Passkeys statt SMS: der 5-Schritte-Plan zur Entra-ID-Umstellung bis 1. Februar 2027

Aktualisiert am 7. Oktober 2026: Microsoft hat den Zeitplan präzisiert (Message Center MC1426371): Die Microsoft-eigene SMS- und Sprachanruf-Option endet am 1. Februar 2027 für die meisten Nutzer, für globale Administratoren und externe Nutzer erst am 1. Juli 2027. Wer SMS oder Anruf weiter braucht, kann ab dem 30. Oktober 2026 einen Telekommunikationsanbieter über den Microsoft Security Store einbinden.

Am 1. September 2026 hat Microsoft schrittweise begonnen, die Multi-Faktor-Authentifizierung für alle Entra-ID-Nutzer umzustellen, die bisher per SMS- oder Sprachanruf einloggen. Seitdem werden sie beim Login aufgefordert, einen Passkey zu registrieren. Und am 1. Februar 2027 schaltet Microsoft seine eigene SMS- und Sprachanruf-Option für die meisten Nutzer ab, für globale Administratoren und externe Nutzer am 1. Juli 2027. Danach funktionieren SMS und Anruf nur noch über einen selbst eingebundenen Telekommunikationsanbieter.

Wer jetzt vorbereitet ist, erlebt einen reibungslosen Übergang. Wer es nicht ist, trifft seine Mitarbeiter mit einem blockierenden Login-Prompt und einem Regen an Helpdesk-Tickets.

Was passiert wann?

Microsoft hat folgende Termine angekündigt (Message Center MC1426371, zuletzt aktualisiert am 15. September 2026; Details auf Microsoft Learn):

• 01.09.2026: Microsoft hat für alle Tenants in der Public Cloud schrittweise eine Registration Campaign gestartet. User, die Microsoft-eigene SMS oder Voice als MFA-Methode eingerichtet haben, werden beim Login zur Passkey-Registrierung eingeladen. Den Prompt können sie zunächst unbegrenzt wegschieben (sogenannte „unlimited snoozes").
• 30.10.2026: Wer SMS oder Voice weiter braucht, kann im Microsoft Security Store einen Telekommunikationsanbieter auswählen. Die Anbieter lassen sich dort seit dem 18. September 2026 prüfen.
• 01.02.2027: Die von Microsoft bereitgestellten SMS- und Voice-Methoden werden für die meisten Nutzer abgeschaltet; danach funktionieren SMS und Voice nur noch über einen selbst eingebundenen Anbieter. User, deren einzige MFA-Methode SMS oder Voice ist, müssen ab diesem Datum beim Login einen Passkey registrieren, bevor sie sich weiter anmelden können (blockierender Registrierungs-Prompt); ausgesperrt wird laut Microsoft aber niemand. Dieser Termin gilt für alle Public-Cloud-Tenants (kein Opt-out möglich).
• 01.07.2027: Auch für globale Administratoren und externe Nutzer endet die Microsoft-eigene SMS- und Voice-Option.

Bis zum Februar-Termin liegt Ihre Arbeit. Die Kampagne läuft seit September automatisch, und das ist gut. Ohne Vorbereitung, Kommunikation und Fallback-Plan wird der Februar-Termin aber zum Problem.

Wer Zeit braucht: Admins können die Passkey-Umstellung bis längstens 1. Februar 2027 per Microsoft Graph API temporär verschieben, indem sie die Property passkeyDynamicMigration auf true setzen. Das verschiebt den Nudge, aber nicht den harten Abschalttermin am 1. Februar 2027.

Bin ich betroffen?

Ja, sobald mindestens ein Nutzer in Ihrem Tenant Microsoft-eigene SMS oder Voice als MFA-Methode eingerichtet hat. Den Überblick liefert der Bericht Authentifizierungsmethoden-Aktivität im Entra Admin Center (Entra ID → Berichte → Authentifizierungsmethoden-Aktivität).

Nicht betroffen von diesem Zeitplan: Azure AD B2C, Microsoft Entra External ID (hier folgt eine eigene Ankündigung) und Sondercloud-Umgebungen (GCC, China-Cloud). Externe Nutzer wie B2B-Gäste aus anderen Organisationen fallen zwar in den Scope, für sie und für globale Administratoren endet die Microsoft-eigene SMS- und Voice-Option aber erst am 1. Juli 2027; interne Gastnutzer bleiben beim 1. Februar 2027. Passkey-Unterstützung für B2B- und interne Gastnutzer plant Microsoft bis Ende 2026. SSPR (Self-Service Password Reset) mit SMS-Methode ist ebenfalls betroffen und muss mitgeplant werden.

Was sind Passkeys überhaupt?

Ein Passkey ersetzt Passwort und SMS-Code durch eine kryptografische Bestätigung auf dem Gerät des Nutzers per Biometrie (Face ID, Fingerabdruck) oder Geräte-PIN. In Entra ID stehen zwei Varianten zur Wahl:

• Synced Passkeys (z. B. iCloud Keychain, Google Password Manager): Werden geräteübergreifend synchronisiert, kein Verlustrisiko bei Gerätewechsel.
• Device-bound Passkeys (Microsoft Authenticator, FIDO2-Hardware-Keys): Nur auf einem Gerät gültig, höchste Sicherheitsstufe.

