Kennwortlose Authentifizierung mit Microsoft Intune

Die kennwortlose Authentifizierung reduziert Phishing und den Diebstahl von Anmeldeinformationen, indem Kennwörter durch sicherere Anmeldemethoden wie Windows Hello, FIDO2-Sicherheitsschlüssel, Passkeys, Zertifikate, Microsoft Authenticator-Anmeldung per Telefon und temporären Zugriffspass ersetzt werden.

Microsoft Intune stellt keine kennwortlosen Anmeldeinformationen aus. Stattdessen bereitet es Geräte, Apps und Benutzeroberflächen vor, damit diese kennwortlosen Methoden zuverlässig im großen Stil funktionieren. Microsoft Entra ID ist die Identitätsautorität, die Anmeldeinformationen überprüft und Authentifizierungs- und Richtlinien für bedingten Zugriff erzwingt, während Microsoft Intune Geräteeinstellungen konfiguriert, Compliance erzwingt und die Plattformfunktionen aktiviert, von denen diese Methoden abhängen. Zusammen bieten Microsoft Entra ID und Microsoft Intune die Identitätsgrundlage und Gerätebereitschaft, die für die Einführung der kennwortlosen Authentifizierung über verschiedene Plattformen und Formfaktoren hinweg erforderlich sind.

Die kennwortlose Benutzeroberfläche variiert je nach Plattform. Unter Windows umfasst es in der Regel sowohl die Geräteanmeldung als auch den App-Zugriff über SSO. Unter macOS geht es um die Plattformauthentifizierung und SSO in Apps und nicht um eine tiefe gerätegebundene Identität. Unter iOS/iPadOS und Android liegt der Schwerpunkt häufiger auf der App-Anmeldung, der vermittelten Authentifizierung und dem Verhalten von Passkeys als auf der Geräteanmeldung. Berücksichtigen Sie diese Unterscheidungen, wenn Sie die Plattformanforderungen bewerten und die Bereitstellung planen.

In diesem Artikel wird erläutert, wie Microsoft Intune eine kennwortlose Strategie aus Administratorsicht unterstützt. Weitere Informationen zur Bereitstellung finden Sie in den Implementierungslinks für jede kennwortlose Methode.

Funktionsweise der kennwortlosen Lösung von Microsoft

Die kennwortlose Lösung von Microsoft kombiniert Microsoft Entra ID für Identität und einmaliges Anmelden (Single Sign-On, SSO) mit Microsoft Intune für die Gerätekonfiguration und Richtlinienerzwingung. Diese Kombination ermöglicht es Benutzern, sich mit starken Anmeldeinformationen wie biometrischen Daten, FIDO2-Sicherheitsschlüsseln oder Passkeys zu authentifizieren, ohne Kennwörter eingeben zu müssen.

Microsoft Entra ID ist der wichtigste Identitätsanbieter. Es überprüft kennwortlose Anmeldeinformationen wie Windows Hello PINs, FIDO2-Schlüssel und Passkeys. Nach erfolgreicher Authentifizierung stellt Microsoft Entra ID ein primäres Aktualisierungstoken (PRT) oder ein gleichwertiges Token aus, wodurch nahtloses SSO für Microsoft 365, Azure und andere geschützte Ressourcen ermöglicht wird. Richtlinien für bedingten Zugriff werten den Gerätestatus, die Authentifizierungsstärke und Risikosignale aus, bevor sie den Zugriff gewähren.

Microsoft Intune bereitet Geräte auf die kennwortlose Anmeldung vor, indem Einstellungen konfiguriert, Compliance erzwungen, erforderliche Apps bereitgestellt und die Plattformfunktionen unterstützt werden, die kennwortlose Verarbeitung im großen Stil praktisch machen. Mit Microsoft Intune erhalten Administratoren eine Verwaltungsebene für Windows, macOS, iOS/iPadOS und Android.

Plattformfunktionen unter Windows, macOS, iOS und Android bieten die gerätegebundene Erfahrung, einschließlich Biometrie, sicherer Hardware (TPM unter Windows, Secure Enclave unter macOS), Unterstützung von Passkeys und vermitteltem einmaligem Anmelden.

Diese Trennung ist wichtig. Microsoft Entra ID ist die Identitätsautorität. Microsoft Intune ist die Verwaltungsebene, die Benutzern hilft, diese Methoden erfolgreich zu übernehmen und zu verwenden.

Kennwortlos, MFA und Phishing-Schutz

Durch die kennwortlose Authentifizierung werden Sicherheitsfaktoren nicht beseitigt. Die meisten kennwortlosen Methoden erfüllen tatsächlich die Anforderungen für die mehrstufige Authentifizierung (MFA). Beispielsweise verwendet Windows Hello gerätegebundene Anmeldeinformationen (Besitz) in Verbindung mit einer biometrischen Geste (Inhärenz) oder einer PIN (Wissen) und erfüllt damit entwurfsbedingt MFA. Daher klassifizieren Richtlinien zur Authentifizierungsstärke für bedingten Zugriff viele kennwortlose Methoden als MFA-konform oder sogar als phishingresistente MFA.

