Microsoft Entra stellt SMS- und Sprach-MFA bis 2027 ein: Was Unternehmen wissen müssen

Microsoft führt eine grundlegende Änderung an der Authentifizierung in Microsoft Entra ein. Das Unternehmen hat angekündigt, die von Microsoft bereitgestellte SMS- und Sprach-MFA einzustellen; Passkeys werden künftig die Standard-Anmeldemethode sein.

Dieser Wandel spiegelt Microsofts umfassenderes Bestreben nach phishingresistenter Authentifizierung wider, da Unternehmen zunehmend mit ausgeklügelten Phishing-, Social-Engineering- und KI-gesteuerten Angriffen konfrontiert sind.

Die Umstellung erfolgt schrittweise. Die von Microsoft bereitgestellte SMS- und Sprach-MFA wird voraussichtlich bis Februar 2027 eingestellt. In diesem Leitfaden erläutern wir die Änderungen, die Gründe für diesen Schritt von Microsoft, welche Organisationen betroffen sein werden und welche Maßnahmen Administratoren zur Vorbereitung auf die Umstellung ergreifen können.

Microsofts Ankündigung auf einen Blick

Microsoft hat offiziell angekündigt, dass die von Microsoft bereitgestellten SMS- und Sprachauthentifizierungsmethoden in Microsoft Entra bis Februar 2027 eingestellt werden. Dies markiert einen bedeutenden Wandel hin zu passwortloser und phishing-resistenter Authentifizierung. Im Zuge dieser Umstellung werden Passkeys zum Standardverfahren für die Anmeldung bei Microsoft Entra.

Wichtige Ankündigung

• Die von Microsoft bereitgestellte SMS- und Sprach-MFA wird bis Februar 2027 eingestellt.
• Passkeys werden in Microsoft Entra zum Standard-Authentifizierungsverfahren.
• Microsoft Authenticator, FIDO2-Sicherheitsschlüssel und Windows Hello for Business werden weiterhin unterstützt.
• Organisationen werden eine Übergangsphase haben, um die Benutzer zu migrieren.
• Für bestimmte Anwendungsfälle können vorübergehende Opt-out-Optionen und vom Kunden selbst verwaltete Alternativen zur Verfügung stehen.

Die Umstellung soll die Abhängigkeit von Unternehmen von Authentifizierungsmethoden verringern, die zunehmend anfällig für Phishing-Angriffe , SIM-Swapping und Social-Engineering-Attacken sind . Microsoft empfiehlt Administratoren, ihre bestehenden MFA-Implementierungen zu überprüfen, Benutzer zu identifizieren, die noch auf SMS- oder Sprachauthentifizierung angewiesen sind, und ihre Migrationsstrategie rechtzeitig vor dem Stichtag zu planen.

Warum Microsoft SMS- und Sprach-MFA durch Passkeys ersetzt

SMS- und sprachbasierte Authentifizierung dienten jahrelang als zweite Sicherheitsebene, doch Angreifer haben ihre Taktiken weiterentwickelt. Techniken wie SIM-Swapping, die Überforderung durch Multi-Faktor-Authentifizierung (MFA) und KI-gestützte Phishing-Kampagnen erleichtern das Umgehen traditioneller Authentifizierungsmethoden.

Passkeys bieten eine sicherere Alternative, da sie auf kryptografischen Anmeldeinformationen basieren, die auf einem vertrauenswürdigen Gerät gespeichert sind, anstatt auf Einmalpasswörtern, die über Telekommunikationsnetze übertragen werden. Da kein Code abgefangen, gestohlen oder zur Weitergabe verleitet werden kann, fungieren Passkeys im Gegensatz zu SMS- oder sprachbasierten Codes als echte , phishing-resistente MFA-Lösung .

Neben der Sicherheit verbessern Passwörter auch die Benutzerfreundlichkeit. Benutzer können sich per Biometrie, PIN oder Hardware-Sicherheitsschlüssel authentifizieren, anstatt Verifizierungscodes manuell einzugeben. Dies vereinfacht nicht nur die Anmeldung, sondern reduziert auch Anfragen an den Kundendienst und passwortbezogene Probleme.

