Microsoft schaltet SMS- und Telefon-MFA ab: Was Unternehmen in Düsseldorf und Umgebung jetzt wissen müssen

Wer sich heute bei Microsoft 365 anmeldet und dazu einen sechsstelligen Code per SMS aufs Handy bekommt, wird das ab dem 1. Februar 2027 nicht mehr können. Microsoft hat angekündigt, die Anmeldung per SMS-Code und per Telefonanruf in Microsoft Entra ID einzustellen, und zwar für alle Tenants, ohne Ausnahme und ohne Widerspruchsmöglichkeit. In diesem Beitrag erfahren Sie, was genau abgeschaltet wird, warum Microsoft diesen Schritt geht, was in Ihrem Tenant passiert, wenn Sie gar nichts tun, und welche Verfahren an die Stelle von SMS und Anruf treten. Ganz besonders für die Kolleginnen und Kollegen, die kein dienstliches Smartphone haben.

Was Microsoft abschaltet: Zwei Änderungen in einer Ankündigung

In der Ankündigung stecken zwei Dinge, die man auseinanderhalten sollte, weil sie zu unterschiedlichen Zeitpunkten greifen.

Das eine ist die Umstellung der Standardanmeldung. Ab dem 1. September 2026 werden Passkeys zum Standardverfahren in Microsoft Entra ID. Alle Benutzer, die heute für SMS oder Anruf freigeschaltet sind, werden automatisch für Passkeys freigeschaltet und bei der nächsten Anmeldung mit Zwei-Faktor-Authentifizierung aufgefordert, einen Passkey einzurichten. Diese Aufforderung lässt sich zunächst beliebig oft wegklicken.

Das andere ist die eigentliche Abschaltung. Am 1. Februar 2027 stellt Microsoft die eigene Zustellung von SMS und Sprachanrufen ein. Ab diesem Zeitpunkt gibt es SMS und Anruf nicht mehr als native Funktion in Entra ID. Wer beides weiterhin braucht, muss über den Microsoft Security Store einen eigenen Telekommunikationsanbieter beauftragen und dessen Kosten selbst tragen, abgerechnet üblicherweise pro Nachricht. Die Anbieterliste und die Preise sollen ab dem 18. September 2026 einsehbar sein, konfigurieren lässt sich ein Anbieter ab dem 30. Oktober 2026.

Nicht betroffen sind der Microsoft Authenticator mit Push-Bestätigung und Zeitcode, Windows Hello for Business, FIDO2-Sicherheitsschlüssel, Hardware-Token mit Zeitcode sowie externe MFA-Anbieter, die über eine eigene Schnittstelle angebunden sind. Betroffen ist dagegen auch das Zurücksetzen des eigenen Passworts, die Self-Service Password Reset: Wer sich dort bisher per SMS legitimiert hat, braucht künftig ebenfalls ein anderes Verfahren.

Warum Microsoft umstellt: SMS ist das schwächste Glied in der Kette

Ein Code, der per SMS oder per Anruf kommt, ist ein Geheimnis, das zwei Seiten kennen und das man weitersagen kann. Genau darin liegt das Problem. Es gibt drei Angriffswege, die in der Praxis regelmäßig funktionieren.

Der erste ist Phishing über eine zwischengeschaltete Seite. Der Angreifer baut eine täuschend echte Anmeldeseite, der Mitarbeiter gibt dort Benutzername und Passwort ein, die Seite reicht beides in Echtzeit an die echte Microsoft-Anmeldung weiter. Microsoft schickt daraufhin brav die SMS, der Mitarbeiter tippt den Code auf der gefälschten Seite ein, und der Angreifer verwendet ihn innerhalb von Sekunden. Der zweite Weg ist SIM-Swapping: Der Angreifer meldet sich beim Mobilfunkanbieter als Kunde, lässt die Rufnummer auf eine neue SIM-Karte übertragen und bekommt die Codes ab sofort selbst. Der dritte ist schlichtes Mitlesen oder Wiederverwenden eines Codes, der ohnehin nur eine Zahlenfolge ohne Bindung an ein Gerät ist.