Passkeys sind in allen Entra-ID-Editionen kostenfrei nutzbar, auch in der kostenlosen Edition. Für die Erzwingung per Conditional Access (phishing-resistente MFA erforderlich) benötigen Sie Entra ID P1, das in Microsoft 365 Business Premium, M365 E3 und E5 bereits enthalten ist.

Kompatibilitätsvoraussetzungen auf einen Blick:

Browser: Chrome, Edge, Firefox und Safari werden unterstützt. Firefox auf Android wird derzeit nicht unterstützt.

Der 5-Schritte-Plan für Ihren Entra-Tenant

Ob Sie den Tenant für ein kleines Büro in Recklinghausen oder einen mittelständischen Betrieb im Ruhrgebiet verwalten, der Fahrplan ist überall gleich:

Schritt 1: Inventur (wer nutzt noch SMS oder Voice?) Laden Sie im Entra Admin Center den Authentifizierungsmethoden-Bericht herunter und filtern Sie auf SMS und Voice. Das zeigt Ihnen genau, wie viele Nutzer betroffen sind und gibt Ihnen eine realistische Einschätzung des Aufwands.

Schritt 2: Pilotgruppe (Admins zuerst) Aktivieren Sie Passkeys in der Authentication Methods Policy zunächst für eine kleine Testgruppe, am besten IT-Administratoren und technisch affine Mitarbeiter. Testen Sie alle Anmeldeszenarien (Browser, Desktop-App, mobile App) durch, bevor Sie breiter ausrollen.

Schritt 3: Conditional Access absichern (empfohlen) Mit Entra ID P1 können Sie eine Richtlinie erstellen, die phishing-resistente MFA erzwingt. Das verhindert, dass Nutzer auf schwächere Methoden ausweichen, und unterstützt gleichzeitig viele Cyberversicherungs- und Compliance-Anforderungen.

Schritt 4: Fallback definieren Klären Sie, was passiert, wenn ein Nutzer sein Gerät verliert oder der Passkey nicht funktioniert. Mögliche Fallbacks: Microsoft Authenticator-App (TOTP), FIDO2-Hardware-Key oder ein temporäres Einmalpasswort (Temporary Access Pass). Ohne Fallback-Konzept steigt die Helpdesk-Last ab Februar 2027 erheblich.

Schritt 5: Nutzerkommunikation (jetzt, nicht erst kurz vor dem 1. Februar 2027) Informieren Sie Ihre Mitarbeiter proaktiv: Was ist ein Passkey, warum stellt Microsoft um, wie läuft die Registrierung ab (Einstellungen → Sicherheitsinformationen → Passkey hinzufügen). Eine kurze interne E-Mail oder ein einseitiges Merkblatt verhindert Dutzende Support-Anrufe.

Sonderfall: Frontline Worker und gemeinsam genutzte Geräte

Kassiererinnen, Lagermitarbeiter und andere Frontline Worker, die sich ein Terminal teilen, stoßen auf ein strukturelles Problem: Ein Passkey ist an Gerät und Nutzer gebunden, und bei gemeinsam genutzten Geräten funktioniert das nicht reibungslos. Microsoft hat ab 30. Oktober 2026 eine Alternativlösung angekündigt: Im Microsoft Security Store können Tenants einen externen Telekommunikationsanbieter hinterlegen, über den SMS und Voice weiter bereitgestellt werden. Die Anbieter lassen sich dort seit dem 18. September 2026 prüfen; Microsoft empfiehlt, die Einrichtung mindestens vier Wochen vor dem 1. Februar 2027 abzuschließen. Für FIDO2-Hardware-Keys (persönlich zugeordnet, tragbar) gibt es keine solche Einschränkung.

Falls Sie Frontline-Worker-Szenarien in Ihrem Betrieb haben, setzen Sie diese Nutzergruppe auf Ihre Watchlist und prüfen Sie die Anbieter im Microsoft Security Store rechtzeitig.

Hinweis: Dieser Beitrag ist kein Rechts- oder Compliance-Gutachten. Er gibt einen technischen Überblick auf Basis der offiziellen Microsoft-Dokumentation. Stand: August 2026.

Fazit

Der 1. September 2026 wirkte wie eine Frist, war aber in Wirklichkeit der Startpunkt einer Gnadenfrist. Der harte Abschalttermin ist der 1. Februar 2027 (für globale Administratoren und externe Nutzer der 1. Juli 2027). Wer die Inventur jetzt macht, die Pilotgruppe in den nächsten Wochen ausrollt und die Nutzerkommunikation rechtzeitig absetzt, wird den Übergang entspannt erleben.

Sie möchten wissen, wie viele Ihrer Nutzer noch SMS-MFA einsetzen und wie der Umstieg in Ihrem Tenant konkret aussieht? Sprechen Sie uns an. Wir begleiten Entra-ID-Projekte im Ruhrgebiet und darüber hinaus.

Passende Leistung: IT-Support und Betreuung

Hinweis: Die Beiträge dieses Blogs werden unter Einsatz von KI erstellt und vor der Veröffentlichung redaktionell geprüft. Die redaktionelle Verantwortung trägt Emre Yurtbay (siehe Impressum).