Geschäftliche Zugänge: Phishing-Resistenz und Wiederherstellung prüfen

Diese Anleitung ist evergreen. Der BACS-Technologiebrief vom 19. Oktober 2026 ordnet Authentifizierung in fünf Kategorien ein und ergänzt die NIST-Basis um Echtzeit-Phishing-Resistenz. Der gelesene HTML-Überblick bezeichnet die Klassifikation ausdrücklich nicht als Grundlage formaler Zertifizierung. (Swiss National Cyber Security Centre / BACS)

Vom geschützten Zugang ausgehen

Wählen Sie für den Anfang drei reale Rollen, ohne Zugangsdaten zu erfassen: einen gewöhnlichen Arbeitszugang, einen operativen Zugang mit Änderungsmöglichkeiten und einen administrativen Zugang. Notieren Sie, was mit jeder Rolle erreichbar ist und wer bei einem Ausfall handlungsfähig bleiben muss. Unterschiedliche Folgen rechtfertigen unterschiedliche Anforderungen.

Die Eigenschaft des Verfahrens konkret benennen

NIST SP 800-63B-4 unterscheidet unter anderem Phishing-Resistenz und Exportierbarkeit von Schlüsseln. AAL2 muss eine phishing-resistente Option anbieten; AAL3 verlangt nicht exportierbare Schlüssel und schliesst synchronisierbare Authentikatoren aus. Diese technischen US-Referenzen sind keine hier festgestellte Schweizer Rechtspflicht. (NIST)

Die sinnvolle Frage an einen Anbieter lautet deshalb nicht nur, ob eine zusätzliche Bestätigung unterstützt wird. Lassen Sie erklären, wie das eingesetzte Verfahren den betreffenden Angriff erschwert und wie seine tatsächliche Konfiguration nachgewiesen wird. Ordnen Sie Begriffe wie gerätegebunden und synchronisiert dem konkreten Zugang zu, statt alle Passkeys als gleich umgesetzt zu behandeln.

UK NCSC erläutert Passkeys und ihre Verwaltung beziehungsweise Synchronisation durch Credential Manager. Wenn sie nicht angeboten werden, empfiehlt die Anleitung weiterhin starke Passwörter und Zwei-Schritt-Verifikation. Daraus folgt keine Garantie gegen jede Art von Kontokompromittierung. (UK National Cyber Security Centre)

Wiederherstellung als separaten Ablauf prüfen

Hypothetisches Beispiel: Eine zuständige Person verliert ihr Arbeitsgerät vor einem wichtigen Termin. Die Organisation muss Zugang wieder ermöglichen können, ohne die vorher verlangte Absicherung mit einer beliebigen Ersatzanmeldung zu unterlaufen. Dieses Szenario wurde hier nicht durchgespielt.

• Bestimmen Sie, wer eine Wiederherstellung anfordern, prüfen und freigeben darf. Die gleiche Rolle muss nicht alle drei Aufgaben haben.
• Halten Sie fest, welche vertrauenswürdigen Nachweise bereits vorhanden sein müssen und was bei fehlenden Nachweisen geschieht.
• Prüfen Sie, wie ein verlorenes Gerät, ein alter Authentikator und vorhandene Zugriffsrechte behandelt werden.
• Lassen Sie eine erlaubte Trockenübung mit Testkonten dokumentieren, statt echte Nutzer durch einen ungeplanten Ausfallversuch auszusperren.

Berücksichtigen Sie ausserdem bestehende Sitzungen. Eine verbesserte Anmeldung allein belegt nicht, wie eine schon laufende Sitzung beendet oder eine kompromittierte Berechtigung entzogen wird. Ordnen Sie diese Kontrollen der zuständigen Plattform und ihrem geprüften Betriebsverfahren zu.

Eine Entscheidung ohne Zertifizierungsversprechen

Der detaillierte BACS-PDF-Katalog wurde für diese Anleitung nicht ausgewertet. Daher werden keine einzelnen Produkte in seine fünf Kategorien einsortiert. Die Matrix hilft, Antworten einzuholen; sie ist weder ein Prüfsiegel noch eine abgeschlossene Sicherheits- oder Compliance-Prüfung.

Für die Einführung bleiben tatsächlicher Planumfang, Gerätebestand, Schulung, Support und Wiederherstellungsaufwand zu prüfen. Preise für Identitätsdienste oder Hardware wurden nicht erhoben. Beginnen Sie mit der Rolle, deren Ausfall oder Missbrauch die klarsten betrieblichen Folgen hat, und dokumentieren Sie die offenen Nachweise, bevor Rechte oder Anmeldeverfahren geändert werden.