Da Unternehmen zunehmend auf passwortlose Authentifizierung setzen, etablieren sich Passkeys als grundlegende Lösung für die passwortlose Authentifizierung innerhalb moderner Identitätssicherheitsstrategien. Aus diesem Grund positioniert Microsoft sie als Standardeinstellung in Microsoft Entra.

Zeitplan für die Abschaltung von Microsoft Entra SMS & Voice MFA

Microsoft führt die Umstellung auf Passkeys in mehreren Phasen ein und gibt Unternehmen so Zeit, ihre aktuellen Authentifizierungsmethoden zu evaluieren, die Benutzer vorzubereiten und ihre Identitätsstrategien vor dem Stichtag im Februar 2027 zu aktualisieren.

2025: Die Ankündigung

Microsoft hat offiziell angekündigt, die von Microsoft bereitgestellte SMS- und Sprach-Multi-Faktor-Authentifizierung (MFA) einzustellen und Passkeys als Standardauthentifizierungsverfahren in Microsoft Entra einzuführen. Dies markiert den Beginn von Microsofts umfassenderem Übergang zu passwortloser und phishingresistenter Authentifizierung.

2025–2026: Bewertung und Migration

In diesem Zeitraum sollten Organisationen die Nutzer identifizieren, die auf SMS- und Sprachauthentifizierung angewiesen sind, bestehende Authentifizierungsrichtlinien überprüfen und die Verwendung von Passkeys aktivieren. Administratoren können außerdem Registrierungskampagnen starten und die Nutzer über die bevorstehenden Änderungen informieren.

Übergangszeitraum: Alternative Optionen

Microsoft wird vorübergehende Opt-out-Optionen anbieten und kundenseitig verwaltete Telekommunikationsanbieter für Organisationen unterstützen, die für bestimmte Anwendungsfälle weiterhin auf die SMS-basierte Authentifizierung angewiesen sind.

Februar 2027: Stichtag für den Ruhestand

Bis Februar 2027 wird die von Microsoft bereitgestellte SMS- und Sprach-MFA offiziell eingestellt. Organisationen, die ihre Migration noch nicht abgeschlossen haben, müssen dann auf alternative Authentifizierungsmethoden wie Passkeys, Microsoft Authenticator, Windows Hello for Business oder FIDO2-Sicherheitsschlüssel zurückgreifen.

Was bedeutet das für Organisationen?

Die Abschaffung der von Microsoft bereitgestellten SMS- und Sprach-MFA bedeutet nicht, dass alle SMS-basierten Authentifizierungsprozesse über Nacht verschwinden. Organisationen, die für Authentifizierung und Kontowiederherstellung auf die Telekommunikationsinfrastruktur von Microsoft angewiesen sind, müssen jedoch ihre Abhängigkeiten prüfen und sich auf den Übergang vorbereiten.

Wer ist betroffen?

• Organisationen, die von Microsoft bereitgestellte SMS- und Sprach-MFA nutzen.
• Unternehmen, die zur Kontowiederherstellung auf SMS oder Sprachanrufe angewiesen sind.
• IT-Teams, die große Benutzergruppen betreuen.
• Organisationen mit veralteten Authentifizierungsabläufen.

Was ändert sich eigentlich?

Microsoft stellt lediglich die SMS- und Sprachauthentifizierungsmethoden ein, die über die eigene Infrastruktur bereitgestellt werden. Authentifizierungsmethoden wie Passkeys, Microsoft Authenticator, Windows Hello for Business, FIDO2-Sicherheitsschlüssel und zertifikatbasierte Authentifizierung werden weiterhin unterstützt.

Organisationen, die aus betrieblichen, Compliance- oder geschäftlichen Gründen weiterhin eine SMS-Authentifizierung benötigen, können während der Übergangszeit gegebenenfalls auf kundenseitig verwaltete Telekommunikationsanbieter oder temporäre Opt-out-Optionen zurückgreifen.

