Microsoft Entra ID schaltet SMS- und Sprachanruf-MFA ab: Zeitplan, Risiken und Vorbereitung

Microsoft hat einem der vertrautesten Rituale der Unternehmens-IT ein Enddatum gesetzt: dem sechsstelligen Code, der per Textnachricht eintrifft. Laut der offiziellen Ankündigung auf Microsoft Learn werden Passkeys am 1. September 2026 zur Standard-Anmeldemethode in Microsoft Entra ID, und die von Microsoft bereitgestellte SMS- und Sprachanruf-Authentifizierung wird am 1. Februar 2027 vollständig eingestellt. Die Durchsetzung gilt ausnahmslos: Nach diesem Datum sehen Benutzer, deren einzige MFA-Methode SMS oder Sprachanruf ist, eine blockierende Aufforderung und müssen einen Passkey registrieren, bevor sie sich wieder anmelden können. Microsoft formuliert es unmissverständlich — es gibt kein Opt-out von der Regelung zum 1. Februar, für keinen Tenant.

Für Organisationen, die Microsoft 365 einsetzen, ist das keine kosmetische Änderung auf einer Einstellungsseite. Sie betrifft jeden Benutzer, der sich mit einem SMS-Code bei Exchange Online, Teams oder SharePoint anmeldet — und sie kommt nach einem festen Zeitplan, ob ein Tenant vorbereitet ist oder nicht.

Der Zeitplan, der für jeden Tenant gilt

• 1. September 2026 — Passkeys werden zum Standard-Anmeldeerlebnis. Benutzer, die derzeit für SMS oder Sprachanruf aktiviert sind, werden automatisch für Passkeys aktiviert, und Microsofts Registrierungskampagne beginnt, sie bei ihrer nächsten MFA-Anmeldung zur Registrierung eines Passkeys aufzufordern.
• 18. September 2026 — Microsoft veröffentlicht im Microsoft Security Store Details zu kundenverwalteten Telekommunikationsanbietern, für Organisationen mit einem echten regulatorischen Bedarf an einem SMS-Kanal.
• 30. Oktober 2026 — Tenants, die SMS oder Sprachanruf beibehalten müssen, können mit der Auswahl und Konfiguration eines Telekommunikationsanbieters aus dem Security Store beginnen.
• 1. Februar 2027 — die von Microsoft bereitgestellte SMS- und Sprachanruf-Zustellung wird in Entra ID vollständig eingestellt. Benutzer, deren einzige Methode SMS oder Sprachanruf ist, sehen bei der Anmeldung eine blockierende Aufforderung zur Passkey-Registrierung.

Es gibt ein temporäres Opt-out, das die automatische Passkey-Aktivierung zwischen September 2026 und Februar 2027 aufschiebt — eine einzelne Microsoft-Graph-Einstellung (`passkeyDynamicMigration`) in der Richtlinie für Authentifizierungsmethoden. Sie verschafft Planungszeit, ändert aber nichts am Abschaltdatum. Am 1. Februar 2027 greift die reguläre Durchsetzung für jeden Tenant, unabhängig von dieser Einstellung.

Warum Einmalcodes über das Telefonnetz nie sicher waren

Microsofts offizielle Begründung lautet, SMS und Sprachanrufe seien "nicht länger als sichere Authentifizierungsmethoden positioniert". Diese Formulierung ist diplomatisch. Die Security-Community dokumentiert die Schwächen telefonbasierter Authentifizierung seit einem Jahrzehnt — NIST begann bereits 2016, SMS für die Out-of-Band-Authentifizierung in seiner Special Publication NIST SP 800-63B einzuschränken. Die Probleme sind struktureller Natur, keine Einzelfälle.

SIM-Swapping legt Ihre MFA in fremde Hände

Ein SIM-Swap-Angriff berührt Ihre Infrastruktur überhaupt nicht. Der Angreifer bringt einen Mobilfunkanbieter — durch Social Engineering, einen bestochenen Insider oder geleakte persönliche Daten — dazu, die Rufnummer des Opfers auf eine SIM-Karte unter seiner Kontrolle zu übertragen. Von diesem Moment an landet jeder von Entra ID versendete Einmalcode auf dem Gerät des Angreifers. Die gesamte Schutzmaßnahme hängt an den Identitätsprüfverfahren eines Telekom-Callcenters, das Ihr Sicherheitsteam nie kennengelernt hat und nicht auditieren kann.

Das Telefonnetz selbst ist abhörbar

SMS-Nachrichten und Sprachanrufe laufen über Signalisierungsprotokolle wie SS7, die aus einer Ära stammen, in der jeder Netzteilnehmer ein vertrauenswürdiger staatlicher Netzbetreiber war. Bekannte SS7-Schwachstellen erlauben es, Verkehr umzuleiten und abzufangen — und sie wurden in der Praxis ausgenutzt, einschließlich dokumentierter Fälle, in denen Angreifer Einmalcodes fürs Online-Banking in großem Stil abgefangen haben. Ein Code, der über das öffentliche Telefonnetz unterwegs ist, ist schlicht kein Geheimnis im starken Sinne.

