Diese Anleitung richtet sich an Administratoren und Entscheider im Mittelstand und beschreibt drei Bausteine: eine Passwortrichtlinie nach NIST SP 800-63B-4 und BSI-Empfehlung, einen verpflichtenden Passwortmanager und Passkeys nach FIDO2/WebAuthn als phishingsichere Ablösung. Im Mittelpunkt stehen konkrete Werte, Prüfpunkte und ein gestufter Rollout. Der 90-Tage-Wechsel und erzwungene Sonderzeichen entfallen.

Voraussetzungen

Mandat: Rückendeckung der Geschäftsführung, damit die Richtlinie verbindlich gilt und der Passwortmanager Pflicht wird.
Identitätsplattform: ein zentrales Verzeichnis bzw. eine IdP-Lösung (z. B. Microsoft Entra ID, ein anderer OIDC-/SAML-Anbieter), in der sich Richtlinien und Authentifizierungsmethoden steuern lassen.
MFA-Grundlage: Mehr-Faktor-Authentifizierung (MFA) ist aktiv oder wird parallel eingeführt.
Endgeräte: Betriebssysteme und Browser mit Passkey-Unterstützung (z. B. Windows 11, macOS 13, iOS 16, Android 9 oder neuer); für Administratoren je zwei FIDO2-Sicherheitsschlüssel (Haupt- und Ersatzschlüssel).
Inventar: Überblick über kritische Anwendungen, Admin-Konten und Dienste, die Sie zuerst absichern.
Kommunikation: ein kurzer Plan, wie Sie Mitarbeitende informieren und schulen.

Hardware für diese Anleitung

Enthält Werbelinks

FIDO2-Sicherheitsschlüssel	Phishing-sicherer als Codes aus einer App. Immer zwei kaufen: einen für den Alltag, einen als Reserve an einem sicheren Ort.	Sicherheitsschlüssel bei Amazon (Werbelink)

Die Anleitung funktioniert mit jedem FIDO2-Schlüssel. * Werbelink

Schritt 1: Passwortrichtlinie auf aktuellen Stand bringen

Kernaussage von NIST SP 800-63B-4 und BSI: Länge schlägt Komplexität. Lange Passphrasen sind für Menschen merkbar und für Angreifer schwer zu knacken. Zwangs-Komplexitätsregeln (mindestens ein Großbuchstabe, eine Ziffer, ein Sonderzeichen) führen dagegen zu vorhersehbaren Mustern wie Passwort1! und untersagt NIST SP 800-63B-4 deshalb ausdrücklich („SHALL NOT impose other composition rules“).

Die zweite Kernaussage: kein erzwungener periodischer Wechsel mehr. Erzwingen Sie eine Änderung nur bei Hinweisen auf Kompromittierung, nicht alle 30, 60 oder 90 Tage; NIST verlangt genau das. Routinemäßiger Wechsel führt zu leicht erratbaren Abwandlungen.

Mindestlängen richtig verstehen

Die geforderte Länge hängt davon ab, ob das Passwort der alleinige Faktor ist oder Teil einer MFA-Anmeldung.

Szenario	Mindestlänge (NIST 800-63B-4)	Maximallänge
Passwort als alleiniger Faktor	15 Zeichen	mindestens 64 zulassen (SHOULD)
Passwort innerhalb MFA	8 Zeichen	mindestens 64 zulassen (SHOULD)

Das BSI nennt als Orientierung: kurz und komplex (8 bis 12 Zeichen, vier Zeichenarten) oder lang und einfacher (20 bis 25 Zeichen, zwei Zeichenarten, z. B. eine Wortfolge); mit MFA genügen 8 Zeichen mit drei Zeichenarten. WLAN-Passwörter (WPA2/WPA3) sollen mindestens 20 Zeichen lang sein, weil dort Offline-Angriffe möglich sind.

Konkrete Richtlinienwerte

Diese Werte übernehmen Sie in die schriftliche Richtlinie und in die technische Konfiguration.

Mindestlaenge (Passwort als alleiniger Faktor): 15 Zeichen
Mindestlaenge (Passwort innerhalb MFA):          8 Zeichen
Maximallaenge:                                   mindestens 64 zulassen
Erlaubte Zeichen:                                alle (inkl. Leer-/Sonderzeichen, Unicode)
Komplexitaetsregeln (Zwang):                     keine
Periodischer Zwangswechsel:                      keiner (nur bei Verdacht)
Blockliste kompromittierter Passwoerter:         Pflicht (bei Vergabe UND Aenderung)
Ratenbegrenzung gegen Brute-Force:               Pflicht
Passworthinweise (Hints):                        verboten

Blockliste und Ratenbegrenzung

Statt Komplexitätsregeln verlangt NIST SP 800-63B-4 zwei Mechanismen. Eine Blockliste gleicht jedes Passwort bei Vergabe und jeder Änderung gegen häufig genutzte, erwartbare und kompromittierte Passwörter ab und lehnt Treffer mit Begründung ab. Die Ratenbegrenzung (Rate Limiting) begrenzt Fehlversuche und bremst automatisierte Angriffe. In Microsoft Entra ID übernehmen das Entra Password Protection (Blockliste) und Smart Lockout.

