Microsoft Entra: Passkeys statt SMS-MFA

SMS und Telefonanruf gehören in vielen Microsoft-365-Umgebungen seit Jahren zu den etablierten MFA-Methoden. Die Einführung war häufig unkompliziert, die Benutzerakzeptanz hoch und MFA schnell umgesetzt.

Microsoft hat nun angekündigt, dass sich die strategische Ausrichtung in Microsoft Entra ID verändert. Passkeys werden künftig die bevorzugte Authentifizierungsmethode und Microsoft wird die eigene Bereitstellung von SMS- und Telefonanruf-basierter Authentifizierung zum 01.02.2027 einstellen. Benutzer, die heute noch SMS oder Telefonanruf verwenden, werden schrittweise in Richtung Passkeys geführt. Die erste Phase der Umstellung beginnt bereits ab dem 01.09.2026 mit der Registrierungskampagne für Passkeys. Dies wird unmittelbare Auswirkungen auf die Benutzer haben, die noch SMS- und Telefonanrufbasiert authentifizieren.

Für viele Unternehmen bedeutet diese Ankündigung keinen akuten Handlungsbedarf. Sie ist jedoch ein guter Anlass, die bestehende Authentifizierungsstrategie im eigenen Entra-Mandanten zu überprüfen.

Die entscheidende Frage lautet dabei nicht, ob MFA aktiviert ist. Entscheidend ist vielmehr, welche Methoden heute tatsächlich verwendet werden und welche Benutzergruppen von der angekündigten Änderung betroffen sind.

Benutzer, die aktuell SMS- oder Telefon-MFA als zweiten Faktor aktiviert haben, werden automatisch für die Verwendung von Passkeys freigeschaltet. Im Rahmen der bestehenden Registrierungs-Kampagne werden diese Anwender ab dem 01.09.2026 aufgefordert, einen Passkey zu registrieren. Die Aufforderung ist zunächst nicht verpflichtend und kann vom Benutzer verschoben werden. Ein Verschieben der Registrierung ist nur bis zum 01.02.2027 möglich.

Die eigentliche Authentifizierung wird nicht abgeschafft. Microsoft stellt jedoch die eigene Bereitstellung von SMS und Telefonanruf als native Entra-ID-Funktion ein und legt den Fokus zukünftig auf phishing-resistente Verfahren wie Passkeys.

In vielen Mandanten sind SMS oder Telefonanruf historisch gewachsen. Die Methoden wurden häufig zu Beginn der MFA-Einführung aktiviert und anschließend nicht mehr aktiv hinterfragt.

Genau hier setzt die aktuelle Änderung an.

Unternehmen sollten prüfen:

• Welche Authentifizierungsmethoden sind aktuell überhaupt erlaubt?
• Welche Benutzer verwenden noch SMS oder Telefonanruf?
• Gibt es bereits Passkeys, FIDO2-Sicherheitsschlüssel oder Windows Hello for Business?
• Sind Administratoren bereits auf phishing-resistente Methoden umgestellt?
• Welche Benutzergruppen würden von einer Umstellung betroffen sein?
• Gibt es Prozesse oder Anwendungen, die heute noch auf SMS oder Telefonanruf aufbauen?

Die Änderung betrifft damit nicht nur eine einzelne MFA-Methode, sondern die gesamte Strategie rund um Authentifizierung und Passwortlosigkeit in Microsoft Entra ID.

Der einfachste Einstieg ist das Microsoft Entra Admin Center.

Unter:

Entra ID → Authentication Methods → Policies

kann geprüft werden, welche Authentifizierungsmethoden aktuell aktiviert sind und für welche Benutzer oder Gruppen diese gelten.

Zusätzlich empfiehlt sich ein Blick auf:

Entra ID → Authentication Methods → Activity

Hier lassen sich die tatsächlich genutzten Authentifizierungsmethoden auswerten und erste Rückschlüsse ziehen, welche Benutzergruppen möglicherweise von der Änderung betroffen sind.

Gerade in größeren Mandanten zeigt sich häufig, dass SMS historisch für deutlich mehr Benutzer aktiviert wurde als ursprünglich geplant.

Microsoft empfiehlt darüber hinaus explizit zu identifizieren, welche Benutzer aktuell noch für SMS oder Telefonanruf aktiviert sind und diese Benutzergruppen frühzeitig in eine Migrationsplanung einzubeziehen.

Wie bei vielen Identitätsthemen empfiehlt sich ein schrittweises Vorgehen.

Microsoft empfiehlt ausdrücklich, die Umstellung nicht erst kurz vor Februar 2027 anzugehen, sondern den Übergang frühzeitig vorzubereiten.

Nicht jede Umgebung kann SMS sofort abschalten

Es gibt durchaus Szenarien, in denen SMS oder Telefonanruf nicht unmittelbar ersetzt werden können. Einzelne Benutzergruppen, regulatorische Anforderungen oder technische Randbedingungen können eine längere Übergangsphase erforderlich machen.

Auch hierfür hat Microsoft bereits einen Weg vorgesehen. Unternehmen können zukünftig bei Bedarf Telekommunikationsanbieter über den Microsoft Security Store anbinden, wenn SMS oder Telefonanruf weiterhin benötigt werden.

Trotzdem sollte die grundsätzliche Richtung klar sein: SMS und Telefonanruf werden zukünftig eher Ausnahmen als Standard sein.

Die Microsoft-Ankündigung bedeutet nicht, dass am 01.02.2027 plötzlich keine Anmeldung mehr möglich ist. Sie zeigt jedoch sehr deutlich die zukünftige Strategie von Microsoft Entra ID.

Passkeys und andere phishing-resistente Authentifizierungsmethoden werden künftig die Standardlösung sein. SMS und Telefonanruf werden dagegen immer weiter in den Hintergrund rücken.

Für Unternehmen bietet sich daher jetzt die Gelegenheit, den eigenen Entra-Mandanten zu überprüfen und eine mögliche Migration frühzeitig zu planen. Wer bereits heute weiß, welche Benutzer betroffen sind und welche Zielmethoden eingesetzt werden sollen, wird die Umstellung deutlich einfacher begleiten können.

abtis unterstützt bei der Analyse bestehender Authentifizierungsmethoden, bei der Identifikation betroffener Benutzer sowie bei der Planung und Umsetzung von Passkey-, FIDO2- oder Windows-Hello-for-Business-Szenarien. Gerne prüfen wir gemeinsam Ihren Entra-Mandanten, bewerten die aktuelle Situation und bereiten eine passende Migrationsstrategie vor, bevor die Änderungen produktiv greifen.

Quellen und weiterführende Links:

• Microsoft Entra ID security updates: Passkeys are the default authentication method in Entra ID | Microsoft Security Blog

• Passkeys by default and retirement of Microsoft-provided SMS and voice authentication - Microsoft Entra ID | Microsoft Learn