Microsoft leitet einen grundlegenden Wechsel bei der Anmeldung an Microsoft 365 und anderen Cloud-Diensten ein: Passkeys werden in Microsoft Entra ID zur bevorzugten, phishingresistenten Authentifizierungsmethode. Gleichzeitig stellt Microsoft die eigene technische Bereitstellung von Sicherheitscodes per SMS und automatisierten Telefonanrufen ein.
Für Unternehmen bedeutet das: Wer heute noch SMS oder Telefonanrufe als zweiten Faktor verwendet, sollte die Umstellung jetzt planen. Die erste Änderung greift bereits am 1. September 2026. Am 1. Februar 2027 endet die von Microsoft bereitgestellte SMS- und Voice-Authentifizierung in Entra ID endgültig.
Die wichtigsten Termine
Ab 1. September 2026: Passkeys werden automatisch aktiviert
Benutzer, die in Microsoft Entra ID noch für SMS- oder Telefonanruf-Authentifizierung freigeschaltet sind, werden automatisch auch für Passkeys aktiviert.
Bei einer der nächsten MFA-Anmeldungen fordert Microsoft die betroffenen Benutzer dazu auf, einen Passkey einzurichten. In der Übergangsphase kann diese Aufforderung zunächst noch übersprungen werden. Administratoren können den Prozess aber auch vorab über eine Registrierungskampagne steuern.
Ab 1. Februar 2027: Microsoft beendet SMS und Voice
Ab diesem Datum stellt Microsoft die eigene Telekommunikationsanbindung für SMS-Sicherheitscodes und automatisierte Sprachanrufe in Entra ID ein.
Benutzer, deren einzige verfügbare MFA-Methode SMS oder Telefonanruf ist, müssen dann während der Anmeldung einen Passkey registrieren, bevor sie fortfahren können. Diese Aufforderung lässt sich nicht mehr überspringen. Eine dauerhafte Ausnahme von dieser Vorgabe ist nicht vorgesehen.
Die Änderung betrifft nicht nur die reguläre Anmeldung, sondern auch die telefonbasierten Verfahren für Self-Service Password Reset, kurz SSPR. Das erhöht die Dringlichkeit, neben der Anmeldung auch Wiederherstellungs- und Notfallprozesse zu überprüfen.
Microsoft beschreibt den vollständigen Zeitplan und die Auswirkungen auf Entra-ID-Mandanten in seiner aktuellen Dokumentation.
Was ist ein Passkey?
Ein Passkey ersetzt die Kombination aus Kennwort und übermitteltem Sicherheitscode durch ein kryptografisches Schlüsselpaar.
Der öffentliche Teil wird beim jeweiligen Onlinedienst hinterlegt. Der private Schlüssel bleibt geschützt auf dem Gerät, einem Hardware-Sicherheitsschlüssel oder in einem freigegebenen Anmeldeinformationsspeicher. Zur Anmeldung bestätigt der Benutzer seine Identität beispielsweise mit:
- Windows Hello
- Fingerabdruck oder Gesichtserkennung
- der Geräte-PIN
- Microsoft Authenticator
- einem FIDO2-Sicherheitsschlüssel
- einem unterstützten Passwort- beziehungsweise Passkey-Manager
Die biometrischen Daten werden dabei nicht an Microsoft übertragen. Fingerabdruck, Gesichtserkennung oder PIN entsperren lediglich den lokal gespeicherten Schlüssel.
Ein entscheidender Sicherheitsvorteil besteht darin, dass ein Passkey an den echten Onlinedienst gebunden ist. Auf einer täuschend echt nachgebauten Phishing-Webseite kann er deshalb nicht einfach eingegeben oder an einen Angreifer weitergegeben werden.
Warum reicht SMS als zweiter Faktor nicht mehr aus?
Eine Anmeldung mit Kennwort und SMS-Code ist zwar besser als eine Anmeldung nur mit Kennwort. Sie ist jedoch nicht phishingresistent.
Zu den bekannten Risiken gehören:
- Phishing-Webseiten, die Kennwort und SMS-Code in Echtzeit abgreifen
- SIM-Swapping und unberechtigte Übernahme einer Mobilfunknummer
- manipulierte Rufumleitungen
- Social Engineering gegenüber Mobilfunkanbietern oder Helpdesks
- Schadsoftware, die eingehende Nachrichten ausliest
- sogenannte Adversary-in-the-Middle-Angriffe, bei denen auch MFA-Sitzungen übernommen werden
Passkeys verwenden dagegen Public-Key-Kryptografie und keinen Code, den ein Benutzer an einen Angreifer weitergeben könnte. Microsoft empfiehlt Unternehmen deshalb, möglichst vollständig auf phishingresistente Verfahren wie Passkeys, Windows Hello for Business oder FIDO2-Sicherheitsschlüssel umzusteigen.
