Passkeys werden Standard in Entra ID. SMS und Telefonanrufe verschwinden. Wer jetzt noch auf klassische MFA setzt, hat ein Problem, und zwar früher als viele denken. 

Die Nachricht, die viele IT-Abteilungen unterschätzen

Ihr kennt das: Jahrelang galt die Devise „Hauptsache MFA aktiviert“. Ob Microsoft Authenticator, SMS-Code oder Anruf aufs Handy … alles war besser als nur Benutzername und Passwort. 

Jetzt ändert Microsoft die Spielregeln. 

Ab dem 1. September 2026 werden Passkeys schrittweise zur Standard-Authentifizierungsmethode in Microsoft Entra ID. Gleichzeitig hat Microsoft angekündigt, die native Unterstützung für SMS- und Voice-MFA einzustellen. Ab dem 1. Februar 2027 stellt Microsoft die eigenen SMS- und Voice-Dienste für Entra ID ein. Unternehmen sollen stattdessen auf Passkeys oder andere phishing-resistente Verfahren umsteigen.  

Das ist keine kleine Produktänderung. Das ist eine strategische Richtungsentscheidung, die langfristig Auswirkungen auf nahezu jede Microsoft-365-Umgebung haben wird. 

Warum Microsoft plötzlich so konsequent handelt

Microsoft begründet den Schritt mit der drastischen Veränderung der Bedrohungslage. Während viele Unternehmen Passwörter inzwischen recht gut absichern, bleiben SMS-Codes und Telefonanrufe ein beliebtes Angriffsziel: 

• • SIM-Swapping 

• • Social Engineering 

• • Phishing von Einmalcodes 

• • MFA-Fatigue-Angriffe 

• • Man-in-the-Middle-Angriffe 

• • KI-gestützte Phishing-Kampagnen 

Microsoft verweist dabei ausdrücklich auf die steigende Professionalität moderner Angriffe und die Tatsache, dass klassische MFA-Verfahren weiterhin auf gemeinsam genutzten Geheimnissen basieren. Passkeys hingegen nutzen Public-Key-Kryptografie und gelten als phishing-resistent.  

Anders formuliert: Passwörter sind das Problem von gestern. Phishable MFA ist das Problem von heute. 

Der unbequeme Wahrheitscheck: Wie viele Nutzer verwenden bei euch noch SMS? 

Genau an dieser Stelle wird es spannend.  In vielen Unternehmen wurde MFA zwar eingeführt, aber nie konsequent weiterentwickelt. 

Typische Situationen: 

• • Administratoren verwenden noch SMS als Backup 

• • Externe Benutzer nutzen ausschließlich Telefon-MFA 

• • Alte Service-Prozesse setzen auf SMS-Verifikation 

• • Legacy-Anwendungen erfordern Sonderlösungen 

• • Die Identity-Strategie wurde seit Jahren nicht überprüft 

Die Folge: 

Microsoft macht Passkeys zum Standard und viele Unternehmen stellen fest, dass ihre eigene Authentifizierungsstrategie dafür gar nicht vorbereitet ist.

Warum Passkeys tatsächlich ein Sicherheitsgewinn sind 

Passkeys sind kein neuer Marketingbegriff für MFA. Der entscheidende Unterschied: 

Bei einem Passkey verlässt der private Schlüssel niemals das Endgerät des Benutzers. Eine gefälschte Login-Seite kann daher keinen Code abfangen oder weiterverwenden. Genau deshalb gelten Passkeys als phishing-resistent.  

Vereinfacht bedeutet das: 

Der Sicherheitsgewinn ist real. Doch wie so oft steckt die eigentliche Herausforderung nicht in der Technologie. 

Der Streit zwischen Microsoft und Security Researchern zeigt das eigentliche Problem 

Besonders spannend ist aktuell die Diskussion zwischen Microsoft und Teilen der Security-Community. Mehrere Security Researcher haben in den vergangenen Monaten darauf hingewiesen, dass nicht die Passkeys selbst das größte Risiko darstellen, sondern deren Einführung in Unternehmen. 

Angreifer nutzen bereits heute gefälschte Helpdesk-Anrufe, Social Engineering und vermeintliche „Passkey-Registrierungen“, um Benutzer dazu zu bringen, neue Zugangsdaten für Angreifer zu registrieren. Diese Angriffe setzen nicht an der Technologie an, sondern am Menschen.  

Microsoft betont dagegen zurecht, dass Passkeys selbst weiterhin eines der sichersten Authentifizierungsverfahren darstellen und die eigentliche Schwachstelle häufig der Registrierungs- oder Rollout-Prozess sei. Die Technologie ist nicht gebrochen, die Einführung kann es sein.  

Und genau das ist aus unserer Sicht die wichtigste Erkenntnis: 

Passkeys lösen technische Probleme. Sie lösen keine organisatorischen Probleme. 

Wer Benutzer nicht mitnimmt, Helpdesks nicht vorbereitet, keine Governance definiert oder den Registrierungsprozess nicht absichert, schafft neue Angriffsflächen, selbst mit modernster Technologie. 

TEAL-Einschätzung: Die eigentliche Botschaft hinter der Microsoft-Ankündigung 

Die meisten Schlagzeilen drehen sich aktuell um Passkeys. Aus unserer Sicht steckt die viel wichtigere Aussage jedoch zwischen den Zeilen: 

Microsoft erklärt SMS-MFA faktisch zum Auslaufmodell. 

Damit setzt einer der größten Identity-Anbieter der Welt ein deutliches Zeichen: Authentifizierungsverfahren, die sich durch Phishing, Social Engineering oder SIM-Swapping angreifen lassen, passen nicht mehr zur heutigen Bedrohungslage. 

 „Die Nachricht ist eigentlich nicht, dass Microsoft Passkeys einführt. Die Nachricht ist, dass Microsoft SMS-MFA offiziell nicht mehr als zukunftsfähig betrachtet. Unternehmen sollten diese Ankündigung als Weckruf verstehen und ihre gesamte Authentifizierungsstrategie hinterfragen. Wer heute noch auf Verfahren setzt, die sich per Phishing, Social Engineering oder SIM-Swapping umgehen lassen, läuft den aktuellen Bedrohungen hinterher.“ – so Fabian Böhm, Geschäftsführer & Security Architect bei TEAL

Aus unserer Erfahrung sind Passkeys dabei nicht die größte Herausforderung. Die eigentliche Aufgabe liegt in der Umsetzung: 

• • Welche Benutzergruppen migrieren zuerst? 

• • Wie werden Administratoren abgesichert? 

• • Wie sieht der Recovery-Prozess bei verlorenen Geräten aus? 

• • Welche Fallback-Mechanismen bleiben bestehen? 

• • Wie verhindert man Missbrauch während der Registrierung? 

• • Welche Conditional-Access-Richtlinien müssen angepasst werden? 

Wer noch kurz ins Detail gehen will, hier ein Mini-FAQ zum Thema Passkeys und SMS-MFA: