Was Unternehmen jetzt tun müssen: Bis 1. Februar 2027 müssen alle Entra ID-Nutzer auf phishing-resistente Verfahren wie Passkeys umgestellt werden
Microsoft hat eine wichtige Sicherheitsänderung für alle Microsoft Entra ID-Tenants angekündigt und die Zeitpläne dazu veröffentlicht. SMS- und Sprachanruf-basierte Multi-Faktor-Authentifizierung (MFA) werden schrittweise abgeschafft. Stattdessen setzt Microsoft künftig standardmäßig auf Passkeys – für eine phishing-resistente Anmeldung. Für Unternehmen, die Microsoft 365 und Entra ID einsetzen, bedeutet das konkreten Handlungsbedarf noch in diesem Jahr.
Warum diese Änderung kommt
SMS und Sprachanrufe gehören zu den unsichersten verfügbaren Authentifizierungsmethoden. Sie sind anfällig für SIM-Swapping, Phishing und Replay-Angriffe – Angriffsvektoren, die im Zeitalter von KI-gestützten Cyberangriffen immer einfacher auszunutzen sind. Passkeys hingegen basieren auf kryptografischen Schlüsselpaaren, die nicht abgefangen oder durch Social Engineering umgangen werden können. Für Unternehmen, die sich ohnehin mit NIS2- und DSGVO-Anforderungen an angemessene technische Schutzmaßnahmen auseinandersetzen, ist dieser Schritt ein logischer Baustein einer belastbaren Sicherheitsarchitektur.
Was sich konkret ändert
Passkeys werden Standard: Nutzer, die aktuell für SMS oder Sprachanruf-MFA freigeschaltet sind, werden künftig automatisch für Passkeys aktiviert.
Microsoft-eigene Telekom-Zustellung fällt weg: Die von Microsoft bereitgestellte SMS- und Anruf-Zustellung wird eingestellt. Wer über den Microsoft Security Store einen eigenen (kundenverwalteten) Telekom-Anbieter konfiguriert hat, ist davon nicht betroffen.
Die wichtigsten Termine im Überblick
Was Unternehmen jetzt tun müssen
- Betroffene Nutzer identifizieren. Prüfen Sie in Ihrem Microsoft Tenant, wer aktuell noch SMS oder Sprachanruf als MFA-Methode nutzt.
- Passkeys aktivieren und ausrollen. Starten Sie eine Registrierungskampagne, um die Umstellung noch vor der automatischen Aktivierung am 1. September 2026 aktiv zu steuern.
- Mitarbeitende informieren. Kommunizieren Sie frühzeitig, was sich ändert, ab wann und welche Schritte einzelne Nutzer selbst durchführen müssen.
Wie geht es weiter?
Wer jetzt aktiv handelt, kann die Umstellung auf eigenen Zeitplan und ohne Betriebsunterbrechung durchführen. Wer wartet, riskiert ab September 2026 unkontrollierte automatische Änderungen und ab Februar 2027 blockierende Anmeldeprobleme für Mitarbeitende. Für Unternehmen, die im Rahmen von NIS2 oder ISO 27001 ohnehin ihre Authentifizierungsprozesse dokumentieren und absichern müssen, ist dies der richtige Zeitpunkt, Passkeys als Standard zu verankern.
Sie möchten wissen, wie viele Ihrer Nutzer aktuell noch auf SMS oder Anruf-MFA angewiesen sind, oder benötigen Unterstützung bei der Migration auf Passkeys? Sprechen Sie uns an – wir von der siplan gmbh begleiten Sie von der Bestandsaufnahme bis zur unternehmensweiten Umstellung.