Microsoft Entra: Passkeys werden Standard - SMS und Voice MFA entfallen
Microsoft stellt die Authentifizierung in Entra ID auf phishing-resistente Passkeys um
Ab 1. Februar 2027 setzt Microsoft bei MFA auf Passkeys statt eigener SMS- und Voice-Dienste
Microsoft ändert die Authentifizierungsstrategie in Entra ID
Mit der Message-Center-Ankündigung MC1426371 hat Microsoft eine wichtige Änderung bei der Authentifizierung in Microsoft Entra eingeleitet: Passkeys werden künftig zur bevorzugten Authentifizierungsmethode. Gleichzeitig bereitet Microsoft das Ende der bisher bereitgestellten SMS- und Voice-Verfahren für die Multifaktor-Authentifizierung (MFA) vor.
Der schrittweise Rollout läuft seit dem 1. September 2026 und kann Microsoft zufolge einige Zeit benötigen, bis die Änderungen alle betroffenen Tenants erreichen. Der nächste entscheidende Stichtag ist der 1. Februar 2027: Dann stellt Microsoft die eigene SMS- und Voice-Authentifizierung ein. Unternehmen sollten die verbleibende Übergangszeit nutzen, um betroffene Benutzer und bestehende Authentifizierungsprozesse zu prüfen.
Warum Microsoft auf Passkeys setzt
Passwörter, SMS-Codes und telefonische Verifizierung können durch Phishing, Social Engineering oder abgefangene Authentifizierungsinformationen kompromittiert werden. Passkeys ermöglichen dagegen eine phishing-resistente und passwortlose Authentifizierung und sollen digitale Identitäten besser vor solchen Angriffen schützen.
Für Unternehmen bedeutet die Änderung damit mehr als den Austausch einer MFA-Methode: Microsoft treibt den Wechsel zu einer moderneren und sichereren Authentifizierung in Microsoft Entra ID konsequent voran.
Was sich seit September 2026 in Microsoft Entra ändert
Seit dem 1. September 2026 läuft der schrittweise Rollout der Änderungen für Microsoft-Entra-Tenants. Da Microsoft die Neuerungen nach und nach bereitstellt, können Zeitpunkt und Verfügbarkeit je nach Tenant variieren.
Passkeys werden automatisch aktiviert
Im Zuge des Rollouts schaltet Microsoft Passkeys für Benutzer frei, die bislang für SMS oder Voice aktiviert sind. Administratoren müssen die neue Authentifizierungsmethode für diese Benutzer somit nicht einzeln aktivieren.
Die bisherigen Verfahren werden dadurch zunächst nicht unmittelbar deaktiviert. Unternehmen können die Übergangsphase nutzen, um den Wechsel kontrolliert vorzubereiten.
Microsoft unterstützt die Registrierung über die Registration Campaign
Parallel setzt Microsoft die Registration Campaign in geeigneten Tenants auf "Microsoft Managed" und richtet sie auf Passkeys aus. Betroffene Benutzer können dadurch während einer MFA-Anmeldung aufgefordert werden, einen Passkey zu registrieren.
Die Aufforderung kann während der Übergangsphase noch übersprungen werden. IT-Abteilungen sollten ihre Anwender daher frühzeitig über die neuen Registrierungsaufforderungen und den geplanten Wechsel informieren.
Zeitplan für die Umstellung auf Passkeys
Nach dem Start des Rollouts Anfang September folgen weitere wichtige Meilensteine. Unternehmen, die weiterhin SMS oder Voice einsetzen möchten, sollten insbesondere die kommenden Termine im Blick behalten.
1. September 2026 - Rollout läuft
Microsoft hat mit der schrittweisen Bereitstellung begonnen. Die automatische Passkey-Aktivierung und die Anpassung der Registration Campaign werden nach und nach in den betroffenen Tenants umgesetzt.
18. September 2026 - Telekommunikationsanbieter prüfen
Bis zu diesem Zeitpunkt sollten Unternehmen, die im Microsoft Security Store verfügbaren Telekommunikationsanbieter prüfen. Bei der Auswahl spielen unter anderem regionale Verfügbarkeit sowie individuelle Compliance-Anforderungen eine Rolle.
30. Oktober 2026 - Telekommunikationsanbieter können ausgewählt werden
Unternehmen, die SMS oder Voice weiterhin benötigen, können einen verfügbaren Telekommunikationsanbieter auswählen und die weitere Umstellung vorbereiten.
1. Februar 2027 - Microsoft beendet die eigenen SMS- und Voice-Dienste
Ab diesem Stichtag werden SMS und Voice nur noch über einen vom Unternehmen konfigurierten Telecom Provider unterstützt. Wer weiterhin von den bisher durch Microsoft bereitgestellten Verfahren abhängig ist und keine Alternative eingerichtet hat, muss mit Störungen bei der Authentifizierung rechnen.
Was bedeutet das Ende von Microsoft SMS und Voice für Unternehmen?
Betroffen sind Microsoft-Entra-Tenants, in denen SMS oder Voice als Authentifizierungsmethode aktiviert sind. Telefonbasierte Verfahren verschwinden dabei nicht grundsätzlich - künftig ändert sich jedoch, wer diese Dienste bereitstellt.
SMS und Voice bleiben über externe Anbieter möglich
Unternehmen mit einem fachlichen, technischen oder regulatorischen Bedarf können SMS und Voice weiterhin einsetzen. Dafür muss künftig ein eigener Telekommunikationsanbieter über den Microsoft Security Store konfiguriert werden.
Die Auswahl des Providers und dessen Eignung für die jeweiligen regionalen und Compliance-Anforderungen liegen damit stärker in der Verantwortung der Organisation.
Ohne Alternative können Anmeldeprobleme entstehen
Besonders kritisch sind Benutzer oder Prozesse, die ausschließlich von den bisherigen Microsoft-Verfahren abhängig sind. Fehlt nach der Umstellung eine alternative Authentifizierungsmethode oder ein konfigurierter Provider, können MFA-Anmeldungen fehlschlagen.
Unternehmen sollten deshalb nicht nur prüfen, ob SMS oder Voice im Tenant aktiviert sind, sondern vor allem ermitteln, welche Benutzer und Anwendungsfälle tatsächlich davon abhängig sind.
Temporärer Opt-out schafft zusätzliche Übergangszeit
Microsoft stellt für die Übergangsphase einen temporären Opt-out bereit. Damit lassen sich die automatische Passkey-Aktivierung und die Anpassung der Registration Campaign vorübergehend verzögern - beispielsweise um eine laufende Migration abzuschließen oder einen Telecom Provider einzurichten.
Der Opt-out ist jedoch keine dauerhafte Lösung: Ab dem 1. Februar 2027 wird die Passkey-Aktivierung für alle Benutzer im entsprechenden Geltungsbereich durchgesetzt.
Was Microsoft-Administratoren jetzt tun sollten
Da der Rollout bereits läuft, sollten IT-Verantwortliche jetzt prüfen, welche Abhängigkeiten in der eigenen Umgebung bestehen und wie die weitere Migration organisiert werden soll. Im Fokus stehen dabei vor allem Benutzer, die noch auf telefonbasierte Authentifizierung angewiesen sind.
Bestehende Authentifizierungsmethoden prüfen
Zunächst sollte ermittelt werden, welche Benutzer aktuell SMS oder Voice verwenden und welche alternativen Anmeldeverfahren bereits eingerichtet sind. Besondere Aufmerksamkeit benötigen Benutzergruppen oder Prozesse, die ausschließlich auf telefonbasierte MFA angewiesen sind.
