Entra ID schaltet SMS-MFA ab, Passkeys werden Standard

Der Zeitplan steht fest

Wer in der Authentication Methods Policy oder in den alten MFA-Einstellungen für SMS oder Anruf freigeschaltet ist, wird seit Anfang September automatisch für Passkeys aktiviert. Die Registrierungskampagne steht dabei auf "Microsoft Managed" und zeigt beim nächsten Login mit MFA eine Aufforderung. Standardmässig lässt sich diese Aufforderung unbegrenzt wegklicken. Administratoren können das unterbinden.

Ein befristetes Opt-out existiert. Es nimmt den Tenant bis zum 1. Februar 2027 von der automatischen Aktivierung und von der Kampagne aus, es erfordert Graph-Berechtigungen und eine Policy-Änderung. An der Abschaltung selbst ändert es nichts. Microsoft schreibt ausdrücklich, dass es für das Enforcement keinen Ausweg gibt.

• 1. September 2026: automatische Passkey-Aktivierung und Nudge beim Login

• 30. Oktober 2026: eigener Telecom-Provider im Security Store konfigurierbar

• 1. Februar 2027: Microsoft-eigenes SMS und Voice endet für reguläre Konten und interne Gäste

• 1. Juli 2027: gleicher Schritt für Global Administrators und externe Gastkonten

Wo es in Agenturen klemmt

Die Aufforderung kommt von Microsoft und erscheint plattformunabhängig, also auch auf dem Mac, auf dem iPhone und im Browser. Für den Helpdesk heisst das Rückfragen, die nach einem Problem im MDM aussehen, aber keines sind.

Heikel wird es bei Sammel- und Funktionskonten. Ein info@ oder buchhaltung@, das per SMS an die Bürorufnummer abgesichert ist, lässt sich mit Passkeys nicht mehr gleich betreiben. Passkeys hängen an einer Person und an einem Gerät. Diese Konten gehören separat inventarisiert und vor dem Massen-Rollout auf ein anderes Modell gebracht.

Auch Freelancer, Kundenzugänge und geteilte Projekt-Tenants sind im Scope. Interne Gäste fallen unter den Februar-Termin, externe unter den Juli-Termin 2027. Wie sich Passkeys unter macOS und Safari im Detail verhalten, konnten wir bisher nicht sauber belegen. Wir prüfen das und empfehlen bis dahin den Weg über die Authenticator-App.

Für Contao-, WordPress- oder Shopware-Projekte gibt es keine direkte technische Kopplung. Relevant wird es dort, wo Microsoft-365-Identitäten an ein Redaktionssystem oder Shop-Backend angebunden sind. Transaktionale SMS aus einem Shop, etwa Versandbenachrichtigungen, sind von der Meldung nicht betroffen.

Der Stichtag, der schneller kommt

Wer ein lokales AD mit Entra Connect Sync betreibt, hat ein dringenderes Datum im Kalender. Ab Version 2.5.79.0 läuft die Synchronisation weiter, darunter stoppen die Dienste am 30. September 2026. Das sind ab heute neun Tage.

Ebenfalls seit dem 7. September akzeptiert die Self-Service-Passwortzurücksetzung nur noch explizit registrierte Authentifizierungsmethoden. Telefonnummern und Mailadressen aus den Verzeichnisattributen zählen nicht mehr. Tenants, die sich darauf verlassen haben, merken das erst im Ernstfall.

Was jetzt zu tun ist

Wir empfehlen eine kurze, geordnete Reihenfolge pro Tenant. Der Aufwand hängt stark davon ab, wie viele Konten überhaupt noch auf SMS oder Anruf stehen. Bei Tenants, die bereits vollständig auf Authenticator oder Passkeys laufen, bleibt wenig zu tun.

Den Weg über einen eigenen Telecom-Provider im Security Store halten wir nur bei echtem regulatorischem Zwang für sinnvoll. Er ist erst ab 30. Oktober konfigurierbar, verlangt einen eigenen Carrier-Vertrag und erhält eine Methode, die Microsoft selbst als schwach bewertet.

• Entra-Connect-Version prüfen und vor dem 30. September aktualisieren

• Auslesen, welche Konten noch für SMS oder Voice aktiviert sind

• Snooze-Verhalten bewusst setzen statt auf der Standardeinstellung lassen

• Funktions- und Sammelkonten separat behandeln

• Anleitung für Mac und iPhone schreiben und vor dem ersten Prompt verteilen

• SSPR-Methoden gegenprüfen