Microsoft 365 · Anmeldesicherheit
Seit dem 1. September 2026 schaltet Microsoft in Entra ID Passkeys als Standard frei und fordert Benutzer beim Anmelden auf, einen einzurichten. Am 1. Februar 2027 wird die Zustellung von SMS- und Telefoncodes eingestellt. Wer bis dahin nichts anderes hinterlegt hat, kommt nicht mehr weiter – die Aufforderung lässt sich dann nicht mehr wegklicken.
Betroffen sind zwei Verfahren: der Code per SMS und der Anruf mit Ansage. Beide hat Microsoft bisher selbst zugestellt, ohne dass ein Unternehmen etwas dafür einrichten musste. Genau diese Zustellung endet.
Nicht betroffen ist die Microsoft-Authenticator-App. Das ist der Punkt, an dem die meisten Rückfragen entstehen: Wer die App mit Bestätigung oder Zahlencode nutzt, muss nichts tun. Auch andere Verfahren wie FIDO2-Sicherheitsschlüssel oder Windows Hello for Business bleiben unverändert. Es geht ausschließlich um Telefon und SMS.
Wer SMS oder Anruf weiterhin braucht – etwa weil eine Aufsichtsbehörde es verlangt oder weil Beschäftigte kein geeignetes Gerät haben –, kann das über einen eigenen Telekommunikationsanbieter weiterführen. Den bucht man über den Microsoft Security Store, und er kostet Geld. Vorher war die Zustellung im Abonnement enthalten.
Vier Termine
Zwischen dem ersten und dem letzten Termin liegen zehn Monate. Der entscheidende ist der dritte.
Eine Ausnahme, die gern übersehen wird
Für <b>globale Administratoren und externe Benutzer</b> endet die Zustellung nicht im Februar, sondern erst am <b>1. Juli 2027</b>. Das klingt nach Entspannung, ist aber eine Falle: Wenn ausgerechnet die Administratorkonten noch monatelang per SMS funktionieren, fällt beim Testen nicht auf, dass für alle anderen längst Schluss ist. Interne Gastkonten fallen übrigens unter den Februar-Termin, nicht unter den Juli-Termin.
Einordnung
Alle drei sind ein zweiter Faktor. Sie unterscheiden sich darin, was ein Angreifer tun muss, um sie zu umgehen.
Der Code wird vorgelesen oder als Nachricht geschickt. Wer das Opfer auf eine nachgebaute Anmeldeseite lockt, bekommt den Code dort eingetippt und verwendet ihn sofort selbst. Dazu kommt der Austausch der SIM-Karte beim Mobilfunkanbieter.
Bestätigung in der App, oft mit Zahlenabgleich. Deutlich besser als SMS, weil kein Code über das Mobilfunknetz läuft. Umgehen lässt es sich trotzdem: Wer auf einer nachgebauten Seite landet, bestätigt die Anfrage des Angreifers in gutem Glauben.
Der Schlüssel liegt auf dem Gerät und wird nur an die echte Adresse herausgegeben. Eine nachgebaute Seite bekommt ihn schlicht nicht – nicht weil der Benutzer aufmerksam ist, sondern weil die Adresse nicht passt. Freigegeben wird mit Fingerabdruck, Gesicht oder PIN.
Vor der Umstellung klären
Die Technik ist der einfache Teil. Aufwendig wird es bei den Menschen, die nicht in das Standardbild passen – und die gibt es in jedem Betrieb.
Vier Monate bleiben
In dieser Reihenfolge. Der erste Schritt dauert zehn Minuten und entscheidet über den Aufwand des Rests.
Im Entra-Verwaltungsportal lässt sich auswerten, welche Benutzer SMS oder Anruf als Verfahren hinterlegt haben. In vielen Betrieben ist die Zahl kleiner als befürchtet – wer ohnehin mit der Authenticator-App arbeitet, ist nicht betroffen. Erst diese Liste sagt, ob es ein Nachmittag oder ein Projekt wird.
Für die allermeisten mittelständischen Betriebe sind Passkeys der richtige Weg – sie sind sicherer und kosten nichts extra. Ein eigener Telekommunikationsanbieter lohnt nur, wenn eine Vorgabe von außen SMS ausdrücklich verlangt oder ein Teil der Belegschaft kein Gerät stellen kann.
Bevor der erste Benutzer etwas einrichtet, muss klar sein: Wo liegt der Passkey, und was ist der zweite Weg, falls das Gerät fehlt? Ohne diese beiden Antworten entsteht ein Durcheinander, das später mühsam aufzuräumen ist.
Fünf bis zehn Personen aus verschiedenen Abteilungen, darunter bewusst jemand ohne besondere Technikneigung. Was dort an Fragen aufkommt, kommt später von allen – nur dann gesammelt am selben Tag.
Die Meldung erscheint mitten in der Anmeldung. Wer nicht weiß, was das ist, klickt sie weg oder ruft an. Eine kurze Nachricht vorab – was kommt, warum, was zu tun ist – erspart den größten Teil der Rückfragen.
Einen Monat vor dem Stichtag dieselbe Auswertung wie in Schritt eins. Wer dann noch auf der Liste steht, wird gezielt angesprochen. Diese letzten Prozent sind es, die am 1. Februar sonst gleichzeitig anrufen.
