Passkeys per Default: Microsofts SMS-MFA endet am 1. Februar 2027

Seit dem 1. September 2026 sind Passkeys in Microsoft Entra der Standard. Am 1. Februar 2027 endet das SMS und der Sprachanruf, die Microsoft selbst für MFA bereitstellt. Für Global Admins und externe Nutzer gilt der 1. Juli 2027. Wer danach noch SMS will, braucht einen eigenen Telecom-Provider und bezahlt dafür. Wer nichts tut, riskiert ab Februar Anmeldeprobleme, und zwar bei genau den Nutzern, die am schwersten umzustellen sind.

Grundlage ist die Message-Center-Meldung MC1426371 „Passkeys by default and retirement of Microsoft-provided SMS and voice authentication“. Microsoft hat sie am 13. Juli 2026 veröffentlicht und am 15. September aktualisiert.

Die Daten

Datum	Was passiert
1. September 2026	Passkeys werden Standard. Nutzer mit SMS oder Anruf als Methode bekommen automatisch Passkeys freigeschaltet, die Registrierungskampagne springt auf „Microsoft managed“. Der Rollout läuft schrittweise.
18. September 2026	Die Telecom-Provider im Microsoft Security Store lassen sich prüfen.
30. Oktober 2026	Ein Telecom-Provider lässt sich auswählen und einrichten.
1. Februar 2027	Microsofts SMS und Anruf enden für alle außer Global Admins und externen Nutzern. Interne Gäste sind dabei.
1. Juli 2027	Dasselbe für Global Admins und externe Nutzer.

Zwei Details, die gern übersehen werden:

• Es betrifft nicht nur MFA. Laut Microsoft gilt die Abschaltung für ganz Entra, also auch für die Self-Service-Kennwortzurücksetzung (SSPR). Wer sein Kennwort heute per SMS zurücksetzt, braucht ab Februar einen anderen Weg.
• PIM zählt nicht. Ein Global Admin, der die Rolle in Privileged Identity Management nur berechtigt hat und nicht aktiviert, gilt am 1. Februar als normaler Nutzer.

Was nach dem Stichtag passiert

Nutzer, deren einzige MFA-Methode SMS oder Anruf ist, bekommen dann eine Aufforderung, einen Passkey zu registrieren. Überspringen lässt sie sich nicht mehr. Microsoft schreibt: „This prompt is blocking.“ Und weiter: „There is no opt out from this February 1 behavior for users in scope of the February 1 retirement.“

Bis dahin dürfen Nutzer den Hinweis überspringen, und zwar standardmäßig unbegrenzt oft. Das ist bequem, aber gefährlich. Ohne Eingriff schieben viele die Registrierung bis zum Stichtag vor sich her, und dein Helpdesk erlebt die erste Februarwoche live.

💡 Tipp
Stell die Registrierungskampagne von „Microsoft managed“ auf „Enabled“. Dann legst du selbst fest, wie oft und wie lange Nutzer den Hinweis überspringen dürfen. Mit begrenzten Snoozes ist nach drei Mal Schluss.

Der temporäre Opt-out

Wer mehr Zeit braucht, kann die automatische Umstellung per Microsoft Graph pausieren. Dafür braucht es die Berechtigung Policy.ReadWrite.AuthenticationMethod:

PATCH https://graph.microsoft.com/beta/policies/authenticationmethodspolicy
Content-Type: application/json

{
  "optOutSettings": {
    "passkeyDynamicMigration": true
  }
}

Damit fällt dein Tenant aus der automatischen Passkey-Freischaltung und der Kampagne heraus, aber nur bis zum 1. Februar 2027. Danach gelten Migration und Durchsetzung unabhängig von dieser Einstellung. Der Opt-out verschiebt also nicht das Ende von SMS. Er nimmt dir nur die automatische Hilfe weg. Nutz ihn bloß, wenn du die Umstellung selbst steuern willst, nicht zum Aufschieben.

Welcher Passkey für wen

Passkeys sind in allen Entra-Plänen enthalten, auch in Entra ID Free. Teure Hardware für alle brauchst du nicht.

Option	Was es ist	Passt für
Passkey in Microsoft Authenticator	Gerätegebunden, auf dem Smartphone	Alle mit Firmen-Smartphone oder akzeptiertem BYOD
Windows Hello for Business	Gerätegebunden, an genau einen Windows-PC	Feste Arbeitsplätze. Für Anmeldungen von anderen Geräten braucht es zusätzlich etwas.
Synced Passkey	In iCloud-Schlüsselbund oder Google Password Manager, geräteübergreifend	Nur bewusst entschieden, siehe unten
FIDO2-Sicherheitsschlüssel	Physischer Schlüssel	Admins, Break-Glass-Konten, Mitarbeitende ohne Smartphone

⚠️ Achtung: Synced Passkeys
Microsofts automatisches Profil erlaubt alle Passkey-Typen, also auch synchronisierte. Damit kann ein Firmen-Passkey im privaten iCloud- oder Google-Konto der Mitarbeitenden landen. Attestierung gibt es für Synced Passkeys nicht. Wenn du das nicht willst, leg eigene Passkey-Profile an und erlaube dort nur gerätegebundene Passkeys. Achtung: Passkey-Profile lassen sich nicht wieder abschalten, wenn du sie einmal aktiviert hast.

