Microsoft macht Passkeys in Entra zum Standard: Das ändert sich ab September

Microsoft treibt den Abschied von SMS und Telefonanrufen als MFA-Verfahren voran. Ab 1. September 2026 beginnt das Unternehmen damit, Passkeys zur standardmäßigen Authentifizierungserfahrung in Microsoft Entra ID zu machen. Unternehmen sollten deshalb bereits jetzt prüfen, welche Nutzer noch von SMS oder Voice abhängig sind – auch wenn die endgültige Abschaltung erst 2027 erfolgt.

Passkey-Registrierung startet ab September

Von der Änderung betroffen sind zunächst Nutzer, für die SMS oder Sprachanrufe in der Entra Authentication Methods Policy oder in älteren MFA-Konfigurationen aktiviert sind. Microsoft wird diese Nutzer ab dem 1. September automatisch auch für Passkeys freischalten. Bei einer anschließenden Anmeldung mit Multifaktor-Authentifizierung sollen sie aufgefordert werden, einen Passkey einzurichten.

Eine automatische Migration bestehender SMS-Zugangsdaten findet damit allerdings nicht statt. Nutzer müssen einen Passkey zunächst registrieren. Die Aufforderung kann standardmäßig mehrfach aufgeschoben werden. Unternehmen können die Einführung damit schrittweise begleiten, sollten den Zeitraum aber nicht mit einem Aufschub der eigentlichen Umstellung verwechseln.

Microsoft empfiehlt Administratoren, bereits vor dem Start zu ermitteln, welche Nutzer noch für SMS oder Voice aktiviert sind, und den Passkey-Rollout sowie die Kommunikation mit den betroffenen Anwendern vorzubereiten.

SMS und Telefonanrufe verschwinden 2027

Der deutlich größere Einschnitt folgt am 1. Februar 2027. Zu diesem Zeitpunkt will Microsoft die von Entra ID selbst bereitgestellte Zustellung von SMS-Codes und automatisierten Telefonanrufen einstellen. Für diese Abschaltung ist laut Microsoft kein Opt-out vorgesehen. Die derzeit angekündigte Frist gilt zunächst für die Public-Cloud-Umgebungen von Entra ID.

Nutzer, deren einzige verfügbare MFA-Methode dann weiterhin SMS oder Voice ist, sollen bei der Anmeldung zur Registrierung eines Passkeys aufgefordert werden. Diese Aufforderung kann nach dem Stichtag nicht mehr übersprungen werden. Unternehmen sollten deshalb vermeiden, die eigentliche Migration bis Anfang 2027 aufzuschieben.

Ganz verschwinden SMS und Telefonie aus Entra allerdings nicht. Organisationen, die solche Verfahren aus regulatorischen, technischen oder betrieblichen Gründen weiterhin benötigen, sollen künftig einen eigenen Telekommunikationsanbieter über den Microsoft Security Store auswählen können. Microsoft will Informationen zu unterstützten Anbietern ab dem 18. September veröffentlichen; deren Konfiguration soll ab dem 30. Oktober möglich sein. Die Kosten für die Telekommunikationsdienste trägt dann der Kunde.

Warum Microsoft auf Passkeys setzt

Hinter der Umstellung steht vor allem die unterschiedliche Widerstandsfähigkeit der Verfahren gegen Phishing. SMS-Codes und andere übertragbare Einmalcodes können von Angreifern abgefangen oder über gefälschte Anmeldeseiten abgefragt werden. Microsoft stuft SMS und Voice deshalb nicht mehr als ausreichend sichere Standardverfahren ein.

Passkeys basieren dagegen auf dem FIDO2-Standard und asymmetrischer Kryptografie. Der private Schlüssel verbleibt auf dem Gerät beziehungsweise beim Passkey-Anbieter, während beim Dienst nur der zugehörige öffentliche Schlüssel hinterlegt wird. Zudem ist ein Passkey an den Dienst gebunden, für den er erstellt wurde. Dadurch lässt er sich nicht wie ein Passwort oder SMS-Code auf einer gefälschten Anmeldeseite weitergeben.

Entra ID unterstützt dabei sowohl synchronisierte als auch gerätegebundene Passkeys. Synchronisierte Passkeys können beispielsweise über Credential Manager wie Apples iCloud Keychain oder den Google Password Manager auf mehreren Geräten verfügbar sein. Zu den gerätegebundenen Varianten zählen unter anderem Passkeys im Microsoft Authenticator, Entra Passkeys unter Windows und FIDO2-Hardware-Sicherheitsschlüssel.

Für Unternehmen wird Authentifizierung zum Migrationsprojekt

Für IT-Abteilungen bedeutet die Änderung deshalb mehr als das Aktivieren einer zusätzlichen Login-Option. Vor dem Rollout sollten Unternehmen erfassen, welche Nutzer und Anwendungen noch von SMS oder Telefonanrufen abhängig sind und welche Passkey-Variante für welche Benutzergruppe geeignet ist.

Besondere Aufmerksamkeit verdienen privilegierte Konten, gemeinsam genutzte Geräte, Mitarbeiter ohne verwaltetes Smartphone sowie Recovery- und Onboarding-Prozesse. Denn eine phishingresistente Anmeldung löst nur einen Teil des Problems, wenn Kontowiederherstellung oder alternative Authentifizierungswege weiterhin auf schwächere Verfahren setzen.

Auch der Support sollte frühzeitig eingebunden werden. Neue Anmeldeverfahren erzeugen erfahrungsgemäß Fragen zu Gerätewechseln, Registrierung und Wiederherstellung. Ein kontrollierter Pilot mit ausgewählten Benutzergruppen kann deshalb sinnvoller sein, als auf die automatische Aktivierung durch Microsoft zu warten.

Fazit

Mit der Passkey-Offensive macht Microsoft deutlich, wohin sich Enterprise-Authentifizierung entwickelt: Weg von übertragbaren Codes und hin zu kryptografisch an Geräte und Dienste gebundenen Zugangsdaten.

Der 1. September ist dabei noch nicht das Ende von SMS-MFA. Er markiert vielmehr den Beginn einer Übergangsphase. Der entscheidende Stichtag ist der 1. Februar 2027. Unternehmen haben damit noch mehrere Monate Zeit – sollten diese aber nutzen, um ihre Authentifizierungslandschaft zu überprüfen, Passkeys kontrolliert einzuführen und Abhängigkeiten von SMS und Telefonanrufen abzubauen.