Diese Angriffe gibt es seit Jahren. Was sich geändert hat, ist ihre Wirtschaftlichkeit. Microsoft verweist in der Begründung auf eigene Beobachtungen aus dem Digital Defense Report 2025, wonach KI-gestützte Phishing-Kampagnen Klickraten von bis zu 54 Prozent erreichen, während klassische Kampagnen bei rund 12 Prozent liegen. Das gebrochene Deutsch und die krumme Anrede, an denen man Phishing-Mails jahrelang erkannt hat, sind weg. Was ankommt, ist eine sauber formulierte Nachricht, die sich auf ein reales Projekt bezieht und den richtigen Namen des Vorgesetzten trägt.

Exkurs: Was ein Passkey technisch anders macht

Ein Passkey funktioniert nach dem Prinzip der Public-Key-Kryptografie. Bei der Einrichtung erzeugt Ihr Gerät ein Schlüsselpaar. Der öffentliche Teil geht an Microsoft, der private Teil bleibt im Sicherheitschip Ihres Geräts und verlässt ihn nie. Bei der Anmeldung schickt Microsoft eine Rechenaufgabe, die nur mit dem privaten Schlüssel gelöst werden kann. Entscheidend ist dabei: Der Passkey ist fest an die echte Anmeldeadresse gebunden und antwortet einer gefälschten Seite gar nicht erst. Der Unterschied zu einem Code ist ungefähr der zwischen einer Zahlenkombination, die man am Telefon weitersagen kann, und einem Schlüssel, der nur in ein einziges Schloss passt und in jedem anderen nicht einmal steckenbleibt.

Der Fingerabdruck oder das Gesicht, mit dem Sie den Passkey freigeben, wird übrigens nicht übertragen. Das bleibt lokal auf dem Gerät und dient nur dazu, den Schlüssel zu entsperren.

Die Termine im Überblick

• 1. September 2026: Nutzer mit SMS oder Anruf werden automatisch für Passkeys freigeschaltet und bei der nächsten Anmeldung zur Einrichtung aufgefordert. Die Aufforderung lässt sich vorerst wegklicken.
• 18. September 2026: Microsoft veröffentlicht Anbieter und Preise für eigene Telekommunikationsanbieter im Security Store.
• 30. Oktober 2026: Ein eigener Anbieter kann konfiguriert werden.
• 1. Februar 2027: SMS und Anruf von Microsoft werden endgültig abgeschaltet.
• Danach: Wer als einziges Verfahren noch SMS oder Anruf hinterlegt hat, bekommt bei der Anmeldung eine Aufforderung zur Passkey-Registrierung, die sich nicht mehr überspringen lässt. Ein Widerspruch ist nicht vorgesehen.

Für den Zeitraum vom 1. September 2026 bis zum 1. Februar 2027 gibt es einen zeitlich befristeten Opt-out, den Ihre Administratoren über eine Einstellung in der Authentifizierungsrichtlinie setzen können. Damit verschieben Sie die automatischen Aufforderungen, um in Ruhe umzustellen. Für die Durchsetzung ab dem 1. Februar 2027 gilt er nicht.

Was das für Ihre Mitarbeitenden bedeutet

Für alle, die an einem Windows-Arbeitsplatz sitzen, ist die Umstellung eher eine Erleichterung: Windows Hello mit PIN, Fingerabdruck oder Gesichtserkennung ist ein Passkey, die Anmeldung dauert danach zwei Sekunden statt einer halben Minute Codesucherei. Wer ein Diensthandy hat, richtet den Passkey im Microsoft Authenticator ein.

