Passkeys als neue Standardmethode in Microsoft Entra ID

Microsoft treibt die Einführung phishing-resistenter Authentifizierung konsequent voran. Mit einer aktuellen Ankündigung stellt der Hersteller die bereitgestellten SMS- und Sprachanrufdienste für die Multi-Faktor-Authentifizierung (MFA) in Microsoft Entra ID schrittweise ein. Passkeys rücken damit als bevorzugte Authentifizierungsmethode in den Mittelpunkt.

Für Unternehmen entsteht daraus mehr als eine technische Migrationsaufgabe. Die Umstellung ist ein guter Anlass, eine moderne Passkey-Infrastruktur zu begründen und gleichzeitig ein belastbares Benutzer-Onboarding aufzubauen. Denn eine sichere Authentifizierungslösung ist nur dann wirksam, wenn Mitarbeiter*innen sie registrieren, verstehen und im Arbeitsalltag zuverlässig nutzen können.

Warum Microsoft SMS und Sprachanrufe ablöst

SMS-basierte MFA war lange eine deutliche Verbesserung gegenüber der reinen Kennwortanmeldung. Die Bedrohungslage hat sich jedoch weiterentwickelt. Phishing, SIM Swapping und Social Engineering zeigen, dass SMS und Sprachanrufe den heutigen Sicherheitsanforderungen nicht mehr genügen.

Microsoft verfolgt deshalb das Ziel, Unternehmen auf moderne, phishing-resistente Authentifizierungsmethoden umzustellen. Passkeys nutzen kryptografische Schlüssel statt geteilter Geheimnisse und schützen dadurch deutlich besser vor Identitätsdiebstahl und manipulierten Anmeldevorgängen.

Welche Authentifizierungsmethoden empfiehlt Microsoft?

Microsoft empfiehlt insbesondere:

• Passkeys auf Windows, iOS und Android Geräten
• Windows Hello for Business
• FIDO2-Sicherheitsschlüssel
• Weitere passwortlose und phishing-resistente Authentifizierungsmethoden in Microsoft Entra ID

Diese Verfahren reduzieren das Risiko erfolgreicher Phishing-Angriffe und machen Unternehmen unabhängiger von Mobilfunknetzen.

Was bedeutet das für Unternehmen?

Die Ankündigung betrifft nahezu jede Organisation, die Microsoft Entra ID für die Authentifizierung nutzt. Besonders relevant ist sie für Unternehmen mit vielen Benutzer*innen, externen Identitäten, gemeinsam genutzten Geräten oder Kundenportalen. Unternehmen können die Umstellung nutzen, um nicht nur einzelne Authentifizierungsmethoden zu ersetzen, sondern ihre Identitätsinfrastruktur strategisch weiterzuentwickeln.

Dabei sollten zwei Vorhaben parallel geplant werden:

• Eine technisch tragfähige Passkey-Infrastruktur
• Ein explizites Benutzer-Onboarding mit ausreichender Fehlertoleranz und Support-Kapazität

Daraus ergeben sich folgende Schritte:

Betroffene Benutzer*innen identifizieren

Prüfen Sie zunächst, welche Benutzer*innen aktuell SMS oder Sprachanrufe für MFA verwenden. Microsoft stellt hierfür entsprechende Auswertungsmöglichkeiten bereit.

Zusätzlich sollten Sie folgende Gruppen berücksichtigen:

• Externe Benutzer*innen und Partner
• Mitarbeiter*innen ohne kompatible Endgeräte
• Benutzer*innen mit gemeinsam genutzten Arbeitsplätzen
• Dienstleister und temporäre Zugänge
• Konten mit besonderen regulatorischen oder betrieblichen Anforderungen

Eine belastbare Bestandsaufnahme bildet die Grundlage für die Budgetplanung, die Pilotierung und die spätere Erfolgskontrolle.

Passkey-Strategie entwickeln

Definieren Sie frühzeitig:

• Welche Passkey-Technologien eingesetzt werden
• Welche Geräteplattformen unterstützt werden
• Ob FIDO2-Sicherheitsschlüssel für bestimmte Gruppen erforderlich sind
• Welche Benutzergruppen zuerst migriert werden
• Wie die Registrierung technisch und organisatorisch abläuft
• Welche Fallback-Verfahren zulässig sind
• Welche Anforderungen an Helpdesk, Identitätsprüfung und Wiederherstellung bestehen

Aus dieser Analyse lassen sich konkrete Maßnahmen ableiten. Dazu gehören beispielsweise kompatible Hardware, FIDO2-Sicherheitsschlüssel, Konfigurationsleistungen, Testumgebungen, Kommunikationsmaterialien und zusätzliche Support-Kapazitäten.

Ein Pilotprogramm hilft, diese Anforderungen unter realen Bedingungen zu prüfen. Starten Sie mit einer repräsentativen Gruppe aus IT, Fachbereichen, externen Benutzer*innen und Personen mit unterschiedlichen Geräteplattformen. So werden technische Einschränkungen und Verständnisprobleme sichtbar, bevor die Umstellung breiter ausgerollt wird.

