Microsoft stellt SMS- und Telefon-MFA ein - Was Unternehmen jetzt wissen müssen

Was ändert sich in Microsoft Entra?

Passkeys werden ab September 2026 zum Standard

Mit der angekündigten Änderung verfolgt Microsoft das Ziel, die Anmeldung in Microsoft Entra künftig standardmäßig auf Passkeys umzustellen. Ab dem 1. September 2026 werden Passkeys automatisch für Benutzer aktiviert, die bisher SMS oder Telefonanrufe für die Multi-Faktor-Authentifizierung verwenden. Zusätzlich startet Microsoft eine verwaltete Registrierungskampagne, die Anwender bei der Anmeldung zur Einrichtung eines Passkeys auffordert. Die Registrierung kann zunächst noch übersprungen werden, Microsoft möchte die Nutzung dieser modernen Authentifizierungsmethode jedoch aktiv fördern.

Passkeys basieren auf dem FIDO2-Standard und ermöglichen eine sichere, passwortlose Anmeldung - beispielsweise über Windows Hello, biometrische Verfahren oder einen Hardware-Sicherheitsschlüssel. Im Vergleich zu klassischen Passwörtern oder Einmalcodes per SMS bieten sie einen deutlich besseren Schutz vor Phishing, Social Engineering und Identitätsdiebstahl.

Microsoft stellt SMS- und Telefon-MFA ab Januar 2027 ein

Der entscheidende Termin folgt am 28. Januar 2027. Ab diesem Zeitpunkt stellt Microsoft die eigenen SMS- und Telefonanruf-Dienste für die Multi-Faktor-Authentifizierung ein. Unternehmen, die diese Authentifizierungsmethoden weiterhin nutzen möchten, müssen künftig einen eigenen Telekommunikationsanbieter über den Microsoft Security Store konfigurieren. Ohne diese Umstellung stehen die von Microsoft bereitgestellten SMS- und Telefonie-Dienste für die MFA nicht mehr zur Verfügung.

Microsoft empfiehlt daher ausdrücklich, den Wechsel auf phishing-resistente Authentifizierungsmethoden wie Passkeys frühzeitig einzuplanen. So lassen sich nicht nur Sicherheitsrisiken reduzieren, sondern auch mögliche Anmeldeprobleme vermeiden, wenn die bisherigen Microsoft-Dienste endgültig abgeschaltet werden.

Wer ist von der Umstellung betroffen?

Unternehmen mit SMS- oder Telefon-MFA

Nicht jedes Unternehmen muss sofort aktiv werden. Handlungsbedarf besteht vor allem dann, wenn in Ihrer Microsoft-Entra-Umgebung SMS oder Telefonanrufe noch als Multi-Faktor-Authentifizierung (MFA) zugelassen oder aktiv genutzt werden. Häufig sind diese Methoden über viele Jahre hinweg als Standard eingerichtet worden oder werden noch für einzelne Benutzer, externe Mitarbeitende oder Ausnahmeregelungen verwendet.

Mit der Umstellung auf Passkeys verfolgt Microsoft das Ziel, phishing-resistente Authentifizierungsverfahren zum neuen Standard zu machen. Unternehmen sollten deshalb frühzeitig prüfen, welche Authentifizierungsmethoden aktuell im Einsatz sind und ob Benutzer noch auf die von Microsoft bereitgestellten SMS- oder Telefonie-Dienste angewiesen sind.

Welche Auswirkungen drohen?

Ab dem 28. Januar 2027 stehen die von Microsoft bereitgestellten SMS- und Telefonanruf-Dienste für die Multi-Faktor-Authentifizierung nicht mehr zur Verfügung. Unternehmen, die bis dahin keinen eigenen Telekommunikationsanbieter über den Microsoft Security Store eingerichtet haben und weiterhin ausschließlich auf die Microsoft-Dienste setzen, müssen mit Einschränkungen bei der Anmeldung rechnen.

