Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Die SMS-Authentifizierung in Microsoft Entra ID endet am 1. Februar 2027 – zusammen mit der Authentifizierung per Sprachanruf. Bereits ab dem 1. September 2026 werden alle Benutzer, die heute SMS oder Anruf als Faktor nutzen, automatisch für Passkeys freigeschaltet und beim nächsten MFA-Login zur Registrierung aufgefordert.
Wer bis Februar 2027 keine phishing-resistente Methode hinterlegt hat, kommt an dieser Aufforderung nicht mehr vorbei.
Infos zum Zeitplan und welche Schritte in den kommenden Wochen und Monaten anstehen, erfahren Sie hier.
Das Wichtigste in Kürze
- Microsoft schaltet die selbst bereitgestellte SMS-Authentifizierung und die Sprachanrufe in Entra ID am 1. Februar 2027 ab - für MFA und für die Self-Service-Kennwortzurücksetzung (SSPR).
- Ab dem 1. September 2026 werden betroffene Benutzer automatisch für Passkeys aktiviert und über eine Registrierungskampagne zur Einrichtung aufgefordert.
- Nach dem 1. Februar 2027 ist diese Aufforderung blockierend: Wer keine andere Methode besitzt, muss vor der Anmeldung einen Passkey registrieren. Ein Opt-out gibt es dafür nicht.
- Unternehmen mit regulatorischem Bedarf können ab dem 30. Oktober 2026 einen eigenen Telekommunikationsanbieter über den Microsoft Security Store buchen - kostenpflichtig und pro Nachricht abgerechnet.
- Ein befristetes Opt-out verschiebt lediglich die automatische Passkey-Aktivierung zwischen dem 1. September 2026 und dem 1. Februar 2027, nicht die Abschaltung selbst.
Zeitplan für das Ende der SMS-Authentifizierung in Entra ID
Microsoft hat die Umstellung im Juli 2026 über die Message-Center-Meldung MC1426371 angekündigt.
Der Zeitplan besteht aus vier Stichtagen – der erste liegt nur noch wenige Wochen entfernt.
| Stichtag | Was passiert |
|---|---|
| 1. September 2026 | Passkeys werden zur Standard-Anmeldeerfahrung. Benutzer mit SMS oder Sprachanruf werden automatisch für Passkeys aktiviert und zur Registrierung aufgefordert. |
| 18. September 2026 | Microsoft veröffentlicht die Liste der Telekommunikationsanbieter im Security Store samt Konditionen. |
| 30. Oktober 2026 | Unternehmen können einen dieser Anbieter auswählen und konfigurieren. |
| 1. Februar 2027 | Die von Microsoft bereitgestellte SMS- und Sprachauthentifizierung ist abgeschaltet. |
Der Zeitplan gilt zunächst nur für die öffentliche Cloud. Azure AD B2C ist ausgenommen, für Microsoft Entra External ID folgt eine eigene Ankündigung. B2B-Gastbenutzer fallen dagegen unter die Abschaltung; Passkeys für diese Konten sind bis Ende 2026 geplant. Externe MFA-Methoden von Drittanbietern sind nicht betroffen.
Nicht verwechseln: SMS-Anmeldung in Free-Tenants
Für Entra-ID-Free-Tenants hat Microsoft mit MC1448374 bereits zum 11. August 2026 die Anmeldung per SMS als erstem Faktor eingestellt – also die Anmeldung allein mit Telefonnummer und Einmalcode ohne Kennwort. SMS als zusätzlicher Faktor war davon noch nicht betroffen.
Warum Microsoft die SMS-Authentifizierung abschaltet
Microsoft begründet den Schritt ausschließlich mit Sicherheit: SMS und Sprachanruf zählen zu den schwächsten heute verfügbaren Verfahren. Der Code läuft über einen Kanal, der weder verschlüsselt noch an das anmeldende Gerät gebunden ist. Wer ihn abfängt oder abfragt, kann sich anmelden – genau das macht Phishing-Seiten und Echtzeit-Proxys so wirksam. Dazu kommt SIM-Swapping: Angreifer lassen die Rufnummer des Opfers auf eine eigene SIM-Karte übertragen und empfangen die Codes selbst.
Wie ernst die Lage ist, zeigt eine Zahl aus dem Microsoft Security Blog: KI-gestützte Phishing-Kampagnen erreichen inzwischen Klickraten von bis zu 54 Prozent, klassische Kampagnen kommen auf rund 12 Prozent.
