Microsoft Entra ID: Passkeys werden ab September 2026 zur Standard-Authentifizierung

Microsoft läutet das Ende der SMS- und Sprachanruf-basierten Multi-Faktor-Authentifizierung in Entra ID ein. Ab September 2026 werden Passkeys schrittweise zur Standardmethode für alle Nutzer, die bislang telefonbasierte MFA verwenden. Wer jetzt nicht plant, riskiert blockierte Anmeldungen – ein echter Lockout droht zwar nicht, aber Handlungsdruck.

Was sich ändert und warum es relevant ist

Telefonbasierte MFA gilt seit Jahren als schwächstes Glied der Zwei-Faktor-Kette. SMS und Sprachanruf sind anfällig für Phishing, SIM-Swapping und MFA-Bypass. Microsoft zieht daraus jetzt Konsequenzen und stellt die Standard-Authentifizierung in Entra ID auf phishing-resistente Passkeys um.

Betroffen sind alle Nutzer, die aktuell für SMS- oder Sprachanruf-Authentifizierung freigeschaltet sind. Sie werden automatisch auch für Passkeys aktiviert und erhalten beim nächsten MFA-Vorgang eine Aufforderung zur Registrierung. Wer bereits phishing-resistente Verfahren nutzt – Passkeys, Windows Hello for Business, FIDO2 oder Smartcards – ist nicht betroffen und kann diese Methoden unverändert weiterverwenden.

Was Microsoft konkret umstellt

Die Umstellung läuft in mehreren Schritten und betrifft mehr als nur den Login:

• Ab 1. September 2026: Automatische Passkey-Aktivierung und Registrierungskampagne für telefonbasierte MFA-Nutzer.
• Ab 1. Februar 2027: Microsoft stellt die eigene Telekommunikationsanbindung für SMS- und Sprachanruf-MFA komplett ein. Wer aus regulatorischen oder betrieblichen Gründen weiterhin darauf angewiesen ist, muss über den Microsoft Security Store einen Drittanbieter einbinden.

Zu einem Lockout kommt es dabei nicht: Betroffene Nutzer ohne konfigurierten Anbieter erhalten stattdessen eine blockierende Aufforderung, vor der nächsten Anmeldung einen Passkey zu registrieren. Wichtig zu wissen: Auch der Self-Service Password Reset (SSPR) ist betroffen, da er über dieselbe Authentifizierungsmethoden-Richtlinie läuft.

Fristen und das temporäre Opt-out

Zwischen dem 1. September 2026 und dem 1. Februar 2027 gibt es ein temporäres Opt-out, mit dem sich die automatische Aktivierung und die Registrierungskampagne für einzelne Nutzergruppen verzögern lassen – etwa während parallel ein Telekom-Anbieter oder eine andere Migration vorbereitet wird. Die API-Unterstützung dafür steht ab dem 1. August 2026 bereit.

Der Hintergrund ist die verschärfte Bedrohungslage: Laut dem Threat-Intelligence-Team von Microsoft erreichen KI-gestützte Phishing-Kampagnen Klickraten von bis zu 54 Prozent – gegenüber rund 12 Prozent bei klassischen Kampagnen. KI-gestützte Angriffswerkzeuge automatisieren den Weg von der Erstkompromittierung bis zur lateralen Bewegung im Netzwerk deutlich effizienter. In der Praxis gibt es bereits Angriffe auf Entra-ID-SSO-Konten, bei denen Methoden wie Device-Code-Phishing und gestohlene Zugangsdaten genutzt werden, um Zugriff auf SaaS-Daten zu erlangen. Genau solche Angriffsvektoren sollen mit dem Wechsel zu Passkeys entschärft werden.

Was Unternehmen jetzt prüfen sollten

Der Zeitplan lässt Spielraum, aber die Vorbereitung sollte früh beginnen:

• Bestandsaufnahme: Authentifizierungsmethoden-Richtlinie prüfen und Nutzer identifizieren, die noch SMS oder Sprachanruf verwenden.
• Passkey-Rollout planen: Entscheidung zwischen synchronisierten und gerätegebundenen Passkeys treffen.
• Registrierungskampagne einrichten: Standardmäßig können Nutzer die Aufforderung beliebig oft wegklicken (\"unbegrenzte Snoozes\") – hier lohnt eine bewusste Konfiguration.
• Kommunikation vorbereiten: Microsoft empfiehlt einen dreistufigen Plan aus Awareness (was ändert sich, warum), Action (gerätespezifische Anleitung für Windows Hello, iOS, Android) und Reminder für Nachzügler.
• Bei Bedarf Drittanbieter einplanen: Falls SMS oder Voice unverzichtbar bleiben, rechtzeitig einen unterstützten Telekom-Partner evaluieren.

Unterstützung durch enthus

Wir unterstützen bei der Bestandsaufnahme Ihrer Authentifizierungsmethoden-Richtlinie, bei der Entscheidung zwischen synchronisierten und gerätegebundenen Passkeys sowie beim Aufsetzen einer sauberen Registrierungskampagne inklusive Nutzerkommunikation. So wird aus der erzwungenen Umstellung ein kontrollierter Rollout ohne Anmeldeausfälle.

Sprechen Sie uns an – wir prüfen mit Ihnen, welche Nutzer betroffen sind und wie Ihr Passkey-Rollout bis September 2026 steht.

Jetzt Kontakt aufnehmen → (hallo@enthus.de)

← Alle Beiträge