Microsoft warnt Entra-Kunden vor der Einstellung der SMS-Authentifizierung im Februar 2027

Microsoft Entra SMS- und Sprachanmeldung wird am 1. Februar 2027 eingestellt, da Microsoft beginnt, Kunden zu Passkeys und anderen Phishing-resistenten Anmeldemethoden zu bewegen.

Microsoft hat laut Neowin damit begonnen, betroffene Entra-ID-Organisationen per E-Mail über die bevorstehende Änderung zu informieren. Das Unternehmen hatte zuvor angekündigt, dass Entra ID SMS- und Sprach-MFA eingestellt werden würde, kontaktiert nun aber Kunden direkt, da die Migrationsfrist näher rückt.

Microsoft startet den Übergang im September

Der Migrationsprozess beginnt am 1. September 2026. Entra ID aktiviert automatisch die Passkey-Unterstützung für Benutzer, die derzeit auf SMS- oder Sprachanmeldung angewiesen sind.

Betroffene Benutzer sehen zudem Anmeldeaufforderungen, die sie zur Registrierung eines Passkeys ermutigen. Microsoft drängt zunehmend auf Passkeys, da Passwort- und Authentifizierungsangriffe immer ausgefeilter werden.

Benutzer, die bis zum 1. Februar 2027 noch keinen Passkey oder eine andere unterstützte Phishing-resistente Methode konfiguriert haben, werden bei der Anmeldung mit einer obligatorischen Registrierungssperre konfrontiert. Sie müssen eine akzeptierte Authentifizierungsmethode einrichten, um auf ihre Konten zugreifen zu können.

Microsoft sagt, SMS-Authentifizierung birgt Sicherheitsrisiken

Microsoft erklärt, dass Angreifer SMS-Authentifizierung zunehmend durch Methoden wie SIM-Swapping und Adversary-in-the-Middle-Phishing kompromittieren können.

Passkeys vermeiden temporäre Authentifizierungscodes und Passwörter, die Angreifer abfangen oder stehlen können.

Organisationen, die aus regulatorischen oder Compliance-Gründen weiterhin Telefonauthentifizierung verwenden müssen, haben eine weitere Option. Microsoft erlaubt ihnen, kundenverwaltete Telekommunikationsanbieter zu nutzen, die über den Microsoft Security Store verfügbar sind.

Die Preise der Anbieter werden am 18. September 2026 verfügbar, während Organisationen ab dem 30. Oktober mit der Konfiguration unterstützter Anbieter beginnen können.

Administratoren sollten betroffene Benutzer jetzt identifizieren

IT-Administratoren sollten ihre Richtlinie für Authentifizierungsmethoden überprüfen und Konten identifizieren, die vor Beginn der September-Migration noch auf SMS- oder Sprachanmeldung angewiesen sind.

Microsoft empfiehlt, diese Benutzer proaktiv auf Passkeys umzustellen. Organisationen können Passkeys über Microsoft Authenticator oder kompatible Hardware-Sicherheitsschlüssel konfigurieren.

Die Änderung ist nicht auf Unternehmenskunden beschränkt. Microsoft stellt auch die SMS-Authentifizierung für persönliche Microsoft-Konten ein.