Passkeys werden Standard: Microsoft stellt SMS- und Sprachanrufe für MFA ein

SMS-Code anfordern, Nachricht öffnen und die Zahlenfolge eingeben: In vielen Unternehmen gehört dieses Verfahren noch zum üblichen Anmeldeprozess. Doch diese Form der Multi-Faktor-Authentifizierung hat ein festes Ablaufdatum.

Microsoft hat angekündigt, die von Microsoft bereitgestellte Authentifizierung per SMS und Sprachanruf in Microsoft Entra ID zum 1. Februar 2027 einzustellen. Gleichzeitig werden Passkeys zur standardmäßigen Authentifizierungsmethode. Unternehmen sollten deshalb frühzeitig prüfen, welche Benutzerinnen und Benutzer noch SMS oder Sprachanrufe verwenden, und die Umstellung auf phishing-resistente Verfahren vorbereiten.

Was ändert sich bei der Authentifizierung in Microsoft Entra ID?

Microsoft richtet die Anmeldung in Microsoft Entra ID stärker auf phishing-resistente Authentifizierungsmethoden aus. Passkeys werden künftig zum Standard, während die native Bereitstellung von SMS- und Sprachanrufen durch Microsoft ausläuft.

Die Änderung betrifft Benutzerinnen und Benutzer, die SMS oder Sprachanrufe aktuell als Authentifizierungsmethode aktiviert haben. Unternehmen, die diese Methoden aus betrieblichen, regulatorischen oder technischen Gründen weiterhin benötigen, können künftig einen eigenen Telekommunikationsanbieter über den Microsoft Security Store einsetzen.

Warum löst Microsoft SMS und Sprachanrufe ab?

SMS und Sprachanrufe bieten im Vergleich zu modernen Authentifizierungsmethoden einen geringeren Schutz. Sie sind unter anderem anfälliger für:

• Phishing-Angriffe
• SIM-Swapping
• Replay-Angriffe
• die Kompromittierung von Benutzerkonten

Passkeys sind dagegen von Grund auf phishing-resistent. Sie basieren auf Public-Key-Kryptografie und kommen ohne gemeinsam verwendete Geheimnisse wie Passwörter oder einmalige SMS-Codes aus. Dadurch lassen sie sich nicht auf dieselbe Weise abfangen oder über gefälschte Anmeldeseiten wiederverwenden.

Mit der Umstellung möchte Microsoft den Schutz von Benutzerkonten standardmäßig erhöhen und die Abhängigkeit von leichter angreifbaren Verfahren reduzieren. 

Was ist ein Passkey?

Ein Passkey ist eine moderne Anmeldemethode, die Passwörter und zeitlich begrenzte Sicherheitscodes ersetzen kann. Bei der Anmeldung legitimieren sich Benutzerinnen und Benutzer beispielsweise über ein geeignetes Gerät und die dort unterstützte Entsperrmethode.

Für Unternehmen bedeutet das vor allem:

• besserer Schutz vor Phishing
• keine manuelle Eingabe eines SMS-Codes
• eine modernere Anmeldeerfahrung
• weniger Abhängigkeit vom Mobilfunkempfang

Microsoft empfiehlt Passkeys ausdrücklich als bevorzugte phishing-resistente Methode. Bereits verwendete phishing-resistente Verfahren wie Windows Hello for Business oder FIDO2 können weiterhin genutzt werden.

Die wichtigsten Termine im Überblick

1. September 2026:Passkeys werden automatisch aktiviert

Ab dem 1. September 2026 werden Benutzerinnen und Benutzer, die in der Richtlinie für Authentifizierungsmethoden für SMS oder Sprachanrufe aktiviert sind, automatisch auch für Passkeys freigeschaltet.

Bei einer der nächsten MFA-Anmeldungen werden diese Personen zur Registrierung eines Passkeys aufgefordert. Unternehmen sollten ihre Mitarbeitenden daher vorher informieren und die technischen sowie organisatorischen Voraussetzungen vorbereiten.

Wenn diese automatische Aktivierung nicht gewünscht ist, müssen die betreffenden Personen vor dem Stichtag aus dem Geltungsbereich von SMS beziehungsweise Sprache in der Richtlinie für Authentifizierungsmethoden genommen werden.

1. Februar 2027: Microsoft stellt SMS und Sprache ein

Zum 1. Februar 2027 beendet Microsoft die eigene Telekommunikationsbereitstellung für SMS- und Sprachanruf-Authentifizierung in Microsoft Entra ID.

Organisationen, die diese Verfahren weiterhin benötigen, müssen bis dahin einen unterstützten, selbst verwalteten Telekommunikationsanbieter über den Microsoft Security Store eingerichtet haben.

Nach dem 1. Februar 2027: Registrierung kann verpflichtend werden

Benutzerinnen und Benutzer, denen ausschließlich SMS oder Sprachanrufe als MFA-Methode zur Verfügung stehen, erhalten bei der Anmeldung eine blockierende Aufforderung zur Registrierung eines Passkeys. Ohne diese Registrierung können sie die Anmeldung nicht fortsetzen.

Von diesem Verhalten können Unternehmen sich nach dem Stichtag nicht abmelden. Die Vorgabe gilt für alle betroffenen Microsoft-Entra-ID-Mandanten.

Warum Unternehmen nicht bis 2027 warten sollten

Die vollständige Einstellung erfolgt zwar erst am 1. Februar 2027, die erste wesentliche Änderung greift jedoch bereits am 1. September 2026. Ab diesem Datum können betroffene Personen zur Passkey-Registrierung aufgefordert werden.

Wer die Umstellung frühzeitig vorbereitet, kann:

• Benutzergruppen schrittweise migrieren
• Erfahrungen in einer Pilotgruppe sammeln
• technische und organisatorische Sonderfälle erkennen
• verständliche Anleitungen bereitstellen
• blockierende Anmeldeaufforderungen vermeiden

Microsoft empfiehlt deshalb, Benutzerinnen und Benutzer möglichst frühzeitig auf Passkeys oder eine andere phishing-resistente Methode umzustellen.

Fazit

Microsoft stellt die eigene Bereitstellung von SMS- und Sprachanruf-Authentifizierung in Microsoft Entra ID am 1. Februar 2027 ein. Bereits ab dem 1. September 2026 werden betroffene Benutzerinnen und Benutzer automatisch für Passkeys aktiviert und bei der MFA-Anmeldung zur Registrierung aufgefordert.

Unternehmen sollten deshalb jetzt prüfen, wer noch SMS oder Sprache verwendet, die Einführung phishing-resistenter Methoden vorbereiten und die Mitarbeitenden frühzeitig informieren. Passkeys sind dabei die von Microsoft empfohlene Standardmethode.

Wir von anaptis unterstützen Sie gerne dabei. Bei Fragen zu der Umstellung wenden Sie sich gerne an uns und schreiben Sie uns einfach eine kurze Nachricht. Wir helfen Ihnen gerne!