Microsoft stellt SMS-MFA um: So gelingt der Wechsel zu Passkeys
Sichere Anmeldung muss für Benutzer nicht kompliziert sein. Moderne, phishing-resistente Anmeldemethoden wie Passkeys erhöhen den Schutz von Microsoft-365- und Entra-ID-Konten und können gleichzeitig die Anmeldung für die Benutzer vereinfachen. Unternehmen reduzieren damit das Risiko gestohlener Identitäten und ihre Abhängigkeit von SMS-Codes, Mobilfunkempfang und telefonischer Authentifizierung.
Microsoft hat angekündigt, Benutzer mit SMS oder Anruf als einziger Anmeldemethode künftig zur Registrierung eines Passkeys aufzufordern. Ab dem 1. Februar 2027 wird diese Registrierung verpflichtend, damit die betroffenen Benutzer ihre Anmeldung fortsetzen können.
Für Unternehmen entsteht daraus nicht nur Handlungsbedarf. Die Umstellung bietet auch die Chance, bestehende MFA-Konfigurationen zu überprüfen, unsichere Methoden abzulösen und die Anmeldung sicherer und benutzerfreundlicher zu gestalten.
Warum SMS- und Anruf-MFA nicht mehr ausreichend schützen
SMS und Telefon gelten schon seit längerem nicht mehr als sichere Anmeldemethoden. Für Angreifer sind diese Anmeldemethoden mit geringem Aufwand über Wege wie Vishing oder SIM-Swapping kompromittierbar. Meistens erfordern die Anmelderichtlinien nur, dass MFA eingesetzt wird, legen aber nicht fest, welche Methoden dafür genutzt werden dürfen.
Auch in unserem Net at Work SOC beobachten wir immer wieder Fälle von gestohlenen Identitäten, die nur durch SMS- oder anrufbasierte MFA geschützt waren.
Microsoft SMS-MFA: Diese Fristen müssen Sie kennen
Mit der Ankündigung, die eigene Bereitstellung von SMS- und Sprachanrufen ab dem 1. Februar 2027 einzustellen, hat Microsoft viele Admins aufgeschreckt. Für Benutzer, denen bis dahin nur SMS oder Anruf als Authentifizierungsmethode zur Verfügung stehen, wird die Registrierung eines Passkeys verpflichtend. Ohne eine rechtzeitige Vorbereitung kann es daher zu Unterbrechungen bei der Anmeldung kommen.
Die tatsächliche Ankündigung enthält folgende Kernpunkte:
- Ab dem 1. September 2026 werden Benutzer, für die SMS oder Sprachanruf aktiviert ist, automatisch für Passkeys freigeschaltet. Bei der Anmeldung werden sie zur Registrierung eines Passkeys aufgefordert. Diese Aufforderung kann zunächst noch verschoben werden.
- Ab dem 1. Februar 2027 stellt Microsoft die eigene technische Bereitstellung von SMS- und Sprachanrufen vollständig ein.
- Benutzer, deren einzige verfügbare Authentifizierungsmethode SMS oder Anruf ist, erhalten anschließend eine blockierende Aufforderung zur Registrierung eines Passkeys. Erst nach der Registrierung können sie ihre Anmeldung fortsetzen.
- Unternehmen, die SMS oder Anrufe aus betrieblichen, technischen oder regulatorischen Gründen weiterhin einsetzen möchten, müssen einen eigenen Telekommunikationsanbieter über den Microsoft Security Store einbinden. Dafür fallen voraussichtlich nutzungsabhängige Kosten an.
Abbildung 1: Im Microsoft Security Store können Sie neben Telecom-Provider auch Lösungen für KI-Agenten finden.
So bereiten Sie den Wechsel von SMS-MFA zu Passkeys vor
Mit unserer Checkliste sind Sie optimal vorbereitet für die kommende Umstellung:
Betroffene Benutzer identifizieren
Prüfen Sie, welche Benutzer bisher nur SMS oder Anruf nutzen können und somit von der Umstellung betroffen sind. Dies können Sie z.B. mit diesem Skript von Microsoft.
Benutzer informieren und sichere Anmeldemethoden bereitstellen
Stellen Sie sicher, dass die betroffenen User über die Änderung Bescheid wissen und ermöglichen Sie ihnen, einen Passkey oder eine andere geeignete phishing-resistente Anmeldemethode zu registrieren:
- Rollen Sie Windows Hello for Business aus. Dies zählt ebenfalls als Passkey und ist für User eine einfache und schnelle Variante ohne zusätzliche Installation oder Geräte.
- Alternative nutzen die Anwender dafür die Microsoft Authenticator App für das Speichern des Passkeys oder
- sie besorgen Hardware-Passkeys von den Herstellern Yubikey oder Token2 für die Anwender.
