Verfügbar wird die Funktion in Organisationen, die in der Authentifizierungsmethoden-Richtlinie die Option „Microsoft Entra ID mit Passkeys" aktiviert haben. Sie greift für Nutzer, die sich an Windows-Geräten anmelden, die Microsoft Entra weder beigetreten noch dort registriert sind – vorausgesetzt, die Conditional-Access-Richtlinien lassen dies zu, etwa bei firmenverwalteten, privaten oder gemeinsam genutzten Geräten.
Technisch ermöglicht die Neuerung das Erstellen von FIDO2-Passkeys, die in einem abgesicherten lokalen Anmeldedaten-Container abgelegt werden. Diese lassen sich ausschließlich für die Authentifizierung an Microsoft Entra ID über Windows Hello nutzen – per Gesichtserkennung, Fingerabdruck oder PIN. Darin unterscheiden sie sich von Windows Hello for Business, das zusätzlich die Anmeldung am Gerät selbst erlaubt.
Die Passkeys sind kryptografisch an das jeweilige Gerät gebunden und werden nie über das Netzwerk übertragen. Angreifer können sie daher bei Phishing- oder Malware-Attacken nicht stehlen, um die Mehr-Faktor-Authentifizierung zu umgehen.
Microsoft nannte keinen Grund für die Einführung. Faktisch schließen die Entra-Passkeys auf Windows jedoch eine Sicherheitslücke, die private und gemeinsam genutzte Geräte zuvor auf die passwortbasierte Entra-ID-Anmeldung beschränkte. In den vergangenen Monaten haben Angreifer Microsoft-Entra-Konten mit Single Sign-On (SSO) verstärkt ins Visier genommen und dabei in einer Welle von SaaS-Datendiebstählen gestohlene Zugangsdaten eingesetzt. BleepingComputer bat Microsoft um weitere Einzelheiten, erhielt jedoch zunächst keine Antwort.
Die Maßnahme reiht sich in eine Folge von Sicherheitsneuerungen ein. Im Oktober 2024 kündigte Microsoft an, die Sicherheit über Entra-Mandanten hinweg zu verbessern, indem die Registrierung der Mehr-Faktor-Authentifizierung bei aktivierten Sicherheitsstandards verpflichtend wird – Teil der im November 2023 gestarteten Secure Future Initiative. Im Mai 2025 erklärte das Unternehmen zudem, dass alle neuen Microsoft-Konten standardmäßig passwortlos sein sollen, um sie gegen Brute-Force-, Credential-Stuffing- und Phishing-Angriffe zu schützen.