Kategorie
IT-Sicherheit & Microsoft 365
Thema
MFA-Umstellung auf Passkeys
Zielgruppe
IT-Admins & Entscheider
Das Ende von SMS- und Anruf-MFA in Microsoft 365: Warum Admins jetzt handeln müssen
Microsoft zieht einen Schlussstrich unter eine der ältesten Krücken der IT-Sicherheit: SMS- und Anruf-basierte Multi-Faktor-Authentifizierung in Entra ID wird abgeschafft. Ab dem 1. September 2026 macht Microsoft Passkeys zur Standard-Anmeldemethode, ab dem 1. Februar 2027 ist für SMS und Sprachanrufe endgültig Schluss, zumindest wenn Microsoft sie bereitstellt. Für Unternehmen, die MFA seit Jahren „irgendwie eingerichtet“ haben und nie wieder angefasst haben, ist das der unangenehmste Weckruf des Jahres.
Was sich konkret ändert
Microsoft hat die Änderung am 13. Juli 2026 offiziell angekündigt. Zwei Dinge passieren, die man technisch getrennt betrachten sollte, auch wenn sie zusammen kommuniziert werden.
🔵 Ab 1. September 2026
- Passkeys werden Standard-Anmeldeerfahrung
- Alle SMS-/Voice-Nutzer automatisch ins Passkey-Profil überführt
- Registration Campaign wird auf „Microsoft Managed“ gesetzt
- Nutzer werden bei der nächsten MFA-Anmeldung zur Registrierung aufgefordert
🟠 Ab 1. Februar 2027
- Microsoft-bereitgestelltes SMS/Voice wird komplett abgeschaltet
- Wer SMS/Voice zwingend braucht, muss eigenen Telekom-Anbieter konfigurieren
- Buchbar ab 30. Oktober 2026 über den Microsoft Security Store
- Ohne Konfiguration: SMS-Codes funktionieren schlicht nicht mehr
Wichtig für Admins: Es geht nicht darum, ob jemand tatsächlich per SMS einloggt, sondern ob die Methode für ihn aktiviert ist. Wenn eure Policy SMS für „Alle Nutzer“ freigeschaltet hat, seid ihr komplett betroffen, auch wenn de facto nur eine Handvoll Leute das je genutzt hat. Auch Self-Service Password Reset (SSPR) ist betroffen, falls dort SMS oder Anruf als Verifizierungsmethode hinterlegt sind.
Ein Detail, das viele übersehen: Es gibt eine temporäre Opt-out-Möglichkeit über die Microsoft Graph API (
optOutSettings.passkeyDynamicMigration), mit der sich die automatische Umstellung verzögern lässt. Sie ist ab dem 1. August 2026 verfügbar. Das verschafft Luft für eine saubere Migration, ist aber kein Freifahrtschein, um das Thema auf 2027 zu verschieben.
Warum das mehr ist als nur ein weiteres Message-Center-Update
Microsoft selbst bezeichnet SMS und Voice offen als Methoden, die „AI-gestützte Angriffe nicht mehr stoppen können“. Das ist keine Marketing-Floskel.
SMS-Codes basieren auf einem geteilten Geheimnis, das über einen unsicheren Kanal (Mobilfunknetz) übertragen wird, ein klassisches Ziel für SIM-Swapping, SS7-Angriffe und Real-Time-Phishing-Proxies. Laut Microsoft Threat Intelligence erreichen KI-gestützte Phishing-Kampagnen mittlerweile Klickraten von bis zu 54 %, gegenüber rund 12 % bei klassischen Kampagnen. Passkeys basieren dagegen auf Public-Key-Kryptografie und sind dadurch grundsätzlich phishing-resistent: Es gibt kein Geheimnis, das ein Angreifer abfangen oder erschleichen könnte, weil der private Schlüssel das Gerät nie verlässt.
Aus Sicherheitsperspektive ist der Schritt also überfällig und richtig. Aus Admin-Perspektive ist er trotzdem ein Projekt, kein Haken auf einer Checkliste, vor allem, weil er automatisch und für alle Tenants verpflichtend kommt, unabhängig davon, ob die Migration vorbereitet ist oder nicht.
