Microsoft beendet SMS- und Sprachanmeldung bei Entra ID am 1. Februar 2027

Microsoft setzt den 1. Februar 2027 als Stichtag

Die Mitteilung MC1528000 kündigt an, dass Microsoft die von ihm bereitgestellte SMS- und Sprachauthentifizierung ab dem 1. Februar 2027 einstellt. BleepingComputer berichtete am 28. Oktober darüber, WindowsReport am 29. Oktober.

Für Administratoren ist das ein festes Datum ohne automatische Migration. Entweder sie stellen die Nutzer selbst um, oder sie binden einen Drittanbieter-Carrier ein. Was passiert, wenn die Frist verstreicht, hat Microsoft nicht über Anmeldestörungen für Nutzer hinaus beschrieben, die noch SMS oder Sprache verwenden. Die Änderung betrifft nur Entra-ID-Workforce-Tenants. Azure AD B2C und Entra External ID, die Produkte für Kundenidentitäten, sind nicht betroffen. Microsoft begründet den Schritt damit, dass SMS- und Sprachcodes anfällig für Phishing und SIM-Swapping sind. Beim SIM-Swapping übernimmt ein Angreifer eine Telefonnummer, um Codes zu empfangen, die für deren Inhaber bestimmt sind.

Für Administratoren bleibt damit ein harter Schnitt und eine kurze Liste zugelassener Verfahren.

Was Administratoren tun müssen

Admins müssen die Nutzer auf phishing-resistente Verfahren umstellen: Passkeys, QR-Code-Authentifizierung und FIDO2-Sicherheitsschlüssel. Organisationen, die weiterhin eine Anmeldung per Telefon brauchen, haben noch einen Weg. Sie müssen einen externen Carrier über den Microsoft Security Store anbinden, eine Einrichtung, die Microsoft als kundeneigenen Telekommunikationsanbieter bezeichnet. Microsoft verweist Administratoren auf ein Scanner-Skript. Das PowerShell-Skript Entra SMS/Voice Policy Scanner findet betroffene Nutzer und Konfigurationen. Nutzer, bei denen SMS oder Sprache noch aktiv ist, werden für Passkeys zugelassen. Beim nächsten Multifaktor-Versuch erhalten sie eine Aufforderung zur Registrierung, heißt es in WindowsReports Darstellung der Empfehlung.

Passkeys sind bereits Standard, und die meisten sind synchronisiert

Microsoft stellt die Standardauthentifizierung für Entra-ID-Workforce-Tenants seit September 2026 auf Passkeys um, berichten die beiden Artikel. Angekündigt wurde der Plan im Juli. Im August 2026 hat Microsoft außerdem eine Funktion gestoppt, mit der kostenlose Entra-ID-Kunden SMS als primäre Anmeldemethode nutzen konnten. Die Passkeys, die diese Nutzer registrieren, sind überwiegend synchronisiert. Hana Kim, Senior Product Managerin bei Microsoft, sagte auf der Authenticate 2026, 75% der im Vormonat in Entra registrierten Passkeys seien synchronisiert gewesen. Synchronisierte Passkeys seien um 330% gegenüber dem Vormonat gewachsen, sagte sie.

Synchronisierte Passkeys tauschen die Bindung an die Hardware gegen Wiederherstellbarkeit. Arie Olshtein von Palo Alto Networks nannte das auf der Authenticate 2026 einen bewussten Kompromiss: kein gemeinsames Geheimnis, das sich phishen lässt, dafür eine größere Angriffsfläche rund um den Schlüssel.

Der Wiederherstellungsweg ist die schwache Stelle

Zu dieser Fläche gehören das Cloud-Konto, der Synchronisierungsdienst und das Endgerät, auf dem er geöffnet wird. Der Angriff, den Olshtein zeigte, rührt den Passkey selbst nicht an. Die Kampagne UNC6671 phisht die Wiederherstellung des iCloud-Schlüsselbunds, leitet einen echten Apple-Bestätigungscode weiter und fragt anschließend nach dem iPhone-Code. Das Gerät des Angreifers tritt dann dem Schlüsselbund bei und erhält jeden synchronisierten Passkey. Die Lücke zeigt sich bei den Assurance-Leveln. Synchronisierte Passkeys liegen bei NIST AAL2, gerätegebundene bei AAL3, während die meisten Wiederherstellungswege über SMS-Codes, E-Mail-Links oder Anrufe beim Helpdesk etwa bei AAL1 liegen. SecurityWeek machte am 30. Oktober einen verwandten Punkt: Passkeys stärken die Authentifizierung, klären aber nicht, ob ein Konto von Anfang an rechtmäßig angelegt wurde.

Wie es weitergeht

Die Abschaltung beginnt am 1. Februar 2027. Microsoft warnt, dass Organisationen ohne Vorbereitung Anmeldestörungen bei ihren Nutzern drohen.

Persönliche Microsoft-Konten, darunter Outlook.com, OneDrive und das Consumer-Microsoft-365, folgen in den Kontosicherheitseinstellungen einem eigenen Ablauf. Microsofts Empfehlung dort ist einfach. Einen Ersatz-Passkey anlegen, bevor der alte entfernt wird.