Schluss mit SMS: Microsoft setzt auf Passkeys, Nutzer müssen handeln

Microsoft will die SMS- und Sprachanmeldung für Konten in Entra ID ab Februar 2027 einstellen. Administratoren sollen deshalb rechtzeitig auf phishingresistente Authentifizierungsverfahren umstellen, um Probleme bei der Anmeldung zu vermeiden.

Umstellung läuft

Ab dem 1. Februar 2027 können Nutzer die von Microsoft bereitgestellten SMS- und Sprachnachrichten nicht mehr für die Multi-Faktor-Authentifizierung (MFA) verwenden. Der Konzern kündigte den Schritt in einer Mitteilung im Microsoft-365-Nachrichtencenter an. Die Abschaltung betrifft ausschließlich die Authentifizierung von Mitarbeitern und anderen Nutzern in Microsoft Entra ID. Kundenidentitäten über Azure AD B2C oder Microsoft Entra External ID sind davon nicht betroffen.

Microsoft begründet die Änderung mit den Sicherheitsrisiken herkömmlicher Telefonverfahren. SMS-Codes und Sprachanrufe lassen sich unter anderem durch Phishing oder sogenannte SIM-Swapping-Angriffe abfangen. Bei Letzteren übernehmen Angreifer die Kontrolle über die Mobilfunknummer eines Opfers, um beispielsweise Sicherheitscodes zu empfangen.


Als Alternative empfiehlt Microsoft Passkeys. Diese ermöglichen eine passwortlose Anmeldung und sollen besser gegen Phishing geschützt sein. Daneben kommen unter anderem FIDO2-Sicherheitsschlüssel und weitere von Entra ID unterstützte Verfahren infrage. Auch eine Anmeldung per QR-Code gehört zu den genannten Möglichkeiten.

Ausnahme bleibt

Bereits im Juli hatte Microsoft angekündigt, Passkeys schrittweise als Standard für die Authentifizierung in Entra ID einzuführen. Der Rollout begann im September. Sobald eine Organisation an der Reihe ist, werden Nutzer, die bislang SMS oder Sprachanrufe verwenden dürfen, automatisch auch für Passkeys freigeschaltet. Bei ihrer nächsten Multi-Faktor-Authentifizierung sollen sie dann aufgefordert werden, einen Passkey einzurichten.

Administratoren sollten die Umstellung vor Beginn der Abschaltung abschließen. Andernfalls könnten Mitarbeiter bei der Anmeldung auf Probleme stoßen, wenn sie weiterhin auf SMS oder Sprachanrufe angewiesen sind. Um den Wechsel vorzubereiten, stellt Microsoft ein PowerShell-Skript namens Entra SMS/Voice Policy Scanner bereit. Damit können Administratoren ermitteln, welche Nutzer noch auf die betroffenen Authentifizierungsmethoden zurückgreifen.

Organisationen, die aus betrieblichen Gründen weiterhin telefonbasierte Authentifizierung benötigen, müssen zukünftig einen eigenen Telekommunikationsanbieter über den Microsoft Security Store einbinden. Microsoft bezeichnet dieses Modell als "Choose Your Own Telecom Provider" (CYOT).

Siehe auch: