Passkeys statt Passwort-Manager: Was der Vorfall bei mSecure für die Anmeldung im Unternehmen bedeutet

• Nach übereinstimmenden Medienberichten hat mSeven Software, der Hersteller des Passwort-Managers mSecure, am 3. November 2026 Kunden über verdächtige Aktivitäten informiert und empfohlen, alle in mSecure gespeicherten Zugangsdaten, Zwei-Faktor-Zugänge und Passkeys neu abzusichern.
• Das BSI hatte bereits im Dezember 2025 festgestellt, dass bei mSecure ein Zugriff des Herstellers auf die Inhalte während der Nutzung theoretisch möglich ist, und das Konzept als nicht ausreichend bewertet.
• Passkeys ersetzen das Passwort durch ein Schlüsselpaar, dessen privater Schlüssel beim Benutzer bleibt und das nur auf der echten Anmeldeseite funktioniert, deshalb lassen sie sich nicht phishen.
• Gerätegebundene Passkeys im Microsoft Authenticator, auf FIDO2-Sicherheitsschlüsseln oder in Windows Hello for Business verlassen das Gerät nie, synchronisierte Passkeys liegen dagegen verschlüsselt in der Cloud eines Anbieters.
• Aus Sicht der InSys AG^® sollten Unternehmen die Zahl der Passwörter mit Single Sign-on und Passkeys in Microsoft Entra ID senken und für Administratoren nur gerätegebundene Passkeys mit Attestierung zulassen.

Passkeys ersetzen das Passwort durch einen kryptografischen Schlüssel, den Mitarbeitende weder abtippen noch auf einer gefälschten Seite preisgeben können. Wie wichtig das ist, zeigt ein aktueller Vorfall beim Passwort-Manager mSecure. Nach übereinstimmenden Medienberichten vom 3. November 2026 hat der Hersteller mSeven Software aktuelle und ehemalige Kunden per E-Mail über verdächtige Aktivitäten im Zusammenhang mit der App informiert. mSeven habe eine Untersuchung eingeleitet, Gegenmaßnahmen ergriffen und externe Sicherheitsexperten hinzugezogen.

Die Empfehlung an die Kunden ist weitreichend: Sie sollen alle in mSecure gespeicherten vertraulichen Informationen sofort absichern. Dazu könne gehören, Passwörter zu ändern, die Zwei-Faktor-Authentifizierung neu einzurichten oder zurückzusetzen und vorhandene Passkeys zu entfernen. Um welche Aktivitäten es sich handelt und ob Angreifer Inhalte der Tresore lesen konnten, war am 3. November 2026 nicht bekannt.

Das BSI hatte mSecure bereits kritisch bewertet

Im Dezember 2025 hat das BSI zehn Passwort-Manager untersucht und die Ergebnisse im Bericht „IT-Sicherheit auf dem digitalen Verbrauchermarkt: Fokus Passwortmanager“ veröffentlicht. Für mSecure (geprüft wurde Version 6.1.5 für Android) stellte das BSI fest, dass ein Zugriff des Herstellers auf die Inhalte während der Nutzung theoretisch möglich ist. Insgesamt erfülle das Konzept laut BSI nicht die üblichen Erwartungen an Passwort-Manager. Ob zwischen diesen Feststellungen und dem aktuellen Vorfall ein Zusammenhang besteht, ist offen.

Auch über mSecure hinaus fiel das Ergebnis gemischt aus: Bei drei der zehn Produkte konnten die Hersteller laut BSI theoretisch auf die Passwörter zugreifen, und nur drei verschlüsselten den kompletten Inhalt. Das BSI weist ausdrücklich darauf hin, dass sich die Ergebnisse auf die jeweils geprüfte Version beziehen.

Ein Passkey besteht aus zwei Schlüsseln. Der private Schlüssel bleibt auf Ihrem Gerät, der öffentliche liegt bei dem Dienst, bei dem Sie sich anmelden. Bei jeder Anmeldung bestätigen Sie mit PIN, Fingerabdruck oder Gesichtserkennung, und Ihr Gerät beweist mit dem privaten Schlüssel, dass Sie es sind. Laut Microsoft-Dokumentation funktioniert ein Passkey nur für die Website oder App, für die er erstellt wurde. Auf einer nachgebauten Anmeldeseite ist er deshalb wertlos.

Der entscheidende Unterschied zum Passwort: Es gibt kein gemeinsames Geheimnis mehr, das Mitarbeitende eintippen, weitergeben oder an Betrüger verraten können. Laut BSI verbleibt der private Schlüssel beim Benutzer und wird nicht versendet. Das BSI bewertet Passkeys als deutlich sicherer als herkömmliche Anmeldeverfahren und empfiehlt sie ausdrücklich.

Passwort-Manager lösen ein echtes Problem: Sie verhindern schwache und mehrfach genutzte Passwörter. Das BSI hält sie für Verbraucher trotz der festgestellten Mängel weiter für sinnvoll. Für Unternehmen gewichten wir die Frage anders. Ein Tresor, in dem alle Kennwörter eines Unternehmens liegen, ist aus Sicht der InSys AG^® keine Zielarchitektur, sondern eine Übergangslösung.

Die Gründe dafür liefert das BSI selbst: Die Vertrauenswürdigkeit eines Herstellers lässt sich von außen kaum bewerten, und Hersteller, die auf Inhalte zugreifen können, sind ein deutlich attraktiveres Ziel für Angriffe. Wer seine Kennwörter einem Cloud-Tresor anvertraut, kann nicht kontrollieren, was dort mit ihnen geschieht. Der bessere Weg ist deshalb, möglichst viele Passwörter gar nicht erst entstehen zu lassen: mit Single Sign-on über Microsoft Entra ID und mit Passkeys überall dort, wo eine Anmeldung nötig bleibt.

