Microsoft 365 & IT-Sicherheit
Microsoft verändert die Anmeldung an Microsoft 365 grundlegend. Passkeys werden künftig zur bevorzugten Authentifizierungsmethode, während die von Microsoft bereitgestellte Anmeldung per SMS oder Sprachanruf eingestellt wird. Für Unternehmen entsteht dadurch konkreter Handlungsbedarf.
Das Wichtigste vorab: Unternehmen sollten bereits jetzt prüfen, welche Benutzer noch SMS-Codes oder Telefonanrufe für die Mehr-Faktor-Authentifizierung verwenden. Ohne eine geplante Migration können Mitarbeitende später bei der Anmeldung an Microsoft 365, Outlook, Teams oder weiteren Cloud-Diensten blockiert werden.
Microsoft Entra ID unterstützt bereits heute verschiedene Verfahren zur Mehr-Faktor-Authentifizierung. Dazu gehören Freigaben über den Microsoft Authenticator, Einmalcodes, SMS-Nachrichten, Sprachanrufe, Windows Hello for Business, FIDO2-Sicherheitsschlüssel und Passkeys.
Künftig sollen Passkeys eine deutlich größere Rolle spielen. Microsoft begründet diesen Schritt vor allem mit der höheren Widerstandsfähigkeit gegenüber Phishing-Angriffen. SMS und Sprachanrufe gelten dagegen nicht mehr als ausreichend sichere Standardverfahren.
| Datum | Änderung | Bedeutung für Unternehmen |
|---|---|---|
| 1. September 2026 | Passkeys werden für betroffene Benutzer zum Standardverfahren. | Benutzer, die bisher SMS oder Sprachanrufe verwenden, können zur Einrichtung eines Passkeys aufgefordert werden. |
| 1. Februar 2027 | Microsoft stellt die eigene SMS- und Sprachzustellung ein. | Benutzer benötigen ein anderes Anmeldeverfahren oder einen extern bereitgestellten Telekommunikationsdienst. |
| Ab 1. Februar 2027 | Die Passkey-Registrierung kann verpflichtend werden. | Benutzer, deren einzige MFA-Methode SMS oder Sprache ist, können bei der Anmeldung blockiert werden. |
Wichtig: Die Microsoft-Authenticator-App wird nicht abgeschafft. Im Gegenteil: Der Authenticator ist eine der möglichen Plattformen für sichere, gerätegebundene Passkeys.
Ein Passkey ersetzt das klassische Kennwort durch ein kryptografisches Anmeldeverfahren.
Statt eines Passworts verwendet ein Passkey ein kryptografisches Schlüsselpaar. Ein Teil liegt beim jeweiligen Onlinedienst, der andere verbleibt sicher auf dem Gerät oder in einem geschützten Passkey-Speicher.
Der Benutzer bestätigt seine Identität beispielsweise mit Fingerabdruck, Gesichtserkennung oder einer Geräte-PIN. Das eigentliche Geheimnis wird nicht an Microsoft übertragen.
Bei einem klassischen Phishing-Angriff wird ein Benutzer auf eine gefälschte Microsoft-Anmeldeseite geleitet. Gibt er dort Benutzername, Kennwort und einen SMS-Code ein, können Angreifer diese Daten unmittelbar übernehmen.
Passkeys sind dagegen an den echten Dienst und die zugehörige Internetadresse gebunden. Eine gefälschte Webseite kann den Passkey für Microsoft 365 daher nicht einfach abfragen und weiterverwenden.
Das Verfahren schützt insbesondere besser gegen klassische Phishing-Seiten, weitergeleitete Anmeldungen und viele sogenannte Adversary-in-the-Middle-Angriffe.
Eine Anmeldung per SMS ist grundsätzlich besser als die alleinige Verwendung eines Kennworts. Sie ist jedoch nicht phishingresistent und bringt mehrere technische und organisatorische Risiken mit sich.
Benutzer können einen SMS-Code auf einer gefälschten Anmeldeseite eingeben. Moderne Angriffswerkzeuge leiten den Code in Echtzeit weiter.
Angreifer können versuchen, eine Mobilfunknummer auf eine andere SIM-Karte übertragen zu lassen.
Ohne Mobilfunkempfang oder bei Zustellproblemen kann sich der Benutzer nicht anmelden.
Nach Mitarbeiterwechseln bleiben private oder nicht mehr verwendete Telefonnummern teilweise im Benutzerkonto hinterlegt.
Professionelle Phishing-Plattformen können Kennwörter und MFA-Codes unmittelbar an Microsoft weiterleiten.