Wer besonders betroffen ist
- Unternehmen mit alten oder nie überarbeiteten MFA-Konfigurationen, bei denen SMS/Voice noch breit freigeschaltet ist
- Branchen mit Compliance-Anforderungen an Telefonie-MFA, die jetzt aktiv einen Drittanbieter einplanen und budgetieren müssen
- Unternehmen mit vielen Frontline- oder Deskless-Workern ohne Firmen-Smartphone mit Authenticator-App
- B2B-Gäste und externe Partner, deren Passkey-Unterstützung erst Ende 2026 vollständig verfügbar ist
- Tenants mit Legacy-MFA-Einstellungen statt der modernen Authentication Methods Policy
Was Passkeys eigentlich sind, und was nicht
Bevor man über die Migration spricht, lohnt sich eine kurze Einordnung, weil „Passkey“ in vielen Köpfen automatisch mit „Hardware-Schlüssel“ gleichgesetzt wird. Das stimmt nur teilweise.
Technisch ist ein Passkey ein FIDO2/WebAuthn-Credential: ein asymmetrisches Schlüsselpaar, bei dem der öffentliche Schlüssel bei Microsoft hinterlegt wird und der private Schlüssel das Gerät nie verlässt. Beim Login beweist das Gerät kryptografisch, dass es den privaten Schlüssel besitzt, ganz ohne Passwort oder Code, der abgefangen werden könnte. Genau das macht Passkeys phishing-resistent: Es gibt schlicht kein Geheimnis mehr, das eine gefälschte Login-Seite abgreifen könnte.
🔒 Device-bound Passkeys
- Fest an ein einzelnes Gerät gebunden, verlässt es nie
- FIDO2-Hardware-Sicherheitsschlüssel (USB/NFC)
- Windows Hello (Gesicht, Fingerabdruck, PIN, gebunden an TPM)
- Passkeys in der Microsoft-Authenticator-App
- Bei Geräteverlust: Passkey unwiderruflich weg, Recovery nötig
☁️ Synced Passkeys
- Verschlüsselt über Cloud-Anbieter zwischen Geräten synchronisiert
- Z. B. iCloud Keychain, Google Password Manager
- Bequemer bei Geräteverlust
- Keine Hardware-Attestierung möglich
- Empfohlen für den „Normalfall“, nicht für Admin-Rollen
Kurz gesagt: Ein Passkey ist nicht zwangsläufig Hardware, und er läuft nicht zwangsläufig über den Authenticator auf dem Privathandy. Microsoft Authenticator ist nur eine von mehreren möglichen Trägern.
Die Lösung für den häufigsten Konflikt: keine FIDO2-Keys kaufen, aber auch kein Privathandy nutzen
In der Praxis stoßen viele Unternehmen genau hier auf einen Konflikt: FIDO2-Hardware-Keys kosten Geld, Beschaffung und Support-Aufwand pro Nutzer, und gleichzeitig wollen (oder dürfen aus Datenschutzgründen) viele Mitarbeitende ihr privates Smartphone nicht für den Firmenlogin einsetzen.
Unsere Empfehlung: In den meisten Fällen ist Windows Hello auf dem ohnehin vorhandenen Firmen-Notebook die Lösung. Da der private Schlüssel im TPM-Chip des Geräts gespeichert wird, entstehen keine Zusatzkosten für Hardware, und es wird kein privates Endgerät benötigt: Der Login läuft über Kamera, Fingerabdrucksensor oder PIN des Firmengeräts, das der Nutzer ohnehin täglich benutzt. Das funktioniert auch auf Geräten, die nicht Entra-joined oder Entra-registriert sind, also zum Beispiel auf gemeinsam genutzten oder unmanaged PCs.
Für Unternehmen mit bereits ausgerollter Windows Hello for Business-Infrastruktur ist der Umstieg entsprechend am reibungslosesten: Die Hardware-Basis (TPM, Kamera, Fingerabdrucksensor) ist meist längst vorhanden, es fehlt oft nur die passende Passkey-Profilkonfiguration in Entra ID.
