MC1221452: Microsoft Entra ID Auto-enabling passkey Profile ab März 2026

Kurze Information für Administratoren von Microsoft Entra ID-Tenants. Microsoft plant ab März 2026 bei Microsoft Entra ID automatisch Passkey-Profile zu aktivieren. Administratoren, die das nicht möchten, müssen gegebenenfalls reagieren und die Option im Tenant vor der automatischen Umstellung entsprechend konfigurieren.

Microsoft hat die entsprechende Ankündigung bereits zum 23. Januar 2026 im Microsoft 365 Message Center unter MC1221452 – Microsoft Entra ID: Auto-enabling passkey profiles bekannt gegeben.

In der Mitteilung heißt es, dass ab März 2026 Microsoft Entra ID Passkey-Profile und synchronisierte Passkeys für die allgemeine Verfügbarkeit (GA) einführen wird. Mit diesem Update können Administratoren eine neue Passkey-Profilfunktion aktivieren, die gruppenbasierte Passkey-Konfigurationen unterstützt und eine neue passkeyType-Eigenschaft einführt.

Mit der Eigenschaft passkeyType können Administratoren gerätegebundene Passkeys oder synchronisierte Passkeys oder beides konfigurieren. Entscheidet ein Tenant sich während des ersten Rollout-Zeitraums nicht für Passkey-Profile, wird das neue Schema automatisch zu dem unten angegebenen Zeitpunkt aktiviert. In diesem Fall:

• werden bestehende Konfigurationen für die Passkey-Authentifizierungsmethode (FIDO2) in ein Standard-Passkey-Profil verschoben.
• wird der Wert passkeyType basierend auf den aktuellen Beglaubigungseinstellungen des Mandanten festgelegt.
• Für Mandanten, die synchronisierte Passkeys aktiviert haben, werden von Microsoft verwaltete Registrierungskampagnen aktualisiert, um Passkeys anzusprechen.

Das Ganze startet, wie oben erwähnt, Anfang März 2026 und soll Ende März 2026 abgeschlossen sein. Administratoren von Entra ID-Tenants, die eine andere Konfiguration als die Standardwerte für die Migration wünschen, sollten Passkey-Profile aktivieren, bevor das automatische Aktivierungsfenster ihres Tenants beginnt. Dann lässt sich der der PasskeyType des Standard-Passkey-Profils entsprechend den bevorzugten Werten konfigurieren.

Microsoft empfiehlt außerdem die Konfiguration der Registrierungskampagne zu überprüfen, insbesondere wenn diese auf "Von Microsoft verwaltet" eingestellt ist. Wenn synchronisierte Passkeys im Tenant aktiviert werden sollen, Administratoren aber nicht möchten, dass die Registrierungskampagne auf Passkeys abzielt, haben sie folgende Möglichkeiten:

• Setzen Sie den Status der Registrierungskampagne auf „Aktiviert" und richten Sie sich weiterhin an Microsoft Authenticator, oder
• Setzen Sie den Status der Registrierungskampagne auf „Deaktiviert".
• Aktualisieren Sie Runbooks und Hilfeinhalte, damit Ihr Helpdesk und Ihre Endbenutzer über alle Änderungen hinsichtlich der Verfügbarkeit oder des Verhaltens von Passkeys informiert sind.

Weitere Details lassen sich MC1221452 im Microsoft 365 Message Center sowie in dem am Beitragsende verlinkten Microsoft-Supportdokumenten entnehmen.