Laut Microsoft erreichen KI-gestützte Phishing-Kampagnen inzwischen deutlich höhere Erfolgsquoten als herkömmliche Kampagnen. Die Umstellung ist daher nicht nur eine Komfortänderung, sondern Teil einer umfassenderen Sicherheitsstrategie. Microsoft erläutert die Hintergründe im Security Blog.
Wird die Microsoft-Authenticator-App ebenfalls abgeschaltet?
Nein. Die Änderung betrifft die Zustellung von Codes per SMS und automatisiertem Telefonanruf.
Die Microsoft-Authenticator-App bleibt weiterhin verfügbar. Dabei muss allerdings zwischen der klassischen Freigabe einer Push-Benachrichtigung und einem in Microsoft Authenticator gespeicherten Passkey unterschieden werden. Nicht jede Form von MFA ist automatisch phishingresistent.
Unternehmen sollten deshalb nicht nur prüfen, ob irgendein zweiter Faktor vorhanden ist. Entscheidend ist, ob die eingesetzte Methode tatsächlich einen ausreichenden Schutz gegen moderne Phishing- und Sitzungsübernahme-Angriffe bietet.
Was passiert, wenn ein Unternehmen weiterhin SMS benötigt?
Für besondere regulatorische, technische oder betriebliche Anforderungen soll SMS beziehungsweise Voice weiterhin über externe Telekommunikationsanbieter möglich sein.
Diese Anbieter werden über den Microsoft Security Store eingebunden. Die dadurch entstehenden Telekommunikationskosten trägt das jeweilige Unternehmen. Microsoft will Informationen zu unterstützten Anbietern, Preisen und Vertragsbedingungen ab dem 18. September 2026 veröffentlichen. Die technische Konfiguration soll ab dem 30. Oktober 2026 möglich sein.
Für die meisten Unternehmen dürfte dieser Weg allerdings aufwendiger und langfristig teurer sein als eine kontrollierte Umstellung auf Passkeys.
Was Unternehmen jetzt tun sollten
Die automatische Aktivierung durch Microsoft ersetzt kein geplantes Einführungsprojekt. Eine unvorbereitete Umstellung kann zu Rückfragen, erhöhtem Supportaufwand und im ungünstigsten Fall zu Anmeldeproblemen führen.
Wir empfehlen folgendes Vorgehen:
1. Betroffene Benutzer ermitteln
Zunächst sollte ausgewertet werden, welche Benutzer noch SMS oder Telefonanrufe verwenden beziehungsweise für diese Methoden freigeschaltet sind. Dazu gehören auch Administratoren, gemeinsam genutzte Konten, externe Benutzer und Sonderarbeitsplätze.
2. Geeignete Passkey-Varianten festlegen
Nicht jede Methode eignet sich gleichermaßen für jede Benutzergruppe. Denkbare Varianten sind:
- Windows Hello for Business für verwaltete Windows-Arbeitsplätze
- Microsoft Entra Passkeys auf Windows-Geräten
- Passkeys in Microsoft Authenticator
- synchronisierte Passkeys für geeignete Benutzergruppen
- FIDO2-Hardware-Schlüssel für Administratoren und besonders schützenswerte Konten
- Platform SSO beziehungsweise Plattform-Anmeldeinformationen auf verwalteten Macs
Microsoft empfiehlt für die meisten Benutzer mindestens eine portable und eine lokale Anmeldemethode. Außerdem sollten grundsätzlich zwei geeignete Authentifizierungsmethoden vorhanden sein, damit beim Verlust oder Austausch eines Gerätes eine abgesicherte Alternative verfügbar bleibt. Die Microsoft-Bereitstellungsempfehlungen unterscheiden dabei ausdrücklich zwischen normalen Benutzern, Administratoren und besonders regulierten Benutzergruppen.
3. Pilotgruppe einrichten
Die Einführung sollte mit einer kleinen, technisch repräsentativen Benutzergruppe beginnen. Dabei müssen verschiedene Geräte, Betriebssysteme, Browser und typische Arbeitsabläufe getestet werden.