Nicht alle kennwortlosen Optionen bieten das gleiche Schutzniveau. Wenn Sie den Unterschied zwischen phishingresistenten und nicht phishingresistenten Methoden verstehen, können Sie die richtigen Authentifizierungsstärken auswählen und eine sichere Identitätsstrategie entwerfen.

  • Phishing-resistente Methoden verwenden hardwaregebundene, asymmetrische kryptografische Schlüssel, die nicht abgefangen oder wiedergegeben werden können, selbst wenn ein Benutzer mit einer böswilligen oder gefälschten Eingabeaufforderung interagiert.
  • Nicht Phishing-resistente Methoden verwenden kennwortlose Flows, können aber dennoch durch Social Engineering, Prompt-Manipulation oder MFA-Fatigue kompromittiert werden.

Jede weiter unten in diesem Artikel beschriebene Methode umfasst ihren Grad der Phishing-Resistenz.

Mehr erfahren

Vorteile der kennwortlosen Authentifizierung mit Microsoft Intune

Wenn Sie Microsoft Intune, Microsoft Entra ID und Plattformfunktionen zusammen verwenden, profitiert Ihre Organization von Folgendem:

  • Nahtloses einmaliges Anmelden: Benutzer melden sich einmal am Gerät an und erhalten automatischen Zugriff auf Apps, Clouddienste und – in einigen Fällen – lokale Ressourcen. Anrufe zur Kennwortzurücksetzung und wiederholte Authentifizierungsaufforderungen werden eliminiert.
  • Benutzerfreundlichkeit auf allen Geräten: Benutzer erhalten eine native, konsistente Erfahrung auf allen Geräten. Windows Hello verwendet die Betriebssystemanmeldung, macOS integriert Touch ID mit Microsoft Entra ID, und mobile Plattformen verwenden Microsoft Authenticator und Plattform-Passkeys. Benutzer müssen nicht mit separaten Kennwörtern pro Gerät jonglieren.
  • Stärkerer Sicherheitsstatus: Phishing-resistente Methoden verhindern den Diebstahl von Anmeldeinformationen und Replay-Angriffe. Das Gerätekompatibilitätsgating stellt sicher, dass auch gültige Anmeldeinformationen nur auf fehlerfreien, verwalteten Geräten funktionieren – im Einklang mit den Zero Trust-Prinzipien.
  • Reduzierte IT-Supportlast: Weniger Kennwortzurücksetzungen, reibungsloseres Onboarding mit temporärem Zugriffspass und Self-Service-Wiederherstellungsoptionen reduzieren das Helpdeskvolumen.
  • Zukunftsfähige Architektur: Mit der Weiterentwicklung der Standards können neue kennwortlose Methoden – einschließlich synchronisierter Passkeys und hardwaregesicherter Anmeldeinformationen – in dieselbe Microsoft Entra ID + Microsoft Intune-Architektur integriert werden, ohne dass eine umfassende Neugestaltung erforderlich ist.

So fördert Microsoft Intune die kennwortlose Einführung

Microsoft Intune ermöglicht und operationalisiert die kennwortlose Authentifizierung, indem sichergestellt wird, dass Geräte und Anwendungen ordnungsgemäß für die Verwendung starker, moderner Anmeldeinformationen konfiguriert sind. Während Microsoft Entra ID die Identitäts- und Authentifizierungsrichtlinien regelt, bereitet Microsoft Intune die Geräteumgebung vor, von der kennwortlose Methoden abhängen.

Wichtige Beiträge sind:

  • Gerätebereitschaft: Registrieren, Registrieren und Konfigurieren von Geräten, damit sie an kennwortlosen Anmeldevorgängen teilnehmen können.
  • Konfigurationsbereitstellung: Bereitstellung der erforderlichen Richtlinien für Windows Hello for Business, zertifikatbasierte Authentifizierung, Apple Platform SSO und ähnliche Plattformfunktionen.
  • Konformitäts- und Zugriffssignale: Bereitstellen von Geräteintegritäts- und Konformitätsdaten, die vom bedingten Zugriff ausgewertet werden, bevor der Zugriff gewährt wird.
  • App- und Brokerbereitstellung: Bereitstellen von Kernanwendungen wie Microsoft Authenticator und Microsoft Intune Unternehmensportal, die Identitätsvermittlung und kennwortlose SSO-Szenarien ermöglichen.
  • Einheitliche plattformübergreifende Verwaltung: Bietet ein konsistentes Richtlinien- und Verwaltungsframework für Windows, macOS, iOS/iPadOS und Android, um die Bereitstellung im Unternehmen zu optimieren.

Die kennwortlosen Methoden, die Benutzern zur Verfügung stehen, hängen sowohl von der Geräteplattform als auch von den in Microsoft Entra ID aktivierten Authentifizierungsoptionen ab. Microsoft Intune stellt sicher, dass jedes Gerät vorbereitet, konfiguriert und in der Lage ist, eine sichere und zuverlässige kennwortlose Erfahrung bereitzustellen.