Die gute Nachricht: Microsoft räumt Unternehmen ausreichend Zeit für die Umstellung ein. Wer die kommenden Monate nutzt, um die bestehende MFA-Konfiguration zu analysieren und eine geeignete Migrationsstrategie zu entwickeln, kann die Änderungen ohne Zeitdruck umsetzen. Gleichzeitig bietet sich die Gelegenheit, die Authentifizierung insgesamt auf ein höheres Sicherheitsniveau zu heben und die Anforderungen moderner IT-Sicherheitskonzepte zu erfüllen.

Welche Maßnahmen sollten Administratoren jetzt einleiten?

Aktuelle MFA-Methoden analysieren

Der erste Schritt sollte eine Bestandsaufnahme der aktuell verwendeten Authentifizierungsmethoden sein. Administratoren sollten prüfen, welche Benutzer noch SMS oder Telefonanrufe für die Multi-Faktor-Authentifizierung verwenden und ob diese Verfahren weiterhin erforderlich sind. Gerade in über Jahre gewachsenen Microsoft-365-Umgebungen finden sich häufig ältere Konfigurationen oder Ausnahmen, die im Tagesgeschäft kaum noch auffallen.

Passkeys und moderne Authentifizierung einführen

Microsoft empfiehlt, frühzeitig auf phishing-resistente Authentifizierungsmethoden wie Passkeys umzusteigen. Diese bieten nicht nur ein höheres Sicherheitsniveau, sondern vereinfachen auch den Anmeldeprozess für die Benutzer. Je nach Anforderung können Passkeys beispielsweise mit Windows Hello for Business, der Microsoft Authenticator App oder FIDO2-Sicherheitsschlüsseln genutzt werden. Unternehmen profitieren damit von einer zukunftssicheren Authentifizierung, die moderne Sicherheitsstandards erfüllt und gleichzeitig den Bedienkomfort erhöht.

Benutzer rechtzeitig informieren

Neben der technischen Umsetzung spielt auch die Kommunikation eine entscheidende Rolle. Ab September 2026 werden viele Benutzer erstmals mit der Registrierung eines Passkeys konfrontiert. Ohne entsprechende Information können diese Aufforderungen schnell zu Unsicherheiten oder vermehrten Supportanfragen führen.

Eine frühzeitige Kommunikation erleichtert die Umstellung erheblich. Anwender sollten darüber informiert werden, warum Microsoft diese Änderungen vornimmt, welche Vorteile Passkeys bieten und wie die Registrierung abläuft. So lässt sich die Akzeptanz erhöhen und der Aufwand für den IT-Support deutlich reduzieren.

Praxistipp

Nutzen Sie die verbleibende Zeit, um Ihre Microsoft-Entra-Umgebung zu überprüfen und die Umstellung strukturiert zu planen. Eine frühzeitige Analyse der verwendeten Authentifizierungsmethoden verhindert spätere Überraschungen und ermöglicht einen reibungslosen Übergang auf moderne Anmeldeverfahren.

Zusätzlich ist bei einigen M365 Umgebungen die Abschaltung der Legacy MFA Anmeldeverfahren noch nicht abgeschlossen. Mehr Informationen finden Sie hier Microsoft schaltet Legacy-Authentifizierung ab - jetzt handeln.

Fazit

Mit der Einführung von Passkeys als Standard und der schrittweisen Einstellung der von Microsoft bereitgestellten SMS- und Telefonanruf-Authentifizierung setzt Microsoft den nächsten wichtigen Schritt in Richtung einer sicheren und phishing-resistenten Identitätsverwaltung.

Auch wenn die endgültige Umstellung erst Anfang 2027 erfolgt, sollten Unternehmen die verbleibende Zeit nutzen, um ihre bestehende Microsoft-Entra-Umgebung zu überprüfen und eine passende Migrationsstrategie zu entwickeln. So lassen sich mögliche Anmeldeprobleme vermeiden und gleichzeitig die Sicherheit der eigenen Microsoft 365 Umgebung nachhaltig verbessern.

Wer frühzeitig handelt, profitiert nicht nur von einem reibungslosen Übergang auf moderne Authentifizierungsverfahren, sondern schafft auch die Grundlage für eine zukunftssichere Identity- und Access-Management-Strategie.