Kurze Information für Administratoren für Microsofts Cloud-Anwendungen. Redmond will die SMS- und Sprachauthentifizierung in Microsoft Entra ID zum 1. Februar 2027 einstellen. Andererseits soll die Identifikation der Nutzer per Passkey als Standard eingeführt werden. Hier ein kurzer Überblick über diese Themen.
SMS- und Sprachauthentifizierung endet
Ich verfolge die Entwicklung nicht so eng, da ich die Entra ID-Funktionalität nicht nutze. Aber Microsoft versucht die Sicherheit der Entra ID-Anmeldung schrittweise zu erhöhen. So wurde gerade die Möglichkeit zur Entra ID-Anmeldung mittels Windows Hello for Business angekündigt (siehe MC1450134: Windows Hello f. B. und macOS SSO als MFA Standard für Microsoft Entra). Dafür fallen andere, als unsicher eingestufte Anmeldeverfahren weg.
Ich habe bei neowin.net hier gelesen, dass Microsoft seine Kunden per E-Mail auffordert, Passkeys für die Anmeldung ihrer Benutzer einzurichten. Denn im Februar 2027 werden die Authentifizierung per SMS und per Sprachaufruf eingestellt.
Die Anmeldung per SMS-Authentifizierung endet efür Entra ID Free-Tenants bereits am 11. August 2026 (siehe MC1448374 – Microsoft Entra ID: Retirement of SMS first-factor sign-in for Entra ID Free tenants im Microsoft 365 Message Center).
Die Zeitpläne für diesen Schritt wurden von Microsoft im Support-Dokument Passkeys by default and retirement of Microsoft-provided SMS and voice authentication genannt.
- Ab dem 1. September 2026 werden Passkeys zur Standardauthentifizierung. Für Benutzer, für die SMS oder Sprachauthentifizierung aktiviert ist, wird diese Option automatisch aktiviert.
- Ab dem 1. Februar 2027 wird die von Microsoft bereitgestellte Möglichkeit zur Authentifizierung per SMS und per Sprachanruf eingestellt.
Kunden, die diese Methoden weiterhin benötigen, sollten über den Microsoft Security Store die verwaltete Anbieter konfigurieren. Weitere Informationen zu vom Kunden verwalteten Telekommunikationsanbietern folgen am 18. September 2026.
Benutzer, die sich bereits mit Passkeys, Windows Hello for Business oder einer anderen phishing-resistenten Methode anmelden, können diese Methoden weiterhin verwenden. Benutzer, bei denen SMS oder Sprachdienste weiterhin aktiviert sind, erhalten jedoch möglicherweise weiterhin Aufforderungen, Passkeys auf berechtigten Geräten zu registrieren. Um zu überprüfen, wer in Ihrem Mandanten noch SMS oder Sprachdienste nutzt, lesen Sie den Artikel Find active SMS or Voice users in your tenant.
Passkeys als Standard kommt
Im Microsoft 365 Message Center hat Redmond am 11. August 2026 den Artikel MC1450133 – Microsoft Entra: Users can register a passkey or passwordless sign-in as their first multifactor authentication method veröffentlicht. Dort wird bekannt gegeben, dass Benutzer nun Passkeys oder die passwortlose Anmeldung als erste Methode zur Multi-Faktor-Authentifizierung in Microsoft Entra registrieren können. Dadurch entfällt die Notwendigkeit, zunächst schwächere Methoden einrichten zu müssen.
Diese Änderung wird von Oktober 2026 bis Februar 2027 schrittweise und zielt darauf ab, die Nutzung einer phishing-resistenten Authentifizierung zu fördern, ohne dass dafür Maßnahmen seitens der Administratoren erforderlich sind.
Zero Trust über alle Ressourcen
Weil es gerade zum Thema passt: Redmond hat zum 12. August 2026 den Blog-Beitrag How to enforce Zero Trust across every resource mit Hinweisen zur Absicherung von AI-Interaktionen, lokalen Agenten, Webdatenverkehr und privaten Anwendungen veröffentlicht. Es geht darum, Zero Trust für alle Ressourcen unter Microsoft Entra Internet Access und Private Access durchzusetzen, um die Zugriffssicherheit zu vereinfachen und über VPN-basierte Ansätze hinauszugehen.
