Microsoft Entra ID: SMS- und Voice-MFA wird abgelöst

Was IT-Teams jetzt vorbereiten sollten

Microsoft stellt die Weichen in Entra ID klar in Richtung phishing-resistenter Authentifizierung: Passkeys werden zum Standard, während Microsoft-bereitgestellte SMS- und Sprachanrufe für MFA schrittweise auslaufen. Für Unternehmen ist das mehr als eine technische Produktänderung. Es betrifft Authentifizierungsrichtlinien, Helpdesk-Prozesse, Nutzerkommunikation, Compliance-Anforderungen und die Frage, wie robust die eigene Identitätsplattform wirklich aufgestellt ist.

Die wichtigsten Termine: Ab dem 1. September 2026 werden Nutzer, die noch für SMS oder Voice aktiviert sind, automatisch in Richtung Passkey-Registrierung geführt. Ab dem 1. Februar 2027 wird die Microsoft-bereitgestellte SMS- und Voice-Zustellung in Microsoft Entra ID eingestellt. Wer bis dahin nicht migriert hat, riskiert Sign-in-Unterbrechungen und erhöhten Supportaufwand.

Was Microsoft in Entra ID ändert

Microsoft Entra ID macht Passkeys zur bevorzugten Authentifizierungsmethode und reduziert die Abhängigkeit von MFA-Methoden, die anfälliger für Phishing, SIM-Swapping und Social Engineering sind. SMS und Voice gelten seit Jahren als schwächere MFA-Varianten, weil sie auf Telekommunikationskanäle setzen, die nicht für moderne Zero-Trust-Szenarien gebaut wurden.

Konkret bedeutet das:

• Ab 1. September 2026: Nutzer, die für SMS oder Voice aktiviert sind, werden automatisch für Passkeys in der Authentication Methods Policy berücksichtigt und zur Registrierung aufgefordert.
• Ab 1. Februar 2027: Microsoft stellt die native SMS- und Voice-Zustellung in Entra ID ein.
• Nach dem Stichtag: Nutzer, deren einzige verfügbare MFA-Methode SMS oder Voice ist, müssen beim Sign-in eine Passkey-Registrierung durchführen, bevor sie weiterarbeiten können.
• Kein Opt-out für Februar 2027: Die Durchsetzung ab dem 1. Februar 2027 gilt laut Microsoft für alle betroffenen Public-Cloud-Tenants.

Für IT-Teams heißt das: Warten ist keine gute Strategie. Die Migration sollte geplant, segmentiert und sauber kommuniziert werden.

Warum SMS und Voice als MFA-Methode nicht mehr ausreichen

SMS- und Voice-basierte MFA war lange besser als gar keine zweite Authentifizierung. Für heutige Bedrohungslagen reicht das aber oft nicht mehr aus. Angriffe auf Identitäten sind professioneller geworden, und viele Kompromittierungen entstehen nicht durch fehlende Passwörter, sondern durch abgefangene, weitergeleitete oder manipulierte Anmeldefaktoren.

Passkeys setzen auf kryptografische Schlüssel statt auf gemeinsam genutzte Geheimnisse oder übertragene Codes. Dadurch sind sie deutlich besser gegen Phishing und Replay-Angriffe geschützt. Auch Nutzer profitieren: Statt Codes aus SMS abzutippen, erfolgt die Anmeldung meist über bekannte Geräte, biometrische Entsperrung oder Sicherheitsschlüssel.

Wichtig ist dabei die Unterscheidung zwischen zwei typischen Passkey-Varianten:

• Synchronisierte Passkeys: Sie werden über Plattformdienste wie iCloud Keychain oder Google Password Manager zwischen Geräten synchronisiert.
• Gerätegebundene Passkeys: Sie bleiben auf einem Gerät oder Sicherheitsschlüssel, zum Beispiel über Microsoft Authenticator, Windows-basierte Passkeys oder FIDO2-Hardware.

Welche Variante sinnvoll ist, hängt von euren Endgeräten, Nutzergruppen, Compliance-Vorgaben und Betriebsprozessen ab.

Welche Systeme und Nutzer betroffen sind

Betroffen sind vor allem Entra-ID-Tenants, in denen SMS oder Voice noch in der Authentication Methods Policy oder in Legacy-MFA-Einstellungen aktiviert sind. Dazu können klassische Office-Worker, Außendienst, Produktion, geteilte Geräte, privilegierte Rollen oder Sonderfälle ohne moderne Endgeräte gehören.

