Microsoft Entra ID: SMS-Anmeldung endet 2027 – Passkeys übernehmen

Microsoft macht bei der Anmeldung an Unternehmenskonten ernst. Ab dem 1. Februar 2027 stellt das Unternehmen die bisher von Microsoft bereitgestellte Authentifizierung per SMS und Sprachanruf in Microsoft Entra ID schrittweise ein. Stattdessen sollen Unternehmen auf sicherere Anmeldeverfahren wie Passkeys umsteigen.

Für IT-Administratoren bedeutet das vor allem eines: Sie sollten rechtzeitig prüfen, welche Mitarbeiter noch auf SMS-Codes oder telefonische Bestätigungen angewiesen sind. Andernfalls kann es Anfang kommenden Jahres zu Problemen bei der Anmeldung kommen.

Microsoft hat deshalb am 27. Oktober 2026 erneut an die bevorstehende Umstellung erinnert.

Microsoft verabschiedet sich von SMS und Sprachanrufen

Die Anmeldung mit einem zusätzlichen Sicherheitscode per SMS ist in vielen Unternehmen noch immer weit verbreitet.

Das Verfahren ist einfach: Nach der Eingabe des Passworts erhält der Nutzer eine Nachricht mit einem Einmalcode, den er zur Bestätigung eingeben muss. Alternativ lässt sich die Anmeldung über einen automatisierten Telefonanruf bestätigen.

Diese Verfahren bieten zwar zusätzlichen Schutz gegenüber einer reinen Passwortanmeldung, gelten inzwischen aber als vergleichsweise anfällig.

Besonders problematisch sind Phishing-Angriffe, bei denen Kriminelle Nutzer dazu bringen, ihre Zugangsdaten und Sicherheitscodes auf gefälschten Webseiten einzugeben.

Auch sogenannte SIM-Swapping-Angriffe spielen eine Rolle. Dabei versuchen Angreifer, die Telefonnummer des Opfers auf eine eigene SIM-Karte zu übertragen, um anschließend Sicherheitscodes abzufangen.

Microsoft möchte deshalb künftig stärker auf Anmeldeverfahren setzen, bei denen solche Angriffe deutlich schwieriger sind.

Wichtig ist allerdings eine Unterscheidung: Microsoft schafft SMS und Sprachanrufe nicht grundsätzlich überall ab. Eingestellt wird zunächst die direkte Bereitstellung dieser Authentifizierungsmethoden innerhalb der betroffenen Entra-ID-Unternehmensumgebungen.

Ab Februar 2027 gelten neue Regeln

Die Umstellung betrifft Microsoft Entra ID, also Microsofts zentrale Identitäts- und Zugriffsverwaltung für Unternehmen.

Der Zeitplan sieht mehrere Schritte vor:

Eine wichtige Ausnahme gibt es also bei globalen Administratoren und externen Nutzern. Für diese Gruppen ist der spätere Termin am 1. Juli 2027 vorgesehen.

Interne Gastnutzer fallen dagegen bereits unter die Umstellung zum 1. Februar.

Nicht betroffen sind im Rahmen dieser Ankündigung Azure AD B2C sowie die Kundenidentitätsszenarien von Microsoft Entra External ID.

Unternehmen, die ihre Mitarbeiter bereits vollständig über andere unterstützte Verfahren anmelden lassen, müssen wegen dieser Änderung nicht zwingend aktiv werden.

Was passiert, wenn Mitarbeiter weiterhin SMS verwenden?

Besonders interessant ist, wie Microsoft mit Nutzern umgehen möchte, die bis zum Stichtag noch kein anderes Verfahren eingerichtet haben.

Laut der aktuellen Ankündigung können betroffene Nutzer ihre Identität gegebenenfalls noch ein letztes Mal über SMS oder Sprachanruf bestätigen.

Anschließend müssen sie einen Passkey registrieren, bevor sie die Anmeldung fortsetzen können.

Die Registrierung lässt sich dann nicht mehr einfach überspringen.

Das bedeutet nicht zwangsläufig, dass alle betroffenen Konten am 1. Februar sofort dauerhaft gesperrt werden. Ohne erfolgreich eingerichtetes alternatives Anmeldeverfahren kann der Zugriff allerdings vorübergehend unterbrochen werden.

Gerade in größeren Unternehmen kann das unangenehm werden. Schließlich reicht es bereits, wenn einige Mitarbeiter plötzlich nicht mehr auf Microsoft 365, Teams oder andere geschäftliche Anwendungen zugreifen können.

