975’309 Phishing-Meldungen gingen 2024 beim Bundesamt für Cybersicherheit (BACS) ein, gut doppelt so viele bestätigte Phishing-Seiten wie im Jahr davor. Fast alle dieser Angriffe zielen auf dasselbe: ein Passwort, das jemand eintippt, ohne zu merken, dass die Seite falsch ist. Ein FIDO-Key macht genau diesen Trick wirkungslos.
Was ist ein FIDO-Key?
Ein FIDO-Key ist ein kleines physisches Gerät, meist in der Grösse eines USB-Sticks, manchmal als Karte oder mit NFC für dein Smartphone. Statt ein Passwort einzutippen, steckst du den Schlüssel in deinen Computer oder hältst ihn ans Handy und berührst einen Sensor. Das war’s, du bist eingeloggt.
FIDO steht für “Fast Identity Online”, ein offener Standard, den Microsoft, Google, Apple und Amazon gemeinsam entwickelt haben. Deshalb funktioniert derselbe Schlüssel bei fast jedem Dienst, der ihn unterstützt, nicht nur bei einem einzigen Anbieter.
Warum das besser ist als ein Passwort
Ein Passwort ist ein Geheimnis, das zwei Seiten kennen: du und der Dienst. Genau das macht es angreifbar. Man kann es dich auf einer gefälschten Seite abtippen lassen, es aus einem Datenleck ziehen, es erraten. Selbst ein SMS-Code lässt sich mit etwas Aufwand abfangen.
Ein FIDO-Key funktioniert anders. Beim Einrichten erzeugt er für jeden Dienst ein eigenes Schlüsselpaar, und der geheime Teil verlässt den Schlüssel nie. Es gibt schlicht nichts, was eine Phishing-Seite abgreifen könnte, selbst wenn du versehentlich draufklickst. Der Schlüssel prüft vor jeder Anmeldung automatisch, ob die Adresse tatsächlich zum echten Dienst gehört, und verweigert sonst die Anmeldung. Genau diese eine Eigenschaft macht ihn interessant, nicht die Bequemlichkeit.
Wo du einen FIDO-Key einsetzen kannst
Microsoft 365 und Windows unterstützen FIDO-Keys direkt, dazu kommen dein Google-Konto, deine Apple-ID, GitHub und GitLab, einzelne Schweizer Online-Banking-Portale, Krankenkassen, Passwort-Manager wie Keeper, 1Password oder Bitwarden als zusätzliche Absicherung sowie Social-Media-Konten bei Facebook, X oder Instagram. Ein einziger Schlüssel deckt dabei mehrere Konten gleichzeitig ab, du brauchst also nicht für jeden Dienst ein eigenes Gerät.
Vielleicht besitzt du bereits so etwas Ähnliches, ohne es zu wissen: Windows Hello, Face ID und der Fingerabdrucksensor an deinem Handy arbeiten nach demselben FIDO2-Prinzip. Man nennt das dann Passkey statt Security Key, die Technik dahinter ist identisch.
FIDO-Key unter Windows einrichten
- Einstellungen → Konten → Anmeldeoptionen öffnen
- Sicherheitsschlüssel auswählen
- Auf Verwalten und dann Hinzufügen klicken
- Schlüssel in den USB-Anschluss stecken oder bei NFC-Modellen ans Lesegerät halten
- PIN festlegen und den Sensor am Schlüssel berühren, wenn du dazu aufgefordert wirst
Ab sofort kannst du dich bei Windows statt mit dem Passwort mit dem Schlüssel anmelden, sofern es die Konfiguration deiner Infrastruktur erlaubt.
FIDO-Key mit Microsoft 365 verbinden
- myaccount.microsoft.com aufrufen und anmelden
- Zu Sicherheitsinformationen → Anmeldemethode hinzufügen gehen
- Sicherheitsschlüssel auswählen (fall die Option nicht verfügbar ist, kontaktiere deinen IT-Betreuer)
- Schlüssel einstecken, mit PIN und Berührung bestätigen
Für Unternehmen lässt sich das über Microsoft Entra ID zentral steuern und für alle Mitarbeitenden verbindlich machen, inklusive Ausschluss unsicherer Methoden wie SMS-Codes. Aus einer Einzelmassnahme wird so eine firmenweite Strategie gegen genau die Angriffsform, die laut BACS-Zahlen am häufigsten gemeldet wird.
Was das in der Praxis bedeutet
Die Einrichtung eines einzelnen Schlüssels ist in fünf Minuten erledigt. Die Fragen, die dann kommen, sind praktischer Natur: Welches Schlüsselmodell für welche Mitarbeitenden, was passiert bei Verlust, wie kombinierst du das sauber mit VPN, Exchange und Fernwartung, und wie rollst du das für 30 oder 150 Personen aus, ohne dass am Montagmorgen der halbe Betrieb nicht ins System kommt.
Genau mit diesen Fragen arbeiten wir bei alldesk AG regelmässig, wenn wir Microsoft 365 und Entra ID für KMU in der Ostschweiz einrichten, inklusive Notfallzugang für den Fall, dass ein Schlüssel tatsächlich einmal verloren geht. Wenn du wissen möchtest, wie das konkret für dein Unternehmen aussehen würde, melde dich, wir schauen uns deine bestehende M365-Umgebung gemeinsam an.
