MFA ergänzt dein Passwort um einen zweiten Faktor, meist einen Code aus einer App. Ein Passkey ersetzt das Passwort ganz: Er besteht aus einem digitalen Schlüsselpaar, bleibt auf deinem Gerät und funktioniert nur auf der echten Website. Für die IT-Sicherheit im KMU heisst das: phishing-resistent, und der Login geht erst noch schneller.
Warum das Thema gerade jetzt aktuell ist
Phishing ist in der Schweiz kein Randphänomen, sondern Alltag. Beim Bundesamt für Cybersicherheit (BACS) gehen über die Meldeplattform antiphishing.ch rund eine Million Meldungen pro Jahr ein. Das sagte Roman Hüssy, Co-Leiter der Fachstelle Govcert beim BACS, Mitte August 2026 gegenüber SRF «Espresso». Ohne KI-gestützte Vorsortierung wäre diese Menge gar nicht mehr zu bewältigen.
Auch die Machart wird besser. Das BACS hielt im Juli 2026 fest, dass mit künstlicher Intelligenz erzeugte E-Mails und Webseiten immer schwerer zu erkennen sind. Die bisherigen Warnsignale wie Rechtschreibfehler oder holprige Formulierungen verschwinden schlicht. Zudem warnte das BACS im Juni 2026 vor Phishing-Mails im Design bekannter Microsoft-Dienste, getarnt als angebliche Sprachnachricht (siehe die laufend aktualisierten BACS-Wochenrückblicke).
Für viele KMU ist das eine unangenehme Erkenntnis. Sie haben MFA vor zwei oder drei Jahren eingeführt und das Thema seither als erledigt betrachtet. MFA ist trotzdem weiterhin eine der wirksamsten Einzelmassnahmen für die IT-Sicherheit. Aber sie ist nicht mehr das Ende der Geschichte.
Was MFA genau macht
MFA steht für Multi-Faktor-Authentifizierung. Die Idee: Für einen Login brauchst du mindestens zwei Nachweise aus unterschiedlichen Kategorien.
- Wissen: etwas, das du kennst (Passwort, PIN)
- Besitz: etwas, das du hast (Smartphone, Hardware-Token)
- Merkmal: etwas, das du bist (Fingerabdruck, Gesicht)
In der Praxis heisst das meistens: Passwort plus Code aus einer Authenticator-App, Passwort plus SMS-Code oder Passwort plus Push-Bestätigung auf dem Handy. Der Effekt ist real. Wer nur ein Passwort erbeutet, kommt damit nicht mehr weit.
Die Schwachstelle liegt woanders: Der zweite Faktor ist übertragbar. Ein Code lässt sich abtippen und weitergeben, eine Push-Meldung lässt sich bestätigen, ohne dass jemand die Website prüft. Genau daran setzen moderne Angriffe an.
- Angriffe in Echtzeit: Die gefälschte Seite reicht deine Eingaben live an den echten Dienst weiter und stiehlt danach das Sitzungs-Cookie. Fachleute sprechen von «Adversary in the Middle». Der Login funktioniert für dich völlig normal, nur sitzt jemand dazwischen.
- MFA-Müdigkeit: Der Angreifer löst so lange Push-Anfragen aus, bis jemand genervt auf «Bestätigen» tippt.
- SMS als schwächster Faktor: SMS-Codes lassen sich abfangen oder über einen Nummernwechsel umleiten.
Wie industriell das inzwischen betrieben wird, zeigt eine Aktion vom 4. März 2026: Europol und Microsoft legten gemeinsam mit Behörden aus sechs Ländern die Plattform «Tycoon 2FA» lahm und beschlagnahmten 330 Domains. Der Dienst war seit 2023 an über 64’000 grossflächigen Phishing-Angriffen beteiligt und wurde als fertiges Abo verkauft, für rund 120 US-Dollar pro zehn Tage Zugang. Technisches Wissen brauchte man dafür keines mehr.
Bemerkenswert ist die Fortsetzung. CrowdStrike beobachtete nach der Abschaltung nur einen kurzfristigen Rückgang, danach lief die Aktivität weiter. Solche Werkzeuge verschwinden also nicht, wenn eine Plattform abgeschaltet wird.
Kurz: MFA schützt zuverlässig gegen gestohlene Passwörter. Gegen eine gut gemachte Login-Seite schützt sie nur bedingt, weil am Ende ein Mensch entscheiden muss, ob die Seite echt ist.
Was ein Passkey ist, einfach erklärt
Ein Passkey ist ein Login ohne Passwort. Beim Einrichten erzeugt dein Gerät zwei zusammengehörende Schlüssel:
- Der private Schlüssel bleibt geschützt auf deinem Gerät, im sicheren Chipbereich von Handy, Notebook oder Hardware-Token. Er verlässt das Gerät nie.
- Der öffentliche Schlüssel geht an den Dienst, zum Beispiel an Microsoft 365. Er ist für sich allein wertlos.
Beim Login schickt der Dienst eine Aufgabe, die nur mit dem privaten Schlüssel gelöst werden kann. Du bestätigst mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN, das Gerät antwortet, fertig. Du tippst nichts ab und du gibst nichts weiter.
Zwei Details machen den Unterschied für die IT-Sicherheit aus:
- Der Passkey ist an die Domain gebunden. Ein Passkey für die echte Microsoft-Anmeldeseite funktioniert auf einer nachgebauten Adresse schlicht nicht. Die gefälschte Seite bekommt gar keine Antwort. Der Mensch muss nicht mehr erkennen, ob die Adresse stimmt, das übernimmt die Technik.
- Beim Dienst liegt kein Geheimnis. Wird der Anbieter gehackt, ist der öffentliche Schlüssel für Angreifer nutzlos. Es gibt keine Passwortliste zum Knacken.
Passkeys sind zudem kein Zukunftsthema mehr. Die FIDO Alliance schätzt in ihrem Bericht «State of Passkeys 2026» vom Mai 2026, dass weltweit rund fünf Milliarden Passkeys im Einsatz sind. 75 Prozent der befragten Personen haben mindestens ein Konto damit abgesichert, und 68 Prozent der befragten Organisationen führen Passkeys für ihre Mitarbeitenden ein oder haben das bereits getan.
MFA und Passkey im direkten Vergleich
| Klassische MFA | Passkey | |
|---|---|---|
| Passwort nötig | Ja, plus zweiter Faktor | Nein |
| Was du tust | Code abtippen oder Push bestätigen | Fingerabdruck, Gesicht oder PIN |
| Schutz vor Phishing | Teilweise, abhängig von der Aufmerksamkeit | Hoch, weil an die echte Domain gebunden |
| Was der Anbieter speichert | Passwort-Hash und Faktor-Zuordnung | Nur den öffentlichen Schlüssel |
| Zeit pro Login | Rund 15 bis 30 Sekunden | Wenige Sekunden |
| Typische Schwachstelle | Echtzeit-Phishing, Push-Müdigkeit, SMS | Verlorenes Gerät, unsaubere Wiederherstellung |
| Aufwand für Mitarbeitende | Spürbar | Kaum vorhanden |
Was Passkeys für die IT-Sicherheit im KMU-Alltag verbessern
Phishing läuft ins Leere. Der grösste Gewinn ist nicht technischer, sondern menschlicher Natur. Deine Mitarbeitenden müssen keine Adresszeile mehr prüfen, keine Absender bewerten und im Zweifelsfall nicht raten. Ein Passkey auf der falschen Seite tut einfach nichts. Das entlastet gerade dort, wo KI-generierte Mails kaum noch von echten zu unterscheiden sind.
Weniger Reibung, mehr Tempo. Wer sich mehrmals täglich anmeldet, spart pro Login einige Sekunden.
Weniger Support-Aufwand. Passwort-Resets gehören zu den häufigsten Tickets im Service Desk. Fällt das Passwort weg, fällt auch ein grosser Teil dieser Tickets weg.
Weniger Schulungsdruck. Awareness-Schulungen bleiben sinnvoll. Aber du verlagerst die Verantwortung weg vom einzelnen Menschen hin zur Technik. Das ist nachhaltiger als jede Erinnerungsmail.
Bessere Ausgangslage bei Audits und Versicherungen. Phishing-resistente Anmeldeverfahren sind in Fragebögen von Cyberversicherungen und in Sicherheitsaudits zunehmend ein eigener Punkt. Wenn du unsicher bist, wo ihr aktuell steht, hilft ein Blick von aussen: wir schauen uns eure Ausgangslage gerne an.
Wo Passkeys heute noch an Grenzen stossen
Ehrlich bleibt ehrlich: Ein reiner Passkey-Betrieb ist für die meisten KMU noch nicht realistisch.
- Nicht jeder Dienst kann es. Microsoft 365, Google und viele grosse Plattformen ja. Branchensoftware, ältere Portale und manche Treuhand- oder ERP-Lösungen noch nicht.
- Wiederherstellung braucht einen Plan. Was passiert, wenn ein Handy verloren geht? Ohne durchdachten Prozess ersetzt du ein Sicherheitsproblem durch ein Verfügbarkeitsproblem.
- Geteilte Konten passen schlecht. Der klassische Sammel-Login für das Info-Postfach funktioniert mit Passkeys nur mit sauberer Vorarbeit.