Nur für zwei Nutzergruppen bleibt diese Variante keine vollständige Lösung:
- Mitarbeitende ohne festes Firmengerät (z. B. Nutzer von Terminal-Server-Umgebungen oder häufig wechselnden Shared Devices ohne biometrische Sensoren): Hier führt oft kein Weg an FIDO2-Hardware-Keys vorbei
- Admins und hochprivilegierte Rollen, für die Microsoft ohnehin device-bound Passkeys mit erzwungener Attestierung empfiehlt: Hier lohnt sich die Investition in Hardware-Keys unabhängig von der Kostenfrage
Für die breite Masse der Belegschaft ist Windows Hello damit häufig der pragmatischste Mittelweg zwischen „kein Zusatzbudget für Hardware“ und „kein Zugriff auf Privatgeräte“, vorausgesetzt, die Firmen-Notebooks verfügen über die nötigen biometrischen Sensoren oder zumindest eine PIN-Absicherung über TPM.
Was IT-Teams jetzt konkret tun sollten
1
Bestandsaufnahme machen
Prüft in Entra ID > Authentication methods, für welche Nutzer und Gruppen SMS oder Voice aktuell freigeschaltet sind, sowohl in der modernen Authentication Methods Policy als auch in den Legacy-MFA-Einstellungen. Entscheidend ist die Freischaltung, nicht die tatsächliche Nutzung.
2
Passkey-Rollout aktiv steuern
Wer die Registration Campaign selbst steuert, statt sie automatisch am 1. September greifen zu lassen, vermeidet unkoordinierte Helpdesk-Anfragen. Voraussetzung: FIDO2/Passkey muss als Methode aktiviert und eine Zielgruppe definiert sein.
3
Entscheiden, ob SMS/Voice überhaupt noch nötig ist
Falls ja: rechtzeitig einen Telekom-Partner über den Microsoft Security Store evaluieren und budgetieren. Die Buchung ist erst ab Ende Oktober 2026 möglich, aber die Entscheidung sollte vorher stehen.
4
SSPR-Flows separat prüfen
Die Umstellung betrifft nicht nur den Login, sondern auch Passwort-Reset-Prozesse, die häufig getrennt konfiguriert sind und leicht übersehen werden.
5
Passkey-Trägermedium pro Nutzergruppe festlegen
Für die meisten Mitarbeitenden mit Firmen-Notebook reicht Windows Hello ohne Zusatzkosten. Nur für Nutzer ohne festes Gerät oder für Admin-Rollen lohnt sich die Investition in FIDO2-Hardware-Keys, das hat Vorlaufzeit bei Beschaffung und Rollout.
6
Opt-out nur als Zeitpuffer nutzen
Die Graph-API-Option verschafft Zeit, ersetzt aber keine Migrationsstrategie, sie verschiebt lediglich das automatische Enforcement.
Der Punkt, den viele unterschätzen
Diese Änderung kommt nicht isoliert. Sie reiht sich ein in eine Serie von Sicherheitsverschärfungen, die Microsoft 2026 im M365- und Entra-Umfeld ausrollt, von strengeren Regeln für föderierte Token-Validierung bis zu neuen Governance-Funktionen in Exchange Online. Der gemeinsame Nenner: Microsoft verlagert Verantwortung zunehmend zurück an die Tenants. Wer seine Authentication-Policies, Conditional-Access-Regeln und MFA-Methoden nicht aktiv pflegt, läuft automatisch in Enforcement-Deadlines hinein, und das meist zu einem Zeitpunkt, der sich nicht selbst aussuchen lässt.
Wie wir helfen können
Diese Art von Migration ist genau der Fall, für den wir unseren
M365-Härtungsservice anbieten. Dabei schauen wir uns unter anderem an, welche MFA-Methoden in eurem Tenant aktuell aktiv freigeschaltet sind und für wen, ob eure Authentication Methods Policy oder noch Legacy-Einstellungen greifen, wo Nutzer oder Gruppen unnötig breite Berechtigungen für schwache Auth-Methoden haben, und wie ein realistischer, störungsarmer Rollout-Plan für Passkeys in eurer konkreten Umgebung aussieht, inklusive der Fälle, in denen Hardware-Security-Keys die bessere Wahl sind.
Wollt ihr wissen, wie es um eure MFA-Konfiguration steht, bevor Microsoft im September die Entscheidung für euch trifft?
Sprich uns an.
Quellen
