Ab Anfang September beginnt Microsoft mit der schrittweisen Einführung von Passkeys als Standardmethode zur Authentifizierung in Microsoft Entra ID. Sukzessive werden Benutzer, für die bislang eine SMS- oder Sprachauthentifizierung aktiviert ist, automatisch für Passkeys freigeschaltet. Bei der nächsten Durchführung der Multi-Faktor-Authentifizierung werden sie entsprechend aufgefordert, einen Passkey zu registrieren. Microsoft verspricht sich dadurch eine Stärkung des Identitätsschutzes, dem insbesondere im KI-Zeitalter eine stets bedeutendere Rolle zukommt. Für Unternehmen bedeutet das flächendeckende Ausrollen schwer nachzuvollziehende Konfigurationsänderungen in ihren Tenants. Gleichzeitig birgt es auch Chancen für Cyberkriminelle, vor denen Andrea Sivieri, Chief Product and Technology Officer von CoreView, warnt:
Microsofts Umstellung auf Passkeys bietet Angreifern eine einmalige Gelegenheit, die sie sich nicht entgehen lassen werden. Mehrere Wochen lang werden Millionen von Nutzern darauf hingewiesen, dass sie mit einer ungewohnten Anmeldeaufforderung rechnen müssen. Das bietet Angreifern einen perfekten Vorwand, sich als Microsoft-Support auszugeben.
Aber es gibt noch einen weiteren Aspekt, auf den sich Unternehmen vorbereiten müssen: Die Umstellung auf Passkeys ist nicht einfach ein Schalter, den man umlegt. Microsoft nimmt im Rahmen der Einführung Konfigurationsänderungen im Tenant vor. Am 1. September ändern sich sowohl die Richtlinie zu Authentifizierungsmethoden als auch das Registrierungsverfahren. Dabei gelten die Standardeinstellungen von Microsoft, nicht die des Unternehmens. Die meisten Unternehmen werden dies vor allem über die Anfragen in ihrem Helpdesk als über Änderungsprotokolle feststellen. Ohne eine Ausgangsbasis, wie der Tenant vor der Einführung aussah, lässt sich kaum erkennen, was sich geändert hat.
Entsprechend sollten Unternehmen jetzt eine Bestandsaufnahme ihrer Authentifizierungskonfiguration vornehmen und ermitteln, wer noch auf SMS und Sprachanrufe angewiesen ist. Dies sind vor allem Dienstkonten, Notfallzugangskonten, Mitarbeitende mit gemeinsam genutzten Geräten sowie Abläufe zur Passwortzurücksetzung. Auf diese Weise sind sie in der Lage nachzuweisen, was sich geändert hat, wer die Änderung vorgenommen hat und ob die Betroffenen zugestimmt haben.
Quelle: CoreViewWeitere Informationen zu CoreView finden Sie hier.