeutet dieser Ansatz eine Reduktion klassischer Angriffsflächen: Credential-Phishing, Passwort-Spraying oder das Abgreifen von Zugangsdaten über kompromittierte Webseiten laufen ins Leere, da kein übertragbares Geheimnis mehr existiert, das abgefangen werden könnte. Die Bindung der Signatur an die Zielanwendung erschwert zudem Relay- und Man-in-the-Middle-Angriffe, wie sie bei klassischen Anmeldeverfahren oder auch bei manchen MFA-Implementierungen möglich sind.
In der praktischen Umsetzung bleibt der private Schlüssel geräte- und benutzergebunden in der isolierten Windows-Hello-Umgebung gespeichert. Wer Passkey-basierte Anmeldung in Entra ID einführt, sollte entsprechend Geräterichtlinien und Registrierungsprozesse für Passkeys in die bestehende Identity-Governance einbeziehen, da die Sicherheit des Verfahrens direkt an die Integrität des jeweiligen Endgeräts gekoppelt ist.
Quelle: www.computerweekly.com · Erschienen 25. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.