Microsoft Entra ID: Passkeys ersetzen SMS-MFA ab 2027

Kurz gefasst: Microsoft macht Passkeys in Microsoft Entra ID zur Standard-Anmeldung.
Ab dem 1. September 2026 werden Benutzer, die noch SMS oder Sprachanruf als zweiten Faktor
nutzen, automatisch für Passkeys aktiviert. Zum 1. Februar 2027 stellt Microsoft die eigene
Zustellung von SMS- und Sprachanrufen ein. Unternehmen sollten vorher wissen, wen das betrifft.

Microsoft verändert die Authentifizierung in Microsoft Entra ID grundlegend. Passkeys werden zur
bevorzugten Anmeldemethode. Gleichzeitig endet die von Microsoft bereitgestellte Multi-Faktor-Authentifizierung
per SMS und Sprachanruf.

Für Unternehmen, die Microsoft 365 und Microsoft Entra ID einsetzen, ist das keine technische
Detailänderung. Bestehende Anmeldeverfahren sollten rechtzeitig überprüft werden, damit Mitarbeiter auch
nach der Umstellung zuverlässig auf ihre Konten und Anwendungen zugreifen können.

Was ändert Microsoft bei der Multi-Faktor-Authentifizierung?

Microsoft setzt künftig auf phishing-resistente Verfahren. Dazu gehören Passkeys, Windows Hello for
Business und FIDO2-Sicherheitsschlüssel.

Ab dem 1. September 2026 werden Benutzer, die in Microsoft Entra ID noch für SMS oder Sprachanrufe
aktiviert sind, automatisch für Passkeys aktiviert. Bei der nächsten Anmeldung mit
Multi-Faktor-Authentifizierung werden sie zur Einrichtung eines Passkeys aufgefordert. Diese Aufforderung
lässt sich zunächst beliebig oft vertagen — sie verschwindet aber nicht von selbst.

Zum 1. Februar 2027 stellt Microsoft die eigene Telekommunikationszustellung für SMS und Sprachanrufe
in Microsoft Entra ID ein.

Wichtig ist die Abgrenzung: SMS und Sprachanrufe werden nicht unter allen Umständen abgeschafft.
Unternehmen mit einem betrieblichen oder regulatorischen Bedarf können künftig einen selbst verwalteten
Telekommunikationsanbieter über den Microsoft Security Store einsetzen.

Warum reicht SMS-MFA langfristig nicht mehr aus?

SMS ist besser als nur ein Passwort — aber nicht phishing-resistent

Eine Multi-Faktor-Authentifizierung per SMS schützt ein Konto besser als eine Anmeldung ausschließlich
mit Benutzername und Passwort. Sie hat jedoch technische Schwächen.

Ein per SMS übertragener Einmalcode kann durch Phishing abgefragt und anschließend von einem Angreifer
verwendet werden. Ein weiterer Angriffsweg ist die Übernahme einer Mobilfunknummer durch SIM-Swapping.
Microsoft bewertet SMS und Sprachanrufe deshalb als deutlich schwächer als moderne Verfahren.

Was bedeutet phishing-resistente Authentifizierung?

Bei einer phishing-resistenten Authentifizierung wird verhindert, dass ein Benutzer seine Anmeldedaten
versehentlich an eine gefälschte Webseite weitergibt.

Passkeys arbeiten dafür mit kryptografischen Schlüsseln. Statt eines Passworts oder eines per SMS
übertragenen Codes wird ein auf dem Gerät hinterlegter Schlüssel verwendet. Ein Einmalcode, den ein
Mitarbeiter ablesen und auf einer anderen Seite eingeben könnte, entfällt.

Was sind Passkeys — und wie funktionieren sie?

Ein Passkey ist eine Anmeldemethode auf Basis kryptografischer Schlüssel. Der Benutzer bestätigt die
Anmeldung über sein Gerät, beispielsweise per PIN, Fingerabdruck oder Gesichtserkennung.

Microsoft Entra ID unterstützt zwei Varianten: synchronisierte Passkeys, die über einen
Anmeldeinformationsspeicher wie iCloud-Schlüsselbund oder Google Passwortmanager zwischen Geräten
abgeglichen werden, und gerätegebundene Passkeys, die auf einem einzelnen Gerät verbleiben —
etwa im Microsoft Authenticator, in Windows oder auf einem FIDO2-Sicherheitsschlüssel.