Der eigentliche Knackpunkt: Nutzer ohne Smartphone

SMS war oft die Lösung für alle, die kein Firmen-Smartphone haben: Produktion, Pflege, Handel, Aushilfen. Genau diese Gruppe trifft die Umstellung am härtesten. Drei Wege:

• FIDO2-Schlüssel: Phishingresistent, kostet aber Geld, Logistik und Ersatz bei Verlust.
• Hardware-OATH-Token (TOTP): Bleibt nach dem 1. Februar erlaubt. Wer TOTP nutzt, bekommt die blockierende Aufforderung nicht. Ehrlich gesagt ist das aber nicht phishingresistent und erfüllt keine Conditional-Access-Regel, die das verlangt.
• Eigener Telecom-Provider: SMS bleibt, kostet aber pro Nachricht beim Provider. Dazu kommt das Hosting einer Azure Function. Im Security Store stehen derzeit Soprano, Telesign und Infobip. Preise nennt Microsoft nicht, sie hängen von Anbieter, Region und Nutzung ab.

Break-Glass-Konten

Notfallkonten aus der Registrierungskampagne zu nehmen, reicht nicht. Das stoppt nur den Hinweis, nicht das Ende von SMS. Schließt du sie aus der Passkey-Richtlinie selbst aus, können sie gar keinen Passkey mehr nutzen. Break-Glass-Konten sind in der Regel Global Admins, ihr Stichtag ist also der 1. Juli 2027. Hängt ein Notfallkonto heute an SMS, ist das ohnehin der falsche Faktor. Gib ihnen FIDO2-Schlüssel, lagere die sicher und dokumentiere den Zugang.

Was Microsoft gut macht und was nicht

Gut: Passkeys sind phishingresistent, SMS ist es nicht. Die Umstellung kostet für Passkeys nichts extra. Microsoft liefert ein Skript zur Bestandsaufnahme und Vorlagen für die Kommunikation.

Nicht gut:

• Der Zeitplan ist knapp. Tony Redmond nannte ihn schon im Juli „too aggressive“, weil viele Details nicht fertig waren.
• Gäste können heute keine Passkeys registrieren, sind aber am 1. Februar betroffen. Passkeys für B2B-Nutzer und interne Gäste sind „bis Ende 2026 geplant“. Geplant ist kein Versprechen.
• Das Default-Profil erlaubt Synced Passkeys. Bequemlichkeit schlägt hier Kontrolle.
• Wer SMS behalten muss, bekommt keine Preise, nur einen Verweis auf den Store.

Was bleibt

Weg von SMS ist richtig, und Passkeys sind der bessere Faktor. Die Technik ist dabei das kleinere Problem. Die Arbeit steckt in der Bestandsaufnahme, in den Nutzern ohne Smartphone, in SSPR und in der Kommunikation. Und die muss bis Anfang Januar stehen, wenn du Microsofts Empfehlung von vier Wochen Puffer ernst nimmst.

☕ Espresso-Moment: Der Stichtag kommt so oder so. Die Frage ist nur, ob deine Leute bis dahin einen Passkey haben oder ob dein Helpdesk das am 1. Februar live erlebt.

Das nimmst du mit

• Microsofts SMS und Anruf enden am 1. Februar 2027, für Global Admins und externe Nutzer am 1. Juli 2027. PIM-berechtigte Admins zählen zum Februar.
• Betroffen sind MFA und SSPR.
• Bestand aufnehmen mit dem Microsoft-Skript entra-sms-voice-usage-analyzer.
• Kampagne auf „Enabled“ stellen und Snoozes begrenzen.
• Passkey-Profile bewusst festlegen, Synced Passkeys nur mit Entscheidung.
• Für Nutzer ohne Smartphone FIDO2-Schlüssel, TOTP-Token oder Telecom-Provider einplanen.
• Break-Glass-Konten auf FIDO2-Schlüssel umstellen.
• Conditional-Access-Authentifizierungsstärken auf SMS prüfen.
• Fertig sein bis Anfang Januar 2027.

Message-Center-Meldung: MC1426371

Wie viele SMS-Nutzer hat deine Bestandsaufnahme gefunden? Schreib mir auf LinkedIn.