Bereiche, die Organisationen überprüfen sollten

• Bestehende Anmelde- und Authentifizierungsrichtlinien.
• Konfigurationen für die Selbstbedienungs-Passwortzurücksetzung (SSPR).
• Benutzer-Onboarding- und Registrierungsprozesse.
• Legacy-Anwendungen, die auf SMS- oder Sprachauthentifizierung angewiesen sind.
• Interne Kommunikations- und Benutzerschulungspläne.

Für viele Organisationen liegt die größte Herausforderung nicht in der Technologie selbst, sondern darin, sicherzustellen, dass die Nutzer die neuen Authentifizierungsmethoden verstehen und annehmen. Ein frühzeitiger Start des Übergangs gibt den Teams mehr Zeit, ihre Einführungsstrategie vor dem Stichtag im Februar 2027 zu testen, zu schulen und zu optimieren. Neben der Anmeldung über Entra sollten Organisationen auch die MFA-Abdeckung für andere Zugriffspunkte evaluieren, wie z. B. Windows MFA für lokale Anmeldungen und RDP-Sitzungen sowie VPN MFA für den Fernzugriff auf das Netzwerk, um eine einheitliche, unternehmensweite Authentifizierungsstrategie zu entwickeln.

Wie bereitet man sich auf die Umstellung auf Passkeys vor?

Da die von Microsoft bereitgestellte SMS- und Sprach-Multi-Faktor-Authentifizierung (MFA) im Februar 2027 eingestellt wird, sollten Unternehmen frühzeitig mit den Vorbereitungen beginnen, um Unterbrechungen zu vermeiden und eine reibungslose Migration zu gewährleisten. Anstatt bis zum Stichtag zu warten, sollten Administratoren die Übergangsphase nutzen, um Abhängigkeiten zu analysieren, alternative Authentifizierungsmethoden zu testen und die Benutzer mit der neuen Anmeldeoberfläche vertraut zu machen.

Checkliste für die Migration

• Identifizieren Sie Nutzer, die auf SMS- und Sprach-MFA angewiesen sind.

Beginnen Sie mit einer Überprüfung Ihrer Umgebung, um festzustellen, welche Benutzer, Anwendungen und Arbeitsabläufe noch auf SMS- oder sprachbasierte Authentifizierung angewiesen sind. Dies hilft Ihnen, den Umfang der Migration abzuschätzen und risikoreiche Konten zu priorisieren.

• Führen Sie die Bewertungstools von Microsoft aus.

Microsoft stellt PowerShell-Skripte und Berichtsfunktionen zur Verfügung, die Administratoren dabei helfen, betroffene Benutzer zu identifizieren und zu verstehen, wie die Authentifizierungsmethoden derzeit im gesamten Unternehmen eingesetzt werden.

• Aktivieren Sie Passkeys und passwortlose Authentifizierung.

Konfigurieren Sie Passkeys in Microsoft Entra und beginnen Sie mit der Verteilung an Ihre Mitarbeiter. Unternehmen können auch andere Phishing-resistente Methoden evaluieren, wie z. B. Windows Hello for Business, FIDO2-Sicherheitsschlüssel und eine adaptive MFA-Lösung für risikobasierte Zugriffskontrolle.

• Startregistrierungskampagnen

Nutzen Sie die Registrierungskampagnen von Microsoft Entra, um Benutzer zur Registrierung für Passkeys und zum Abschluss des Einrichtungsprozesses vor dem Stichtag zu animieren.

• Entscheiden Sie, ob Sie migrieren oder einen Telekommunikationsanbieter nutzen möchten.

Organisationen, die aufgrund ihrer geschäftlichen oder regulatorischen Anforderungen weiterhin auf SMS angewiesen sind, sollten kundenverwaltete Telekommunikationsanbieter und die temporären Opt-out-Optionen von Microsoft in Betracht ziehen.

• Benutzer schulen und die Einführung testen

Beginnen Sie mit einer Pilotgruppe, sammeln Sie Feedback und klären Sie die Mitarbeiter über die Vorteile der passwortlosen Authentifizierung auf, bevor Sie die Einführung auf die gesamte Organisation ausweiten.