Für Unternehmen heißt das: Die Lösung muss zur vorhandenen Geräteverwaltung und zu den Arbeitsplätzen
passen. Ein Außendienstmitarbeiter mit Notebook und Smartphone hat andere Anforderungen als jemand an
einem gemeinsam genutzten Arbeitsplatz in der Produktion.

Welche Unternehmen sollten jetzt handeln?

Alle Organisationen, die Microsoft 365 oder andere über Entra ID abgesicherte Anwendungen einsetzen,
sollten ihren Mandanten überprüfen. Besonders betroffen sind Unternehmen, in denen Mitarbeiter heute SMS
oder Sprachanrufe als zweiten Faktor verwenden.

Dazu gehören häufig mittelständische Unternehmen, Steuerkanzleien, Arztpraxen und Pflegeeinrichtungen.
Gerade dort muss eine Änderung der Anmeldung planbar erfolgen, weil gesperrte Zugänge den laufenden Betrieb
sofort beeinträchtigen. Wer bereits Passkeys, Windows Hello for Business oder ein anderes
phishing-resistentes Verfahren nutzt, hat deutlich weniger Umstellungsbedarf. Wie eine Microsoft-365-Umgebung
sauber betrieben und abgesichert wird, beschreiben wir unter
Microsoft 365 Betreuung in Düsseldorf.

Umstieg auf Passkeys: Was Unternehmen vor dem 1. September 2026 prüfen sollten

Der erste Schritt ist eine Bestandsaufnahme.

1. Betroffene Benutzer identifizieren

Administratoren sollten feststellen, welche Benutzer noch für SMS oder Sprachanrufe aktiviert sind.
Dabei reicht es nicht, nur die bekannten Konten zu betrachten — auch selten genutzte Konten,
administrative Konten und Sonderfälle gehören dazu. Microsoft stellt für diese Auswertung ein eigenes
PowerShell-Skript bereit; für die Ausführung wird eine Leseberechtigung auf die
Authentifizierungsrichtlinien benötigt.

2. Geeignete Methode festlegen

Anschließend wird entschieden, welche Methode künftig eingesetzt wird. Microsoft empfiehlt Passkeys.
Abhängig von Arbeitsplatz, Endgerät und Sicherheitsanforderungen können auch Windows Hello for Business
oder FIDO2-Hardware-Schlüssel die bessere Wahl sein.

3. Mit einer Pilotgruppe testen

Eine unternehmensweite Umstellung ohne Test erzeugt unnötige Supportfälle. Sinnvoll ist eine kleine
Pilotgruppe mit unterschiedlichen Endgeräten. Dabei lässt sich prüfen, ob Registrierung, Anmeldung und
vor allem die Wiederherstellung bei Geräteverlust wie vorgesehen funktionieren.

4. Mitarbeiter rechtzeitig informieren

Die technische Umstellung allein reicht nicht. Mitarbeiter müssen wissen, warum eine neue
Anmeldeaufforderung erscheint und was zu tun ist. Eine kurze, verständliche Anleitung senkt das Risiko,
dass eine berechtigte Aufforderung für Phishing gehalten oder ignoriert wird — ein Punkt, der eng mit
der übrigen IT-Sicherheit im Unternehmen zusammenhängt.

5. Wer mehr Zeit braucht: befristeter Aufschub

Microsoft sieht für den Zeitraum vom 1. September 2026 bis zum 1. Februar 2027 einen befristeten
Aufschub vor. Damit lässt sich die automatische Aktivierung von Passkeys und die Registrierungsaufforderung
verzögern, während die Umstellung vorbereitet wird. Der Aufschub wird über die
Authentifizierungsrichtlinie gesetzt und sollte bewusst als Übergangslösung verstanden werden:
Für die Umstellung am 1. Februar 2027 gibt es keinen Aufschub. Sie gilt für alle
Mandanten.

Wer die automatische Aktivierung gar nicht erst auslösen möchte, kann die betroffenen Benutzer
alternativ schon vor dem 1. September 2026 aus SMS und Sprachanruf herausnehmen.

Was passiert am 1. Februar 2027?

Ab diesem Datum stellt Microsoft die eigene Zustellung von SMS und Sprachanrufen für die
Multi-Faktor-Authentifizierung in Entra ID ein.

