Microsoft stellt um: Passkeys werden Standard in EntraID
Was sich ab September 2026 ändert – und warum Sie jetzt handeln sollten
Kurz zusammengefasst:
Microsoft macht Passkeys ab September 2026 zur Standard-Anmeldemethode in Entra ID. SMS- und Anruf-basierte Multifaktor-Authentifizierung (MFA) verliert damit ihren Status als Standardoption. Zum 1. Februar 2027 stellt Microsoft die eigene Telekom-Zustellung für SMS und Sprachanrufe vollständig ein.
Für Organisationen, die heute noch auf Telefon-MFA setzen, bedeutet das: Bis Ende Januar 2027 muss migriert sein – sonst drohen Anmeldeprobleme im Tagesgeschäft.
Was passiert konkret?
Ab September 2026 (schrittweiser Rollout):
Auto-Aktivierung: Benutzer, die aktuell für SMS oder Anruf aktiviert sind, werden automatisch für Passkeys aktiviert.
Aufforderung: Beim nächsten MFA-Vorgang nach dem Rollout werden diese Benutzer aufgefordert, einen Passkey zu registrieren.
Ausnahme: Wer bereits eine phishing-resistente Methode nutzt – Passkeys, Windows Hello for Business, FIDO2-Sicherheitsschlüssel oder Smartcards – ist nicht betroffen und kann wie gewohnt weiterarbeiten.
Ab 1. Februar 2027:
Retirement: Microsoft liefert keine SMS- und Sprachanruf-MFA mehr aus.
Drittanbieter-Pflicht: Wer Telefon-Authentifizierung zwingend braucht, muss einen Drittanbieter für Telekom-Dienste über den Microsoft Security Store anbinden – mit entsprechendem Konfigurations-, Integrations- und Kostenaufwand.
Warum Microsoft das tut
SMS- und Anruf-MFA gilt seit Jahren als die schwächste der verbreiteten MFA-Methoden. Sie ist anfällig für SIM-Swapping, SS7-Angriffe und – vor allem – für Adversary-in-the-Middle-Phishing, bei dem Angreifer Anmeldedaten und Einmalcode in Echtzeit über eine gefälschte Login-Seite abgreifen. Passkeys und FIDO2 sind gegen genau diese Angriffsklasse konstruktiv immun: Das Anmeldegeheimnis verlässt das Gerät nie und ist kryptografisch an die echte Domain gebunden.
Der Schritt ist also weniger eine Produktentscheidung als das Ende einer Übergangsphase.
Was Sie jetzt tun sollten
- Bestandsaufnahme (jetzt): Ermitteln Sie, welche Benutzer heute noch SMS oder Anruf als MFA-Methode registriert haben. Erfahrungsgemäß sind das häufig mehr, als man erwartet – insbesondere Servicekonten, Außendienst, Produktion und Benutzer ohne Firmensmartphone.
- Zielbild festlegen: Für die meisten Benutzer ist der Passkey über die Microsoft Authenticator App oder plattformseitig (Windows Hello for Business, Face ID / Touch ID) der naheliegende Weg. Für Sonderfälle – Shared Devices, Schichtbetrieb, Umgebungen ohne Smartphone – sind FIDO2-Sicherheitsschlüssel die robuste Alternative.
- Authentication Methods Policy vorbereiten: Passkeys müssen in der Authentifizierungsmethoden-Richtlinie aktiviert und für die richtigen Gruppen freigegeben werden. Gleichzeitig empfiehlt sich der geordnete Rückbau von SMS/Anruf statt eines abrupten Abschaltens.
- Registrierungskampagne fahren: Migrieren Sie kontrolliert und mit Kommunikation an die Endanwender – nicht erst dann, wenn der Rollout die Benutzer von selbst zur Registrierung zwingt.
- Notfallzugänge prüfen: Break-Glass-Konten und deren Anmeldemethoden gehören zwingend mit auf die Prüfliste.
Gute Gelegenheit: Conditional Access mitdenken
Wer ohnehin auf phishing-resistente Methoden umstellt, sollte die Chance nutzen und die Conditional-Access-Strategie gleich mitziehen: Authentication Strengths erlauben es, phishing-resistente MFA gezielt für administrative Rollen und schützenswerte Anwendungen zu erzwingen. Aus einem Pflichttermin wird so ein echter Sicherheitsgewinn.
Bei Fragen oder Unterstützungsbedarf erreichen Sie uns unter