Passkeys sollen die Anmeldung sicherer machen

Microsoft empfiehlt ausdrücklich den Umstieg auf Passkeys.

Dabei handelt es sich um ein modernes Anmeldeverfahren, das auf kryptografischen Schlüsseln basiert. Statt einen Sicherheitscode aus einer SMS abzutippen, bestätigt der Nutzer seine Identität beispielsweise über Windows Hello, einen Fingerabdruck, eine Gesichtserkennung oder eine Geräte-PIN.

Der entscheidende Vorteil: Passkeys sind an den jeweiligen Dienst beziehungsweise dessen Identität gebunden.

Dadurch lassen sie sich nicht wie gewöhnliche Passwörter oder SMS-Codes auf einer gefälschten Anmeldeseite abgreifen und anschließend bei einem anderen Dienst wiederverwenden.

Für Mitarbeiter kann das sogar komfortabler sein.

Statt auf eine SMS zu warten und einen Zahlencode abzutippen, reicht häufig eine kurze Bestätigung auf dem eigenen Gerät.

Ich halte diesen Wechsel grundsätzlich für sinnvoll. SMS-Codes waren lange eine einfache Möglichkeit, Konten zusätzlich abzusichern. Technisch gibt es inzwischen aber deutlich bessere Verfahren.

Wenn sich Sicherheit und Bedienkomfort gleichzeitig verbessern lassen, spricht wenig dagegen, diese Möglichkeiten auch konsequent zu nutzen.

Passkeys sind bereits die bevorzugte Methode

Die Umstellung kommt nicht überraschend.

Schon im Juli 2026 hatte Microsoft angekündigt, Passkeys in Entra ID künftig stärker in den Mittelpunkt zu stellen.

Seit September läuft die entsprechende Einführung.

Für Nutzer, bei denen bisher SMS oder Sprachanrufe als Authentifizierungsmethode aktiviert waren, werden Passkeys automatisch als verfügbare Methode freigeschaltet.

Bei einer späteren Anmeldung fordert Microsoft diese Nutzer zur Einrichtung eines Passkeys auf.

Allerdings ist die automatische Freischaltung nicht mit einer abgeschlossenen Migration gleichzusetzen.

Ein Passkey muss vom jeweiligen Nutzer tatsächlich eingerichtet werden. Bis zum Beginn der verpflichtenden Umstellung konnten entsprechende Hinweise zunächst noch aufgeschoben werden.

Neben Passkeys unterstützt Entra ID weitere sichere Verfahren. Dazu gehören beispielsweise FIDO2-Sicherheitsschlüssel, Windows Hello for Business und bestimmte zertifikatsbasierte Authentifizierungsmethoden.

Administratoren sollten betroffene Nutzer jetzt ermitteln

Für Unternehmen besteht die wichtigste Aufgabe zunächst darin, einen Überblick über die verwendeten Anmeldeverfahren zu bekommen.

Microsoft stellt dafür ein PowerShell-Werkzeug mit dem Namen Entra SMS/Voice Policy Scanner bereit.

Damit können Administratoren überprüfen, in welchen Bereichen ihrer Entra-ID-Umgebung SMS- und Sprachanrufverfahren über Authentifizierungsrichtlinien aktiviert sind.

Das Werkzeug analysiert unter anderem die betroffenen Richtlinien, zugewiesene Gruppen und vorhandene Ausnahmen.

Eine vollständige Liste aller tatsächlich betroffenen Benutzer liefert es allerdings nicht automatisch. Dafür müssen zusätzlich die registrierten Authentifizierungsmethoden und gegebenenfalls die Anmeldedaten ausgewertet werden.

Für die Richtlinienprüfung werden entsprechende Berechtigungen benötigt, beispielsweise die Rollen Authentication Policy Administrator, Global Reader oder Security Reader.

Anschließend sollten Administratoren festlegen, welche alternativen Verfahren zum Einsatz kommen und wie die Mitarbeiter bei der Einrichtung unterstützt werden.

Besonders wichtig sind dabei Benutzer, die bislang ausschließlich SMS oder Sprachanrufe verwenden.

Ich würde außerdem empfehlen, den Helpdesk frühzeitig einzubeziehen. Eine technische Umstellung ist deutlich einfacher, wenn die Mitarbeiter bereits vorher wissen, warum sie plötzlich einen Passkey einrichten sollen.

Unternehmen können SMS weiterhin über Drittanbieter nutzen

Microsoft lässt Unternehmen eine Ausweichmöglichkeit.