Besonders wichtig ist die Bestandsaufnahme in diesen Bereichen:

• Aktive SMS- und Voice-Nutzer: Wer nutzt diese Methoden tatsächlich noch?
• Nur-SMS- oder Nur-Voice-Konten: Welche Nutzer haben keine alternative phishing-resistente Methode?
• Privilegierte Konten: Gibt es Admins oder Break-Glass-Prozesse, die noch auf schwache MFA angewiesen sind?
• Self-Service Password Reset: Die Änderung betrifft laut Microsoft auch Entra-Szenarien wie SSPR.
• B2B- und Gastnutzer: Passkey-Unterstützung für B2B-Nutzer und interne Gäste ist laut Microsoft bis Ende 2026 geplant und gehört in die Migrationsplanung.
• Sonderumgebungen: Die aktuelle Timeline gilt für Public-Cloud-Umgebungen. Andere Cloud-Umgebungen folgen auf einem späteren Zeitplan.

Azure AD B2C ist laut Microsoft von dieser konkreten Ankündigung nicht betroffen. Für Microsoft Entra External ID soll eine separate Ankündigung folgen.

Was bis September 2026 passieren sollte

Der 1. September 2026 ist der erste operative Wendepunkt. Ab diesem Datum werden betroffene Nutzer bei der MFA-Anmeldung zur Passkey-Registrierung bewegt. Microsoft setzt dabei auf Registration Campaigns, die Nutzer schrittweise zur Einrichtung auffordern.

Vor diesem Datum sollten IT-Teams folgende Punkte klären:

1. Bestand analysieren: Ermittelt alle Nutzer, die für SMS oder Voice aktiviert sind.
2. Zielmethode definieren: Legt fest, ob Passkeys, Windows Hello for Business, FIDO2-Sicherheitsschlüssel oder eine Kombination eingesetzt werden.
3. Policies prüfen: Kontrolliert Authentication Methods Policy, Conditional Access, Legacy-MFA-Einstellungen und SSPR-Abhängigkeiten.
4. Pilotgruppe starten: Testet Passkeys mit realen Nutzergruppen, nicht nur mit der IT.
5. Support vorbereiten: Erstellt kurze Anleitungen für Windows, iOS, Android und FIDO2-Sicherheitsschlüssel.
6. Kommunikation planen: Nutzer müssen verstehen, warum sich der Prozess ändert und was sie konkret tun sollen.

Wer nicht möchte, dass Nutzer ab September automatisch in die Passkey-Registrierung laufen, muss vorher gezielt migrieren oder temporäre Steuerungsoptionen prüfen. Spätestens für Februar 2027 ist diese Verschiebung aber keine Lösung mehr.

Was bis Februar 2027 abgeschlossen sein muss

Der 1. Februar 2027 ist der eigentliche Abschalttermin für Microsoft-bereitgestellte SMS- und Voice-Zustellung in Entra ID. Ab dann sollten alle regulären Nutzer eine moderne, phishing-resistente Authentifizierungsmethode haben.

Praktisch bedeutet das:

• Keine produktiven Nutzergruppen sollten ausschließlich von SMS oder Voice abhängen.
• Helpdesk und First-Level-Support müssen typische Passkey-Probleme lösen können.
• Conditional-Access-Regeln sollten nicht unbeabsichtigt alte MFA-Methoden bevorzugen.
• Admin-Konten und Break-Glass-Konten brauchen besonders sauber dokumentierte Alternativen.
• Geräte- und Plattformstrategie müssen zur gewählten Passkey-Variante passen.
• Ausnahmen sollten dokumentiert, befristet und technisch abgesichert sein.

Unternehmen mit regulatorischen oder operativen Gründen für SMS oder Voice können laut Microsoft künftig kundenseitig verwaltete Telekommunikationsanbieter über den Microsoft Security Store prüfen. Diese Option ist aber eher ein Ausnahmepfad als die Standardmigration. Für die meisten Organisationen ist der bessere Weg: SMS und Voice systematisch abbauen und Passkeys oder andere phishing-resistente Methoden etablieren.

Der Admin-Blick: Wo Migrationen typischerweise haken

Technisch ist Passkey-Einführung oft weniger schwierig als die organisatorische Umsetzung. Die eigentlichen Stolperstellen liegen meist in Details:

• Nutzer haben alte MFA-Methoden registriert, die niemand mehr aktiv beobachtet.
• Legacy-MFA-Einstellungen und moderne Authentication Methods Policy sind nicht sauber konsolidiert.
• Mobile Geräte sind privat, nicht verwaltet oder uneinheitlich konfiguriert.
• Helpdesk-Prozesse für verlorene Geräte oder neue Smartphones sind nicht vorbereitet.
• Führungskräfte, Außendienst oder Schichtbetrieb brauchen andere Kommunikationswege als klassische Büroanwender.
• SSPR-Prozesse wurden nicht mitgedacht.
• Passkeys werden technisch aktiviert, aber nicht als Veränderungsprojekt begleitet.

