Seminar Passwortmanagement – Passkeys, MFA und passwortlose Authentisierung

Passkeys beseitigen zahlreiche Risiken klassischer Kennwörter, aber nicht automatisch alle Risiken des Kontolebenszyklus. Enrollment, Synchronisation, Exportierbarkeit, Wiederherstellung und schwache Rückfallverfahren können den Sicherheitsgewinn erheblich mindern.

Das Seminar betrachtet Passkeys als Authentikatoren mit Bindung, Nutzung, Verlust, Ersatz, Statusabgleich und Widerruf. Aktuelle WebAuthn-Level-3-Funktionen werden mit ihrer tatsächlichen Clientunterstützung bewertet; synchronisierte und gerätegebundene Modelle werden nach Schutzbedarf und Betriebsrealität verglichen.

Einordnung und Nutzen

Zwei Tage sind notwendig, weil technische Grundlagen, Architektur, Enrollment und Recovery am ersten Tag vorbereitet und am zweiten Tag in Rollout-, Verlust-, Support- und Angriffsszenarien geprüft werden. Ein Tag reicht nur für eine Bedienvorführung.

Zielgruppe

• IAM-, Security- und Workplace-Teams
• Anwendungs- und Lösungsarchitekten
• Passwortmanager-Administratoren und Servicedesk
• Projektleitungen für passwortlose Authentisierung

Voraussetzungen

• Grundverständnis von Authentisierung und MFA
• Kenntnis von Benutzer-, Geräte- und Recovery-Prozessen
• Für Übungen sind Passkey-fähige Browser, Geräte oder Hardware-Schlüssel erforderlich

Lernziele

• Passkeys, Passwörter, OTP und Hardware-Authentikatoren korrekt abgrenzen
• WebAuthn-Level-3-Funktionen und Clientunterstützung realistisch bewerten
• Synchronisierte und gerätegebundene Passkeys risikobasiert auswählen
• Enrollment, Recovery, Fallback und Credential-Lebenszyklus sicher gestalten
• Einen gestuften Enterprise-Pilot mit Abnahmekriterien planen

Seminarinhalte

WebAuthn Level 3 und Client-Fähigkeiten

• Public-Key-Credentials, Relying Party, Origin, Authenticator und Benutzerverifikation
• Client-Fähigkeiten abfragen sowie Hinweise und hybride geräteübergreifende Anmeldung einordnen
• Verwandte Origins nur kontrolliert für zusammengehörige Dienste einsetzen

Authenticator- und Gerätemodelle

• Synchronisierte Passkeys, Plattform-Authentikatoren und Hardware-Schlüssel vergleichen
• Exportierbarkeit, Geräteschutz, Synchronisationskonto und Unternehmensverwaltung bewerten
• Für hohen Schutzbedarf nicht exportierbare, gerätegebundene Authentikatoren und mehrere unabhängige Bindungen planen

Lebenszyklus und Recovery

• Sicheres Enrollment und Bindung zusätzlicher Authentikatoren
• Credential-Lifecycle-Signale für unbekannte, geänderte oder entfernte Zugangsdaten verarbeiten
• Gerätewechsel, Verlust, Widerruf, Recovery, Helpdesk und unabhängige Benachrichtigung absichern

Rollout und Fallback

• Passkey-fähige Anwendungen und tatsächliche Clientunterstützung inventarisieren
• Passwort-, OTP- und Recovery-Fallbacks befristen und überwachen
• Pilotgruppen, Migration, Support, Kennzahlen und Rücknahme planen

Praktische Übungen

• Registrierung und Anmeldung mit mehreren Authentikatortypen
• Test synchronisierter und gerätegebundener Passkeys sowie hybrider Anmeldung
• Prüfung von Client-Fähigkeiten und Credential-Lifecycle-Signalen
• Simulation von Geräteverlust, sicherer Neubindung und Angriff auf einen schwachen Fallback
• Erstellung eines Enterprise-Pilotplans

Methodik

Technische Demonstrationen werden mit Lebenszyklus- und Supportübungen verbunden. Jeder bequeme Wiederherstellungsweg wird als potenzieller Angriffsweg behandelt und mit klaren Nachweisen abgesichert.