Der Technologiekonzern Microsoft hat umfassende strukturelle Änderungen für sein Identitäts- und Zugriffsverwaltungssystem Entra ID angekündigt. Im Zentrum der Maßnahmen steht die verpflichtende Ersetzung des sogenannten „MemberOf“-Regeloperators. Administratoren sind aufgerufen, bis zum 3. November 2026 entsprechende Anpassungen vorzunehmen, da der Operator ab diesem Zeitpunkt nicht mehr unterstützt wird. Die Umstellung erfordert unmittelbares Handeln in der IT-Verwaltung, um die Funktionsfähigkeit von dynamischen Gruppen und Sicherheitsrichtlinien sicherzustellen.
Umstellung der Authentifizierungsmethoden betrifft Hunderttausende Unternehmen
Parallel zur technischen Anpassung der Regeloperatoren leitet Microsoft eine fundamentale Kehrtwende bei der Multi-Faktor-Authentifizierung (MFA) ein. Ab dem 1. September 2026 beginnt eine Übergangsphase, in der die bisher weit verbreitete Authentifizierung via SMS und Sprachanruf in Entra ID schrittweise abgeschafft wird. Das endgültige Aus für diese Verfahren ist für den 1. Februar 2027 terminiert.
Von dieser Maßnahme sind laut Unternehmensangaben über 720.000 Organisationen weltweit betroffen. Microsoft plant, die betroffenen Nutzer automatisch auf Passkeys umzustellen, um ein höheres Sicherheitsniveau zu etablieren. Für Organisationen, die weiterhin auf SMS-basierte Kommunikation angewiesen sind, besteht die Möglichkeit, alternative Nachrichtenlösungen von Telekommunikationsanbietern zu nutzen. Detaillierte Informationen zu diesen Alternativwegen sollen am 18. September bekannt gegeben werden.
Neue eigenständige Faktoren und Risikomanagement
Im Rahmen der Modernisierung der Sicherheitsarchitektur werden Windows Hello for Business (WHfB) und macOS Platform Single Sign-On (PSSO) zu eigenständigen MFA-Faktoren aufgewertet. Der weltweite Rollout für Standard-Tenants sowie für Government-Cloud-Umgebungen (GCC) ist für den Zeitraum von Anfang Oktober bis Ende November 2026 geplant.
Nach Angaben von Microsoft sind für diese Umstellung keine manuellen Konfigurationsänderungen erforderlich. Ein Vorteil der Neuerung sei der Wegfall sekundärer Passkey-Abfragen, was den Anmeldeprozess beschleunige. IT-Experten warnen jedoch vor potenziellen Risiken: Da gerätegebundene Anmeldedaten die Gefahr eines dauerhaften Aussperrens (Lockout) bergen, empfiehlt der Konzern den Einsatz tragbarer MFA-Lösungen wie synchronisierte Passkeys oder die Authenticator-App. Administratoren sollten zudem ihre Onboarding-Dokumentationen und internen Richtlinien zeitnah aktualisieren, um Support-Engpässe zu vermeiden.
Angesichts der schrittweisen Abschaffung klassischer Passwörter durch Microsoft bietet dieser kostenlose Ratgeber eine praktische Hilfestellung für den Umstieg. Erfahren Sie, wie Sie die neue Technologie bei großen Diensten wie Microsoft oder Amazon sofort sicher einrichten. Was hinter Passkeys steckt – jetzt gratis nachlesen
Sicherheitslücken und technologische Altlasten
Die Dringlichkeit der Umstellung auf modernere Verfahren wird durch aktuelle Erkenntnisse von Sicherheitsforschern unterstrichen. Das Sicherheitsunternehmen SpecterOps identifizierte Techniken für sogenannte „Pass-the-Passkey“-Angriffe gegen Windows 11 und Entra ID. Dabei wurde kritisiert, dass Windows 11 vollständige WebAuthn-Assertions protokollierte, was Angreifern das Auslesen von Identitätsnachweisen aus Ereignisprotokollen ermöglichen konnte. Eine entsprechende Schwachstelle (CVE-2026-34348) wurde bereits am 14. Juli 2026 durch einen Patch behoben. Dennoch weisen Experten darauf hin, dass in Entra ID teilweise Anti-Replay-Prüfungen fehlten, was die Umgehung der MFA begünstigen könne.
Zusätzlich zu den Identitätsdiensten bereinigt Microsoft weitere Schnittstellen und Funktionen. Ab dem 1. Oktober 2026 wird der Zugriff auf Exchange Web Services blockiert. Bereits im Juli 2026 wurde mit dem Update KB5101650 die Unterstützung für Bildpasswörter in Windows 11 beendet; eine Neueinrichtung ist seither nicht mehr möglich. Im Zuge des aktuellen Patch Tuesdays am 11. August 2026 werden zudem weitere Sicherheitsaktualisierungen erwartet.
Wer sich mit der Sicherheit seiner Online-Konten befasst, sollte die Risiken herkömmlicher Anmeldeverfahren kennen. Diese moderne Methode ersetzt komplizierte Passwörter durch biometrische Merkmale und schützt so effektiv vor Datenklau. Sicher und passwortlos anmelden: Kostenlosen PDF-Ratgeber anfordern
Kritik gab es zuletzt an der automatischen installation von OneDrive Photos (Version 26.123.0628.0001) auf Windows-Systemen Ende Juli 2026. Während die Gesichtserkennung standardmäßig deaktiviert bleibt und biometrische Daten nach 30 Tagen gelöscht werden sollen, kündigte Microsoft für September 2026 eine separate Deinstallationsmöglichkeit an, da die Anwendung in Unternehmensumgebungen zunächst nicht entfernbar war.
