Microsoft stellt bei Entra ID auf Passkeys um: Was Unternehmen jetzt wissen sollten

Das klassische Kennwort verliert bei Microsoft weiter an Bedeutung. Seit September 2026 hat Microsoft damit begonnen, Passkeys in Entra ID stärker zum Standard zu machen.

Das ist nicht nur eine Komfortfunktion, sondern vor allem eine Reaktion auf immer professionellere Phishing-Angriffe.

Microsoft stuft SMS und Sprachanrufe nicht mehr als zeitgemäße sichere Authentifizierungsmethoden ein und empfiehlt den Wechsel zu phishingresistenten Verfahren wie Passkeys. [microsoft.com], [learn.microsoft.com]

Was ist ein Passkey?

Ein Passkey ersetzt die klassische Kombination aus Kennwort und zusätzlichem Sicherheitscode durch ein kryptografisches Verfahren.

Vereinfacht gesagt besitzt das Gerät des Anwenders einen privaten kryptografischen Schlüssel. Der dazugehörige öffentliche Schlüssel befindet sich beim jeweiligen Dienst.

Bei der Anmeldung muss deshalb kein gemeinsames Geheimnis übertragen werden, das ein Angreifer auf einer gefälschten Webseite einfach abfragen könnte.

Für Anwender kann die Anmeldung beispielsweise über:

• Windows Hello,
• Fingerabdruck,
• Gesichtserkennung,
• Geräte-PIN oder
• einen geeigneten Sicherheitsschlüssel

erfolgen.

Microsoft hebt insbesondere hervor, dass Passkeys mit Public-Key-Kryptografie statt mit gemeinsam verwendeten Geheimnissen arbeiten und dadurch phishingresistent ausgelegt sind. [microsoft.com]

Was hat Microsoft geändert?

Seit 1. September 2026 werden Benutzer, die SMS oder Sprachanrufe als Authentifizierungsverfahren verwenden, im Rahmen der Umstellung für Passkeys aktiviert und zur Registrierung aufgefordert.

Noch wichtiger ist der nächste Termin:

1. Februar 2027

Ab diesem Datum stellt Microsoft die eigene Telefoniebereitstellung für SMS- und Sprachanruf-Authentifizierung für die meisten Benutzer ein.

Für globale Administratoren und externe Benutzer gilt nach derzeitiger Microsoft-Dokumentation der 1. Juli 2027. Unternehmen, die weiterhin SMS oder Voice benötigen, sollen dafür einen entsprechenden Telefonieanbieter einsetzen können. [learn.microsoft.com]

Warum reicht SMS-MFA nicht mehr?

Ein per SMS versendeter Code ist deutlich besser als überhaupt keine Mehr-Faktor-Authentifizierung. Trotzdem kann auch dieses Verfahren angegriffen werden.

Dazu gehören unter anderem Social Engineering und das Abfangen bzw. Manipulieren von Authentifizierungsvorgängen.

Passkeys verfolgen deshalb einen anderen Ansatz: Die Authentifizierung soll kryptografisch an den richtigen Dienst und das verwendete Gerät gebunden werden.

Das erschwert klassische Phishing-Angriffe erheblich.

Was bedeutet das für Unternehmen?

Unternehmen, die Microsoft 365 einsetzen, sollten die Umstellung nicht einfach ihren Benutzern überlassen.

Vorher sollte geklärt werden:

1. Welche Authentifizierungsmethoden werden derzeit verwendet?

Insbesondere Benutzer mit SMS- oder Sprach-MFA sollten identifiziert werden.

2. Welche Geräte verwenden die Mitarbeiter?

Windows-Arbeitsplätze, Mobilgeräte und gemeinsam genutzte Systeme können unterschiedliche Konzepte erfordern.

3. Wie werden Notfallkonten behandelt?

Bei der Einführung neuer Authentifizierungsverfahren muss sichergestellt werden, dass Administratoren sich im Fehlerfall weiterhin kontrolliert Zugang zur Umgebung verschaffen können.

4. Wie werden neue Mitarbeiter eingerichtet?

Passkeys sollten künftig Bestandteil des Onboarding-Prozesses sein und nicht erst nachträglich eingeführt werden.

Fazit

Der Wechsel zu Passkeys ist mehr als eine Änderung beim Microsoft-Login. Er ist Teil eines grundsätzlichen Wandels weg von phishbaren Kennwörtern und Sicherheitscodes.

Unternehmen sollten daher jetzt prüfen, welche Benutzer noch SMS oder Sprachanrufe verwenden und wie eine kontrollierte Umstellung auf phishingresistente Authentifizierung aussehen kann. [learn.microsoft.com]

hilfe onLine unterstützt Unternehmen bei der Einrichtung und Absicherung von Microsoft Entra ID und Microsoft 365.