Passwortmanager, MFA und Passkeys in Behörden: welche Baustelle zuerst?
Nicht jedes Loginproblem braucht dieselbe Lösung. Ein praxisnahes Stufenmodell trennt Passwort-Hygiene, gemeinsame Secrets, starke MFA, privilegierte Zugänge und Passkey-Piloten.
1. Gemeinsame Secrets zuerst unter Kontrolle bringen
Passwortmanager sind besonders dort wertvoll, wo Zugangsdaten heute in persönlichen Notizen, Browsern oder Teamdateien landen. Ein verwalteter Tresor schafft Ownership, getrennte Rollen und einen Recovery-Pfad.
2. Kritische Konten mit starker MFA absichern
Administrations-, Cloud- und Remote-Zugänge sollten unabhängig vom Passwortschutz betrachtet werden. Der zweite Faktor muss zur Bedrohung passen und sollte bei privilegierten Konten möglichst phishing-resistent sein.
3. Passkeys gezielt pilotieren
Passkeys können Passwort- und Phishingprobleme deutlich reduzieren, verschieben aber einen Teil der Betriebsfrage auf Gerätebindung, Synchronisation, Recovery und Identitäts-Lifecycle. Deshalb eignen sich zuerst klar abgegrenzte, gut gemanagte Benutzergruppen und Dienste.
- Geräteverlust testen
- Account-Recovery dokumentieren
- Break-Glass-Zugang getrennt halten
- Offboarding praktisch durchspielen
Kein Entweder-oder
In einer heterogenen Verwaltung werden Passwortmanager, MFA und Passkeys längere Zeit parallel existieren. Entscheidend ist, für jede Kontenklasse einen bewussten Zielzustand zu definieren.