Microsoft hat alle Entra-ID-Tenants informiert: Der Code per SMS oder Anruf ist ein Auslaufmodell. Passkeys werden zur Standard-Authentifizierung in Microsoft Entra, und die von Microsoft bereitgestellte SMS- und Voice-Authentifizierung wird zum 1. Februar 2027 abgeschaltet.

Klingt nach ferner Zukunft? Ist es nicht. Der erste spürbare Schritt kommt in gut sechs Wochen, am 1. September 2026. Wer bis dahin nichts vorbereitet hat, überlässt das Tempo Microsoft statt sich selbst.

Was sich konkret ändert

Zwei Dinge passieren. Erstens werden Passkeys zur Standard-Methode für alle Nutzer, die heute für SMS oder Anruf freigeschaltet sind. Zweitens wird die von Microsoft bereitgestellte Zustellung von SMS- und Voice-Codes eingestellt.

Wichtig für alle, die aus regulatorischen Gründen nicht ohne SMS auskommen: Sie können künftig einen Telekom-Anbieter direkt beauftragen und über den Microsoft Security Store in Entra einbinden. Diese kundenverwalteten Anbieter sind von der Abschaltung nicht betroffen. Sie kosten allerdings Geld, in der Regel pro Nachricht. Die Umstellung auf Passkeys kostet nichts.

Die Abschaltung gilt in ganz Entra, also auch für das Self-Service-Kennwortzurücksetzen (SSPR). Und sie gilt zunächst nur für die Public Cloud. Andere Cloud-Umgebungen folgen später mit eigenem Zeitplan.

Warum Microsoft das macht

SMS und Anruf gehören zu den schwächsten MFA-Verfahren, die es heute gibt. Sie schützen deutlich schlechter gegen Phishing, SIM-Swapping und Replay-Angriffe als moderne Verfahren. Ein per SMS zugestellter Code lässt sich abfangen, weiterleiten oder über eine gefälschte Anmeldeseite abgreifen. Ein Passkey nicht. Passkeys sind an das Gerät und an die echte Anmelde-Domain gebunden und damit von Haus aus phishing-resistent.

Kurz: Der zweite Faktor per SMS fühlt sich sicher an, ist es aber immer weniger. Genau deshalb dreht Microsoft den Standard um.

Für uns ist das keine Überraschung. Dass ein Passwort allein nirgends mehr genügt und SMS-Codes nicht als ernsthafter zweiter Faktor zählen, haben wir schon beim Ransomware-Schutz beschrieben. Neu ist nur, dass Microsoft jetzt ein festes Enddatum gesetzt hat.

Die Termine, die zählen

Drei Daten sollten Sie sich notieren:

1. September 2026. Nutzer, die für SMS oder Anruf freigeschaltet sind, werden automatisch für Passkeys aktiviert und bei der nächsten MFA-Anmeldung aufgefordert, einen Passkey zu registrieren. Die Registrierungskampagne im Tenant wird dafür auf “Microsoft Managed” gestellt. Der Hinweis lässt sich zunächst beliebig oft wegklicken. Wer das gar nicht möchte, muss die betroffenen Nutzer vorher in der Authentication Methods Policy aus SMS und Voice herausnehmen. Alternativ gibt es ein befristetes Opt-out für das Fenster bis Februar 2027, Informationen und API dazu stellt Microsoft ab dem 1. August 2026 bereit.

1. Februar 2027. Die von Microsoft bereitgestellte SMS- und Voice-Authentifizierung wird in Entra ID vollständig abgeschaltet. Kundenverwaltete Telekom-Anbieter aus dem Security Store bleiben davon unberührt.

Nach dem 1. Februar 2027. Nutzer, deren einzige verfügbare MFA-Methode SMS oder Anruf ist, erhalten beim Anmelden einen blockierenden Hinweis: erst einen Passkey registrieren, dann geht es weiter. Ausgesperrt wird niemand, aber weggeklickt werden kann der Hinweis auch nicht mehr. Diese Durchsetzung gilt für alle Tenants, ein Opt-out gibt es dafür nicht.

Wenn in Ihrem Tenant niemand für SMS oder Anruf freigeschaltet ist, müssen Sie nichts tun. Falls doch, gilt: Jeder dieser Nutzer muss vor dem 1. Februar 2027 auf ein phishing-resistentes Verfahren umziehen. Microsoft empfiehlt Passkeys.

Was Sie jetzt tun sollten

Der Aufwand hält sich in Grenzen, wenn Sie ihn planen, statt ihn im Februar 2027 vor sich zu haben. Vier Schritte:

1. Betroffene Nutzer identifizieren. Feststellen, wer im Tenant überhaupt noch SMS oder Anruf nutzt. Microsoft stellt dafür ein PowerShell-Skript bereit. Jedes Ergebnis größer null heißt: Sie sind betroffen.

2. Passkeys aktivieren und eine Registrierungskampagne starten. Damit die Umstellung vor der automatischen Aktivierung am 1. September 2026 in Ruhe über die Bühne geht, statt an einem Dienstagmorgen über die Belegschaft hereinzubrechen.

3. Die Änderung kommunizieren. Ihre Mitarbeitenden sollten wissen, was passiert, wann es passiert und was von ihnen erwartet wird. Eine saubere Ankündigung spart mehr Helpdesk-Anrufe, als jede technische Vorbereitung es könnte.

4. Nur bei echtem Zwang: einen eigenen Telekom-Anbieter prüfen. Falls es einen regulatorischen oder betrieblichen Grund gibt, an SMS oder Voice festzuhalten, führt der Weg über den Microsoft Security Store. Anbieter- und Preisinformationen gibt es ab dem 18. September 2026, konfigurieren lässt sich das ab dem 30. Oktober 2026.

Der entscheidende Hebel liegt beim Datum. Wer vor dem 1. September 2026 aktiv wird, stellt im eigenen Tempo um, ohne blockierende Anmelde-Prompts und ohne Überraschungen für die Belegschaft. Alle Details stehen in Microsofts eigener Ankündigung.

So unterstützen wir Sie

Passkeys ausrollen heißt nicht, einen Schalter umzulegen. Es heißt: den Tenant sauber analysieren, die richtige Methodenrichtlinie setzen, eine Registrierungskampagne aufsetzen, die Menschen mitnehmen und am Ende sicher sein, dass niemand am 1. Februar 2027 vor einem blockierten Login steht.

Genau das übernehmen wir. Wir schauen uns Ihre Authentifizierungs-Landschaft an, identifizieren die betroffenen Konten, planen die Umstellung auf Passkeys und begleiten die Kommunikation an Ihre Mitarbeitenden. Damit aus einer Pflichtübung ein Sicherheitsgewinn wird und Sie sich um den Rest nicht kümmern müssen.

Mehr zu unseren Security-Leistungen oder direkt ein Erstgespräch anfragen.