Microsoft Passkey statt SMS: Was das Aus der SMS-Anmeldung in Entra ID für Unternehmen bedeutet

• Ab dem 1. Februar 2027 stellt Microsoft die selbst bereitgestellte SMS- und Sprachanruf-Authentifizierung in Microsoft Entra ID für fast alle Benutzer ein, Global Administratoren und externe Benutzer folgen am 1. Juli 2027.
• Benutzer, deren einzige MFA-Methode SMS oder Anruf ist, müssen nach dem Stichtag einen Microsoft Passkey registrieren, bevor sie sich wieder anmelden können, eine Ausnahme gibt es nicht.
• Die Abschaltung betrifft auch die Self-Service-Kennwortzurücksetzung (SSPR), Codes aus einer Authenticator-App bleiben dagegen weiter erlaubt.
• Wer SMS aus regulatorischen oder betrieblichen Gründen behalten muss, kann seit dem 30. Oktober 2026 einen eigenen Telefonie-Anbieter über den Microsoft Security Store anbinden, das verursacht zusätzliche Kosten.
• Administratoren sollten jetzt betroffene Benutzer ermitteln, Passkeys aktivieren und eine Registrierungskampagne starten, damit am 1. Februar 2027 niemand vor einer blockierenden Abfrage steht.

Der Microsoft Passkey ersetzt in Microsoft Entra ID die Anmeldung per SMS-Code und Sprachanruf. Microsoft hat Ende Oktober 2026 im Message Center (MC1528000) noch einmal an den Stichtag erinnert: Ab dem 1. Februar 2027 stellt Microsoft die selbst bereitgestellte SMS- und Sprachanruf-Authentifizierung ein. Seit dem 30. Oktober 2026 steht außerdem die einzige Alternative bereit, mit der Unternehmen SMS weiter nutzen können. Für viele Unternehmen im Mittelstand ist das eine echte Frist, denn SMS ist dort oft noch die am weitesten verbreitete zweite Anmeldemethode.

Die Grundlage ist bereits seit dem 1. September 2026 aktiv: Seitdem sind Passkeys in Entra ID die Standardmethode. Benutzer, die für SMS oder Anruf freigeschaltet sind, wurden automatisch auch für Passkeys aktiviert und bekommen bei der MFA-Anmeldung einen Hinweis zur Registrierung. Diesen Hinweis können sie bisher beliebig oft wegklicken. Damit ist am 1. Februar 2027 Schluss.

Microsoft unterscheidet zwei Gruppen mit zwei Stichtagen:

• 1. Februar 2027: alle Benutzer im öffentlichen Microsoft Cloud-Mandanten, auch interne Gastkonten. Ausgenommen sind zunächst nur Global Administratoren und externe Benutzer.
• 1. Juli 2027: Global Administratoren und externe Benutzer.

Was der Stichtag für den einzelnen Benutzer bedeutet, hängt davon ab, welche Methoden er registriert hat:

• Weitere Methode vorhanden: Wer zusätzlich zur SMS zum Beispiel die Microsoft Authenticator App, Windows Hello for Business oder einen Sicherheitsschlüssel nutzt, wird auf diese Methode umgestellt und muss keinen Passkey anlegen.
• Nur SMS oder Anruf: Der Benutzer kann SMS noch ein letztes Mal zur Bestätigung nutzen. Danach erscheint eine blockierende Abfrage: Er muss einen Passkey registrieren, bevor er weiterarbeiten kann. Ein Opt-out gibt es für diese Durchsetzung nicht.

Wichtig für den Helpdesk: Die Abschaltung gilt laut Microsoft in ganz Entra ID, also auch für die Self-Service-Kennwortzurücksetzung (SSPR). Wer sein Kennwort bisher per SMS-Code zurücksetzt, braucht ebenfalls eine andere Methode. Wie Sie Methoden und Richtlinien sauber aufsetzen, zeigt unsere Seite zu Microsoft Entra ID.