Schwierig wird es in den Bereichen, die bei solchen Ankündigungen gern übersehen werden: Produktion, Lager, Empfang, Außenstellen, Aushilfen, gemeinsam genutzte Arbeitsplätze und alle Kolleginnen und Kollegen, die kein dienstliches Smartphone haben und ihr privates auch nicht hergeben wollen. Genau diese Gruppe hängt heute überdurchschnittlich oft an der SMS. Für sie gibt es zwei praktikable Wege. Der eine ist ein FIDO2-Sicherheitsschlüssel, ein kleiner Stick für USB oder NFC, der ein vollwertiger Passkey ist und ohne jedes Handy auskommt. Der andere ist eine Code-Karte im Scheckkartenformat mit E-Ink-Display, die alle 30 Sekunden einen sechsstelligen Code anzeigt und damit die SMS eins zu eins ersetzt, ohne Mobilfunknetz und ohne App.

Bei der Code-Karte gehört die ehrliche Einschränkung dazu: Sie ist bequem und robust, gegen Phishing schützt sie aber genauso wenig wie die SMS, weil auch ihr Code auf einer gefälschten Seite eingegeben werden kann. Sie ist die richtige Wahl dort, wo ein Passkey am Arbeitsplatz technisch nicht geht, und die falsche überall sonst. Wer Karten für die gesamte Belegschaft bestellt, hat die Abschaltung überstanden und das eigentliche Sicherheitsproblem behalten.

Ein Rechenbeispiel zur Einordnung des Aufwands

Nehmen wir einen Betrieb mit 60 Microsoft-365-Konten. Erfahrungsgemäß hängt ein Teil der Belegschaft noch an der Telefonnummer, sagen wir 20 Personen, davon 8 ohne dienstliches Smartphone. Geordnet umgestellt bedeutet das: rund 10 Minuten Registrierung pro Person mit Anleitung, für die 8 Sonderfälle zusätzlich Beschaffung und Vorbereitung der Hardware. In Summe landen Sie bei etwa einem Personentag plus Materialkosten im niedrigen dreistelligen Bereich.

Ungeordnet sieht dieselbe Rechnung anders aus. Wenn am ersten Montag im Februar 2027 acht Leute vor einer Anmeldemaske stehen, die sie nicht wegklicken können, und pro Kopf eine halbe Stunde verlieren, sind das vier verlorene Arbeitsstunden, dazu acht Anrufe beim Service Desk zur gleichen Minute und ein Einkauf von Hardware unter Zeitdruck. Der Unterschied liegt nicht in der Summe der Arbeit, sondern darin, wer den Zeitpunkt bestimmt. Diese Zahlen dienen der Orientierung, für Ihr Haus braucht es eine Auswertung Ihres Tenants.

Folgende Fragen sollten Sie jetzt klären

Ob Sie das intern angehen oder mit einem Dienstleister, die Fragen sind dieselben:

• Wie viele unserer Benutzer sind heute überhaupt für SMS oder Anruf freigeschaltet, und wie viele davon haben kein zweites Verfahren hinterlegt?
• Wer von diesen Personen hat kein dienstliches Smartphone und braucht deshalb Hardware?
• Wer nutzt SMS für das Zurücksetzen des eigenen Passworts, und wie läuft das ab Februar 2027?
• Haben wir Konten, die an Schichtarbeit, gemeinsam genutzten Rechnern oder Kassenplätzen hängen, und funktioniert dort Windows Hello überhaupt?
• Wie sieht unser Notfallzugang aus, wenn ein Gerät mit Passkey verloren geht oder kaputt ist? Gibt es zwei registrierte Verfahren pro Person?
• Gibt es bei uns eine regulatorische Vorgabe, die eine SMS als zweiten Kanal ausdrücklich verlangt, und wenn ja, welche genau?
• Wer informiert unsere Mitarbeitenden, wann, und mit welcher Anleitung?

Wenn Sie einen externen Dienstleister betreut, kommt eine Frage dazu, die viel über die Arbeitsweise verrät: Haben Sie uns zu diesem Thema von sich aus angesprochen, oder erfahren wir das gerade aus einem Blogbeitrag?

