Sicherer Widerruf von Entra ID Passkeys mit Appterix Security Key Management

Ohne ein zentrales Management-Tool ist der Widerruf von Anmeldeinformationen auf physischen Hardware-Token oft ein fragmentierter und zeitaufwändiger Prozess. In hybriden Unternehmensumgebungen kommen Sicherheitsschlüssel wie der Swissbit iShield Pro und der NitroKey häufig zum Einsatz: Sie beherbergen sowohl klassische Smartcard-/PIV-Zertifikate für das lokale Active Directory als auch moderne FIDO2-Passkeys für Microsoft Entra ID und Okta.

Das Appterix Security Key Management führt diese Welten herstellerübergreifend zusammen. Wenn ein Sicherheitsvorfall eintritt (z. B. durch Verlust oder Diebstahl eines Tokens) oder ein Mitarbeiter das Unternehmen verlässt, können sämtliche auf dem Swissbit iShield Pro oder NitroKey hinterlegten Anmeldeinformationen mit nur wenigen Klicks systemübergreifend widerrufen werden.

Technische Voraussetzungen & Berechtigungen

Damit das Appterix Security Key Management den Widerruf im Hintergrund automatisiert in Ihrer Infrastruktur durchführen kann, sind folgende Berechtigungen erforderlich:

Microsoft Entra ID (FIDO2 Passkeys)

Um FIDO2-Passkeys eines Swissbit iShield Pro oder NitroKey für einen Benutzer zu löschen (widerrufen), interagiert Appterix über die Microsoft Graph API mit Ihrem Entra ID Tenant.

• Erforderliche API-Berechtigungen (Microsoft Graph): Die für Appterix hinterlegte App-Registrierung in Microsoft Entra ID benötigt die Berechtigung UserAuthenticationMethod.ReadWrite.All (damit kann Appterix FIDO2-Methoden für alle Nutzer lesen und löschen).

Schritt-für-Schritt-Anleitung: Zertifikate und Passkeys widerrufen

1. Security Key im Inventar auswählen: Öffnen Sie die Appterix Management-UI, wechseln Sie in den Bereich Security Key Management und suchen Sie im Inventar den betreffenden Swissbit iShield Pro oder NitroKey (z. B. über die Seriennummer oder den zugeordneten Benutzernamen).
2. Physischen Schlüsselstatus setzen (bei Verlust): Markieren Sie den physischen Security Key bei einem Verlustvorfall als „Verloren“ (Tag) oder „Gesperrt“. Sollte der Schlüssel später unbefugt an einem Unternehmensgerät mit Appterix Client eingesteckt werden, greifen sofort Ihre automatisierten Lost & Found Benachrichtigungen.
3. Anmeldeinformationen aufrufen: Navigieren Sie innerhalb der Detailansicht des ausgewählten Security Keys zum Reiter für die Registrierte Anmeldeinformationen (Passkeys).
4. Widerruf einleiten: Suchen Sie in der Tabelle das spezifische Entra ID Passkey (FIDO2) und klicken Sie in der jeweiligen Zeile auf Widerrufen.
5. Sperrgrund dokumentieren: Wählen Sie im Bestätigungsdialog den Grund für den Widerruf aus und ergänzen Sie eine Notiz für die Audit-Historie (z. B. „Verlust Swissbit iShield Pro / NitroKey“ oder „Offboarding User XY“).
6. Bestätigen: Schließen Sie den Vorgang ab. Die Anmeldeinformation erhält dauerhaft den Status Widerrufen und kann für diesen Token nicht mehr zur Anmeldung genutzt werden.