Wiederholte Push-Anfragen können Benutzer dazu bringen, eine Anmeldung versehentlich freizugeben.
Die von Microsoft eingeführte Nummernübereinstimmung reduziert das Risiko versehentlich bestätigter Push-Anfragen. Sie ersetzt jedoch keine durchgängige Strategie mit phishingresistenten Anmeldeverfahren.
Unternehmen müssen nicht für alle Mitarbeitenden dasselbe Verfahren einsetzen.
Passkeys können auf unterstützten iOS- und Android-Geräten im Microsoft Authenticator gespeichert werden.
Microsoft nennt dafür derzeit iOS 17 oder neuer beziehungsweise Android 14 oder neuer als Voraussetzung.
Die Anmeldung wird über Face ID, Fingerabdruck oder Geräte-PIN bestätigt. Der Passkey bleibt an das jeweilige Gerät gebunden.
Auf verwalteten Windows-Arbeitsplätzen ist Windows Hello for Business häufig die sinnvollste Lösung.
Mitarbeitende melden sich mit PIN, Fingerabdruck oder Gesichtserkennung an. Die Anmeldeinformationen sind an das Gerät und dessen Sicherheitsfunktionen gebunden.
Besonders geeignet ist das Verfahren für Umgebungen mit Microsoft Intune, Microsoft Entra Join oder hybridem Active Directory.
Physische FIDO2-Sicherheitsschlüssel werden beispielsweise per USB oder NFC verwendet.
Sie eignen sich besonders für Administratoren, Führungskräfte, Mitarbeitende mit erhöhtem Schutzbedarf oder Arbeitsplätze ohne zulässiges Smartphone.
Unternehmen benötigen dafür geregelte Prozesse für Ersatzschlüssel, Verlustfälle und sichere Aufbewahrung.
Synchronisierte Passkeys werden verschlüsselt bei einem Passkey-Anbieter gespeichert und auf mehrere Geräte übertragen.
Das erleichtert einen Gerätewechsel. Unternehmen sollten jedoch festlegen, welche Anbieter zugelassen werden und ob diese Variante auch für privilegierte Konten verwendet werden darf.
Betroffen sind Organisationen, die Microsoft Entra ID verwenden und bei denen Benutzer noch per SMS oder Sprachanruf authentifiziert werden. Das betrifft viele Microsoft-365-Umgebungen, in denen MFA in den vergangenen Jahren schrittweise eingeführt wurde.
Auch Unternehmen, die bereits den Microsoft Authenticator verwenden, sollten ihre Umgebung kontrollieren. Häufig sind SMS und Sprache weiterhin als Ausweichmethode zugelassen oder bei einzelnen Benutzerkonten registriert.
Zunächst sollte geprüft werden, welche Benutzer noch SMS oder Sprachanrufe verwenden.
Relevant ist nicht nur, welche Methoden im Mandanten erlaubt sind, sondern welche Verfahren bei den einzelnen Benutzern tatsächlich registriert wurden.
Für reguläre Büroarbeitsplätze kann Windows Hello for Business geeignet sein. Mobile Mitarbeitende können Passkeys im Microsoft Authenticator verwenden.
Administratoren und besonders schützenswerte Benutzer sollten gegebenenfalls FIDO2-Sicherheitsschlüssel erhalten.
Die Einführung sollte zunächst mit einer kleinen, technisch unterschiedlichen Benutzergruppe getestet werden.
Dazu gehören idealerweise Windows-, Android- und iOS-Nutzer sowie Mitarbeitende, die regelmäßig außerhalb des Unternehmens arbeiten.
Ein Passkey-Konzept muss auch funktionieren, wenn ein Smartphone verloren geht, ein Notebook ausfällt oder ein Sicherheitsschlüssel beschädigt wird.
Benutzer sollten möglichst mehr als eine zulässige Authentifizierungsmethode besitzen.
Mitarbeitende sollten vor der technischen Umstellung erfahren, warum sich die Anmeldung verändert und welche Schritte erforderlich sind.
Biometrische Daten wie Fingerabdrücke oder Gesichtsinformationen verbleiben grundsätzlich auf dem jeweiligen Gerät.
Nach einem erfolgreichen Pilotbetrieb können die Richtlinien schrittweise auf weitere Benutzergruppen ausgeweitet werden.
SMS sollte nicht kurzfristig für alle Benutzer abgeschaltet werden, solange noch keine funktionierende Alternative eingerichtet ist.