Diese Umstellung betrifft alle, unabhängig vom Dienstleister

Auch wenn Sie diesen Beitrag auf der Seite der Fusion IT GmbH & Co. KG lesen, ist uns ein neutraler Blick wichtig. Die Abschaltung ist eine Entscheidung von Microsoft und gilt für jeden Tenant, egal wer ihn betreut und egal wie groß das Unternehmen ist. Ein Betrieb mit fünf Konten und guter interner IT kann das in einem Nachmittag selbst erledigen, die Anleitungen von Microsoft sind öffentlich und brauchbar.

Erwarten Sie in den kommenden Monaten Post von Anbietern, die aus dieser Ankündigung ein Drama machen und Ihnen im selben Atemzug ein Paket verkaufen wollen, das Sie so gar nicht brauchen. Wer Ihnen Sicherheitsschlüssel für die komplette Belegschaft anbietet, ohne vorher ausgewertet zu haben, wer bei Ihnen welches Verfahren nutzt, verkauft von der Stange. Lassen Sie sich zuerst die Auswertung Ihres Tenants zeigen, danach reden Sie über Hardware. Als früherer IT-Leiter habe ich genug solcher Angebote auf dem Tisch gehabt, um zu wissen, wie schnell aus einer überschaubaren Umstellung ein teures Projekt wird.

Zusammenfassung

Microsoft macht Passkeys ab dem 1. September 2026 zum Standardverfahren und schaltet die eigene Zustellung von SMS und Anrufen am 1. Februar 2027 ab. Der Grund ist, dass Codes zum Weitersagen taugen und damit über gefälschte Anmeldeseiten, SIM-Swapping und Wiederverwendung angreifbar sind, während ein Passkey an Gerät und echte Anmeldeadresse gebunden ist. Betroffen sind alle Tenants, einschließlich des Zurücksetzens von Passwörtern, ausgenommen sind Authenticator, Windows Hello, FIDO2-Schlüssel und Hardware-Token. Der Aufwand der Umstellung ist überschaubar, solange Sie den Zeitpunkt bestimmen. Der erste Schritt ist immer derselbe: herausfinden, wer in Ihrem Haus heute noch an der Telefonnummer hängt, und für die Mitarbeitenden ohne Smartphone rechtzeitig eine Lösung einplanen. Wer bis zum 1. September 2026 vorbereitet ist, erspart seinen Leuten die Überraschung an der Anmeldemaske.

Wenn Sie mögen, sprechen wir darüber

Wir werten für unsere Kunden gerade aus, wer noch an SMS und Anruf hängt, ordnen jeder Nutzergruppe ein passendes Verfahren zu und richten die Umstellung samt Anleitungen und Hardware ein.

Wenn wir Ihnen bei der Umstellung helfen dürfen, rufen Sie an. Wir schauen uns Ihren Tenant an und sagen Ihnen ehrlich, wie groß die Sache bei Ihnen tatsächlich ist. Möglicherweise lautet die Antwort: Halb so wild. Wenn Sie bis hierhin gelesen haben, bin ich ganz guter Dinge, dass wir gut miteinander können.

Quellen:

• Microsoft Learn: Passkeys by default and retirement of Microsoft-provided SMS and voice authentication, https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sms-voice-retirement
• Microsoft Learn: FAQ for Microsoft-provided SMS and voice retirement, https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sms-voice-retirement-faq
• Microsoft Security Blog vom 13.07.2026: Microsoft Entra ID security updates: Passkeys are the default authentication method in Entra ID, https://www.microsoft.com/en-us/security/blog/2026/07/13/microsoft-entra-id-security-updates-passkeys-are-the-default-authentication-method-in-entra-id/
• Klickraten KI-gestützter Phishing-Kampagnen: Microsoft Digital Defense Report 2025, zitiert im o. g. Security-Blog-Beitrag, https://aka.ms/mddr