MVP: 2013 – 2016
Aus Sicherheits- und Unabhängigkeitsgründen raten wir dazu, die Passkeys in einem Passwortmanager wie Enpass oder heylogin zu hinterlegen.
Das Hinterlegen bei Apple, Google oder Microsoft sorgt nämlich für einen Vendor Lock-in, keine echte Exportmöglichkeit und geringere Interoperabilität.
Wir nutzen für TOTP WinAuth, was auch geht, sofern im Tenant die Nutzung von alternativen Authentifikatoren nicht eingeschränkt wurde. Es gibt jedoch Kunden, die haben das in ihrem Tenant eingeschränkt und erzwingen(!) den MS Authenticator.
Mit PingID ist es das gleiche…manche erzwingen auch deren App, die es wenigstens für den Desktop gibt.
TOTP ist halt auch nicht wirklich MFA Phising resistent. Dann lieber ein Yubikey :-)
Weil man die Passkeys bei Enpass oder heylogin exportieren und zu einem anderen Anbieter mitnehmen kann?
Warum keine Hardware Keys von bspw. Token2 oder Yubico?
Ich verwende Enpass, aber Enpass ist so "kaputt" das es nicht mal einen einzigen Eintrag exportieren kann, entweder alles oder gar nichts. und Passkeys glaub ich explizit gar nicht. Ich bin da aber auch altmodisch was PW Manager betrifft. Keine Browser Extension oder Autofill kommen zum Einsatz. Kopie und Paste muss reichen.
Im Apple Universum mit dem Cloud Clipboard heisst es halt immer mitdenken und sofort nach Verwendung einen Müll ins Clipboard kopieren. Enpass löscht zwar nach einiger Zeit das Clipboard, darauf will ich mich aber nicht verlassen.
Physische Sicherheitsschlüssel sind auch super. Wir nehmen am liebsten Nitrokeys 3C/3A NFC.
warum will man den leuten etwas – für non IT Personen nicht greifbares – wie Passkeys aufzwingen? Warum reicht nicht einfach die MFA App als zweiter Faktor zum Passwort?
Die Lösungen von Google, Apple und Microsoft für Passkeys sind alle inakzeptabel. Bei Verlust des Cloud Accounts – ist ja nicht so das die in der Vergangenheit nicht unberechtigter Weise gelöscht hätten – sind die passkeys weg. Bzw. sind die Verfahren so eingeschränkt, dass die eben nur in deren eigenen Universum mit deren eigenen Browser funktionieren.
Enpass gut und schön, ja ich verwende ihn auch, aber Passkeys wird er dennoch nicht verwalten. Ich verwende auch keine Extension für Autofill und allem. Stinknormales Copy&Paste und dann sofort irgendeinen Müll ins Clipboard kopieren nach Verwendung. Schwachstelle hier wird vermutlich wieder die Extension zum Browser sein.
Also warum nur kann man die Leute nicht einfach arbeiten lassen so wie sie immer gearbeitet haben. für die einen hat es funktioniert, für die anderen wo es jetzt schon nicht funktionierte, wird das thema passkey ein noch grösseres Problem werden.
TOTP-2FA / Authenticator-Apps oder auch RSA-Token lassen sich leider per Phishing mit gefälschten Anmeldeseiten abgreifen. Jeder sollte das zwar wissen, aber es fallen noch genug drauf rein.
Dass SMS-Token wegfallen, finde ich gut, damit wird zu viel Missbrauch getrieben.
Aber auch für mich gibts offene Frage bei Passkeys, vor allem wenn man mal zur Neuinstallation oder Hardwarewechsel gezwungen ist. Ohne Zweitgerät geht das eigentlich nicht.
Eine MFA ist halt nicht Phishing resistent und wer Passkey in physikalischer Form will, kann zu FIDO Keys greifen.
SMS und Telefonautorisierung sind bei uns die einzigen beiden Optionen die ein Nutzer verwenden kann, wenn kein Gerät registriert bzw. verfügbar ist, bspw. nach einem Wechsel des (einzigen) Smartphones.
