Einleitung: Wenn gewohnte Dinge plötzlich nicht mehr funktionieren
Es ist ein Szenario, das im Arbeitsalltag niemand gebrauchen kann: Ein Mitarbeiter meldet sich morgens an seinem Computer an, wartet auf den gewohnten SMS-Code – und der kommt nicht mehr. Nicht weil das Handy keinen Empfang hat, sondern weil Microsoft diese Methode schlicht abgeschaltet hat.
Genau das wird ab dem 1. Februar 2027 passieren. Microsoft stellt die Zwei-Faktor-Authentifizierung per SMS und Telefonanruf in Microsoft Entra ID – das ist das Herzstück der Anmeldung in Microsoft 365 – für alle Nutzer weltweit ab. Betroffen sind ausnahmslos alle Tenants, also jedes Unternehmen, das Microsoft 365 einsetzt.
Das ist keine Ankündigung, die man auf die lange Bank schieben sollte. Denn wer bis zum Stichtag kein alternatives Anmeldeverfahren eingerichtet hat, steht buchstäblich vor verschlossener Tür. In diesem Beitrag erklären wir, was sich genau ändert, warum Microsoft diesen Schritt geht, welche Alternativen es gibt – und was Sie jetzt tun können, um Ihre Mitarbeitenden rechtzeitig umzustellen.
Was genau sich ändert
Bisher konnten Nutzer bei der Anmeldung in Microsoft 365 einen Code per SMS auf ihr Handy oder per Anruf auf ihr Telefon erhalten. Diese Methode ist vielen Unternehmen bekannt, weil sie einfach einzurichten war und kein zusätzliches Gerät erforderte – das Mobiltelefon der Mitarbeitenden genügte.
Diese Option verschwindet vollständig. Ab dem 1. Februar 2027 akzeptiert Microsoft Entra ID weder SMS-Codes noch Bestätigungsanrufe als zweiten Faktor. Für jeden Nutzer, der heute noch auf diese Methode setzt, muss bis dahin ein alternatives Verfahren eingerichtet sein. Es gibt keine Ausnahmen und keine Übergangsfrist danach.
Was das für den Alltag bedeutet: Wenn ein Mitarbeiter beim nächsten Anmeldungsversuch nach dem Stichtag keinen anderen zweiten Faktor hinterlegt hat, muss er vor der weiteren Anmeldung zwingend einen Passkey registrieren. Das klingt nach einer Kleinigkeit – kann in der Praxis aber zu Ausfällen und Frustration führen, wenn es nicht vorab geregelt ist. Besonders heikel ist die Situation bei Mitarbeitenden, die selten im System sind oder bei Vertretungskonstellationen, wo jemand plötzlich auf ein Konto zugreifen muss.
Warum Microsoft diesen Schritt geht
SMS- und Anruf-Codes haben einen grundlegenden Konstruktionsfehler: Sie wurden nie für hochsichere Authentifizierung entworfen. Sie können auf drei Wegen kompromittiert werden, die in der Praxis alle vorkommen.
Erstens das Phishing. Wenn jemand auf eine täuschend echt wirkende Anmeldeseite hereinfällt und dort seinen Benutzernamen, sein Passwort und den soeben empfangenen SMS-Code eingibt, hat ein Angreifer alles, was er braucht – und das in Echtzeit. Der Code kann dann sofort genutzt werden, bevor er abläuft. Diese Angriffsmethode heißt Adversary-in-the-Middle und funktioniert erschreckend unkompliziert.
Zweitens das SIM-Swapping. Dabei bringt ein Angreifer einen Mobilfunkanbieter dazu, die Telefonnummer des Opfers auf eine andere SIM-Karte zu übertragen. Von da an landen alle SMS beim Angreifer. Das klingt aufwendig, ist aber eine bekannte Methode, die gezielt gegen Unternehmenskonten eingesetzt wird.
Drittens die Wiederverwendbarkeit. SMS-Codes sind zeitlich begrenzt, aber ein abgefangener Code kann noch innerhalb seines Gültigkeitszeitraums verwendet werden.
Die Nachfolgeverfahren, die Microsoft jetzt durchsetzt, haben diese Schwachstellen nicht. Passkeys und FIDO2-Schlüssel sind an das konkrete Gerät und die echte Anmeldeseite gebunden. Ein gefälschtes Anmeldeformular bekommt schlicht keine Antwort – das Verfahren verweigert die Bestätigung, wenn die Seite nicht die legitime ist. Das ist der entscheidende Unterschied: Das neue Verfahren schützt auch dann, wenn der Nutzer auf eine Fälschung hereingefallen ist.
Die entscheidenden Termine
Microsoft hat den Zeitplan klar kommuniziert. Es gibt zwei Daten, die Sie sich merken sollten.
Am 1. September 2026 schaltet Microsoft für alle Nutzer, die heute noch SMS oder Anruf als MFA-Methode nutzen, automatisch die Passkey-Registrierung frei. Das bedeutet: Diese Nutzer werden bei ihrer nächsten Anmeldung aktiv aufgefordert, einen Passkey einzurichten. Das System drückt also bereits ab diesem Zeitpunkt in Richtung der neuen Methoden.
Am 1. Februar 2027 ist dann Schluss. Microsoft schaltet SMS und Telefonanruf als Anmeldeverfahren endgültig ab. Wer bis dahin kein anderes Verfahren hinterlegt hat, muss vor der nächsten Anmeldung zwingend einen Passkey registrieren – kann also nicht einfach weiter so wie bisher.