In vielen kleinen und mittelständischen Unternehmen verwenden Mitarbeitende private Smartphones für die Microsoft-365-Anmeldung. Bei der Einführung von Passkeys entstehen dadurch organisatorische Fragen.
Kein Mitarbeiter sollte faktisch gezwungen sein, ein ungeeignetes privates Gerät als einzige geschäftliche Anmeldemethode zu verwenden.
Unternehmen sollten deshalb mindestens eine praktikable Alternative anbieten, beispielsweise Windows Hello for Business oder einen FIDO2-Sicherheitsschlüssel.
Passkeys erhöhen die Sicherheit der Anmeldung erheblich. Sie verhindern jedoch nicht automatisch jede Form der Kontokompittierung.
Passkeys sind ein wichtiger Sicherheitsbaustein. Sie ersetzen jedoch weder sichere Endgeräte noch Monitoring, Backup und klare Administrationsprozesse.
Nein. Der Microsoft Authenticator bleibt eine unterstützte Authentifizierungsmethode und kann Passkeys für Microsoft-Entra-Konten speichern. Eingestellt wird die von Microsoft bereitgestellte Zustellung von MFA-Codes per SMS und Sprachanruf.
Ab dem 1. September 2026 werden Passkeys für Benutzer, die bisher SMS oder Sprachanrufe verwenden, schrittweise zum Standardverfahren. Ab dem 1. Februar 2027 stellt Microsoft die eigene SMS- und Sprachzustellung ein.
Für besondere geschäftliche, technische oder regulatorische Anforderungen können externe, vom Unternehmen verwaltete Telekommunikationsanbieter genutzt werden. Für die meisten Unternehmen ist der Wechsel zu phishingresistenten Verfahren jedoch die sinnvollere Lösung.
Nein. Passkeys können auch über Windows Hello for Business oder einen physischen FIDO2-Sicherheitsschlüssel bereitgestellt werden.
Ja. Passkeys verwenden kryptografische Schlüssel und sind an den echten Onlinedienst gebunden. Dadurch sind sie deutlich widerstandsfähiger gegen klassische Phishing-Angriffe und die Weiterleitung gestohlener Anmeldedaten.
Der betroffene Passkey sollte aus dem Benutzerkonto entfernt und auf einem neuen Gerät registriert werden. Dafür benötigt das Unternehmen einen dokumentierten Wiederherstellungsprozess und möglichst eine zusätzliche Anmeldemethode.
Eine sofortige vollständige Umstellung ist nicht erforderlich. Unternehmen sollten aber jetzt mit Bestandsaufnahme, Planung und Pilotbetrieb beginnen.
Die Abkehr von SMS und Sprachanrufen ist ein konsequenter Schritt hin zu sichereren Microsoft-365-Anmeldungen. Passkeys können den Schutz vor Phishing deutlich verbessern und zugleich die Anmeldung für Benutzer vereinfachen.
Für Unternehmen entsteht dennoch konkreter Handlungsbedarf. Vor allem bestehende Authentifizierungsmethoden, private Smartphones, ältere Geräte, Administratorkonten und Wiederherstellungsprozesse müssen geprüft werden.
Wer erst im Februar 2027 reagiert, riskiert unnötige Arbeitsausfälle und einen hohen Supportaufwand. Sinnvoll ist deshalb eine strukturierte Einführung mit Bestandsaufnahme, Pilotgruppe, klaren Richtlinien und frühzeitiger Benutzerkommunikation.
SCHEIRO IT-Service unterstützt kleine und mittelständische Unternehmen bei der Prüfung und Absicherung ihrer Microsoft-365- und Microsoft-Entra-Umgebung.
Gemeinsam ermitteln wir, welche Benutzer noch unsichere oder künftig nicht mehr verfügbare Anmeldeverfahren einsetzen, und entwickeln eine passende Migrationsstrategie.
Dazu gehören unter anderem Passkeys, Windows Hello for Business, FIDO2-Sicherheitsschlüssel, bedingter Zugriff und geregelte Wiederherstellungsverfahren.
Vielen Dank, dass Sie unseren Blog gelesen haben! Möchten Sie regelmäßig über die neuesten IT-Trends und -Entwicklungen informiert werden? Dann abonnieren Sie unseren kostenlosen Newsletter und erhalten Sie exklusive Einblicke in die Welt der IT sowie Expertenmeinungen und praxisnahe Tipps und Tricks.
Unser Newsletter ist unverbindlich und jederzeit kündbar. Melden Sie sich jetzt an und bleiben Sie immer auf dem Laufenden!
Wir freuen uns, Sie in unserem Verteiler zu haben!