Windows Hello

Phishing-resistent

Windows Hello ersetzt Kennwörter durch einen gerätegebundenen asymmetrischen Schlüssel, der generiert und an das TPM gesiegelt wird. Der Zugriff auf den Schlüssel wird durch eine PIN oder eine biometrische Geste (Fingerabdruck oder Gesichtserkennung) gesteuert, wobei Besitz und Inhärenz in einem einzigen Anmeldeschritt kombiniert werden. Diese Methode ist hardwaregesichert und Phishing-resistent für Windows-Geräte.

Rolle von Intune
Microsoft Intune bereitet Windows-Geräte auf Windows Hello vor, indem Windows Hello for Business-Richtlinieneinstellungen bereitgestellt und durchgesetzt werden.

Diese Methode ist besonders relevant, wenn Sie Folgendes benötigen:

  • Bereiten Sie Cloud-First-Windows-Geräte auf die kennwortlose Anmeldung vor.
  • Stellen Sie Windows Hello for Business Richtlinieneinstellungen während der Registrierung und laufenden Verwaltung bereit.
  • Richten Sie die Windows-Anmeldung an der Gerätecompliance und der modernen Verwaltung aus.

Mehr erfahren

FIDO2-Sicherheitsschlüssel

Phishing-resistent

FIDO2-Sicherheitsschlüssel sind physische Geräte (USB, NFC oder Bluetooth), die FIDO-Anmeldeinformationen speichern und eine Phishing-resistente Authentifizierung bieten, ohne von der Geräteplattform abhängig zu sein. Da die Anmeldeinformationen an den Hardwareschlüssel gebunden und durch eine kryptografische Abfrage verifiziert werden, können sie nicht abgefangen oder wiedergegeben werden. FIDO2-Schlüssel eignen sich ideal für gemeinsam genutzte Geräte, Umgebungen mit hoher Sicherheit oder als Wiederherstellungspfad zusammen mit plattformbasierten Anmeldeinformationen.

Rolle von Intune
Microsoft Intune kann Geräte für diese Methode vorbereiten, indem es unterstützte Plattformen und zugehörige Anmeldemöglichkeiten verwaltet.

Diese Methode eignet sich oft, wenn Organisationen Folgendes benötigen:

  • Eine portable kennwortlose Option für gemeinsam genutzte oder spezielle Geräte.
  • Eine starke, gegen Phishing resistente Option, die nicht an eine einzelne Plattform oder Microsoft Authenticator gebunden ist.
  • Eine Wiederherstellung oder ein alternativer Pfad neben plattformbasierten Anmeldeinformationen.

Hinweise zur Implementierung finden Sie unter:

Hauptschlüssel

Phishing-resistent

Passkeys sind das standardbasierte Dach für FIDO-Anmeldeinformationen, die entweder gerätegebunden oder geräteübergreifend synchronisiert werden können. In Microsoft Entra ID können Sie Folgendes verwenden:

  • Gerätegebundene Passkeys, die in sicherer Hardware (TPM oder Secure Enclave) auf einem einzelnen Gerät gespeichert sind, z. B. über Windows Hello oder Microsoft Authenticator unter iOS 17+ und Android 14+.
  • Synchronisierte Passkeys , die von Plattform-Passwort-Managern (z. B. iCloud Keychain oder Google Passwort-Manager) oder unterstützten Drittanbietern verwaltet werden, die eine geräteübergreifende Nutzung ermöglichen.
  • Der Microsoft Entra-Passkey unter Windows ist ein FIDO2-Passkey, der Windows Hello für die biometrische Überprüfung verwendet, aber keine Gerätebeitritt oder Registrierung erfordert. Benutzer können mehrere Passkeys für mehrere Microsoft Entra Konten auf demselben Gerät registrieren. Dadurch eignet es sich gut für gemeinsam genutzte Geräte, nicht verwaltete Endpunkte und Szenarien, in denen Windows Hello for Business nicht bereitgestellt wird.

Rolle von Intune
Aus Sicht von Microsoft Intune geht es bei Passkeys hauptsächlich um die Plattform- und App-Bereitschaft – die Verwaltung der Geräte- und App-Voraussetzungen, die die Einführung von Passkeys auf allen Plattformen ermöglichen.

Diese Abhängigkeit ist besonders wichtig auf:

  • Windows, bei dem sich die Plattformanmeldung und Windows Hello mit einer umfassenderen kennwortlosen Planung überschneiden können. Microsoft Entra Passkey unter Windows erweitert die Passkeyabdeckung auf Geräte, die nicht registriert oder beigetreten sind, und ergänzt Windows Hello for Business auf verwalteten Geräten.
  • iOS/iPadOS und Android, wobei Passkeys vom Zustand des Mobilgeräts und dem Verhalten des App-Brokers abhängen können.
  • macOS, wo die Integration von Plattformidentitäten und die Benutzeranmeldung die Akzeptanz prägen.