• Codes aus einer Authenticator-App (TOTP) bleiben auch nach dem 1. Februar 2027 erlaubt, für bestehende und neue Registrierungen. Sie gelten aber nicht als phishing-resistent und erfüllen keine Conditional Access Policy, die eine phishing-resistente Anmeldung verlangt.
• Externe MFA-Methoden sind nicht betroffen, solange die Benutzer nicht zusätzlich für SMS oder Anruf freigeschaltet sind.
• Eigener Telefonie-Anbieter: Seit dem 30. Oktober 2026 können Unternehmen über den Microsoft Security Store einen Anbieter für SMS und Anruf auswählen und konfigurieren. Zum Start sind Soprano und Telesign in einer privaten Vorschau verfügbar, weitere sollen folgen. Die Kosten hängen vom Anbieter, der Region und dem Volumen ab. Microsoft empfiehlt diesen Weg nur bei dokumentierten regulatorischen oder betrieblichen Gründen.
• Aufschieben: Bis zum 1. Februar 2027 lässt sich die automatische Passkey-Aktivierung per Graph-Einstellung verzögern. Die Abschaltung selbst verschiebt das nicht.

Die Regeln gelten zunächst für die öffentliche Microsoft Cloud. Andere Clouds folgen laut Microsoft später mit eigener Ankündigung.

Microsoft beschreibt den Weg in seiner Dokumentation sehr konkret. Aus unserer Sicht sind das die entscheidenden Schritte:

1. Betroffene Benutzer ermitteln. Microsoft stellt dafür ein PowerShell-Skript (entra-sms-voice-usage-analyzer) und den Bericht zur Aktivität der Authentifizierungsmethoden bereit. Benötigt wird eine Rolle wie Global Reader, Security Reader oder Authentication Policy Administrator. Entscheidend sind die Benutzer, die nur SMS oder Anruf registriert haben.
2. Sicherheitsgruppe anlegen mit genau diesen Benutzern.
3. Passkeys (FIDO2) aktivieren und prüfen, dass die Gruppe in einer Richtlinie für Authentifizierungsmethoden enthalten ist, die Passkeys erlaubt.
4. Registrierungskampagne starten: In Entra ID unter Authentifizierungsmethoden die Registrierungskampagne auf „Microsoft Managed“ setzen und auf die Gruppe ausrichten.
5. Passkey-Art festlegen: Synchronisierte Passkeys eignen sich für Benutzer, die ohnehin einen Passwortmanager der Plattform nutzen. Gerätegebundene Passkeys in der Microsoft Authenticator App, in Windows Hello for Business oder auf einem Hardware-Sicherheitsschlüssel geben der IT mehr Kontrolle.
6. Benutzer in Phasen informieren: erst ankündigen, dann mit gerätespezifischen Anleitungen zur Registrierung auffordern, zum Schluss erinnern.

Denken Sie dabei an Sonderfälle: Mitarbeitende ohne Firmenhandy, geteilte Arbeitsplätze in Produktion und Lager, Notfallkonten und Dienstleister mit Gastzugang. Gerade dort hängt die Anmeldung oft noch an einer SMS.

SMS-Codes lassen sich abfangen, per Phishing abgreifen oder über einen SIM-Tausch umleiten. Ein Passkey ist dagegen an die echte Anmeldeseite gebunden und funktioniert auf einer gefälschten Seite nicht. Der Umstieg verursacht laut Microsoft keine zusätzlichen Lizenzkosten. Er ist außerdem der Schritt, der Ihren Tenant für Conditional Access Policies mit phishing-resistenter MFA vorbereitet.

Wie wir Unternehmen vollständig auf phishing-resistente MFA mit Passkeys umstellen, lesen Sie auf unserer Fachseite. Wenn Sie zuerst wissen möchten, wie viele Ihrer Benutzer noch an der SMS hängen und wo Ihr Tenant sonst Lücken hat, ist der Microsoft Tenant Sicherheitscheck der schnellste Einstieg.

Als Microsoft Solutions Partner für Security begleitet die InSys AG^® Unternehmen bei der Umstellung von SMS auf Passkeys: von der Auswertung der registrierten Methoden über die Richtlinien in Entra ID und die Registrierungskampagne bis zu Anleitungen für Ihre Mitarbeitenden und den Helpdesk. Einen Überblick über alle Leistungen finden Sie unter Microsoft 365 Security und Lizenzen.