Wer aus technischen, organisatorischen oder regulatorischen Gründen weiterhin auf SMS und Sprachanrufe angewiesen ist, kann künftig einen eigenen Telekommunikationsanbieter einbinden.

Das entsprechende Modell bezeichnet Microsoft als Customer-Managed Telecom Provider, kurz CYOT.

Die Einrichtung erfolgt über den Microsoft Security Store.

Als erste Anbieter hat Microsoft unter anderem Soprano und Telesign genannt.

Die entsprechende Konfigurationsmöglichkeit soll ab dem 30. Oktober 2026 bereitstehen.

Allerdings können dadurch zusätzliche Kosten entstehen, die sich nach Anbieter, Region und Nutzung richten.

Für Unternehmen mit besonderen Anforderungen ist das eine interessante Option. Als dauerhafte Standardlösung würde ich allerdings eher auf Passkeys oder andere phishingresistente Verfahren setzen.

Schließlich löst ein anderer SMS-Anbieter nicht die grundsätzlichen Sicherheitsprobleme dieser Authentifizierungsmethode.

Warum Microsoft die Umstellung jetzt vorantreibt

Die Entwicklung passt zu Microsofts grundsätzlicher Sicherheitsstrategie.

Passwörter und klassische Einmalcodes sollen zunehmend durch Verfahren ersetzt werden, die besser gegen Phishing und Kontoübernahmen geschützt sind.

Gerade in Unternehmensumgebungen ist das wichtig. Ein kompromittiertes Benutzerkonto kann schließlich weitreichende Folgen haben, insbesondere wenn darüber auf interne Dokumente, E-Mails oder geschäftliche Anwendungen zugegriffen werden kann.

Der Umstieg auf Passkeys allein macht eine IT-Umgebung natürlich noch nicht automatisch sicher.

Berechtigungen, Geräteverwaltung, Sicherheitsrichtlinien und die Überwachung ungewöhnlicher Anmeldevorgänge bleiben weiterhin wichtig.

Trotzdem beseitigt der Wechsel eine Schwachstelle, die Angreifer seit Jahren ausnutzen.

Fazit: Der Umstieg auf Passkeys sollte nicht aufgeschoben werden

Microsoft setzt mit dem angekündigten Ende der eigenen SMS- und Sprachanruf-Authentifizierung einen klaren Termin.

Ab dem 1. Februar 2027 müssen die meisten betroffenen Entra-ID-Nutzer auf andere unterstützte Anmeldeverfahren umgestellt sein. Für globale Administratoren und bestimmte externe Nutzer bleibt noch bis zum 1. Juli 2027 Zeit.

Aus meiner Sicht ist die Entscheidung nachvollziehbar. SMS-Codes haben ihren Zweck lange erfüllt, sind inzwischen aber nicht mehr die beste Wahl für den Schutz geschäftlicher Konten.

Problematisch könnte weniger die Technik selbst werden als vielmehr die organisatorische Umsetzung.

In Unternehmen mit vielen Mitarbeitern, unterschiedlichen Geräten und gewachsenen IT-Strukturen lässt sich eine solche Umstellung nicht unbedingt innerhalb weniger Tage erledigen.

Administratoren sollten deshalb jetzt prüfen, welche Konten betroffen sind, Passkeys oder andere sichere Verfahren vorbereiten und die Mitarbeiter rechtzeitig informieren.

Wer die Migration frühzeitig abschließt, vermeidet unnötige Anmeldeprobleme und verbessert gleichzeitig die Sicherheit der eigenen IT-Umgebung.

Quellen

BleepingComputer – 28. Oktober 2026
Microsoft urges Entra ID admins to migrate users to passkeys
https://www.bleepingcomputer.com/news/microsoft/microsoft-reminds-entra-id-admins-to-migrate-users-to-passkeys/

Microsoft 365 Message Center – 27. Oktober 2026
MC1528000: Erinnerung zur Ablösung der Microsoft-bereitgestellten SMS- und Sprachanruf-Authentifizierung
https://admin.microsoft.com/#/MessageCenter/:/messages/MC1528000

Microsoft Learn – Offizieller Zeitplan und Migrationshinweise
https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sms-voice-retirement

Microsoft Learn – Einführung phishingresistenter passwortloser Authentifizierung
https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-plan-prerequisites-phishing-resistant-passwordless-authentication

GitHub – Microsoft Entra SMS/Voice Policy Scanner
https://github.com/microsoft/entra-sms-voice-usage-analyzer