Hinweise zur Implementierung finden Sie unter:

Anmeldung per Telefon mit Microsoft Authenticator

Nicht Phishing-resistent

Die Microsoft Authenticator-Anmeldung per Telefon ersetzt Kennwörter durch pushbasierte Genehmigung und Nummernabgleich auf dem vertrauenswürdigen Mobilgerät des Benutzers. Sie ist praktisch und wird umfassend unterstützt, basiert jedoch auf Pushbenachrichtigungen statt hardwaregebundener Anmeldeinformationen, was bedeutet, dass sie Phishing-Angriffe wie die Manipulation von MFA-Eingabeaufforderungen nicht vollständig verhindert.

Hinweis

Microsoft Authenticator kann auch gerätegebundene Passkeys (iOS 17+, Android 14+) speichern, die phishing-resistent sind . In diesem Abschnitt wird speziell der Push-basierte Anmeldevorgang per Telefon behandelt.

Rolle von Intune
Microsoft Intune unterstützt diesen Ablauf, indem die mobile App und die Gerätevoraussetzungen bereitgestellt und verwaltet werden.

In vielen Umgebungen umfasst diese Unterstützung:

  • Bereitstellen von Microsoft Authenticator auf verwalteten Mobilgeräten.
  • Unterstützung der vermittelten Anmeldeerfahrung in Microsoft-Apps.
  • Berücksichtigung von Überlegungen zu App-Schutzrichtlinien auf mobilen Plattformen, wenn diese Teil des umfassenderen Designs für den mobilen Zugriff sind.

Hinweise zur Implementierung finden Sie unter:

Befristeter Zugriffspass

Keine dauerhafte Methode – wird für Onboarding und Wiederherstellung verwendet

Bei der temporären Zugriffsübergabe (Temporary Access Pass, TAP) handelt es sich um eine zeitlich begrenzte Anmeldeinformation, die ein Administrator ausstellt, damit Benutzer den Zugriff starten oder wiederherstellen können, bevor sie ihre langfristige kennwortlose Einrichtung abschließen. TAP ist keine dauerhafte kennwortlose Methode und nicht phishing-resistent, aber sie ist oft ein wichtiger Bestandteil einer erfolgreichen Einführung, da sie das Problem der ersten Anmeldung ohne Kennwortausgabe löst.

Rolle von Intune
Aus Sicht von Microsoft Intune ist der temporäre Zugriffspass wichtig, wenn Sie Folgendes ausführen möchten:

  • Vereinfachen Sie das Onboarding auf kennwortlose Methoden.
  • Verringern Sie die Abhängigkeit von temporären Kennwörtern während der Bereitstellung.
  • Verbinden Sie Onboardingszenarien mit dem verwalteten Windows-Gerätesetup.

Day-Zero-Onboarding mit TAP

Eine häufige Herausforderung bei kennwortlosen Bereitstellungen ist das Henne-Ei-Problem : Ein neuer Benutzer muss sich anmelden, um seine kennwortlosen Anmeldeinformationen zu registrieren, Sie möchten jedoch kein Kennwort für diese erste Anmeldung ausgeben. TAP löst dieses Problem, indem kurzlebige Anmeldeinformationen für die Ersteinrichtung des Geräts und die Registrierung von Anmeldeinformationen bereitgestellt werden.

Ein typischer Onboarding-Ablauf sieht wie folgt aus:

  1. Admin gibt einen TAP aus – Der IT-Administrator oder der automatisierte Workflow generiert einen zeitlich begrenzten TAP für den neuen Benutzer im Microsoft Entra Admin Center oder über die Microsoft Graph-API.
  2. Der Benutzer richtet sein Gerät ein – Der Benutzer betätigt den TAP während der Windows Autopilot OOBE, des macOS-Setup-Assistenten oder der Registrierung mobiler Geräte. Unter Windows 11 ermöglicht die Webanmeldung den TAP-Zugang direkt auf dem Sperrbildschirm.
  3. Benutzer registriert eine kennwortlose Methode: Nach der Anmeldung mit dem TAP wird der Benutzer aufgefordert, Windows Hello, einen FIDO2-Sicherheitsschlüssel, einen Passkey in Microsoft Authenticator oder eine andere kennwortlose Methode zu registrieren. Dies sind die permanenten Anmeldeinformationen, die den TAP ersetzen.
  4. TAP läuft ab : Der TAP ist einmalig oder zeitlich begrenzt (konfigurierbar) und kann daher nicht wiederverwendet werden, nachdem der Benutzer seine kennwortlose Methode registriert hat.

Dieser Ablauf macht das Ausgeben und Widerrufen eines temporären Kennworts überflüssig und bietet Microsoft Intune einen verwalteten Onboardingpfad von der ersten Anmeldung an.

Hinweise zur Implementierung finden Sie unter:

Zertifikatbasierte Authentifizierung (CBA)

Phishing-resistent

Die zertifikatbasierte Authentifizierung (CBA) verwendet digitale Zertifikate und asymmetrische Kryptografie zur Überprüfung der Identität, macht sie phishingresistent und verhindert die Wiedergabe von Anmeldeinformationen. Es ist in regulierten Branchen und Regierungsumgebungen weit verbreitet, häufig durch Smartcards wie PIV und CAC. Im Gegensatz zu anderen kennwortlosen Methoden, bei denen Microsoft Intune in erster Linie die Geräteumgebung vorbereitet, ist CBA ein Bereich, in dem Microsoft Intune eine direkte Rolle beim Verteilen der Anmeldeinformationen selbst spielt.

Rolle von Intune
Microsoft Intune unterstützt zwei Infrastrukturmodelle für die Zertifikatübermittlung:

  • Lokale PKI: Organisationen mit einer vorhandenen Zertifizierungsstelle (Certification Authority, CA) können den Certificate Connector für Microsoft Intune verwenden, um ihre lokale PKI mit Microsoft Intune zu verbinden. Der Connector ermöglicht Microsoft Intune die Bereitstellung von SCEP- und PKCS-Zertifikatprofilen auf verwalteten Geräten unter Verwendung Ihrer vorhandenen CA-Infrastruktur. Dieses Modell eignet sich für Unternehmen, die bereits eine Unternehmenszertifizierungsstelle betreiben oder sich in etablierte PKI-Investitionen integrieren müssen.
  • Microsoft Cloud PKI: Für Unternehmen, die die lokale Zertifikatinfrastruktur vereinfachen oder eliminieren möchten, bietet Microsoft Cloud PKI eine cloudbasierte Zertifizierungsstelle als Teil der Microsoft Intune Suite. Cloud-PKI gibt Zertifikate aus und verwaltet sie, ohne dass lokale Server, Connectors oder Hardwaresicherheitsmodule erforderlich sind.

Unabhängig vom Infrastrukturmodell stellt Microsoft Intune Zertifikate für Geräte mithilfe von Zertifikatprofilen bereit:

  • Profile mit vertrauenswürdigen Stammzertifikaten verteilen das Stammzertifikat Ihrer Zertifizierungsstelle, damit Geräte die Vertrauenskette herstellen können.
  • SCEP-Zertifikatprofile fordern Zertifikate von einer SCEP-fähigen Zertifizierungsstelle an und stellen diese bereit.
  • PKCS-Zertifikatprofile fordern Zertifikate mithilfe des PKCS #12-Standards an und stellen diese bereit.
  • Importierte PFX-Zertifikatprofile stellen vorgenerierte Zertifikate bereit, die in Microsoft Intune importiert werden.

Diese Profile funktionieren unter Windows, macOS, iOS/iPadOS und Android, wodurch Microsoft Intune zum Bereitstellungsmechanismus wird, der Ihre PKI-Infrastruktur – lokal oder cloudbasiert – mit der in Microsoft Entra ID definierten Identitätsmethode verbindet.

Hinweise zur Implementierung finden Sie unter:

Voraussetzungen

Bevor Sie eine kennwortlose Bereitstellung planen, überprüfen Sie, ob Ihre Umgebung die Lizenzierungs- und Plattformanforderungen für die Methoden erfüllt, die Sie verwenden möchten. Einige kennwortlose Features erfordern bestimmte Microsoft Entra ID- oder Microsoft Intune-Lizenzstufen, und für jede Methode gelten Mindestanforderungen an die Betriebssystemversion.

Lizenzierungsanforderungen

Je nachdem, welche kennwortlosen Methoden Sie auswählen, benötigt Ihre organization möglicherweise Microsoft Entra ID P1- oder Microsoft Entra ID P2-Lizenzen für Benutzer sowie spezielle Microsoft Intune-Lizenzen für die Geräteverwaltung und Zertifikatsübermittlung. In der folgenden Tabelle sind die Lizenzierungsanforderungen für allgemeine kennwortlose Funktionen zusammengefasst:

Funktion Lizenzanforderung
Windows Hello Microsoft Entra ID P1 (zur Erzwingung des bedingten Zugriffs)
FIDO2-Sicherheitsschlüssel Microsoft Entra ID P1
Passkeys (gerätegebunden und synchronisiert) Microsoft Entra ID P1
Anmeldung per Telefon mit Microsoft Authenticator Microsoft Entra ID P1
Befristeter Zugriffspass Microsoft Entra ID P1
Zertifikatbasierte Authentifizierung (CBA) Microsoft Entra ID P1 (P2 für risikobasierten bedingten Zugriff)
Richtlinien zur Authentifizierungsstärke Microsoft Entra ID P1
Risikobasierter bedingter Zugriff Microsoft Entra ID P2
Microsoft Cloud-PKI Microsoft Intune Suite oder eigenständige Cloud-PKI-Lizenz
Gerätekompatibilitäts- und Konfigurationsprofile Microsoft Intune Plan 1

Mehr erfahren

Plattformanforderungen

Die in diesem Artikel beschriebenen kennwortlosen Methoden basieren auf bestimmten Plattformfunktionen, die nur in bestimmten Betriebssystemversionen verfügbar sind. In der folgenden Tabelle sind die Plattformanforderungen für jede Methode zusammengefasst:

Methode Windows macOS iOS/iPadOS Android
Windows Hello Alle unterstützten Windows-Clients — — —
FIDO2-Sicherheitsschlüssel Alle unterstützten Windows-Clients — — —
Hauptschlüssel Windows 11 Alle unterstützten Versionen Alle unterstützten Versionen Android 14+
Gerätegebundene Hauptschlüssel in Microsoft Authenticator — — Alle unterstützten Versionen Android 14+
Plattform-SSO (Sichere Enklave) — Alle unterstützten Versionen — —
Webanmeldung (TIPPEN auf dem Sperrbildschirm) Windows 11 — — —
Anmeldung per Telefon mit Microsoft Authenticator — — Alle unterstützten Versionen Android 11+

Hinweis

Unterstützt bezieht sich auf Betriebssystemversionen, die derzeit von Microsoft Intune für die vollständige Funktionalität, Richtlinienbereitstellung und Verwaltung unterstützt werden.
Die Anforderungen an die Plattformversion können sich mit jedem Releasezyklus ändern. Überprüfen Sie die aktuellen Anforderungen in der Produktdokumentation für die spezifische Methode, die Sie bereitstellen.

Mehr erfahren

Überlegungen zur Plattform

Kennwortlos ist nicht nur ein Feature. Es handelt sich um eine Reihe plattformspezifischer Erfahrungen, die auf Microsoft Entra ID für die Identität und Microsoft Intune für die Geräteverwaltung basieren.

Windows

Windows ist das umfassendste Beispiel dafür, wie Geräteregistrierung, Cloudanmeldung, Sicherheitsstatus und kennwortlose Benutzererfahrung zusammenwirken.

Microsoft Intune unterstützt in der Regel kennwortlose Windows-Szenarien wie folgt:

  • Vorbereiten von in die Cloud zuerst eingebundenen Geräten mit Microsoft Entra.
  • Bereitstellen der Konfiguration für Windows Hello for Business.
  • Unterstützen von FIDO2-Sicherheitsschlüsseln.
  • Ausrichtung der Gerätebereitschaft auf Compliance und moderne Verwaltung.
  • Unterstützen von Onboardingerfahrungen, die eine Verbindung mit Windows Autopilot herstellen können.

Wenn sich ein Benutzer mit Windows Hello oder einem FIDO2-Schlüssel anmeldet, erhält Windows ein primäres Aktualisierungstoken von Microsoft Entra ID. Dieses PRT ermöglicht nahtloses SSO für Microsoft 365-Apps, SaaS-Anwendungen und – wenn die Kerberos-Vertrauensstellung in der Cloud konfiguriert ist – lokale Ressourcen wie Dateifreigaben, alles ohne zusätzliche Anmeldeaufforderungen.

Mehr erfahren

Überlegungen zu Hybriden und Legacyvorgängen

Die in diesem Artikel beschriebenen kennwortlosen Erfahrungen gehen mit Geräten, die mit Microsoft Entra verbunden sind, in eine Cloud-First-Richtung ein. Organisationen mit hybriden Microsoft Entra-verbundenen Geräten sollten sich der folgenden Unterschiede bewusst sein:

  • Webanmeldung (wird für TAP auf dem Windows-Sperrbildschirm verwendet) wird nur auf Geräten unterstützt, die mit Microsoft Entra verbunden sind, nicht auf hybriden Microsoft Entra-verbundenen Geräten.
  • Windows Hello for Business funktioniert sowohl auf Microsoft Entra eingebundenen als auch auf hybriden Microsoft Entra verbundenen Geräten, aber Hybridbereitstellungen erfordern je nach Vertrauensmodell möglicherweise zusätzliche Infrastruktur.
  • Für den lokalen Ressourcenzugriff von in Microsoft Entras eingebundenen Geräten ist eine Kerberos-Vertrauensstellung in der Cloud oder eine zertifikatbasierte Vertrauensstellung erforderlich. Die Kerberos-Cloudvertrauensstellung ist das empfohlene Modell, da dafür keine Zertifikate für die Kerberos-Authentifizierung bereitgestellt werden müssen. Weitere Informationen finden Sie unter [cloud Kerberos trust deployment](/windows/security/identity-protection/> hello-for-business/deploy/hybrid-cloud-kerberos-trust).
  • Legacyanwendungen , die eine Active Directory-Kerberos-Authentifizierung erfordern, können weiterhin mit kennwortlosen Methoden arbeiten, aber Anwendungen, die NTLM oder eine direkte LDAP-Bindung erfordern, erfordern möglicherweise eine zusätzliche Planung.

Wenn Ihre Umgebung hybrid ist, planen Sie Ihre kennwortlose Einführung, beginnend mit in Microsoft Entra eingebundenen Geräten und erweitern Sie sie auf hybride Microsoft Entra-verbundene Geräte, sofern Ihre Infrastruktur dies unterstützt.

Mehr erfahren

macOS

Unter macOS hängt die kennwortlose Planung davon ab, wie sich Microsoft Entra ID in die Plattformanmeldung und das einmalige Anmelden integriert. Microsoft Intune stellt die erforderliche Gerätekonfiguration für Apple-fokussierte Identitätsintegrationen bereit.

Mit dem Microsoft Enterprise SSO-Plug-In und dem Platform SSO-Framework von Apple kann Microsoft Intune eine Konfiguration bereitstellen, die es Benutzern ermöglicht, sich mit ihren Microsoft Entra ID-Anmeldeinformationen beim Mac anzumelden. Bei Konfiguration mit der Secure Enclave-Schlüsselmethode bietet dies eine phishingresistente, hardwaregestützte Anmeldeerfahrung, ähnlich wie bei Windows Hello.

Diese Informationen sind wichtig, wenn Sie Folgendes planen:

  • Plattform-SSO und verwandte Anmeldeerfahrungen.
  • Einmaliges Anmelden zwischen dem Gerät und den Microsoft-Apps.
  • Ein konsistentes Verwaltungsmodell neben Windows und mobilen Geräten.

Mehr erfahren

iOS und iPadOS

Unter iOS und iPadOS konzentriert sich die kennwortlose Planung mehr auf die App-Anmeldung, die vermittelte Authentifizierung und das Verhalten von Passkeys als auf die Geräteanmeldung. Microsoft Intune stellt die Apps und Einstellungen bereit und verwaltet sie, die diese Erfahrungen für Benutzer konsistent machen.

Die Microsoft SSO-Erweiterung unter iOS kann Authentifizierungsanforderungen über Microsoft- und Drittanbieter-Apps hinweg abfangen, was eine nahtlose Anmeldung nach der Ersteinrichtung des Geräts ermöglicht. Microsoft Authenticator fungiert als Authentifizierungsbroker und kann auch gerätegebundene Passkeys unter iOS 17+ für eine phishingresistente Authentifizierung speichern.

Mehr erfahren

Android

Unter Android richtet Microsoft Intune den verwalteten Kontext ein, von dem kennwortlose und vermittelte Authentifizierungsflüsse abhängen. Dieser Kontext ist besonders relevant, wenn Microsoft Authenticator oder ähnliche App-Erfahrungen Teil Ihres Designs für den mobilen Zugriff sind.

Sowohl das Unternehmensportal als auch Microsoft Authenticator können als Authentifizierungsbroker auf Android fungieren. Nachdem sich ein Benutzer über den Broker angemeldet hat, stellt Microsoft Entra ID ein primäres Aktualisierungstoken aus, das SSO für alle brokerfähigen Apps im Arbeitsprofil ermöglicht. Unter Android 14+ kann Microsoft Authenticator auch gerätegebundene Passkeys für eine phishingresistente Authentifizierung speichern.

Mehr erfahren

Abhängigkeiten für die kennwortlose Authentifizierung

Zero Trust-Architektur

Die kennwortlose Authentifizierung ist ein Bestandteil einer umfassenderen Strategie für den Identitäts- und Gerätezugriff. Für einen Microsoft Intune-Administrator umfasst die Planung normalerweise diese Ebenen:

  • Identität: Phishing-resistente Authentifizierungsmethoden in Microsoft Entra ID.
  • Gerätevertrauen: Microsoft Intune-Registrierung, Compliance und Konfiguration.
  • Zugriffsrichtlinie: Bedingter Zugriff und damit verbundene Ausschlussplanung.
  • Datenschutz: Microsoft Purview-Funktionen, die helfen, Inhalte zu schützen, nachdem der Zugriff gewährt wurde.
  • Untersuchung und Reaktion: Microsoft Defender signalisiert und Workflows, wenn Risiken oder Kompromittierungen weiterverfolgt werden müssen.

Mehr erfahren

Bedingter Zugriff

Der bedingte Zugriff wertet Signale wie Gerätestatus und Authentifizierungsstärke aus, bevor der Zugriff gewährt wird. In Kombination mit kennwortlosen Methoden kann der bedingte Zugriff Authentifizierungsstärkerichtlinien erzwingen, die eine phishingresistente MFA erfordern. Dadurch wird die Kennwortlosigkeit effektiv vorgeschrieben, indem schwächere Methoden wie Kennwörter oder SMS-Codes blockiert werden.

Wenn Sie den bedingten Zugriff zusammen mit dem kennwortlosen Zugriff implementieren, berücksichtigen Sie auch die Planung des Notfallzugriffs, um versehentliche Sperrszenarien zu verhindern.

Mehr erfahren

Notfallzugriff und Wiederherstellung

Ein häufiges Problem beim Entfernen von Kennwörtern ist, was passiert, wenn ein Benutzer sein einziges kennwortloses Gerät verliert – ein Telefon, einen FIDO2-Schlüssel oder einen Laptop mit Windows Hello. Ohne einen Wiederherstellungsplan können Administratoren mit Support-Eskalationen konfrontiert werden, und Benutzer können von kritischen Ressourcen ausgeschlossen werden.