Verifizieren: Setzen Sie für ein Testkonto ein Passwort aus Ihrer Blockliste (z. B. Firmenname plus Jahreszahl, in Entra ID über die benutzerdefinierte Liste gesperrter Kennwörter): Es wird abgelehnt. Die Richtlinie enthält keine Ablauffrist und keine Zeichenart-Pflicht mehr.

Schritt 2: Passwortmanager verpflichtend einführen

Wer sich an die neue Richtlinie hält, hat ein praktisches Problem: lange, einzigartige Passwörter pro Dienst kann sich niemand merken. Dafür ist ein Passwortmanager Pflicht. Er erzeugt Zufallspasswörter, speichert sie verschlüsselt und füllt sie nur auf der hinterlegten Domain automatisch aus, was zugleich Phishing erschwert.

Nutzen im Überblick

Einzigartige, lange Zufallspasswörter pro Konto.
Zero-Knowledge-Verschlüsselung: der Anbieter kann die Inhalte nicht lesen.
Gemeinsame Tresore für Teams mit feingranularen Freigaben statt Passwörter per Chat oder Zettel.
Audit- und Health-Funktionen: Aufdecken von schwachen, doppelten oder geleakten Passwörtern.
SSO-Anbindung und zentrale Verwaltung über die Identitätsplattform.

Auswahlkriterien

Bewertungsraster für den Anbietervergleich:

Kriterium	Worauf Sie achten
Verschlüsselung	Zero-Knowledge-Architektur, geprüfte Krypto, idealerweise unabhängiges Audit
Team-Funktionen	gemeinsame Tresore, rollenbasierte Freigaben, Rechteverwaltung
Verwaltung	zentrale Admin-Konsole, Richtlinien, Onboarding/Offboarding
SSO und MFA	Anbindung an die Identitätsplattform, MFA für den Tresor selbst
Audit und Reporting	Passwort-Health, Leak-Abgleich, Aktivitätsprotokolle
Wiederherstellung	Notfallzugriff, Account-Recovery ohne Hintertür
Plattformen	Browser-Erweiterungen, Desktop- und Mobile-Apps, Passkey-Unterstützung

Gemeinsame Tresore und Freigaben

Teilen Sie gemeinsam genutzte Zugänge (z. B. Funktionskonten) ausschließlich über gemeinsame Tresore, nie per E-Mail oder Messenger. Strukturieren Sie die Tresore nach Team oder Abteilung und vergeben Sie Rechte nach dem Prinzip der minimalen Berechtigung. Beim Offboarding entziehen Sie den Tresorzugriff und ändern die Passwörter der Zugänge, die die Person kannte. Legen Sie vorab fest, wer welchen Tresor verwaltet.

Verifizieren: Jede Person im Pilotteam hat ein Konto im Passwortmanager mit MFA, der Tresor-Bericht zeigt keine doppelten oder als geleakt markierten Passwörter mehr, und ein Testzugang ist nur für die freigegebene Gruppe sichtbar.

Schritt 3: Passkeys und FIDO2/WebAuthn verstehen

Passkeys sind der nächste Schritt nach dem Passwort. Technisch basieren sie auf FIDO2, das aus zwei Bausteinen besteht: WebAuthn (die Browser-/Plattform-API) und CTAP (das Protokoll zum Authenticator, etwa einem Sicherheitsschlüssel). Statt eines geteilten Geheimnisses kommt ein asymmetrisches Schlüsselpaar zum Einsatz: Der private Schlüssel verlässt das Gerät nie, nur der öffentliche liegt beim Dienst. Passkeys sind zudem an die Domain des Dienstes gebunden und damit phishingsicher: Auf einer gefälschten Seite funktionieren sie nicht.

Gerätegebunden vs. synchronisiert

Die zentrale Entscheidung bei der Einführung:

Eigenschaft	Gerätegebunden (device-bound)	Synchronisiert (synced)
Speicherort	fest auf einem Gerät / Hardware-Schlüssel	geteilt über einen Cloud-Dienst
Beispiele	FIDO2-Sicherheitsschlüssel, Plattform-TPM	iCloud, Google, 1Password, Bitwarden
Attestierung (Attestation)	möglich (Modell nachweisbar)	keine Attestierung
Komfort	geringer (an Gerät gebunden)	hoch (auf mehreren Geräten verfügbar)
Einsatz	privilegierte/Admin-Konten	Standard-Personal

Über die Attestierung kann ein Dienst nachweisen lassen, welches Authenticator-Modell verwendet wurde – identifiziert über die AAGUID, eine 128-Bit-Modell-ID. Synchronisierte Passkeys liefern keine Attestierung. Für hohe Sicherheitsanforderungen brauchen Sie daher gerätegebundene, attestierte Schlüssel.