Was Passkeys anders machen
Ein Passkey beruht auf einem kryptografischen Schlüsselpaar. Der private Schlüssel verlässt das Gerät nie, der Anmeldedienst kennt nur den öffentlichen Teil – es gibt kein gemeinsames Geheimnis, das sich abfragen oder weiterleiten ließe. Entra ID unterstützt synchronisierte Passkeys aus einem Anmeldedatenspeicher wie iCloud Keychain oder Google Password Manager sowie gerätegebundene Passkeys, etwa in Microsoft Authenticator, als Entra Passkey unter Windows oder als FIDO2-Sicherheitsschlüssel.
Passkeys ersetzen die SMS-Authentifizierung
Am 1. September 2026 greift Microsoft aktiv in die Konfiguration ein.
Alle Benutzer, die in der Authentifizierungsmethoden-Richtlinie oder in den veralteten MFA-Einstellungen für SMS oder Sprachanruf aktiviert sind, werden automatisch für Passkeys freigeschaltet und in ein Profil gelegt, das alle Passkey-Typen erlaubt. Zusätzlich stellt Microsoft die Registrierungskampagne des Tenants auf den Zustand „Microsoft-verwaltet“ und nimmt diese Benutzer in den Geltungsbereich auf.
Bei der nächsten erfolgreichen MFA-Anmeldung erscheint dann die Aufforderung, einen Passkey einzurichten. Sie lässt sich zunächst beliebig oft verschieben – blockierend wird sie erst nach dem 1. Februar 2027. Wer diesen Automatismus nicht will, nimmt die Benutzer vor dem 1. September aus SMS und Sprachanruf heraus oder setzt das befristete Opt-out. Es wirkt nur bis zum 1. Februar 2027 und erfordert die Graph-Berechtigung Policy.ReadWrite.AuthenticationMethod:
PATCH https://graph.microsoft.com/beta/policies/authenticationmethodspolicy
Content-Type: application/json
{
"optOutSettings": {
"passkeyDynamicMigration": true
}
} Parallel baut Microsoft die passwortlosen Verfahren aus: Ab Oktober 2026 gelten Windows Hello for Business und macOS Platform SSO laut MC1450134 als eigenständige MFA-Faktoren. Nach MC1450133 können Benutzer ab Mitte Oktober 2026 zudem direkt einen Passkey als erste MFA-Methode registrieren, ohne vorher ein schwächeres Verfahren einzurichten.
Hinweise zum Vorgehen für IT-Admins
1
Betroffene Benutzer ermitteln
Microsoft stellt auf GitHub das Skript „entra-sms-voice-usage-analyzer“ bereit, das alle für SMS oder Sprachanruf aktivierten Konten auflistet. Dafür genügt eine der Rollen Globaler Leser, Authentifizierungsrichtlinien-Administrator oder Sicherheitsleser. Jedes Ergebnis über null bedeutet: Der Tenant ist betroffen.
2
Passkeys aktivieren und Rollout planen
Passkey (FIDO2) als Methode freigeben und festlegen, welche Passkey-Typen zugelassen sind – synchronisiert, gerätegebunden oder beides. Bei Administratoren und privilegierten Konten beginnen.
3
Registrierungskampagne selbst steuern
Wer die Kampagne vor dem 1. September gezielt auf eine Sicherheitsgruppe der SMS-Benutzer richtet, verteilt die Registrierungen über Wochen, statt sie an einem Stichtag im Helpdesk auflaufen zu lassen.
4
Ausnahmen dokumentieren
Für jeden Bereich, der SMS oder Sprachanruf behalten soll, die regulatorische oder betriebliche Begründung festhalten. Alles andere wandert auf Passkeys.
5
Notfallzugänge prüfen
Break-Glass-Konten und Onboarding-Wege dürfen nicht an SMS hängen; für die Erstregistrierung eignet sich ein Temporary Access Pass.
6
Benutzer in drei Wellen informieren
Ankündigung, Aufforderung mit gerätespezifischer Anleitung, Erinnerung an die Nachzügler. Microsoft stellt dafür Kommunikationsvorlagen bereit.
Wie schnell Angreifer schwach abgesicherte Konten finden, zeigt der Beitrag zu Password Spraying gegen Microsoft 365.
SMS-Authentifizierung über eigene Anbieter behalten
Für Unternehmen, die aus regulatorischen Gründen einen Telefonkanal benötigen, endet die SMS-Authentifizierung nicht zwingend. Microsoft verlagert die Zustellung lediglich zum Kunden: Ab dem 18. September 2026 sind die Anbieter und Konditionen im Microsoft Security Store einsehbar, ab dem 30. Oktober 2026 lässt sich ein Anbieter auswählen und konfigurieren. Der Vertrag kommt dann direkt mit dem Telekommunikationsanbieter zustande.