„Tipp: Priorisieren Sie Administratoren, privilegierte Benutzer und Hochrisikokonten während der ersten Einführungsphase. “

Weiter denken

Microsofts Entscheidung, die von Microsoft bereitgestellte SMS- und Sprach-MFA einzustellen, ist ein weiterer Schritt hin zu einer passwortlosen und phishing-resistenten Zukunft. Die Umstellung auf Passkeys erfordert zwar Planung, Benutzerschulungen und Richtlinienaktualisierungen, ermöglicht Unternehmen aber auch, ihre MFA-Lösung zu modernisieren und ihre Abhängigkeit von anfälligen Anmeldemethoden zu reduzieren.

Da die Frist im Februar 2027 näher rückt, sollten Administratoren ihre Systeme überprüfen, Benutzer identifizieren, die noch auf SMS- und Sprachauthentifizierung angewiesen sind, und alternative Methoden testen. Ein frühzeitiger Beginn trägt zu einem reibungsloseren Übergang bei und minimiert Beeinträchtigungen für die Endbenutzer.

Häufig gestellte Fragen

Schafft Microsoft die SMS-Authentifizierung komplett ab?

Nein. Microsoft stellt die von Microsoft bereitgestellte SMS- und Sprach-MFA in Microsoft Entra ein. Unternehmen können jedoch in bestimmten Szenarien weiterhin kundeneigene Telekommunikationsanbieter nutzen. Administratoren sollten die Microsoft-Richtlinien konsultieren, um zu erfahren, welche Authentifizierungsoptionen nach Februar 2027 noch verfügbar sein werden.

Können Organisationen SMS auch nach Februar 2027 weiterhin nutzen?

Organisationen, die auf die SMS- und Sprach-MFA-Dienste von Microsoft angewiesen sind, müssen diese vor dem Abschalttermin migrieren. Je nach ihren Anforderungen können einige Organisationen alternative Authentifizierungsmethoden wählen oder von Microsoft unterstützte, kundenverwaltete Telekommunikationslösungen in Betracht ziehen.

Was passiert, wenn Benutzer keinen Passkey registrieren?

Nutzer, die keinen Passkey registrieren, können die passwortbasierte Authentifizierung möglicherweise nicht mehr nutzen, sobald diese standardmäßig aktiviert ist. Unternehmen sollten betroffene Nutzer frühzeitig identifizieren, Registrierungskampagnen durchführen und sicherstellen, dass alle Mitarbeiter vor dem Stichtag für die unterstützten Authentifizierungsmethoden registriert sind.

Funktioniert Microsoft Authenticator weiterhin?

Ja. Microsoft Authenticator wird weiterhin neben anderen Authentifizierungsmethoden wie Passkeys, Windows Hello for Business, FIDO2-Sicherheitsschlüsseln und zertifikatsbasierter Authentifizierung unterstützt. Unternehmen können diese Optionen nutzen, um die Sicherheit zu erhöhen und Phishing-Risiken zu reduzieren.

Hat dies Auswirkungen auf Azure AD?

Ja. Da Azure Active Directory jetzt Microsoft Entra ID heißt, betrifft die Abschaffung die Organisationen, die Microsoft Entra-Authentifizierungsdienste nutzen. Administratoren sollten ihre bestehenden MFA-Konfigurationen überprüfen und die Authentifizierungsrichtlinien gegebenenfalls aktualisieren.

Hat dies Auswirkungen auf die Selbstbedienungs-Passwortzurücksetzung (SSPR)?

Die Abschaffung dieser Funktion kann Auswirkungen auf Organisationen haben, die SMS oder Sprachanrufe für die Selbstbedienungs-Passwortzurücksetzung nutzen. Administratoren sollten ihre aktuellen SSPR-Einstellungen überprüfen und sicherstellen, dass Benutzer vor dem Abschaffungsdatum alternative Authentifizierungsmethoden konfiguriert haben.