Verifizieren: Sie haben schriftlich festgelegt, welche Nutzergruppen synchronisierte und welche gerätegebundene Passkeys verwenden, und für jede Admin-Gruppe das zugelassene Schlüsselmodell benannt.

Schritt 4: Passkeys in der Identitätsplattform aktivieren

Die folgenden Schritte beschreiben das Beispiel Microsoft Entra ID ; auf andere Plattformen übertragen Sie das Vorgehen sinngemäß. In Entra sind Passkeys in allen Editionen (inklusive Free) ohne Zusatzlizenz nutzbar. Voraussetzung für die Registrierung: Die Nutzerin oder der Nutzer hat sich in den letzten 5 Minuten per MFA verifiziert.

Aktivieren Sie die Methode als Authentifizierungsrichtlinien-Administrator:

Admin Center oeffnen (Rolle: Authentication Policy Administrator)
  -> Entra ID > Security > Authentication methods > Policies
  -> Passkey (FIDO2): opt-in
  -> Configure: Allow self-service set up = Yes
  -> Default profile: Passkey-Typen festlegen
  -> Save

Wichtige Eckwerte und Stolperstellen bei der Konfiguration:

Pro Mandant sind bis zu drei Passkey-Profile möglich (inklusive Default-Profil); die gesamte Passkey-Richtlinie ist auf 20 KB begrenzt.
Enforce attestation = Yes schließt synchronisierte Passkeys aus (sie liefern keine Attestierung).
Gäste bzw. B2B-Konten können keine Passkeys registrieren.
Das Opt-in für Passkey-Profile lässt sich nicht zurücknehmen.

Privilegierte Konten besonders absichern

Für Admin-Konten gelten strengere Vorgaben: nur gerätegebundene, attestierte Hardware-Schlüssel und – wenn gewünscht – eine Beschränkung auf bestimmte Modelle per AAGUID.

Passkey-Profil hinzufuegen
  -> Enforce attestation = Yes
  -> Device-bound (optional): key restrictions ueber AAGUID
  -> Enable und Target = Admins
Durchsetzung:
  -> Authentication strengths in Conditional Access
     (phishingsichere Staerke fuer privilegierte Rollen erzwingen)

Entfernen Sie später eine erlaubte AAGUID, sperren Sie bereits registrierte Schlüssel dieses Modells aus.

Verifizieren: Ein Pilotkonto registriert unter https://mysignins.microsoft.com/security-info einen Passkey und meldet sich in einem privaten Browserfenster damit an. Die Anmeldeprotokolle in Entra ID zeigen als Methode „Passkey (FIDO2)“, für Admin-Konten greift die phishingsichere Authentifizierungsstärke.

Schritt 5: Passkeys gestuft im Unternehmen ausrollen

Führen Sie Passkeys in Stufen ein. So sammeln Sie Erfahrung, halten einen Rückfallweg offen und vermeiden Aussperrungen.

Pilot mit IT: Das IT-Team testet Geräte, Browser und Wiederherstellungswege.
Synchronisierte Passkeys fürs Personal: komfortabler Einstieg für die Breite der Belegschaft.
Hardware-Schlüssel für Admins: gerätegebundene, attestierte Keys für privilegierte Konten.
Passwort-Fallback beibehalten: in dieser Phase bleibt das Passwort als Rückfall aktiv.
Phishingsichere Stärke erzwingen: per Conditional Access bzw. Authentication strengths.
Wiederherstellung mit 2 Faktoren: Legen Sie Wiederherstellungswege mit zwei Faktoren fest.
Passwort-Login schließen: erst zum Schluss das reine Passwort-Login deaktivieren.

Hinterlegen Sie auf jeder Stufe mindestens ein zweites Authentifizierungsmittel, sonst sperrt der Verlust des einzigen Authenticators die Person aus.

Verifizieren: Der Bericht „Authentication methods activity“ in Entra ID zeigt pro Stufe den Anteil der Konten mit registriertem Passkey. Vor dem letzten Schritt haben alle Konten der Zielgruppe mindestens zwei Methoden, und ein Testkonto kommt ohne Passwort nicht mehr herein.