- Es entstehen laufende Kosten - die Abrechnung erfolgt laut Microsoft in der Regel pro Nachricht und variiert nach Anbieter, Region und Volumen; die Migration auf Passkeys ist dagegen ohne Zusatzkosten möglich.
- Die Einrichtung braucht Vorlauf - Microsoft empfiehlt, den Anbieter mindestens vier Wochen vor dem Stichtag zu konfigurieren und vorher mit einer Pilotgruppe zu testen.
Bedeutung für Geschäftsführung und Entscheider
Für die Geschäftsführung ist das kein Sicherheitsvorfall, sondern ein Termin mit harter Konsequenz. Am 1. Februar 2027 verlieren Benutzer, deren einzige Methode SMS oder Sprachanruf ist, den gewohnten Anmeldeweg. Sie werden nicht ausgesperrt, müssen aber vor der nächsten Anmeldung einen Passkey registrieren. Ohne Vorbereitung passiert genau das an einem Montagmorgen – bei allen gleichzeitig.
Der Aufwand liegt weniger in der Technik als in der Organisation. Die Konfiguration ist Arbeit von Stunden; die eigentliche Aufgabe besteht darin, die Belegschaft zu einem neuen Anmeldeverfahren zu bringen, bevor der Stichtag es erzwingt. Die Qualität der Kommunikation entscheidet darüber, ob der Helpdesk eine Welle bekommt oder einen stetigen Zulauf über Monate.
Wirtschaftlich ist die Richtung eindeutig: Der Wechsel auf Passkeys kostet keine Lizenzgebühren, ein eigener Telekommunikationsanbieter dagegen laufendes Geld pro Nachricht. Ein Telefonkanal lohnt sich damit nur dort, wo eine Regulierung ihn verlangt – und diese Entscheidung sollte fallen, bevor am 30. Oktober 2026 die Buchung im Security Store öffnet.
Die Abschaltung der SMS-Authentifizierung in Entra ID reiht sich in eine Serie von Microsoft-Fristen ein, wie z.B. die EWS-Abschaltung in Exchange Online.
FAQ zur SMS-Authentifizierung
Nein. Betroffene Benutzer erhalten eine blockierende Aufforderung, einen Passkey zu registrieren, und können sich danach normal anmelden. Überspringen lässt sich diese Aufforderung nicht mehr. Wer bereits eine andere Methode nutzt, merkt von der Umstellung nichts.
Ja. Die Einstellung gilt laut Microsoft für ganz Entra ID und damit auch für die Self-Service-Kennwortzurücksetzung. SMS und Sprachanruf lassen sich dort nur noch über einen selbst gebuchten Telekommunikationsanbieter nutzen.
Nur teilweise. Ein befristetes Opt-out per Microsoft Graph verhindert die automatische Passkey-Aktivierung und die Registrierungskampagne zwischen dem 1. September 2026 und dem 1. Februar 2027. Für die Abschaltung selbst gibt es kein Opt-out, sie gilt für alle Tenants.
Passkeys sind nicht an ein Diensthandy gebunden. Windows Hello for Business auf dem Arbeitsplatzrechner, ein FIDO2-Sicherheitsschlüssel oder ein Passkey im Anmeldedatenspeicher des Benutzers erfüllen die Anforderung ebenso.
B2B-Gastbenutzer fallen unter die Abschaltung; die Passkey-Unterstützung für diese Konten ist bis Ende 2026 geplant. Azure AD B2C ist ausgenommen, für Microsoft Entra External ID folgt eine separate Ankündigung.
Fazit
Das Ende der SMS-Authentifizierung in Entra ID ist beschlossen und wird zum 1. Februar 2027 ohne Ausweichmöglichkeit durchgesetzt.
Der eigentliche Stichtag ist aber der 1. September 2026: Ab dann greift Microsoft selbst in die Konfiguration ein und beginnt, Benutzer zur Passkey-Registrierung zu bewegen. Wer bis dahin weiß, welche Konten betroffen sind, wer die Registrierungskampagne selbst steuert und wer nur dort einen Telefonkanal einkauft, wo eine Regulierung ihn verlangt, hat den Wechsel im Griff.
Alle anderen erleben ihn im Februar 2027 als Helpdesk-Thema.