Wenn in Ihrem Unternehmen heute noch Mitarbeitende ihre Multi-Faktor-Authentifizierung per SMS-Code oder Anruf bestätigen, sollten Sie jetzt aktiv werden. Microsoft hat angekündigt, die eigene, telekombasierte SMS- und Sprachauthentifizierung in Microsoft Entra ID schrittweise abzuschalten. Ich erkläre Ihnen, was hinter der Ankündigung steckt, welche Fristen jetzt zählen und wie Sie den Umstieg für Ihr Unternehmen ohne Stress und ohne blockierte Anmeldungen umsetzen.
Warum Microsoft SMS und Anruf als MFA-Methode abschafft
SMS-Codes und Sprachanrufe gehören zu den am wenigsten sicheren MFA-Verfahren, die aktuell verfügbar sind. Sie lassen sich vergleichsweise einfach durch Phishing, SIM-Swapping oder Replay-Angriffe umgehen. Angesichts zunehmend automatisierter und KI-gestützter Angriffe reicht dieses Schutzniveau nicht mehr aus.
Microsofts Antwort: Passkeys werden der neue Standard in Microsoft Entra ID. Sie basieren auf Public-Key-Kryptografie, sind an das jeweilige Gerät gebunden und damit von Haus aus phishing-resistent – ein Angreifer kann sie weder abfangen noch durch eine gefälschte Login-Seite abgreifen.
Nicht jede MFA ist gleich sicher
Microsoft Entra ID unterstützt eine ganze Reihe von Authentifizierungsmethoden – die Schutzwirkung unterscheidet sich dabei teils erheblich. Hier die Übersicht in drei Stufen:
Schwach
Anfällig für Phishing, SIM-Swapping oder Abfangen des Codes:
- SMS-Code / Sprachanruf – Code oder Anruf per Telefonnetz, klassisches Einfallstor für SIM-Swapping und Phishing-Seiten
- E-Mail-Einmalcode (Email OTP) – primär für Passwort-Reset gedacht, ebenso leicht abzufangen
Mittel
Besser als SMS, aber weiterhin anfällig für MFA-Fatigue- und Echtzeit-Phishing-Angriffe:
- Authenticator-Push-Benachrichtigung – Bestätigung per Tastendruck in der Microsoft-Authenticator-App
- Authenticator Lite – abgespeckte Push-Bestätigung direkt in Outlook, ohne separate App
- Software-/Hardware-OATH-Token – zeitbasierte Einmalcodes (TOTP), z. B. per Authenticator-App oder physischem Token
- Temporary Access Pass (TAP) – zeitlich befristeter Zugangscode, meist für Ersteinrichtung oder Recovery
- QR-Code-Anmeldung – Anmeldung durch Scannen eines QR-Codes, z. B. für Schichtarbeiter ohne eigenes Gerät
Phishing-resistent
Kryptografisch an die jeweilige Website gebunden, eine gefälschte Login-Seite kann den Vorgang gar nicht erst auslösen:
- Passkeys (FIDO2), inkl. synchronisierter Passkeys und Passkeys in Microsoft Authenticator
- Windows Hello for Business – biometrische oder PIN-Anmeldung direkt am Windows-Gerät
- Platform Credential für macOS – das Pendant zu Windows Hello auf Apple-Geräten
- FIDO2-Sicherheitsschlüssel – physischer Hardware-Schlüssel, z. B. als USB-Stick
- Zertifikatsbasierte Authentifizierung (CBA) – Anmeldung über ein digitales Zertifikat, etwa auf einer Smartcard
Ergänzend gibt es noch Verified ID: Das ist kein klassisches Anmeldeverfahren, sondern ein Werkzeug zur Identitätsprüfung – etwa wenn ein Nutzer alle Zugangsmethoden verloren hat und sich per digitalem Ausweis-Check gegenüber dem Helpdesk verifizieren muss.
