Microsoft schaltet SMS-MFA ab: Passkeys bis Februar 2027

Die Mail von Microsoft ist englisch, lang und leicht zu übersehen. Ignorieren sollte man sie trotzdem nicht.

In den letzten Wochen haben viele IT-Abteilungen und Systemhäuser eine englischsprachige Mail von Microsoft bekommen: „Passkeys by default and retirement of Microsoft-provided SMS and voice authentication.“ Auch bei uns landete sie als Ticket im Helpdesk – als eine von vielen automatischen Hinweismails, die leicht untergehen.

Diese hier sollte man nicht übersehen. Microsoft beendet die SMS- und Anruf-Anmeldung in Entra ID. Wer Benutzer hat, die sich noch per SMS-Code anmelden, muss sie bis zum 1. Februar 2027 umstellen – sonst bekommen sie bei der nächsten Anmeldung eine Sperrmeldung. Hier ist, was sich ändert und wie du vorgehst.

Was ändert Microsoft genau?

Microsoft stellt die Anmeldung per SMS und Anruf ein und macht Passkeys zum Standard. Laut der Mitteilung an alle Entra-ID-Mandanten:

• 1. September 2026 – Benutzer mit SMS oder Anruf werden automatisch für Passkeys freigeschaltet und bei der nächsten MFA-Anmeldung zur Registrierung aufgefordert
• 18. September 2026 – Microsoft veröffentlicht Anbieter und Preise für eigene SMS-Zustellung
• 30. Oktober 2026 – Eigene Telekommunikationsanbieter lassen sich einrichten
• 1. Februar 2027 – Von Microsoft bereitgestellte SMS- und Anruf-Anmeldung endet vollständig
• nach dem 1. Februar 2027 – Benutzer, deren einzige MFA-Methode SMS oder Anruf ist, müssen vor der Anmeldung einen Passkey einrichten – ohne Ausnahme

Wer keine Benutzer mit SMS oder Anruf hat, muss nichts tun.

Warum schafft Microsoft SMS ab?

Weil SMS und Anruf zu den unsichersten Anmeldemethoden gehören. Codes lassen sich abfangen, über gefälschte Anmeldeseiten abgreifen oder per SIM-Tausch umleiten. Passkeys funktionieren dagegen nur auf der echten Anmeldeseite – ein Phishing-Link bringt dem Angreifer nichts.

Was ist ein Passkey?

Ein Passkey ersetzt Passwort und Code durch einen Schlüssel auf dem Gerät. Er liegt:

• in der Microsoft Authenticator-App auf dem Handy,
• auf dem PC (Windows Hello),
• oder auf einem Sicherheitsschlüssel (FIDO2, z. B. als USB-Stick).

Freigegeben wird er per Fingerabdruck, Gesichtserkennung oder PIN. Für den Anwender ist das meist einfacher als ein SMS-Code: kein Abtippen, kein Warten auf die Nachricht.

Schritt 1: Betroffene Benutzer finden

Im Microsoft Entra Admin Center:

1. Schutz › Authentifizierungsmethoden › Details zur Benutzerregistrierung.
2. Nach Registrierte Methoden filtern: SMS bzw. Sprachanruf.
3. Besonders wichtig: Benutzer, bei denen SMS die einzige Methode ist.

Per Microsoft Graph PowerShell:

Connect-MgGraph -Scopes "AuditLog.Read.All","UserAuthenticationMethod.Read.All"
Get-MgReportAuthenticationMethodUserRegistrationDetail -All |
  Where-Object { $_.MethodsRegistered -contains 'mobilePhone' } |
  Select-Object UserPrincipalName, MethodsRegistered

Für Systemhäuser: Das für jeden Kundenmandanten einzeln prüfen – die Mitteilung ging an alle Mandanten.

Schritt 2: Passkeys aktivieren

1. Schutz › Authentifizierungsmethoden › Richtlinien › Passkey (FIDO2) aktivieren.
2. Festlegen, für welche Gruppen es gilt – am besten zuerst eine Testgruppe.
3. Bei Bedarf einstellen, welche Passkey-Arten erlaubt sind (Authenticator, Sicherheitsschlüssel).

Microsoft Authenticator als Übergang: Wer noch keinen Passkey einrichten will, kann Benutzer auch auf die Push-Bestätigung in der Authenticator-App umstellen. Die ist deutlich sicherer als SMS, aber nicht ganz phishing-resistent wie ein Passkey.

14 Tage kostenlos

IT-Support, der sich selbst erledigt.

SuperSupport löst IT-Probleme direkt am Gerät, bevor ein Ticket entsteht. Teste es 14 Tage kostenlos.

