Microsoft Entra-ID: Passkeys ersetzen SMS ab September

Der Technologiekonzern Microsoft zieht einen Schlussstrich unter die Ära der SMS-basierten Sicherheitsabfragen. Die Entra-ID-Plattform (ehemals Azure Active Directory) stellt ab September auf Passkeys als Standard-Login-Verfahren um. Bis Februar 2027 werden die hauseigenen SMS- und Sprachauthentifizierungsdienste komplett eingestellt.

Angriffswelle erzwingt Umdenken

Der Schritt kommt nicht überraschend. Klassische Zwei-Faktor-Authentifizierung per SMS gilt längst als Sicherheitsrisiko. KI-gesteuerte Phishing-Kampagnen erreichen heute Klickraten von bis zu 54 Prozent – ein Alarmsignal für Unternehmen weltweit.

Besonders deutlich wurde die Verwundbarkeit am 22. Juli 2026: Internationale Ermittlungsbehörden zerschlugen das Kratos-Phishing-Kit, das seit 2024 monatlich rund 15.000 Angriffskampagnen ermöglicht hatte. Mehr als 200 Server wurden vom Netz genommen, die Microsoft-365-Sitzungscookies gestohlen hatten. Hunderttausende Nutzer fielen dem Kit zum Opfer.

Passkeys setzen genau hier an. Statt eines Codes, der abgefangen werden kann, kommt ein kryptografisches Schlüsselpaar zum Einsatz. Der private Schlüssel verlässt das Gerät des Nutzers nie – ein entscheidender Vorteil gegenüber SMS oder Passwörtern.

Angesichts der massiven Zunahme von Phishing-Angriffen in Deutschland ist der Wechsel zu modernen Sicherheitsverfahren wichtiger denn je. Dieser kostenlose Report zeigt Ihnen, wie Sie Passkeys bei Amazon, Microsoft und WhatsApp sofort einrichten und nutzen können. Was hinter der neuen Passkey-Technologie steckt – jetzt gratis lesen

Der Zeitplan für Unternehmen

Microsoft hat einen klaren Fahrplan vorgegeben:

• 1. September 2026: Automatische Aktivierung von Passkeys für alle Nutzer, die bisher SMS oder Sprachanrufe nutzen
• 1. Februar 2027: Endgültige Abschaltung der Microsoft-eigenen SMS- und Sprachdienste

Unternehmen, die weiterhin auf Telefon-basierte Authentifizierung setzen möchten, müssen auf Drittanbieter-Lösungen aus dem Security Store umsteigen. Microsoft stellt PowerShell-Skripte bereit, mit denen Administratoren betroffene Nutzer identifizieren können.

Branche zieht mit

Die Entwicklung ist kein Einzelfall. Die FIDO-Allianz meldete im Mai 2026 rund fünf Milliarden Passkeys weltweit im Einsatz – 75 Prozent der Verbraucher haben die Technologie bereits auf mindestens einem Konto aktiviert.

Erst am 21. Juli brachte Yubico mit dem YubiKey 5.8 ein neues Hardware-Token auf den Markt. Es unterstützt den CTAP-2.3-Standard und erweitert Passkeys um digitale Signaturen sowie KI-gesteuerte Workflow-Freigaben. Google wiederum integrierte Passkey-Unterstützung in Android TV – die Authentifizierung erfolgt künftig per Smartphone.

Wer Online-Konten nutzt, setzt sich laut Experten bei der Verwendung herkömmlicher Passwörter einem unnötigen Risiko aus. Mit der Anmeldung per Fingerabdruck oder Gesichtserkennung beseitigen Sie diese Sicherheitslücken und genießen einen stressfreien Login. Nie wieder Passwörter merken: Hier kostenlosen Ratgeber sichern

Fallstricke bei der Umsetzung

So sicher Passkeys sind – die Umstellung will gut geplant sein. Synchronisierte Passkeys, etwa über iCloud Keychain oder Google Password Manager, lassen sich auf neue Geräte übertragen. Anders sieht es bei gerätegebundenen Passkeys aus: Hier muss jedes Hardware-Token einzeln registriert werden.

Sicherheitsexperten raten Unternehmen dringend, Backup-Wiederherstellungscodes bereitzuhalten oder Zweit-Passkeys zu registrieren. Sonst droht der Ausschluss vom eigenen Konto – etwa bei Verlust des Smartphones oder YubiKeys.

de | wissenschaft | 69836125 |