Microsoft hat Mitte Juli angekündigt, die Anmeldung an Microsoft 365 und Azure grundlegend umzustellen: Ab dem 1. September 2026 werden Passkeys das Standard-Verfahren für die Multifaktor-Authentifizierung in Microsoft Entra ID. Und am 1. Februar 2027 stellt Microsoft die selbst bereitgestellte Zustellung von SMS- und Anruf-Codes vollständig ein. Wer in seinem Unternehmen heute noch den klassischen Zahlencode per SMS aufs Handy nutzt, hat damit einen festen Termin im Kalender – und sollte die verbleibende Zeit zur Vorbereitung nutzen.
Am 1. September passiert zunächst nichts Dramatisches, aber Sichtbares: Alle Benutzer, die in der Authentifizierungsmethoden-Richtlinie für SMS oder Anruf freigeschaltet sind, werden automatisch auch für Passkeys aktiviert. Die Registrierungskampagne des Mandanten wechselt in den von Microsoft verwalteten Zustand, und beim nächsten Login mit MFA werden die betroffenen Mitarbeitenden aufgefordert, einen Passkey einzurichten. Diese Aufforderung lässt sich vorerst beliebig oft aufschieben. Unternehmen, die einen eigenen Zeitplan verfolgen, können die automatische Umstellung über einen befristeten Opt-out in der Richtlinie zurückstellen – das verschiebt allerdings nur den Aufwand, nicht die Frist.
Der harte Stichtag ist der 1. Februar 2027, und dafür gibt es kein Opt-out. Ab diesem Datum liefert Microsoft keine SMS und keine Sprachanrufe mehr aus. Benutzer, deren einzige MFA-Methode SMS oder Telefon ist, bekommen dann eine blockierende Aufforderung zur Passkey-Registrierung: kein Weiterarbeiten ohne eingerichteten Passkey. Das betrifft auch die Self-Service-Passwortzurücksetzung. Wer aus regulatorischen Gründen zwingend einen SMS-Kanal braucht, kann ab Ende Oktober 2026 einen eigenen Telekommunikationsanbieter über den Microsoft Security Store buchen – das ist dann allerdings kostenpflichtig und pro Nachricht abgerechnet.
Der Hintergrund ist nachvollziehbar: SMS und Anruf gehören zu den schwächsten MFA-Verfahren. SIM-Swapping und Angriffe, die sich zwischen Nutzer und Anmeldemaske schalten, sind längst Standardwerkzeuge. Microsoft verweist in seiner Ankündigung auf KI-gestützte Phishing-Kampagnen mit Klickraten von bis zu 54 Prozent gegenüber rund 12 Prozent bei klassischen Kampagnen. Passkeys arbeiten mit kryptografischen Schlüsselpaaren statt mit einem geteilten Geheimnis, das sich abfangen oder erfragen lässt – ein abgefischter Code nützt dem Angreifer nichts mehr, weil es keinen gibt.
Konkret sind jetzt vier Schritte sinnvoll: Erstens eine Bestandsaufnahme, welche Konten überhaupt noch auf SMS oder Anruf stehen – Microsoft stellt dafür Auswertungen und ein PowerShell-Skript bereit. Zweitens die Entscheidung, welche Passkey-Variante zum Arbeitsplatz passt: Passkey in der Authenticator-App, Windows Hello for Business am festen Arbeitsplatz oder ein FIDO2-Sicherheitsschlüssel für Schichtbetrieb, Produktion und geteilte Rechner. Drittens die Sonderfälle klären – Beschäftigte ohne Diensthandy, Geräte ohne Biometrie, externe Gäste. Und viertens die Kommunikation an die Belegschaft, denn ein unangekündigtes Anmeldefenster erzeugt vor allem Tickets im Support.
Die Umstellung selbst verursacht keine zusätzlichen Lizenzkosten, wohl aber Planungsaufwand – und sie ist eine gute Gelegenheit, die Anmeldeverfahren im Unternehmen einmal grundsätzlich aufzuräumen. Als Microsoft-Partner unterstützen wir Sie bei der Analyse Ihres Mandanten, der Auswahl der passenden Verfahren und einem Rollout, der ohne Anmeldeprobleme über die Bühne geht. Sprechen Sie uns an – am besten, bevor Ihre Mitarbeitenden im September das erste Mal von selbst gefragt werden.