Kostenlos testen

Schritt 3: Registrierung anstoßen

Microsoft bietet dafür eine Registrierungskampagne. Unter Authentifizierungsmethoden › Einstellungen › Registrierungskampagne lassen sich Benutzer bei der Anmeldung gezielt zur Einrichtung auffordern. Seit dem

1. September 2026 passiert das für SMS-Benutzer ohnehin automatisch – wer selbst steuern will, wann und wie, startet die Kampagne vorher.

Dazu eine kurze Anleitung an die Mitarbeiter:

• Was sich ändert: SMS-Codes fallen weg, stattdessen Anmeldung per Handy-App oder Fingerabdruck.
• Bis wann: vor Februar 2027, am besten jetzt.
• Was zu tun ist: Authenticator-App installieren, bei der nächsten Aufforderung „Passkey einrichten“ wählen.
• Wen fragen: IT oder Systemhaus.

Schritt 4: Sonderfälle klären

• Mitarbeiter ohne Diensthandy: Sicherheitsschlüssel (FIDO2) oder Windows Hello am Arbeitsplatz.
• Gemeinsam genutzte Konten: Am besten abschaffen und durch persönliche Konten ersetzen; sonst Sicherheitsschlüssel.
• Rechtliche oder betriebliche Gründe für SMS: Nur dann einen eigenen Telekommunikationsanbieter einrichten – laut Microsoft ab dem 30. Oktober 2026 möglich.
• Notfallzugang: Für Admin-Konten mindestens zwei Methoden hinterlegen, damit der Verlust eines Handys nicht aussperrt.

Was passiert, wenn man nichts tut?

Ab dem 1. Februar 2027 werden Benutzer mit SMS als einziger Methode bei der Anmeldung angehalten und müssen zuerst einen Passkey einrichten. Das passiert dann unter Zeitdruck, ohne Anleitung – und landet als Welle von Anrufen bei der IT. Wer jetzt umstellt, entscheidet selbst über den Zeitpunkt.

Mehr zum Thema Anmeldung und Zugänge: VPN: Authentifizierung fehlgeschlagen und die IT-Checkliste für neue Mitarbeiter.

Wie hilft SuperSupport bei der Umstellung?

Bei solchen Umstellungen kommen viele gleichartige Fragen: „Wie richte ich den Passkey ein?“, „Die App fragt nach etwas, was soll ich tun?“. Der SuperSupport-Agent beantwortet sie im Chat, führt Schritt für Schritt durch die Einrichtung und gibt nur die Fälle an die IT weiter, die wirklich jemanden brauchen – etwa ein verlorenes Handy. Wie das für interne IT-Teams und Systemhäuser aussieht, steht auf den jeweiligen Seiten.

Häufige Fragen

Wann schaltet Microsoft die SMS-Anmeldung ab?

Laut Microsoft wird die von Microsoft bereitgestellte SMS- und Anruf-Authentifizierung in Entra ID am 1. Februar 2027 vollständig eingestellt. Bereits seit dem 1. September 2026 werden Benutzer mit SMS oder Anruf automatisch für Passkeys freigeschaltet und bei der nächsten Anmeldung zur Registrierung aufgefordert.

Was passiert mit Benutzern, die nur SMS als zweiten Faktor haben?

Nach dem 1. Februar 2027 bekommen sie bei der Anmeldung eine blockierende Aufforderung, zuerst einen Passkey einzurichten. Erst danach können sie weiterarbeiten. Laut Microsoft gibt es dafür keine Ausnahme.

Was ist ein Passkey?

Ein Passkey ist eine Anmeldung ohne Passwort und ohne Code: Der geheime Schlüssel liegt auf dem Handy, dem PC oder einem Sicherheitsschlüssel und wird per Fingerabdruck, Gesicht oder PIN freigegeben. Er funktioniert nur auf der echten Anmeldeseite und ist deshalb gegen Phishing geschützt.

Wie finde ich heraus, wer noch SMS nutzt?

Im Microsoft Entra Admin Center unter Schutz › Authentifizierungsmethoden › Details zur Benutzerregistrierung nach der Methode SMS oder Anruf filtern. Alternativ per Microsoft Graph PowerShell.

Kann ich SMS weiter nutzen?

Nur über einen eigenen Telekommunikationsanbieter, den man laut Microsoft über den Microsoft Security Store einbindet. Die von Microsoft bereitgestellte SMS- und Anruf-Zustellung endet für alle Mandanten.

14 Tage kostenlos

IT-Support, der sich selbst erledigt.

SuperSupport löst IT-Probleme direkt am Gerät, bevor ein Ticket entsteht. Teste es 14 Tage kostenlos.

Kostenlos testen