Hat ein Benutzer dann ausschließlich SMS oder Sprachanruf als verfügbare Methode und wurde kein eigener
Telekommunikationsanbieter eingerichtet, lässt sich die bisherige Methode nicht mehr verwenden. Microsoft
sieht für diese Benutzer eine blockierende Aufforderung zur Registrierung eines Passkeys
vor: Die Anmeldung kann erst fortgesetzt werden, nachdem die Registrierung erfolgt ist.

Eine geplante Migration ist deshalb deutlich sinnvoller, als die Umstellung einzelnen Mitarbeitern
mitten in der produktiven Arbeit zu überlassen.

Wann kann SMS weiterhin verwendet werden?

Unternehmen mit einem nachvollziehbaren regulatorischen, technischen oder betrieblichen Bedarf können
SMS oder Sprachanrufe über einen selbst verwalteten Telekommunikationsanbieter weiter nutzen.

Informationen zu verfügbaren Anbietern sollen ab dem 18. September 2026 bereitstehen. Die Auswahl und
Konfiguration eines Anbieters über den Microsoft Security Store soll ab dem 30. Oktober 2026 möglich sein.
Ob dieses Modell erforderlich und wirtschaftlich sinnvoll ist, sollte im Einzelfall geprüft werden.

Die hier genannten Termine entsprechen dem
von Microsoft veröffentlichten Zeitplan (Stand August 2026).

FAQ: Microsoft Entra ID, SMS-MFA und Passkeys

Wann wird SMS-MFA bei Microsoft abgeschaltet?

Microsoft stellt die eigene Zustellung von SMS und Sprachanrufen in Microsoft Entra ID am 1. Februar 2027
ein. Selbst verwaltete Telekommunikationsanbieter sind davon nach aktuellem Stand nicht betroffen.

Werden Passkeys schon vorher aktiviert?

Ja. Ab dem 1. September 2026 werden Benutzer, die für SMS oder Sprachanrufe aktiviert sind, automatisch
für Passkeys aktiviert und bei der Anmeldung zur Registrierung aufgefordert.

Sind Passkeys dasselbe wie ein Passwort?

Nein. Passkeys beruhen auf kryptografischen Schlüsseln und benötigen kein gemeinsam bekanntes Geheimnis.
Die Freigabe erfolgt über das Gerät des Benutzers, etwa per Fingerabdruck oder PIN.

Müssen alle Unternehmen auf Passkeys umstellen?

Nicht zwingend ausschließlich auf Passkeys. Microsoft empfiehlt den Wechsel auf phishing-resistente
Verfahren. Je nach Einsatzszenario kommen Passkeys, Windows Hello for Business oder
FIDO2-Sicherheitsschlüssel infrage.

Kann man die Umstellung aufschieben?

Für den Zeitraum vom 1. September 2026 bis zum 1. Februar 2027 ist ein befristeter Aufschub der
automatischen Aktivierung möglich. Für die Umstellung am 1. Februar 2027 selbst gibt es keinen Aufschub.

Was passiert, wenn ein Unternehmen nichts unternimmt?

Benutzer, deren einzige Methode nach dem 1. Februar 2027 die von Microsoft bereitgestellte SMS- oder
Sprachauthentifizierung ist, müssen bei der Anmeldung einen Passkey registrieren, bevor sie fortfahren
können.

Fazit: Passkeys rechtzeitig einführen statt kurzfristig reagieren

Die Änderung in Microsoft Entra ID ist ein guter Anlass, die Authentifizierung im Unternehmen zu
überprüfen. Entscheidend ist zunächst zu wissen, welche Mitarbeiter noch SMS oder Sprachanrufe verwenden
und welche Alternative zur vorhandenen IT-Umgebung passt.

Wer die Migration nicht erst kurz vor dem 1. Februar 2027 angeht, hat genügend Spielraum für Pilotbetrieb,
Sonderfälle und die Information der Mitarbeiter. Als IT-Systemhaus in Düsseldorf betreuen wir seit 1992
mittelständische Unternehmen und Kanzleien und prüfen im Rahmen der
laufenden IT-Systembetreuung, welche Benutzer betroffen
sind und welche Methode zu den tatsächlichen Arbeitsabläufen passt.