Benutzer-Onboarding als eigenes Programm aufsetzen

Die technische Aktivierung allein reicht nicht aus. Entscheidend ist, ob Benutzer*innen den neuen Anmeldeprozess akzeptieren und sicher beherrschen.

Ein wirksames Onboarding-Programm sollte deshalb mindestens folgende Elemente enthalten:

Verständliche Kommunikation

Erklären Sie frühzeitig:

• Warum SMS und Sprachanrufe abgelöst werden
• Welche Vorteile Passkeys im Arbeitsalltag bieten
• Was sich bei der Anmeldung konkret ändert
• Welche Schritte die Benutzer*innen durchführen müssen
• An wen sie sich bei Problemen wenden können

Die Kommunikation sollte zielgruppengerecht erfolgen, beispielsweise per E-Mail, Teams, Intranet und kurzen Anleitungen direkt im Anmeldeprozess.

Microsoft empfiehlt außerdem einen gestaffelten Kommunikationsansatz:

• Bewusstsein schaffen
• Vorteile erklären
• Schritt für Schritt anleiten
• An ausstehende Registrierungen erinnern

Die Ansprache sollte dabei auf die jeweils betroffene Benutzergruppe zugeschnitten sein. Eine allgemeine Information an das gesamte Unternehmen reicht häufig nicht aus. Wirksamer ist eine segmentierte Kommunikation, die sich an den tatsächlich betroffenen SMS- und Sprachanruf-Benutzer*innen orientiert.

Geführte Registrierung

Planen Sie registrierte Zeitfenster, digitale Sprechstunden oder betreute Einrichtungstermine ein. Besonders bei sicherheitskritischen Rollen und Benutzer*innen ohne kompatible Endgeräte ist persönliche Unterstützung sinnvoll.

Fehlertolerante Abläufe

Nicht jede Registrierung wird beim ersten Versuch erfolgreich sein. Berücksichtigen Sie deshalb:

• Wiederholbare Registrierungsprozesse
• Klare Hinweise bei Fehlermeldungen
• Mehrere zulässige Authentifizierungsoptionen
• Geregelte Wiederherstellungsprozesse
• Eine zeitlich begrenzte, kontrollierte Übergangslösung
• Testmöglichkeiten ohne Risiko für den produktiven Zugriff

Fehlertoleranz bedeutet dabei nicht, Sicherheitsanforderungen abzusenken. Sie sorgt dafür, dass Bedienfehler nicht unmittelbar zu Frustration, Umgehungslösungen oder Arbeitsunterbrechungen führen.

Ausreichende Support-Kapazität

Erhöhen Sie rund um Pilotierung und Rollout die Kapazitäten im IT-Support. Legen Sie vorab fest, wie Anfragen priorisiert werden und wie sich Benutzer*innen bei verlorenen Geräten, defekten Sicherheitsschlüsseln oder fehlgeschlagenen Registrierungen verifizieren.

Erfolgskriterien sollten messbar sein, zum Beispiel:

• Anteil erfolgreich registrierter Benutzer*innen
• Anzahl offener Registrierungen
• Abbruchquote während der Einrichtung
• Zahl der Support Anfragen
• durchschnittliche Lösungszeit
• Anteil der Anmeldungen ohne Fallback-Verfahren

So wird sichtbar, ob die Umstellung nicht nur technisch aktiviert, sondern im Unternehmen tatsächlich angenommen wird.

Sonderfälle bewerten

Einige Unternehmen benötigen aufgrund regulatorischer oder betrieblicher Anforderungen weiterhin SMS-basierte Authentifizierungswege. Für diese Szenarien kündigt Microsoft die Möglichkeit an, eigene Telekommunikationsanbieter über den Microsoft Security Store einzubinden. Weitere Informationen hierzu sollen ab September 2026 verfügbar werden.

Diese Option sollte jedoch nicht als Ersatz für eine Passkey-Strategie verstanden werden. Prüfen Sie zunächst, ob die betroffenen Benutzer*innen auf eine phishing-resistente Methode umgestellt werden können. Für unvermeidbare Sonderfälle sollten Sie dokumentieren, warum ein alternatives Verfahren erforderlich ist und wie die damit verbundenen Risiken reduziert werden.

Fazit

Die Abkündigung von SMS und Sprachanrufen für MFA markiert einen wichtigen Schritt auf dem Weg zu einer passwortlosen und phishing-resistenten Identitätsstrategie. Unternehmen sollten die Übergangszeit nutzen, um ihre Passkey-Infrastruktur zu planen, ein repräsentatives Pilotprogramm aufzusetzen und die betroffenen Benutzer*innen systematisch zu onboarden.

Sicherheitstechnologien schaffen nur dann den erwarteten Nutzen, wenn die Einführung im Alltag funktioniert. Fehlertolerante Registrierungsprozesse, klare Kommunikation und ausreichende Support-Kapazitäten sind deshalb ebenso wichtig wie die technische Auswahl der passenden Authentifizierungsmethoden.

Wer heute mit der Planung beginnt, vermeidet Anmeldeunterbrechungen ab Februar 2027 und verbessert gleichzeitig das Sicherheitsniveau der gesamten Identitätsinfrastruktur.