Das Zeitfenster zwischen beiden Terminen beträgt fünf Monate. Das klingt nach viel. In der Praxis brauchen Unternehmen, die eine strukturierte Umstellung planen, deutlich länger: Erst muss analysiert werden, wer überhaupt betroffen ist. Dann muss entschieden werden, welches Verfahren zu welcher Nutzergruppe passt. Dann muss es eingerichtet, getestet und ausgerollt werden – inklusive Kommunikation und Unterstützung für die Mitarbeitenden. Wer im Dezember anfängt, hat gerade noch genügend Zeit. Wer im Januar anfaengt, kann eng werden.
Welche Alternativen es gibt – und welche wozu passt
Es gibt nicht die eine richtige Lösung für alle. Welches Verfahren passt, hängt davon ab, wie Ihre Mitarbeitenden arbeiten – ob sie ein Firmenhandy haben, ob sie an fest zugewiesenen Arbeitsplätzen sitzen oder ob sie in Bereichen arbeiten, wo kein Smartphone zum Einsatz kommt. Hier die vier Verfahren, die zur Auswahl stehen:
Passkey auf dem Arbeitsgerät ist die Methode, die Microsoft selbst am stärksten empfiehlt – und die wir in den meisten Fällen als ersten Ansatz wählen. Der Nutzer meldet sich per Windows Hello an, also per Fingerabdruck, Gesichtserkennung oder PIN – direkt auf dem Arbeitsgerät, ohne Code, ohne zweites Geraet. Das klingt simpel, und das ist es auch. Voraussetzung ist ein geeignetes Windows-Gerät mit entsprechender Hardware, was bei modernen Firmencomputern in der Regel gegeben ist.
Microsoft Authenticator ist die App-Lösung für Nutzer, die ohnehin ein Firmensmartphone haben. Sie bestätigen die Anmeldung mit einem Tipp auf ihr Handy – wahlweise als einfache Bestätigung oder als vollwertiger Passkey. Für Mitarbeitende, die ihr Diensthandy ständig dabei haben, ändert sich im Alltag kaum etwas.
FIDO2-Sicherheitsschlüssel sind kleine Sticks, die per USB oder NFC funktionieren. Der Nutzer steckt den Stick an oder hält ihn ans Gerät – fertig. Diese Lösung eignet sich besonders für geteilte Arbeitsplaetze, für Administratoren mit erhöhten Zugriffsrechten und für alle, die grundsätzlich kein Smartphone einsetzen möchten oder dürfen. Der Schlüssel ist physisch, geht aber auch verloren – das sollte bei der Planung berücksichtigt werden.
Token2 miniOTP-2-i ist eine Lösung, die wir besonders für Bereiche ohne Smartphone empfehlen: Produktion, Lager, Empfang, Außenstellen. Die Karte ist 0,9 mm dünn, hat das Format einer Scheckkarte und zeigt auf einem E-Ink-Display alle 30 Sekunden einen sechsstelligen Code an – genau wie eine Authenticator-App, nur eben als Karte, ohne Akku, ohne Mobilfunk, ohne App. Wir programmieren die Karten vor, hinterlegen sie im Tenant und geben sie einsatzbereit aus. Die Lebensdauer beträgt circa vier bis fünf Jahre.
Ein wichtiger Hinweis zur Token2-Karte: Sie ersetzt SMS vollwertig und ist für die betroffenen Nutzergruppen eine sehr gute Lösung. Sie ist aber nicht phishing-resistent wie ein Passkey – der Code könnte theoretisch auf einer gefälschten Seite abgefangen werden. Deshalb empfehlen wir sie gezielt dort, wo Passkeys nicht möglich sind, nicht als allgemeine Standardmethode.
Was jetzt zu tun ist
Der erste Schritt ist Transparenz: Wer in Ihrem Unternehmen nutzt heute noch SMS oder Telefonanruf als zweiten Faktor? Das ist nicht immer auf den ersten Blick klar, weil solche Einstellungen historisch gewachsen sind und selten zentral gepflegt werden. Eine Auswertung aus dem Entra-Admin-Center gibt Aufschluss.
Auf Basis dieser Auswertung lässt sich dann entscheiden, welches Verfahren zu welcher Nutzergruppe passt. Für Büromitarbeitende mit Firmengerät und Windows Hello ist der Passkey in der Regel die sauberste Lösung. Für Mitarbeitende mit Firmenhandy bietet sich der Authenticator an. Fuer Bereiche ohne Smartphone kommen FIDO2-Sticks oder Token2-Karten infrage.
Danach folgt die Einrichtung im Tenant: Die richtigen Verfahren freischalten, die alten deaktivieren, Authentifizierungsrichtlinien anpassen – und die Mitarbeitenden durch den Registrierungsprozess führen, damit niemand alleine vor einer unbekannten Meldung steht.
All das übernehmen wir für Sie. Konkret bedeutet das: Wir werten aus, welche Ihrer Nutzer heute noch SMS oder Anruf verwenden, schlagen Ihnen eine Zuordnung vor, richten die Verfahren im Tenant ein, begleiten die Registrierung Ihrer Mitarbeitenden und stellen sicher, dass auch FIDO2-Sticks und Token2-Karten beschafft, programmiert und einsatzbereit ausgegeben werden. Während der Umstellung unterstützen wir am Service Desk, damit Rückfragen schnell beantwortet werden.
Der Stichtag am 1. Februar 2027 klingt noch weit weg. Aber strukturierte Umstellungen in Unternehmen brauchen Zeit – für Analyse, Abstimmung, Einrichtung und die Kommunikation mit den Mitarbeitenden. Wenn Sie jetzt anfangen, haben Sie ausreichend Puffer. Wenn Sie wissen möchten, wie viele Ihrer Nutzer heute noch betroffen sind, sprechen Sie uns an – das können wir schnell herausfinden.
