Passkeys werden Standard in Entra ID: Zeitplan, Risiken, To-dos

17.7.2026 · 3 Min. Lesezeit

Ab 1.9.2026 setzt Entra ID standardmäßig auf Passkeys. Am 1.2.2027 endet die Microsoft‑eigene SMS/Voice‑Zustellung. Hier erfährst du, was sich ändert und wie du sauber migrierst.

Was sich ändert

Microsoft stellt die Standard-Authentifizierung in Microsoft Entra ID auf Passkeys um. Der Rollout beginnt am 1. September 2026 und wird schrittweise auf Mandanten ausgerollt. Nutzer, die bislang SMS oder Telefonanrufe für MFA verwenden, werden beim nächsten MFA-Vorgang zur Passkey-Registrierung aufgefordert.

Am 1. Februar 2027 beendet Microsoft die eigene Telekommunikationszustellung für SMS und Sprachanrufe; diese Kanäle sind dann nicht mehr nativ in Entra ID verfügbar. Wenn du weiterhin SMS/Voice brauchst, kannst du ab dem 30. Oktober 2026 im Microsoft Security Store einen unterstützten Telekommunikationsanbieter auswählen und konfigurieren. Preise, Geschäftsbedingungen und die Liste der unterstützten Provider sollen am 18. September 2026 veröffentlicht werden.

Die Termine gelten zunächst für Microsoft Entra ID in der Public Cloud; weitere Umgebungen folgen mit eigenen Zeitplänen.

Hintergrund: Passkeys basieren auf asymmetrischer Kryptografie und gelten als phishing‑resistent. Gleichzeitig nehmen KI‑gestützte Phishing‑Kampagnen zu und erreichen deutlich höhere Klickraten als traditionelle Kampagnen, was phishbare Faktoren wie SMS/Voice angreifbarer macht.

Wo sich Betrieb und Kosten verschieben

• Risikoabbau: Standardmäßig werden phishbare Methoden zurückgedrängt. Das senkt Risiken durch SIM‑Swap, MFA‑Fatigue und abgefangene SMS/Voice.
• Kostenmodell: Für verbleibende SMS/Voice‑Fälle fallen künftig Gebühren der gewählten Carrier an. Microsoft stellt diese Kanäle nicht mehr nativ bereit.
• Nutzerfluss: Passkeys beschleunigen Anmeldungen, wenn Geräte und Plattformen Passkeys unterstützen.
• Compliance: Regulatorische Anforderungen mit SMS/Voice musst du neu bewerten und ggf. über Partner‑Carrier abbilden. Die festen Enddaten erfordern klare Übergangsregeln.
• Harte Umstellung: Ab dem 1. Februar 2027 müssen Nutzer, die noch SMS/Voice verwenden, vor der Anmeldung einen Passkey registrieren; es gibt keine Opt‑out‑Option.

Welche Passkey-Varianten Entra ID unterstützt

• Synchronisierte Passkeys (plattform-/konto­gebunden, z. B. Credential Manager der Plattform)
• Gerätegebundene Passkeys, u. a.:
  • Microsoft Authenticator
  • Entra‑Passkey auf Windows
  • FIDO2‑Security‑Keys

Checkliste: So bereitest du die Migration vor

1. Bestandsaufnahme der Methoden

• Ermittle tenantweit, welche Benutzer/Gruppen SMS oder Voice nutzen.

2. Passkey-Architektur festlegen

• Definiere je Zielgruppe geeignete Varianten: synchronisierte Passkeys (für persönliche Geräte) vs. gerätegebundene Passkeys wie FIDO2‑Keys (für gemeinsam genutzte oder hochregulierte Geräte).

3. Pilot und Registrierungskampagne

• Aktiviere Passkeys in Richtlinien und nutze Registrierungsprompts während MFA‑Anmeldungen, um Adoption systematisch zu erhöhen.

4. Kommunikation und Support

• Informiere Nutzer frühzeitig über Änderungen, Termine und Self‑Service‑Anleitungen. Erstelle Helpdesk‑Playbooks für Recovery ohne phishbare Faktoren.

5. Conditional Access und Ausnahmen

• Bevorzuge phishing‑resistente Methoden, minimiere Übergangs‑Ausnahmen und definiere klar begrenzte Gruppen für Sonderfälle.

6. Falls SMS/Voice weiterhin nötig sind

• Identifiziere regulierte/technische Segmente.
• Prüfe ab 18.9.2026 verfügbare Carrier‑Optionen und beauftrage ab 30.10.2026 über den Security Store.
• Führe einen Carrier‑Pilot durch und dokumentiere Zustellqualität und Kosten.

7. Fristen absichern

• Bis 1.9.2026: Richtlinien für Passkeys vorbereiten, Nutzerkommunikation starten.
• Bis 1.2.2027: Carrier‑Konfiguration (falls benötigt) produktiv nehmen; sicherstellen, dass alle Nutzer eine phishing‑resistente Methode besitzen.
• Betriebsaspekte
  • Geräte- und Browser-Kompatibilität: Prüfe OS-Versionen und Plattform‑Credential‑Manager auf Passkey‑Support.
  • Notfallkonten: Lege mindestens zwei Break‑Glass‑Konten mit starkem Schutz fest und teste regelmäßig.
  • Geräteszenarien: Entscheide, wo gerätegebundene (gemeinsam genutzte Geräte, Hochsicherheitsbereiche) vs. synchronisierte Passkeys (persönliche Geräte) sinnvoll sind.

Wann sich der Einsatz besonders lohnt

• Hohe Phishing-Exposition (z. B. große Frontline‑Belegschaften, externe Nutzer)
• Strenge Compliance‑Vorgaben zur MFA‑Stärke
• Geplante Reduktion von Helpdesk‑Tickets durch Passwort-/MFA‑Probleme

Meine Einschätzung

Die Ablösung phishbarer Faktoren ist überfällig und angesichts der wachsenden, KI‑getriebenen Angriffe sinnvoll. Die klaren Meilensteine schaffen Planungssicherheit. Priorisiere eine breite Registrierungskampagne, robuste Recovery‑Wege und begrenze SMS/Voice auf eng definierte Ausnahmen über den Security Store.