- Ein- und Austritte müssen sitzen. Wenn jemand geht, muss der Passkey zuverlässig entzogen werden. Das gehört in einen definierten Offboarding-Prozess.
- Nach dem Login geht es weiter. Passkeys schützen die Anmeldung. Wer eine Sitzung später über einen infizierten Rechner übernimmt, wird davon nicht gestoppt. Gepflegte Geräte und saubere Zugriffsregeln bleiben deshalb wichtig.
Darum lautet die realistische Antwort für 2026 nicht «Passkeys statt MFA», sondern «Passkeys überall dort, wo sie schon gehen, und starke MFA für den Rest».
So gehst du den Umstieg pragmatisch an
- Inventar machen. Welche Anwendungen nutzt ihr täglich, und welche davon unterstützen Passkeys bereits?
- Mit den kritischen Konten starten. Geschäftsleitung, Finanzen, Administratoren und alles, was Zahlungen auslösen kann.
- SMS ablösen. Wo Passkeys noch nicht gehen, mindestens von SMS-Codes auf App- oder Hardware-basierte Verfahren wechseln. Microsoft schaltet SMS und Voice übrigens im Februar 2027 ab.
- Wiederherstellung definieren. Zweites Gerät, Hardware-Token als Reserve oder ein klarer Prozess über die IT. Vorher festlegen, nicht im Ernstfall.
- Kleine Pilotgruppe. Fünf bis acht Personen zwei Wochen testen lassen, Stolpersteine sammeln, dann ausrollen.
- Onboarding und Offboarding anpassen. Passkey-Einrichtung und -Entzug gehören in die Checkliste. Wie ihr Mitarbeitende zusätzlich sensibilisiert, bleibt trotzdem ein Thema.
Das ist kein Grossprojekt. In einem KMU mit 20 bis 50 Mitarbeitenden ist die Umstellung auf Microsoft 365 meist eine Sache von wenigen Tagen, verteilt über ein paar Wochen.
Häufige Fragen zu MFA und Passkeys
Sind Passkeys sicherer als MFA?
Für den Schutz vor Phishing ja, deutlich. Passkeys prüfen die Website automatisch mit und lassen sich nicht abtippen oder weitergeben. Klassische MFA bleibt trotzdem wichtig überall dort, wo Passkeys noch nicht verfügbar sind.
Brauche ich noch ein Passwort, wenn ich Passkeys nutze?
In vielen Umgebungen bleibt das Passwort zunächst als Rückfallebene bestehen. Ziel ist, es später ganz zu deaktivieren. Erst dann ist der Schutz vollständig, weil sonst der alte Weg offen bleibt.
Was passiert, wenn ich mein Handy verliere?
Dann nutzt du dein zweites hinterlegtes Gerät oder die IT setzt den Zugang nach Identitätsprüfung neu auf. Wichtig ist, dass dieser Prozess vorher definiert ist.
Kostet das zusätzlich etwas?
Meist nein. In Microsoft 365 sind Passkeys über Windows Hello und die Microsoft Authenticator App enthalten. Kosten entstehen höchstens für optionale Hardware-Token, typischerweise zwischen 30 und 70 Franken pro Stück.
Funktionieren Passkeys auch ohne Smartphone?
Ja. Passkeys funktionieren auf dem Notebook über Windows Hello oder Touch ID. Für Mitarbeitende ohne Firmenhandy eignen sich Hardware-Token.
Wie lange dauert die Einführung im KMU?
Ein Pilot ist in ein bis zwei Tagen aufgesetzt. Der vollständige Rollout inklusive Schulung und angepassten Prozessen dauert je nach Grösse zwei bis sechs Wochen.
Fazit
MFA war der richtige Schritt und bleibt für viele Anwendungen unverzichtbar. Passkeys sind der nächste: Sie nehmen den Menschen die Aufgabe ab, gefälschte Login-Seiten zu erkennen, und machen den Arbeitsalltag gleichzeitig einfacher. Gute IT-Sicherheit merkt man idealerweise gar nicht, ausser daran, dass etwas schneller geht.
Wenn du wissen willst, welche eurer Anwendungen Passkeys heute schon unterstützen, ist eine Bestandsaufnahme der schnellste erste Schritt. Danach lässt sich in Ruhe entscheiden, was wann umgestellt wird.
Über inpuls AG – inpuls ist dein IT-Dienstleister und deine IT-Sicherheitsfirma aus Bern. Als externe IT-Abteilung betreuen wir KMU in Bern und der ganzen Deutschschweiz: Beratung, Umsetzung und Support für die gesamte IT, verständlich, verlässlich und persönlich. Kostenloses IT-Audit vereinbaren oder Kontakt aufnehmen: https://www.inpuls.ch