Microsoft macht jetzt genau die letzte Stufe – Passkeys – zum Standard. Der Umstieg ist also nicht nur eine technische Pflichtübung wegen des Auslauf-Datums, sondern ein echter Sprung im Schutzniveau Ihres Unternehmens.
Die wichtigsten Termine im Überblick
1. September 2026
Alle Nutzer, die aktuell für SMS oder Anruf freigeschaltet sind, werden automatisch für Passkeys aktiviert und bei der nächsten MFA-Anmeldung zur Registrierung aufgefordert. Wer diese automatische Umstellung nicht möchte, muss betroffene Nutzer vorher aus der Authentication Methods Policy für SMS/Anruf entfernen.
1. Februar 2027
Die von Microsoft bereitgestellte SMS- und Sprachauthentifizierung wird in Microsoft Entra ID vollständig eingestellt. Ausgenommen sind ausschließlich kundenverwaltete Telekom-Anbieter, die über den Microsoft Security Store konfiguriert wurden.
Nach dem 1. Februar 2027
Nutzer, deren einzige verfügbare MFA-Methode SMS oder Anruf war, erhalten einen blockierenden Prompt und müssen sich vor der nächsten Anmeldung einen Passkey einrichten. Diese Regel gilt tenant-übergreifend, ein Opt-out gibt es nicht.
Was das für Ihr Unternehmen bedeutet
Nutzt in Ihrem Tenant niemand SMS oder Anruf als MFA-Methode, betrifft Sie die Änderung nicht direkt – ein guter Anlass, das trotzdem einmal zu überprüfen. Sind bei Ihnen jedoch Nutzer auf SMS oder Anruf angewiesen, sollten Sie den Umstieg jetzt planen, statt ihn im September 2026 von Microsoft aufgezwungen zu bekommen.
So gehe ich mit meinen Kunden vor:
- Betroffene Nutzer identifizieren. In der Authentication Methods Policy prüfen wir gemeinsam, wer aktuell noch SMS oder Anruf nutzt.
- Passkeys aktivieren und Rollout planen. Statt die automatische Migration am 1. September 2026 abzuwarten, richte ich mit Ihnen eine kontrollierte Registrierungskampagne ein – auf Ihren Zeitplan abgestimmt, nicht auf den von Microsoft.
- Mitarbeitende informieren. Eine klare, verständliche Kommunikation an die Belegschaft ist entscheidend, damit die Umstellung nicht als IT-Ärgernis, sondern als Sicherheitsgewinn ankommt.
- Ausnahmen prüfen. Gibt es regulatorische oder operative Gründe, SMS oder Anruf beizubehalten, lässt sich ab dem 18. September 2026 ein kundenverwalteter Telekom-Anbieter über den Microsoft Security Store konfigurieren (Einrichtung ab 30. Oktober 2026 möglich).
Mein Rat: Jetzt handeln, nicht erst kurz vor dem Stichtag
Wer den Umstieg vor dem 1. September 2026 aktiv angeht, behält die Kontrolle über Tempo und Ablauf der Migration. Wer wartet, riskiert überraschte Mitarbeitende und im schlimmsten Fall blockierte Anmeldungen kurz vor oder nach dem Stichtag im Februar 2027.
Ich unterstütze Sie gerne dabei, Ihre Authentication Methods Policy zu prüfen, eine Passkey-Strategie für Ihr Unternehmen zu entwickeln und die Umstellung Ihrer Mitarbeitenden reibungslos zu begleiten – von der ersten Bestandsaufnahme bis zur vollständigen Migration.
Sprechen Sie mich einfach an, wenn Sie wissen möchten, wie viele Ihrer Nutzer aktuell betroffen sind und wie ein realistischer Zeitplan für Ihr Unternehmen aussieht.
Quelle: Microsoft Entra ID Ankündigung, Juli 2026 / Microsoft Learn: Standardmäßig aktivierte Passkeys und Einstellung der SMS-/Sprachauthentifizierung