Passkey ist nicht gleich Passkey. Microsoft unterscheidet in seiner Dokumentation zwei Arten:

• Gerätegebundene Passkeys: Der private Schlüssel wird auf einem einzigen physischen Gerät erzeugt und gespeichert und verlässt es nie. Beispiele sind Passkeys in der Microsoft Authenticator App und auf FIDO2-Sicherheitsschlüsseln. Auch bei Windows Hello for Business erzeugt und schützt das TPM des Geräts den privaten Schlüssel, er lässt sich nicht exportieren.
• Synchronisierte Passkeys: Der private Schlüssel wird verschlüsselt in der Cloud eines Passkey-Anbieters gespeichert und auf weitere Geräte desselben Kontos übertragen. Beispiele sind der Apple iCloud-Schlüsselbund und der Google Passwortmanager. Synchronisierte Passkeys unterstützen keine Attestierung, die IT kann also nicht prüfen, auf welchem Gerät oder bei welchem Anbieter der Schlüssel liegt.

Unsere Einschätzung: Ein synchronisierter Passkey ist so sicher wie die Cloud, in der er liegt. Speichern Mitarbeitende ihre Passkeys im Tresor eines Drittanbieters, teilen die Passkeys dessen Risiko. Dass mSeven seinen Kunden rät, dort gespeicherte Passkeys zu entfernen, zeigt genau diesen Punkt. Gerätegebundene Passkeys liegen dagegen in keiner Anbieter-Cloud. Ein Einbruch beim Hersteller eines Passwort-Managers erreicht sie nicht.

Microsoft empfiehlt FIDO2-Sicherheitsschlüssel für stark regulierte Branchen und für Benutzer mit erhöhten Rechten, Passkeys in der Microsoft Authenticator App sind dafür eine weitere Option. Für die meisten übrigen Benutzer hält Microsoft synchronisierte Passkeys für eine bequeme und kostengünstige Alternative zur klassischen MFA. Unabhängig von der Art sind Passkeys laut Microsoft ein großer Sicherheitsgewinn gegenüber Methoden, die sich phishen lassen.

In Microsoft Entra ID legen Sie das über Passkey-Profile fest, die Sie einzelnen Gruppen zuweisen. Darin bestimmen Sie, ob gerätegebundene, synchronisierte oder beide Arten erlaubt sind und ob eine Attestierung erzwungen wird. Ist die Attestierung aktiv, sind nur gerätegebundene Passkeys zulässig. Für die Praxis empfehlen wir:

• Administratoren und Geschäftsführung: gerätegebundene Passkeys mit erzwungener Attestierung, bevorzugt auf FIDO2-Sicherheitsschlüsseln.
• Mitarbeitende mit Windows-Geräten: Windows Hello for Business für die Anmeldung am Gerät und an Microsoft 365.
• Mobile Mitarbeitende: Passkeys in der Microsoft Authenticator App.
• Synchronisierte Passkeys: nur nach bewusster Entscheidung und nur für Gruppen mit geringerem Schutzbedarf.

1. Bestandsaufnahme machen: Wo melden sich Mitarbeitende noch mit Passwörtern an, und wo liegen diese Passwörter (Browser, Tabellen, Passwort-Manager)?
2. Anwendungen an Entra ID anbinden: Jede Anwendung mit Single Sign-on ist ein Passwort weniger, das irgendwo gespeichert werden muss.
3. Passkey-Profile einrichten: gerätegebunden mit Attestierung für privilegierte Konten, Windows Hello for Business und Authenticator für alle anderen.
4. SMS-Codes ablösen: Microsoft stellt die SMS- und Anruf-Authentifizierung in Entra ID ab dem 1. Februar 2027 ein. Was das bedeutet, lesen Sie in unserer News zum Microsoft Passkey statt SMS.
5. Verbleibende Passwörter richtig schützen: Wo Passwörter unvermeidbar bleiben, nur Lösungen einsetzen, bei denen der Hersteller laut BSI-Kriterien keinen Zugriff auf die Inhalte hat, die alle Daten verschlüsseln und ihr Sicherheitskonzept sowie Audits öffentlich dokumentieren.
6. mSecure im Einsatz? Setzen Sie die Empfehlungen des Herstellers um: Passwörter direkt bei den jeweiligen Diensten ändern, Zwei-Faktor-Zugänge neu einrichten und gespeicherte Passkeys entfernen und neu anlegen. Rechnen Sie außerdem mit Phishing-Mails, die den Vorfall als Aufhänger nutzen.

Als Microsoft Solutions Partner für Security stellt die InSys AG^® Unternehmen auf eine Anmeldung ohne Passwort um: von der Bestandsaufnahme über Single Sign-on in Entra ID und die Passkey-Profile bis zur Einführung von Windows Hello for Business und Sicherheitsschlüsseln für Administratoren. Wie wir dabei vorgehen, lesen Sie auf unserer Seite zu phishing-resistenter MFA mit Passkeys. Wenn Sie zuerst wissen möchten, wo Ihr Tenant noch an Passwörtern und SMS hängt, ist der Microsoft Tenant Sicherheitscheck der schnellste Einstieg. Einen Überblick über alle Leistungen finden Sie unter Microsoft 365 Security und Lizenzen. Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular.