Aktualisiert am 20. Juli 2026: Wir haben den Zeitplan aktualisiert. Vielen Dank für Ihre Geduld.
[Einführung]
Microsoft Entra-Passkeys unter Windows werden bald allgemein verfügbar sein und ermöglichen eine phishing-resistente, passwortlose Anmeldung bei Microsoft Entra-geschützten Ressourcen von Windows-Geräten aus.
Die öffentliche Vorschau dieser Funktion wurde zuvor in MC1247893 angekündigt.
Benutzer können gerätegebundene Passkeys erstellen, die im Windows Hello Container gespeichert werden, und sich mit Windows Hello-Methoden (Gesicht, Fingerabdruck oder PIN) authentifizieren. Dies erweitert die Unterstützung für passwortlose Authentifizierung auf Windows-Geräte, die nicht mit Microsoft Entra verbunden oder registriert sind, und hilft Organisationen, die Sicherheit zu erhöhen und die Abhängigkeit von Passwörtern in Szenarien mit firmenverwalteten, persönlichen und gemeinsam genutzten Geräten zu verringern.
[Wann dies geschieht:]
- Allgemeine Verfügbarkeit (weltweit, GCC): Die Einführung beginnt Ende April 2026 und wird voraussichtlich bis Mitte Juni 2026 abgeschlossen sein.
- Allgemeine Verfügbarkeit (GCC High, DoD): Die Einführung beginnt Anfang Oktober 2026 (zuvor Anfang September 2026) und wird voraussichtlich bis Ende Oktober 2026 (zuvor Ende September) abgeschlossen sein.
Auswirkungen auf Ihre Organisation:
Betroffene:
Organisationen, die Microsoft Entra ID mit aktivierten Passkeys in der Authentifizierungsmethoden-Richtlinie verwenden und deren Benutzer sich von Windows-Geräten aus anmelden, einschließlich:
- Firmenverwaltete PCs
- Persönliche Geräte
- Gemeinsam genutzte Geräte
Was passiert:
Mit dieser Allgemeinverfügbarkeits-Version:
- Microsoft Entra-Passkeys unter Windows erfordern keine explizite Opt-in über die Windows Hello AAGUID-Erlaubnisliste in einem Passkey-(FIDO2)-Profil mehr.
- Dies stellt eine Änderung gegenüber dem Verhalten der öffentlichen Vorschau dar, bei der Administratoren die Windows Hello AAGUIDs in einem Passkey-Profil explizit zulassen mussten, damit Microsoft Entra-Passkeys unter Windows funktionieren.
- Wenn Ihr Passkey-Profil gerätespezifische, nicht attestierte Passkeys erlaubt:
- Benutzer, die diesem Profil zugeordnet sind, können nun Microsoft Entra-Passkeys unter Windows standardmäßig registrieren und verwenden, ohne dass eine weitere Administrator-Konfiguration erforderlich ist.
- Folglich:
- Benutzer, die in den Geltungsbereich von Passkey-Profilen fallen, welche gerätegebundene, nicht attestierte Passkeys erlauben, können beginnen, Passkeys auf Windows-Geräten zu registrieren und zu verwenden.
- Wenn Conditional Access-Richtlinien dies erlauben:
- Passkeys können auf Windows-Geräten erstellt und verwendet werden, die nicht Microsoft Entra-verbunden oder registriert sind, einschließlich persönlicher oder gemeinsam genutzter PCs.
- Für jedes Windows-Gerät ist eine separate Passkey-Registrierung pro Entra-Konto erforderlich.
- Windows Hello for Business bleibt für verwaltete, Microsoft Entra-verbundene oder registrierte Geräte empfohlen.
- Passkeys unter Windows ergänzen Szenarien mit nicht verwalteten oder gemeinsam genutzten Geräten und unterstützen keine Geräteanmeldung.
- Attestierung wird derzeit für Microsoft Entra-Passkeys unter Windows nicht unterstützt, ist jedoch für ein zukünftiges Update geplant.
Wie Sie sich vorbereiten können:
Für die meisten Organisationen ist keine Aktion erforderlich.
Wenn Sie nicht möchten, dass Benutzer Microsoft Entra-Passkeys unter Windows registrieren oder verwenden:
- Aktualisieren Sie das entsprechende Passkey-(FIDO2)-Profil, um Windows Hello AAGUIDs zu blockieren.
- Überprüfen Sie bestehende Passkey-Profile, die gerätegebundene, nicht attestierte Passkeys erlauben.
- Fügen Sie Windows Hello AAGUIDs zur Sperrliste in Passkey-Profilen hinzu, in denen die Nutzung von Passkeys auf Windows-Geräten nicht erlaubt sein soll.
Weitere Informationen: Microsoft Entra-Passkey unter Windows aktivieren | Microsoft Learn (wird vor der GA-Einführung aktualisiert)
[Compliance-Überlegungen:]
Compliance-Bereich: Begründung
Ändert die Änderung Conditional Access-Richtlinien, unterbricht oder deaktiviert sie diese? Bestehende Conditional Access-Richtlinien steuern weiterhin, ob Passkeys auf nicht verwalteten Windows-Geräten erstellt oder verwendet werden können.
Enthält die Änderung eine Administratorsteuerung und kann sie über die Mitgliedschaft in Entra ID-Gruppen gesteuert werden? Administratoren können die Verfügbarkeit von Passkeys über Authentifizierungsmethoden-Richtlinien und FIDO2-Passkey-Profile steuern, die auf Microsoft Entra ID-Gruppen ausgelegt sind.
Darf der Benutzer die Funktion selbst aktivieren oder deaktivieren? Benutzer können Microsoft Entra-Passkeys auf Windows-Geräten registrieren, sofern dies durch die Administratorrichtlinie erlaubt ist.