Genau deshalb sollte die Migration nicht erst Ende Januar 2027 beginnen. Wer früh startet, kann Nutzergruppen sinnvoll segmentieren, Supportlast verteilen und Ausnahmen sauber behandeln.

Empfohlener Migrationsplan für IT-Teams

Ein praxistauglicher Ablauf kann so aussehen:

1. Tenant analysieren

Startet mit einer klaren Auswertung: Welche Nutzer sind für SMS oder Voice aktiviert? Wer nutzt diese Methoden aktiv? Wo gibt es keine Alternative? Diese Liste ist die Grundlage für alle weiteren Entscheidungen.

2. Zielbild festlegen

Definiert, welche phishing-resistenten Methoden ihr künftig unterstützen wollt. Für viele Unternehmen wird es eine Kombination aus Passkeys, Windows Hello for Business und FIDO2-Sicherheitsschlüsseln sein.

3. Richtlinien bereinigen

Prüft Authentication Methods Policy, Legacy-MFA-Konfigurationen, Conditional Access und SSPR. Ziel ist ein konsistentes Modell, das nicht an einer Stelle moderne Methoden erzwingt und an anderer Stelle alte Kanäle offenhält.

4. Pilot durchführen

Testet mit unterschiedlichen Nutzergruppen: IT, Fachbereich, mobile Nutzer, Führungskräfte, Sonderrollen. Achtet nicht nur auf technische Erfolgsquoten, sondern auch auf Verständnis, Supportfragen und Gerätekompatibilität.

5. Nutzerkommunikation vorbereiten

Kommunikation ist bei MFA-Migrationen kein Beiwerk. Erklärt kurz und konkret:

• Was ändert sich?
• Warum wird SMS oder Voice abgelöst?
• Was müssen Nutzer tun?
• Bis wann muss die Registrierung erledigt sein?
• Wo gibt es Hilfe?

6. Rollout in Wellen umsetzen

Migriert nicht alle Nutzer gleichzeitig. Arbeitet mit Gruppen, Fristen und Monitoring. So erkennt ihr früh, wo technische oder organisatorische Anpassungen nötig sind.

7. Restbestände schließen

Vor Februar 2027 sollte es keine unklaren SMS-/Voice-Abhängigkeiten mehr geben. Die letzten Nutzergruppen sind oft die kritischsten, weil sie Ausnahmen, alte Prozesse oder Sondergeräte enthalten.

Wie anyplace IT unterstützen kann

anyplace IT unterstützt Unternehmen dabei, Microsoft-365-, Entra-ID- und Endpoint-Umgebungen sicher und betreibbar aufzustellen. Bei der Ablösung von SMS- und Voice-MFA geht es nicht nur um einen Schalter in Entra ID, sondern um Identitätsstrategie, Geräteverwaltung, Security, Support und Nutzerakzeptanz.

Wir können euch unter anderem unterstützen bei:

• Analyse eurer bestehenden MFA- und Authentication-Methods-Konfiguration
• Bewertung betroffener Nutzergruppen und Sonderfälle
• Planung von Passkey-, Windows-Hello- und FIDO2-Rollouts
• Anpassung von Conditional Access, SSPR und Richtlinien
• Pilotierung und stufenweiser Migration
• Erstellung praxistauglicher Nutzerkommunikation
• Betrieb, Support und Schulung rund um sichere hybride Arbeitsumgebungen

Fazit: SMS- und Voice-MFA jetzt geordnet ablösen

Microsofts Änderung in Entra ID ist ein klarer Hinweis, wohin sich Unternehmensauthentifizierung entwickelt: weg von übertragbaren Codes, hin zu phishing-resistenten Methoden wie Passkeys, Windows Hello for Business und FIDO2.

Für IT-Teams ist jetzt der richtige Zeitpunkt, die eigene MFA-Landschaft zu prüfen. Wer SMS und Voice noch produktiv nutzt, sollte bis September 2026 die Grundlagen schaffen und bis Februar 2027 die Migration abgeschlossen haben. So vermeidet ihr Sign-in-Störungen, reduziert Sicherheitsrisiken und schafft eine belastbare Basis für modernes Identitätsmanagement.