Codes sind per Design phishbar

Der häufigste Angriff in der Praxis erfordert überhaupt keine Telekom-Expertise. Eine Phishing-Seite, die den Microsoft-Anmeldedialog nachbildet, fragt das Opfer nach seinem Passwort und anschließend nach "dem Code, den wir Ihnen gerade geschickt haben". Adversary-in-the-Middle-Kits automatisieren das durchgängig und leiten Zugangsdaten und Codes in Echtzeit an den legitimen Dienst weiter. Der grundlegende Konstruktionsfehler: Ein Einmalcode weiß nicht, auf welcher Website er eingetippt wird. Der Benutzer ist die einzige Verteidigungslinie — und Benutzer sind Menschen.

Sprachanrufe setzen noch Social Engineering obendrauf

Die sprachbasierte Bestätigung erbt jede der genannten Schwächen und fügt eigene hinzu: Fatigue-Angriffe, die einen Benutzer um 3 Uhr morgens so lange anrufen, bis er auf Bestätigen drückt, und Pretexting-Anrufe, in denen ein angeblicher "IT-Helpdesk" einen Mitarbeiter Schritt für Schritt durch die Freigabe einer Authentifizierung führt, die er nie angestoßen hat.

Passkeys schließen diese gesamte Angriffsklasse auf Protokollebene. Ein Passkey ist ein kryptografisches Anmeldedatum, das an den Origin gebunden ist, für den es registriert wurde — es gibt kein gemeinsames Geheimnis, das man abfangen könnte, und das Anmeldedatum reagiert auf eine täuschend ähnliche Phishing-Domain schlicht gar nicht. Genau das bedeutet "phishing-resistent": Der Schutz hängt nicht davon ab, dass dem Benutzer etwas auffällt.

Eine praxisnahe Checkliste für Microsoft-365-Administratoren

• Ermitteln Sie Ihre betroffenen Benutzer. Microsoft stellt ein PowerShell-Skript bereit, das alle für SMS oder Sprachanruf aktivierten Benutzer auflistet. Führen Sie es jetzt aus — die Länge dieser Liste bestimmt den Umfang Ihres Projekts.
• Aktivieren Sie Passkeys und starten Sie eine Registrierungskampagne. Entra ID unterstützt synchronisierte Passkeys (iCloud Keychain, Google Password Manager) und gerätegebundene Passkeys (Microsoft Authenticator, Windows Hello for Business, FIDO2-Hardware-Schlüssel). Eine Registrierungskampagne bewegt Benutzer bei ihrer nächsten Anmeldung zur Registrierung — bevor Microsofts eigene Kampagne das am 1. September 2026 für Sie übernimmt.
• Behandeln Sie den Telekom-Fallback als Ausnahme, nicht als Strategie. Der Weg über den Security Store existiert für dokumentierte regulatorische oder operative Anforderungen. Wenn ein Teil Ihrer Benutzer tatsächlich einen Out-of-Band-SMS-Kanal benötigt, dokumentieren Sie den Grund, pilotieren Sie ab dem 30. Oktober 2026 einen Anbieter — und halten Sie alle übrigen Benutzer bei Passkeys.
• Kommunizieren Sie in Phasen. Sensibilisierung, Handlungsaufforderung, Erinnerung — abgestimmt auf die Abschaltdaten. Ein Benutzer, der versteht, warum der SMS-Code verschwindet, ruft im Februar 2027 deutlich seltener beim Helpdesk an.

Was das für E-Mail-Administratoren bedeutet

Identität ist die Eingangstür zu Ihrer E-Mail. Jedes Postfach in Exchange Online, jede Transportregel, jede Admin-Sitzung im Exchange Admin Center liegt hinter einer Entra-ID-Anmeldung — und nach dem 1. Februar 2027 wird diese Anmeldung ein gutes Stück stärker.

Der Anlass eignet sich auch, um den Rest der Vertrauenskette zu prüfen. Dasselbe Verzeichnis, das Ihre Benutzer authentifiziert, speist jeden mit Ihrem Tenant verbundenen Dienst: Die Jobtitel und Telefonnummern in Entra ID landen in den E-Mail-Signaturen Ihrer Mitarbeiter, und die Dienste, die diese Signaturen verwalten, halten eigene Berechtigungen in Ihrer Umgebung. Die Logik hinter Microsofts Schritt — abfangbare gemeinsame Geheimnisse durch Anmeldedaten zu ersetzen, die Ihre Kontrolle nie verlassen — ist dieselbe Logik, die sich lohnt, wenn Sie prüfen, welche Drittanbieterdienste in Ihrem Nachrichtenpfad sitzen und worauf sie zugreifen können. Weniger gemeinsame Geheimnisse, engere Grenzen und Verarbeitung dort, wo Sie sie im Blick haben: Dieses Prinzip gilt jetzt offiziell für Ihren Anmeldebildschirm — und es gilt genauso für alles, was dahinter liegt, E-Mail-Signaturen eingeschlossen.

Die Abschaltdaten stehen fest, die Durchsetzung gilt ausnahmslos, und achtzehn Monate sind für eine Organisation mit Tausenden Postfächern weniger Zeit, als es klingt. Die Tenants, die das Ganze als Sicherheits-Upgrade statt als Compliance-Pflichtübung behandeln, sind lange vor der Frist fertig.

Quelle: Passkeys by default and retirement of Microsoft-provided SMS and voice authentication — Microsoft Learn (abgerufen im August 2026).