Besondere Aufmerksamkeit benötigen unter anderem:
- private oder nicht verwaltete Endgeräte
- gemeinsam genutzte Computer
- Benutzer ohne Firmen-Smartphone
- externe Mitarbeiter und Gastkonten
- Administrator- und Notfallkonten
- ältere Betriebssysteme
- mobile Gerätewechsel und Verlustszenarien
4. Wiederherstellung und Onboarding absichern
Ein Passkey-Konzept ist nur vollständig, wenn auch der Verlust eines Smartphones oder Sicherheitsschlüssels berücksichtigt wird.
Für neue Benutzer und Wiederherstellungsfälle kann beispielsweise ein zeitlich begrenzter Temporary Access Pass eingesetzt werden. Die Ausgabe solcher Zugangsdaten muss in einen überprüfbaren Identitäts- und Helpdesk-Prozess eingebettet sein. Andernfalls verlagert sich das Angriffsziel lediglich von der Anmeldung auf den Support.
5. Benutzer rechtzeitig informieren
Die technische Umstellung sollte von einer verständlichen Kommunikation begleitet werden. Benutzer müssen wissen:
- warum die Änderung erfolgt
- wann sie betroffen sind
- welches Gerät sie benötigen
- wie sie einen Passkey registrieren
- an wen sie sich bei Problemen wenden können
- was bei Geräteverlust oder Gerätewechsel zu tun ist
Microsoft bezeichnet eine abgestimmte Benutzerkommunikation als einen der wichtigsten Faktoren für eine reibungslose Passkey-Einführung.
6. Schwächere Methoden anschließend deaktivieren
Die Registrierung eines Passkeys allein beseitigt das Risiko nicht, solange SMS, Telefonanruf oder andere schwächere Methoden weiterhin als Ausweichmöglichkeit verfügbar bleiben.
Nach erfolgreichem Rollout sollten die Authentifizierungsrichtlinien deshalb bereinigt und für besonders schützenswerte Zugriffe phishingresistente Authentifizierungsstärken über Conditional Access erzwungen werden.
Private Microsoft-Konten und Entra ID nicht verwechseln
Parallel zur Entra-ID-Umstellung reduziert Microsoft auch bei privaten Microsoft-Konten die Verwendung von SMS für Anmeldung und Kontowiederherstellung. Dort setzt Microsoft verstärkt auf Passkeys und verifizierte E-Mail-Adressen.
Dabei handelt es sich jedoch um einen separaten Prozess. Die für Unternehmen entscheidenden Stichtage 1. September 2026 und 1. Februar 2027 beziehen sich auf Microsoft Entra ID in der Public Cloud.
Fazit
Die Abschaffung der von Microsoft bereitgestellten SMS- und Voice-Authentifizierung ist ein sinnvoller Sicherheitsschritt. Passkeys bieten einen deutlich besseren Schutz gegen Phishing, SIM-Swapping und den Diebstahl von Anmeldecodes. Gleichzeitig kann die Anmeldung für Benutzer einfacher werden, weil keine Kennwörter und Einmalcodes mehr eingegeben werden müssen.
Für Unternehmen besteht die Herausforderung weniger in der eigentlichen Technik als in der strukturierten Einführung: Benutzergruppen müssen analysiert, passende Methoden ausgewählt, Wiederherstellungswege definiert und Mitarbeiter rechtzeitig geschult werden.
Wer erst auf die verpflichtende Registrierung im Februar 2027 wartet, riskiert vermeidbare Anmeldeprobleme und erhöhten Supportaufwand. Eine kontrollierte Migration sollte deshalb noch 2026 beginnen.
Unterstützung durch PERFUSIONS
Die PERFUSIONS GmbH unterstützt Unternehmen bei der Analyse ihrer bestehenden Microsoft-365- und Entra-ID-Authentifizierung sowie bei der strukturierten Einführung phishingresistenter Anmeldeverfahren.
Unsere Leistungen umfassen unter anderem:
- Auswertung der aktuell verwendeten MFA-Methoden
- Entwicklung eines unternehmensgerechten Passkey-Konzepts
- Konfiguration von Microsoft Entra ID und Conditional Access
- Einführung von Windows Hello for Business und FIDO2-Sicherheitsschlüsseln
- Pilotierung und gestaffelter Rollout
- Benutzerkommunikation und verständliche Anleitungen
- Aufbau sicherer Onboarding- und Wiederherstellungsprozesse
- laufende Überwachung und Dokumentation
Sprechen Sie uns frühzeitig an, wenn Sie prüfen möchten, welche Benutzer und Systeme in Ihrem Microsoft-365-Mandanten von der Umstellung betroffen sind.
PERFUSIONS GmbH Marienburger Str. 42 81929 München