Typische Fehler

15 und 8 Zeichen verwechseln: Die 15-Zeichen-Mindestlänge gilt nur, wenn das Passwort der alleinige Faktor ist. Mit MFA sind 8 Zeichen zulässig.
Veraltete Regeln behalten: 90-Tage-Rotation und Sonderzeichen-Zwang widersprechen dem aktuellen BSI- und NIST-Stand.
Blockliste nur einmal prüfen: Der Abgleich gegen kompromittierte Passwörter muss laufend erfolgen – bei Vergabe und bei jeder Änderung, nicht nur beim ersten Setzen.
Synchronisierte Passkeys für High-Security: Sie liefern keine Attestierung und werden bei erzwungener Attestierung blockiert. Hohe Sicherheit braucht gerätegebundene, attestierte Schlüssel.
Opt-in unterschätzen: Das Aktivieren eines Entra-Passkey-Profils ist nicht umkehrbar.
AAGUID voreilig entfernen: Das sperrt bereits registrierte Schlüssel dieses Modells aus.
Nur ein Authenticator: Geht der einzige Schlüssel verloren, ist die Person ausgesperrt. Immer ein Backup-Faktor.
Zugangsdaten im Klartext teilen: niemals per E-Mail oder Chat – ausschließlich über gemeinsame Tresore.

Häufige Fragen

Müssen wir Passwörter wirklich nicht mehr regelmäßig ändern?

Richtig. NIST SP 800-63B-4 untersagt den periodischen Zwangswechsel, das BSI empfiehlt ihn ebenfalls nicht mehr. Eine Änderung erzwingen Sie nur bei Hinweisen auf Kompromittierung. Der laufende Abgleich gegen eine Blockliste geleakter Passwörter ersetzt den periodischen Wechsel.

Wie lang muss ein Passwort mindestens sein?

Ist das Passwort der einzige Faktor, sind nach NIST 800-63B-4 mindestens 15 Zeichen nötig. Innerhalb einer MFA-Anmeldung genügen 8 Zeichen. Lassen Sie in jedem Fall mindestens 64 Zeichen und alle Zeichen zu.

Sind Sonderzeichen-Regeln noch sinnvoll?

Nein. Erzwungene Komplexitätsregeln führen zu vorhersehbaren Mustern und sind nicht mehr empfohlen. Setzen Sie stattdessen auf Länge, eine Blockliste kompromittierter Passwörter und Ratenbegrenzung.

Was ist der Unterschied zwischen gerätegebundenen und synchronisierten Passkeys?

Gerätegebundene Passkeys liegen fest auf einem Gerät oder Hardware-Schlüssel und lassen sich attestieren (Modellnachweis per AAGUID). Synchronisierte Passkeys (iCloud, Google, 1Password, Bitwarden) sind komfortabler, weil sie über mehrere Geräte verfügbar sind, bieten aber keine Attestierung. Für Admin-Konten nutzen Sie gerätegebundene Schlüssel.

Brauchen wir für Passkeys in Entra ID eine spezielle Lizenz?

Nein. Passkeys (FIDO2) sind in allen Entra-Editionen inklusive Free ohne Zusatzlizenz verfügbar. Voraussetzung für die Registrierung ist eine MFA-Verifizierung innerhalb der letzten 5 Minuten.

Nein. Behalten Sie während des gestuften Rollouts ein Passwort-Fallback, richten Sie die Wiederherstellung mit zwei Faktoren ein und deaktivieren Sie das reine Passwort-Login erst am Ende.

Fazit

Sichere Authentifizierung im Mittelstand steht heute auf drei Säulen: eine Passwortrichtlinie, die Länge über Komplexität stellt und auf periodischen Zwangswechsel verzichtet; ein verpflichtender Passwortmanager mit Zero-Knowledge-Verschlüsselung und gemeinsamen Tresoren; und Passkeys nach FIDO2/WebAuthn als phishingsichere Ablösung. Beginnen Sie mit der Richtlinie, machen Sie den Passwortmanager zur Pflicht und führen Sie Passkeys gestuft ein. Hinterlegen Sie immer ein zweites Wiederherstellungsmittel und teilen Sie Zugänge nie im Klartext.

Weiterführende Anleitungen und Quellen

Zwei-Faktor-Authentifizierung (2FA/MFA) einführen – die MFA-Grundlage, auf der Passwortrichtlinie und Passkeys aufbauen.
Microsoft 365: MFA und Conditional Access in Entra ID – Authentication strengths und bedingter Zugriff zum Erzwingen phishingsicherer Stärke.
Weitere Anleitungen in der Kategorie Sicherheit.

Quellen: NIST SP 800-63B-4 Digital Identity Guidelines, BSI – Sichere Passwörter erstellen, FIDO Alliance – Passkeys und Microsoft Learn – Enable passkeys (FIDO2) in Entra ID.