Microsoft hat weitreichende Änderungen für die Sicherheitsarchitektur seiner Identitätsplattform Entra ID angekündigt. Das Unternehmen plant, die Authentifizierung per SMS und Sprachanruf bis zum 1. Februar 2027 vollständig abzuschaffen.
Als neuer Standard für die Multi-Faktor-Authentifizierung (MFA) sollen Passkeys etabliert werden. Diese Umstellung ist eine Reaktion auf die wachsende Bedrohung durch technologisch hochentwickelte Angriffe, die herkömmliche Sicherheitsmechanismen zunehmend wirkungslos machen.
Strategischer Wechsel zur phishing-resistenten Authentifizierung
Der Übergang zu Passkeys erfolgt schrittweise und beginnt im Spätsommer 2026. Ab dem 1. September 2026 wird Microsoft Nutzer automatisch für die Nutzung von Passkeys aktivieren. In dieser Phase werden Anwender aktiv dazu aufgefordert, die neuen Zugangsdaten auf ihren Geräten einzurichten.
Ziel dieser Maßnahme ist es, die Sicherheit der Identitätsprüfung grundlegend zu erhöhen. Im Gegensatz zu SMS-Codes werden Passkeys lokal auf dem Endgerät gespeichert, wodurch keine sensiblen Authentifizierungsdaten auf zentralen Servern hinterlegt werden müssen.
Angesichts der zunehmenden Professionalisierung von Cyberangriffen gewinnt die Umstellung auf passwortlose Verfahren wie Passkeys auch für private Konten massiv an Bedeutung. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie die neue Technologie bei Diensten wie Amazon oder WhatsApp sofort einrichten und so den klassischen Passwort-Stress beenden. Was steckt hinter Passkeys? Jetzt kostenlosen Report sichern
Hintergrund der Entscheidung sind signifikante Sicherheitsrisiken bei mobilfunkbasierten Verfahren. Microsoft verweist in diesem Zusammenhang auf KI-gestützte Phishing-Kampagnen, die mittlerweile Erfolgsraten von bis zu 54 % erreichen.
Zudem stellen SIM-Swapping und sogenannte Replay-Angriffe eine dauerhafte Gefahr für die Integrität von Unternehmenskonten dar. Ein Administrator-Hinweis des Unternehmens verdeutlicht, dass die Ära der künstlichen Intelligenz eine stärkere, phishing-resistente Authentifizierung zwingend erforderlich mache.
Zeitplan und Konfigurationsfristen für Unternehmen
Für Administratoren und IT-Abteilungen ergeben sich aus der Umstellung konkrete Fristen. Am 18. September 2026 wird Microsoft Informationen zu unterstützten Providern veröffentlichen. Ab dem 30. Oktober 2026 erhalten Kunden zudem die Möglichkeit, über den Microsoft Security Store spezifische Drittanbieter für Telekommunikationsdienste auszuwählen, sofern diese für Übergangslösungen oder spezielle Anforderungen benötigt werden.
Da allein in Deutschland pro Quartal Millionen von Online-Konten gehackt werden, ist der Wechsel weg von unsicheren Passwörtern ein notwendiger Schritt für jeden Internetnutzer. Erfahren Sie in diesem Gratis-Leitfaden, warum Experten die neue Methode per Fingerabdruck oder Gesichtserkennung als sicherste Alternative empfehlen. Kostenlosen Passkey-Ratgeber hier herunterladen
Der finale Stichtag ist der 1. Februar 2027. Ab diesem Datum werden die nativen SMS- und Sprachdienste für Entra ID endgültig eingestellt. Für Mandanten, die bis zu diesem Zeitpunkt keine passenden Konfigurationen vorgenommen haben, sieht der plan eine Blockade vor.
Nach Ablauf dieser Frist wird zudem kein Opt-out mehr möglich sein. Administratoren sind daher aufgerufen, betroffene Nutzer frühzeitig mittels PowerShell-Skripten zu auditieren und sicherzustellen, dass alle Anwender vor der Abschaltung einen Passkey registriert haben.
Ausnahmen und langfristige Perspektive
Während die Umstellung für Entra ID verbindlich ist, gelten für andere Bereiche abweichende Regelungen. Azure AD B2C bleibt von der aktuellen Abschaltung ausgenommen. Für den Bereich External ID soll die Umstellung zu einem späteren Zeitpunkt folgen.
Langfristig plant Microsoft jedoch, das Konzept der Passkeys über den Unternehmensbereich hinaus auszuweiten; auch für die Betriebssystem-Versionen Windows Home und Professional ist eine entsprechende Implementierung vorgesehen.
Durch den Verzicht auf SMS- und Sprachnachrichten als zweiten Faktor reagiert der Konzern auf die Unzulänglichkeiten der Telekommunikationsnetze im Bereich der IT-Sicherheit. Passkeys gelten in der Branche als deutlich robuster, da sie eine physische Bindung an das Gerät des Nutzers voraussetzen und somit die Angriffsfläche für Remote-Hacker massiv verkleinern.