Passkey-Rollout gezielt vorbereiten
Unternehmen sollten festlegen, welche Benutzergruppen auf Passkeys umgestellt werden und wie die Registrierung begleitet wird. Passkeys können auf spezieller Hardware (ähnlich einem USB-Stick) oder z.B. auch in der Microsoft Authenticator App auf dem Spartphone gespeichert werden. Da erste Anwender im Rahmen des laufenden Rollouts bereits entsprechende Aufforderungen erhalten können, sollte auch die interne Kommunikation vorbereitet sein.
Bedarf für SMS und Voice bewerten
Für bestehende Anwendungsfälle sollte geprüft werden, ob SMS oder Voice künftig tatsächlich noch erforderlich sind. Wo ein Wechsel auf modernere Authentifizierungsmethoden möglich ist, lässt sich die Abhängigkeit von telefonbasierten Verfahren reduzieren.
Telecom Provider rechtzeitig einrichten und testen
Bleiben SMS oder Voice erforderlich, sollte ein geeigneter Anbieter aus dem Microsoft Security Store ausgewählt, konfiguriert und getestet werden. Microsoft empfiehlt, die Einrichtung mindestens vier Wochen vor dem 1. Februar 2027 abzuschließen.
Damit bleibt ausreichend Zeit für Tests und notwendige Anpassungen, bevor die bisher von Microsoft bereitgestellten Dienste nicht mehr zur Verfügung stehen.
Wie netunite Sie unterstützt
Der laufende Passkey-Rollout ist ein guter Anlass, die bestehende Authentifizierungsstrategie und Sicherheitskonfiguration in Microsoft Entra zu überprüfen. netunite unterstützt Sie dabei von der Analyse über die Planung bis zur technischen Umsetzung.
Analyse und Optimierung Ihrer Microsoft Entra Umgebung
Wir analysieren Ihre bestehende Entra-ID- und MFA-Konfiguration, identifizieren betroffene Benutzergruppen und prüfen bestehende Abhängigkeiten von SMS oder Voice. Daraus leiten wir notwendige Anpassungen und einen passenden Migrationsweg ab.
Implementierung von Passkeys und Passwordless Authentication
Wir unterstützen Sie bei der technischen Einführung von Passkeys und passwortlosen Authentifizierungsverfahren, von der Konfiguration in Microsoft Entra bis zum kontrollierten Rollout für die jeweiligen Benutzergruppen.
Konfiguration und Optimierung von Conditional Access
Wir überprüfen und optimieren Ihre Conditional Access Richtlinien im Zusammenspiel mit den neuen Authentifizierungsmethoden. So lassen sich Zugriffsanforderungen, Identitätsschutz und moderne Authentifizierung in einer konsistenten Sicherheitsstrategie zusammenführen.
Sie möchten Ihre Microsoft Entra Umgebung auf die kommenden Änderungen vorbereiten?
Sprechen Sie uns an. Wir unterstützen Sie von der Analyse über die Konzeption bis zur technischen Umsetzung.
Weiterführende Links & Ressourcen
Microsoft stellt weitere technische Informationen zur Umstellung auf Passkeys sowie zur Ablösung der bisherigen SMS- und Voice-Authentifizierung bereit:
Für Administratoren empfiehlt sich zusätzlich ein Blick auf die Message Center Meldung MC1426371, um den Rollout und mögliche Aktualisierungen für den eigenen Microsoft 365 Tenant im Blick zu behalten.
netunite-Linktipp
- Multifaktor-Authentifizierung in Microsoft 365 - Erfahren Sie, wie MFA in Microsoft 365 funktioniert und wie sich zusätzliche Authentifizierungsfaktoren für einen besseren Schutz von Benutzerkonten einsetzen lassen.
- Microsoft-Security-Lösungen - Überblick über Microsoft Security Lösungen und die Möglichkeiten, Identitäten, Endgeräte, Anwendungen und Unternehmensdaten ganzheitlich abzusichern.
- Microsoft Secure Score - Erfahren Sie, wie der Microsoft Secure Score den Sicherheitsstatus Ihrer Microsoft 365 Umgebung bewertet und dabei hilft, konkrete Optimierungspotenziale zu identifizieren.
