Passwort tot, Passkey im Mittelstand 2025: Ihr 90-Tage-Migrationsplan
62 % aller Sicherheitsvorfälle 2025 begannen mit kompromittierten Zugangsdaten. Wer auch 2026 noch Passwörter als Hauptschutz nutzt, hat den Schuss nicht gehört. Wir zeigen den Ausweg.
Die Zahl, die alles erklärt
Verizon Data Breach Report 2025: 62 % aller dokumentierten Sicherheitsvorfälle bei kleinen und mittleren Unternehmen begannen mit gestohlenen Zugangsdaten – Phishing, Credential Stuffing aus alten Leaks, Info-Stealer-Malware auf Privatgeräten.
Die unbequeme Folge: Solange Sie sich auf Passwörter verlassen, sind Sie nicht der Verteidiger – Sie sind das Ziel.
Was sich 2025 fundamental geändert hat
1. SMS-MFA ist offiziell tot Das BSI und NIST haben 2025 ihre Empfehlungen aktualisiert: SMS-basierte MFA ist nicht mehr ausreichend für Konten mit relevanten Berechtigungen. SIM-Swapping, SS7-Angriffe und Echtzeit-MFA-Phishing über Adversary-in-the-Middle Frameworks (Evilginx2, Tycoon 2FA) haben SMS und auch Authenticator-Push zur Schwachstelle gemacht.
2. Passkeys sind erwachsen Microsoft, Google, Apple und neuerdings auch alle relevanten B2B-SaaS-Anbieter (Salesforce, GitHub, Atlassian, Slack) unterstützen WebAuthn / FIDO2 Passkeys. Die Krypto-Schlüssel verlassen das Gerät nie. Phishing-resistent by design.
3. Conditional Access wird Standard Microsoft Entra (Azure AD), Okta, Google Workspace bieten 2025 reife Conditional-Access-Policies: Zugriff nur von vertrauten Geräten, aus bekannten Geo-Zonen, in zulässigen Zeitfenstern. Wer es nicht aktiviert, lässt offene Türen stehen.
Der 90-Tage-Plan für den Mittelstand
Tage 1–30: Inventar & Quick Wins
- Vollständige Liste aller Konten mit administrativen Rechten (lokal + Cloud + SaaS)
- Sofortige Aktivierung Phishing-resistenter MFA (FIDO2 Hardware-Keys – YubiKey, Token2) für alle Admin-Konten
- Deaktivierung von SMS-MFA als alleinigem Faktor
- Conditional Access für Admin-Logins: nur Firmen-Geräte, nur DE-Geo
Tage 31–60: Passkey-Pilot
- Pilotgruppe von 10–20 Power-Usern stellt auf Passkeys um
- Bring Your Own Authenticator (Smartphone) für Standard-Nutzer
- Hardware-Keys für Geschäftsführung, Admins, Finanzbuchhaltung
- Awareness-Update: Was sind Passkeys? Warum?
Tage 61–90: Roll-out & Härtung
- Migration der gesamten Belegschaft
- Legacy-Authentifizierung (POP3, IMAP basic auth, Legacy SMTP) abgeschaltet
- Notfall-Recovery-Prozess dokumentiert (verlorener Hardware-Key)
- Self-Service-Reset über verifizierten Out-of-Band-Kanal
- Monitoring: Wer hat noch nicht migriert? Eskalation an Vorgesetzte.
Die häufigsten Einwände – und die ehrlichen Antworten
„Unsere Mitarbeiter sind zu wenig technisch." Passkeys sind 2025 einfacher als Passwörter. Ein Klick, Touch-ID oder Windows Hello, fertig. Die ersten Tage gibt es Fragen – nach Woche 2 will keiner zurück.
„Was, wenn jemand sein Handy verliert?" Genau dafür haben wir dokumentierte Recovery-Prozesse und mindestens zwei registrierte Authentifikatoren pro Konto (Hardware-Key + Smartphone).
„Das System XY unterstützt keine Passkeys." Stimmt – für Legacy-Systeme braucht es eine Brücke. Genau das ist Teil unserer Migration: SSO-Frontend mit Passkey, dahinter wandelt das System die Authentifizierung um.
„Wir haben kein Budget." Ein einziger erfolgreicher BEC-Vorfall kostet im deutschen Mittelstand 2025 im Schnitt 156.000 EUR. Hardware-Keys für 25 Mitarbeiter kosten unter 1.500 EUR.
Was wir konkret tun
Wir kombinieren:
- Identity-Audit: Wo stehen Sie heute? Welche Konten sind über-privilegiert?
- Passkey-Roll-out: technische Konfiguration in Microsoft Entra / Google Workspace
- Hardware-Token-Lieferung und vorkonfigurierte Versand-Pakete
- Awareness-Sprints mit interaktiven Schulungen
- Conditional Access Policies abgestimmt auf Ihre Geschäftsprozesse
- Monitoring & Reporting zur Geschäftsführung
Die Frage, die zählt
Wer kann sich morgen früh als Ihr CFO anmelden? Wenn die ehrliche Antwort „jeder mit dem richtigen Passwort" lautet, sollten wir reden.
Klingt das nach Ihrem Risiko?
Wir analysieren in einem kostenfreien 30-Minuten-Gespräch, wie verwundbar Ihre Infrastruktur aktuell ist – konkret, ohne Verkaufs-Folien. Anschließend erhalten Sie eine schriftliche Einschätzung mit drei priorisierten Maßnahmen.
Über 10 Jahre Erfahrung in Managed Security für den deutschen Mittelstand. Made in Germany. Inhabergeführt.
Oder rufen Sie direkt an: +49 (0) 6629 9153890.