Passwörter, SMS-Codes und telefonische Bestätigungen gehören seit Jahren zum Alltag bei der Anmeldung an Unternehmenssystemen. Doch genau diese Methoden geraten zunehmend ins Visier von Cyberkriminellen.

Microsoft reagiert darauf mit einer grundlegenden Änderung in Microsoft Entra ID:
Passkeys werden zur bevorzugten, phishing-resistenten Authentifizierungsmethode. Gleichzeitig zieht sich Microsoft schrittweise aus der eigenen Bereitstellung von SMS- und Sprachanrufen für die Multifaktor-Authentifizierung zurück.

Für Unternehmen bedeutet das:
Jetzt ist der richtige Zeitpunkt, die eigenen Authentifizierungsmethoden zu überprüfen und den Umstieg vorzubereiten.

Warum Microsoft von SMS und Voice abrückt

SMS und Sprachanrufe haben viele Jahre dazu beigetragen, die Sicherheit von Benutzerkonten zu erhöhen. Aus heutiger Sicht sind diese Verfahren jedoch nicht mehr ausreichend robust.

Microsoft weist darauf hin, dass Angreifer SMS und Voice zunehmend durch Phishing, Social Engineering, SIM-Swapping oder MFA-Bypass-Techniken ausnutzen können. Passkeys setzen dagegen auf Public-Key-Kryptografie und kommen ohne klassische geteilte Geheimnisse aus. Dadurch sind sie grundsätzlich deutlich widerstandsfähiger gegen Phishing.

Der Vorteil liegt also nicht nur in mehr Komfort, sondern vor allem in einem höheren Sicherheitsniveau.

Was sind Passkeys?

Ein Passkey ersetzt klassische Anmeldedaten wie Passwort plus SMS-Code durch eine kryptografisch abgesicherte Anmeldung.

Microsoft Entra ID unterstützt dabei unterschiedliche Varianten. Dazu gehören synchronisierte Passkeys, etwa über iCloud Keychain oder den Google Password Manager, sowie gerätegebundene Passkeys über Microsoft Authenticator, Windows oder FIDO2-Sicherheitsschlüssel.

Für Benutzer wird die Anmeldung damit häufig einfacher, während Angreifer deutlich weniger Möglichkeiten haben, Zugangsdaten abzufangen.

Diese Termine sollten Unternehmen kennen

Microsoft hat für die Umstellung einen klaren Zeitplan definiert.

Seit 1. September 2026 werden Benutzer, die für SMS oder Voice aktiviert sind, schrittweise auch für Passkeys freigeschaltet. Bei der nächsten Multifaktor-Authentifizierung kann die Aufforderung erscheinen, einen Passkey zu registrieren.

Ab 30. Oktober 2026 können Unternehmen bei Bedarf einen unterstützten Telekommunikationsanbieter über den Microsoft Security Store auswählen und konfigurieren.

Am 1. Februar 2027 endet schließlich die von Microsoft selbst bereitgestellte SMS- und Voice-Authentifizierung in Entra ID. Wer diese Verfahren weiterhin benötigt, muss auf einen entsprechenden Drittanbieter zurückgreifen.

Nach diesem Stichtag wird die Passkey-Registrierung für betroffene Benutzer verpflichtend durchgesetzt. Microsoft sieht dafür keine Opt-out-Möglichkeit vor.

Was Unternehmen jetzt tun sollten

Der erste Schritt ist eine Bestandsaufnahme.

Unternehmen sollten prüfen, welche Benutzer aktuell noch SMS oder Voice als Authentifizierungsmethode verwenden. Danach sollte festgelegt werden, welche Passkey-Variante am besten zu den vorhandenen Geräten und Arbeitsabläufen passt.

Microsoft empfiehlt außerdem, Registrierungs-Kampagnen in Entra ID zu nutzen. Damit können Benutzer gezielt zur Einrichtung eines Passkeys aufgefordert werden. Ebenso wichtig ist eine klare Kommunikation, damit Mitarbeiter wissen, warum sich der Anmeldeprozess ändert und was sie konkret tun müssen.

Passkeys sind mehr als nur eine technische Umstellung

Der Wechsel auf Passkeys ist nicht nur ein neues Login-Verfahren. Er ist Teil einer grundsätzlichen Entwicklung hin zu stärker phishing-resistenter Authentifizierung.

Gerade für Unternehmen mit Microsoft 365 und Entra ID lohnt es sich, die Umstellung strukturiert vorzubereiten, statt bis kurz vor Februar 2027 zu warten.