Planen Sie diese Szenarien als Teil Ihrer kennwortlosen Bereitstellung ein:

  • Notfallzugriffskonten: Unterhalten Sie mindestens zwei Break-Glass-Konten, die von Richtlinien für bedingten Zugriff und der kennwortlosen Durchsetzung ausgeschlossen sind. Diese Konten bieten einen Ausweichpfad, wenn eine Fehlkonfiguration oder ein Ausfall alle anderen Zugriffe blockiert. Speichern Sie Anmeldeinformationen sicher und überwachen Sie die Anmeldeaktivitäten mit diesen Konten.
  • Wiederherstellung mit temporärem Zugriffspass: Wenn ein Benutzer sein kennwortloses Gerät verliert, kann ein Administrator einen neuen TAP ausgeben, damit sich der Benutzer anmelden und Ersatzanmeldeinformationen registrieren kann. Bei diesem Ansatz wird das Zurücksetzen des Benutzers auf ein Kennwort vermieden, und der Wiederherstellungsfluss bleibt im kennwortlosen Modell.
  • Mehrere registrierte Methoden: Ermutigen Sie Benutzer, nach Möglichkeit mehr als eine kennwortlose Methode zu registrieren. Beispielsweise kann ein Benutzer, der Hello for Business auf seinem Laptop verwendet, auch einen Passkey in Microsoft Authenticator auf seinem Smartphone registrieren. Wenn ein Gerät verloren geht, funktioniert die andere Methode weiterhin.
  • Self-Service-Anmeldeinformationsverwaltung: Benutzer können ihre Authentifizierungsmethoden unter "Meine Sicherheitsinformationen" verwalten. In Kombination mit einer TAP-basierten Wiederherstellung verringert dieser Ansatz die Helpdeskabhängigkeit beim Zurücksetzen von Anmeldeinformationen.
  • Wiederherstellung von Totalverlusten mit Verified ID: In Szenarien, in denen ein Benutzer alle registrierten Anmeldeinformationen und Geräte verliert, bietet die Wiederherstellung des Microsoft Entra-Kontos mithilfe von Verified ID einen identitätsverifizierten Wiederherstellungspfad, der nicht auf Kennwörtern oder vom Helpdesk ausgestellten Anmeldeinformationen basiert.

Es ist unerlässlich, die Wiederherstellung zu planen, bevor Sie die Kennwortlosigkeit erzwingen. Eine Einführung, bei der Kennwörter ohne Wiederherstellungspfad blockiert werden, schafft die Art von Sperrszenarien, die das Vertrauen von Administratoren und Benutzern in den Übergang untergraben.

Mehr erfahren

Konformität und Gerätebereitschaft

Kennwortlos hängt häufig davon ab, ob sich das Gerät im richtigen Zustand befindet, bevor sich die Benutzer auf die Benutzererfahrung verlassen können. Die Bereitschaft umfasst in der Regel:

Überprüfung und laufender Betrieb

Zum Überprüfen einer kennwortlosen Bereitstellung werden folgende Prüfpunkte häufig überprüft:

Benutzerakzeptanz und -kommunikation

Die technische Bereitschaft ist nur ein Teil des kennwortlosen Rollouts. Benutzer, die mit Kennwörtern vertraut sind, können auf Verwirrung oder Widerstand stoßen, wenn sich Anmeldeabläufe ändern. Die Planung der Benutzerkommunikation und des Supports kann den Unterschied zwischen einem reibungslosen Übergang und einer umfassenden Helpdesk-Eskalation ausmachen.

Erwägen Sie diese Vorgehensweisen:

  • Kommunizieren Sie die Änderung frühzeitig: Informieren Sie die Benutzer darüber, dass sich ihre Anmeldeerfahrung ändert, warum sie sich ändert und was sie erwarten können. Konzentrieren Sie sich auf die Vorteile: weniger Kennwörter, die sich merken müssen, schnellere Anmeldung und höhere Sicherheit.
  • Stellen Sie plattformspezifische Anleitungen bereit: Die kennwortlose Erfahrung unterscheidet sich unter Windows (Hello biometrisch oder PIN), macOS (Touch ID mit Plattform-SSO), iOS (Authenticator oder Passkeys) und Android (Authenticator-Broker). Passen Sie die Kommunikation an die Plattformen an, die Ihren Benutzern zur Verfügung stehen.
  • Identifizieren von Pilotgruppen: Beginnen Sie mit einer Gruppe von Benutzern, die die Erfahrung testen und Feedback geben können, bevor Sie die Kennwortlosigkeit in der gesamten organization erzwingen. IT-Mitarbeiter, Early Adopter und sicherheitsbewusste Teams sind oft gute Kandidaten.
  • Helpdeskmitarbeiter vorbereiten: Stellen Sie sicher, dass Ihr Supportteam weiß, wie ein temporärer Zugangspass für die Wiederherstellung ausgestellt wird, wie es Benutzer durch die Registrierung von Anmeldeinformationen führt und wo es die Anmeldeprotokolle bei Problemen überprüft.

Mehr erfahren

  • Last updated on