Und der Zugang zu sämtlichen Cloud Diensten (inkl. Zugang zum Account und E-Mail) ist nur mittels eines registrierten und konformen Gerätes möglich, d.h. auch die Änderungen oder Hinterlegung von Sicherheitsheitsinformationen ist nur mittels eines entsprechenden Gerätes möglich und zwar unabhängig vom Standort (Inland/Ausland).
Wie soll das dann funktionieren? Ich muss zwangsläufig die Möglichkeiten bzgl. der Ersthinterlegung von Sicherheitsmethoden aufweichen, was perse schon mal wieder scheiße ist.
Ergänzung: und diese geraffel mit Passkey brauche ich nicht. Meine Nutzer verwenden überwiegend zwischenzeitlich ein automatisch generiertes Passwort (mit einer Emailadresse okay) welches in eine hoch gesicherten Passwort Manager liegt (siehe oben). Defacto ist das ein Passkey, der zwischenzeitlich sauber über alle Geräte bzw. Betriebssysteme (Apple, Andorid, Windows) synchronisiert wird, was die Akzeptanz dieser Lösung erst ermöglicht hat.
Und jetzt soll ich wieder mit etwas Neuem kommen? Was keiner so richtig versteht (siehe oben). Und obendrein nicht die bisherige Flexibilität mitbringt.
Keinesfalls
Fallback "Temporary Access Pass" aktivieren, dann kann der Support OTP herausgeben und dann kannst auch die MFA anpassen. Oder das macht gleich wer derjenige mit der entsprechende Rolle.
Oder kaufst SMS/Voice dann gegen Bares bei MS ein, wenn der Telkoanbieter auf deren Liste überhaupt aufgelistet wird.
Einfach mal mit dem Thema auseinandersetzen und dann sieht man recht schnell, das für Admin Rollen Passkey aka FIDO2 atm die beste Absicherung ist ;-)
Gibt es denn überhaupt noch Banken mit SMS/Voice Authentication? Die meißten haben es auch aus Sicherheitsgründen eingestellt (natürlich auch wegen den Kosten was so ein Call/SMS kostet) und sind hin zu einer MFA oder der gleichen. Also der "Wandel" ist stetig und in der IT ist der Wandel halt mal schneller oder langsamer, aber legacy Authentication ist auch schon lange obsolete, je nachdem wo man wieder unterwegs ist :-)
Das ganze ist jetzt auch kein reines MS Thema, denn sonst würde es nicht etliche Passkey anbiete schon seit Jahren geben. MS zieht halt die Zügel an, wo andere schon länger weiter sind ;-)
Kann man Placetel, eine der beliebtesten VoIP-Telefon-Anlagen, für SMS und Voice in Entra ab nächstem Jahr nutzen?
Es hat nichts mit den Endgeräte oder SIP Anbieter zu tun, das ist egal bei Voice/SMS Authentication, sondern es geht am Ende um den Telko Anbieter und die entstehenden Kosten durch eine SMS/Voice Authentication. Das war bisher im Preis inklusive und wird dann Kostenpflichtig über den MS Security Store angeboten. Eine echte Liste habe ich bis dato nich nicht gefunden, welcher Telko Anbieter dabei ist bzw. nicht, wird also noch kommen.
Ich gehe mal davon aus, das primär nur die Schwergewichte mit einer gewissen Marktmacht in Form von Kundenanzahl auf der Liste erscheinen werden. Kleine Buden oder local Carrier werden wohl eher weniger auf der Liste landen. Aber… Schaunmermal :-)
Man kann das 'Login' so sicher wie auch immer machen, wenn das beim einloggen erstellte Token geklaut wird, ist man nackig… Und so liefen die meissten mir bekannten Angriffe in der jüngeren Vergangenheit ab.
Wenn man nicht gerade vollkommen bescheuerte Passworte wählt, ist bei entsprechender Länge ein Passwort über 12 Stellen mit Ziffern und Sonderzeichen bei Sperre nach 10 Fehlversuchen für übliche Anwendungen durchaus ausreichend. Der Angreifer, der einen Keylogger auf die Maschine bekommt, schafft es bei der anderen Variante auch das Token zu klauen…