Werkzeug
Zum Abhaken und Ausdrucken. Die Punkte sind so sortiert, dass die Entscheidungen vor der Technik kommen – in umgekehrter Reihenfolge wird es teuer.
Ihre Eingaben bleiben in diesem Browserfenster. Es wird nichts gespeichert und nichts übertragen.
Ohne diese Zahlen lässt sich der Aufwand nicht schätzen.
Diese vier Fragen gehören beantwortet, bevor der erste Passkey eingerichtet wird.
Erst in kleiner Runde, dann in der Fläche.
Der Teil, den man sich vornimmt und dann vergisst.
Noch nichts abgehakt.
Häufige Fragen
Nein. Die Authenticator-App ist von der Abschaltung nicht betroffen, sie funktioniert unverändert weiter. Betroffen sind ausschließlich der Code per SMS und der Anruf mit Ansage.
Es kann trotzdem sein, dass Ihre Leute die Aufforderung zum Einrichten eines Passkeys sehen – sie erscheint bei allen, die noch für SMS oder Anruf freigeschaltet sind, auch wenn sie das Verfahren gar nicht mehr benutzen. In dem Fall genügt es, die alte Freischaltung zu entfernen.
Bis zum 1. Februar 2027 ja. Microsoft bietet für den Zeitraum von September 2026 bis Februar 2027 ein befristetes Abschalten der automatischen Freischaltung an – das muss ein Administrator ausdrücklich einrichten.
Über den Februar hinaus hilft es nicht. Dann greift die Abschaltung für alle, und die Aufforderung beim Anmelden lässt sich nicht mehr wegklicken. Ein Aufschub verschiebt den Aufwand von September in den Januar, er erspart ihn nicht.
Das hängt vom Anbieter ab, den Sie über den Microsoft Security Store buchen. Die Preise stehen seit dem 18. September 2026 dort. Neu ist vor allem: Es kostet überhaupt etwas – bisher war die Zustellung im Abonnement enthalten.
Für die meisten mittelständischen Betriebe lohnt das nicht. Sinnvoll ist es, wenn eine Vorgabe von außen ausdrücklich SMS verlangt oder ein größerer Teil der Belegschaft kein geeignetes Gerät hat.
Nur wenn ein zweites Verfahren hinterlegt ist. Genau das ist der Punkt, an dem Umstellungen scheitern: Wer einen einzigen Passkey auf einem einzigen Gerät hat, steht beim Verlust vor derselben Sperre wie vorher jemand ohne Telefonempfang.
Wir richten deshalb immer zwei Wege ein – etwa Passkey auf dem Telefon und zusätzlich einen Sicherheitsschlüssel oder einen Passkey im Passwortmanager. Dazu gehört eine benannte Zuständigkeit im Haus, wer zurücksetzen darf.
Der Unterschied ist technisch und nicht graduell. Ein Passkey wird nur an die Adresse herausgegeben, für die er angelegt wurde. Eine nachgebaute Anmeldeseite unter einer ähnlichen Adresse bekommt ihn nicht – unabhängig davon, wie überzeugend sie aussieht und wie unaufmerksam der Benutzer gerade ist.
Bei SMS und auch bei der Bestätigung in der App hängt der Schutz daran, dass der Mensch die Fälschung erkennt. Genau diese Annahme trägt nicht mehr, seit sich Anmeldeseiten in Minuten nachbauen lassen.
Die sind der unangenehmste Teil. Ein Passkey gehört zu einer Person und einem Gerät; ein Konto, das sich Empfang und Schichtleitung teilen, passt nicht in dieses Bild.
Die saubere Lösung ist ohnehin eine andere: persönliche Konten, die Berechtigung auf das gemeinsame Postfach bekommen. Das ist mehr Arbeit als ein Sammelkonto, löst aber gleich mehrere Probleme – auch die Frage, wer eigentlich was verschickt hat.
Dipl.-Ing. Mohamed Khater
Dipl.-Ing. Mohamed Khater hat die INFONET Computer GmbH 1992 in Köln gegründet. Die Erfahrung aus solchen Umstellungen ist immer dieselbe: Die Technik ist an einem Nachmittag erledigt, die Menschen ohne Diensttelefon brauchen drei Wochen Vorlauf.
Kostenlose Auswertung
Wir werten Ihre Microsoft-Umgebung aus und sagen Ihnen, wie viele Benutzer betroffen sind, wer kein geeignetes Gerät hat und was die Umstellung bei Ihnen bedeutet. Das Ergebnis bekommen Sie schriftlich – auch wenn Sie danach nichts weiter mit uns machen.
0221 984300-0Zentrale und Support-Hotline
[email protected]Antwort innerhalb von 4 Stunden an Werktagen
Robert-Perthel-Straße 7250739 Köln – Bilderstöckchen
Mo–Fr 09:00–18:00 UhrNotfallsupport nach Vereinbarung auch außerhalb
Diese Website funktioniert ohne Cookies, ohne Tracking und ohne Werbenetzwerke. Für eine einzelne Zusatzfunktion binden wir Inhalte eines fremden Anbieters ein. Dabei wird Ihre IP-Adresse dorthin übertragen – das geschieht nur, wenn Sie es erlauben.