Wichtig:
Nicht in allen Anwendungsfällen sind Passkeys die optimale Anmeldemethode. Wenn User keine Passkeys nutzen können, sollten Sie geeignete Alternativen wie Hardware- oder Software-OTP evaluieren. Ein Temporary Access Pass kann zusätzlich genutzt werden, um Benutzern die sichere Registrierung einer neuen Anmeldemethode zu ermöglichen. Wir unterstützen Sie gerne dabei, auch für schwierige Szenarien sichere und praxistaugliche Lösungen zu finden.
Abbildung 2: In Microsoft Entra können Sie detailliert steuern, welcher Nutzer welche Anmeldemethoden registrieren darf.
Weiteren Einsatz von SMS oder Anrufen prüfen
Sollen User trotz der anderen Möglichkeiten, auch in Zukunft SMS oder Sprachanrufe nutzen, müssen Sie einen Telekommunikations-Provider im Security Store von Microsoft buchen, über den die Nachrichten und Anrufe dann bereitgestellt werden.
Prüfen Sie deshalb frühzeitig, für welche Benutzergruppen weiterhin ein tatsächlicher betrieblicher, technischer oder regulatorischer Bedarf besteht. Für alle anderen Benutzer sollte der Wechsel zu einer phishing-resistenten Anmeldemethode das bevorzugte Ziel sein.
Konkrete Preise hängen vom ausgewählten Anbieter, der Region und dem jeweiligen Nutzungsvolumen ab.
Warum Passkeys allein noch keine sichere Zugriffsstrategie ergeben
Noch wichtiger als die Authentifizierungsmethoden ist, wie Sie diese in Ihrem Unternehmen einsetzen. Und hier kommt Conditional Access ins Spiel, denn mit dem falschen Conditional Access Regelwerk schleichen sich schnell schwerwiegende Fehler ein. Hierdurch kann es im schlimmsten Fall zu Lücken kommen, die Angreifer für Zugriffe auf Ihre Unternehmensdaten ausnutzen können.
Mit Authentifizierungsstärken können Sie gezielt steuern, welche Anmeldemethoden in welchen Situationen zulässig sind. So können Sie beispielsweise für besonders sensible Anwendungen oder Benutzergruppen ausschließlich phishing-resistente Methoden erlauben.
Authentifizierung und Conditional Access gemeinsam überprüfen
In unserem Zero Trust Assessment beleuchten wir Ihre bisherigen Maßnahmen rund um Identitäten, Authentifizierung und Zugriffsschutz sowie weitere sicherheitsrelevante Bereiche Ihres Unternehmens. Gemeinsam prüfen wir, wo Handlungsbedarf besteht, und entwickeln konkrete Empfehlungen für eine sichere und praxistaugliche Weiterentwicklung Ihrer Umgebung.
So stellen Sie sicher, dass Sie die bevorstehenden Microsoft-Änderungen gut vorbereitet meistern und die Umstellung zugleich für eine nachhaltige Verbesserung Ihrer Identitätssicherheit nutzen.
Fazit
Die Microsoft-Änderungen sind ein guter Anlass, die eigene Authentifizierungsstrategie grundsätzlich weiterzuentwickeln. Wer frühzeitig passende Anmeldemethoden etabliert und diese mit Conditional Access sinnvoll steuert, schafft eine zukunftsfähige Basis für den Identitätsschutz. Entscheidend ist dabei nicht allein der Wechsel zu Passkey, sondern ein Konzept, das Sicherheit, Benutzerfreundlichkeit und die individuellen Anforderungen des Unternehmens zusammenführt.
Bereiten Sie Ihre Authentifizierung gezielt auf Passkeys vor
Wir unterstützen Sie dabei, Ihre Anmeldemethoden zu bewerten und eine passende Strategie für Passkeys und phishing-resistente Authentifizierung zu entwickeln.
Häufige Fragen zur Umstellung von SMS-MFA auf Passkeys
Wann wird die Passkey-Registrierung verpflichtend?
Ab dem 1. Februar 2027 müssen betroffene Benutzer einen Passkey registrieren, wenn SMS oder Anruf ihre einzige verfügbare Authentifizierungsmethode ist.
Kann SMS-MFA weiterhin genutzt werden?
Ja. Unternehmen, die SMS oder Anrufe weiterhin einsetzen möchten, benötigen dafür künftig einen Telekommunikationsanbieter über den Microsoft Security Store.
Welche Alternativen zu SMS-MFA gibt es?
Als phishing-resistente Anmeldemethoden eignen sich Windows Hello for Business, Passkeys in Microsoft Authenticator oder Hardware-Passkeys wie Yubikey und Token2. Da Passkeys nicht für jedes Szenario geeignet sind, können je nach Anwendungsfall auch Hardware- oder Software-OTP eingesetzt werden. Ein Temporary Access Pass unterstützt zusätzlich bei der Registrierung einer neuen Anmeldemethode.
Welche Rolle spielt Conditional Access?
Conditional Access steuert, welche Authentifizierungsmethoden in bestimmten Zugriffssituationen zulässig sind. Über Authentifizierungsstärken können Unternehmen beispielsweise für sensible Anwendungen gezielt phishing-resistente Methoden voraussetzen.
Weitere News zu diesem Thema
