Passkey-Pflicht: Microsoft schaltet SMS-MFA ab Februar 2027 ab
Veröffentlicht am: 16.07.2026 um 13:36 Uhr | Redaktion boerse-global.de
Microsoft und Google treiben die Umstellung auf passwortlose Authentifizierung massiv voran – und stellen Unternehmen vor große Herausforderungen.
Microsoft zieht den Stecker bei SMS und Voice
Ab dem 1. September 2026 wird der Passkey zur Standard-Authentifizierungsmethode für Microsofts Entra ID in der Public Cloud. Das gab der Konzern Mitte Juli bekannt. Noch deutlicher wird der Zeitplan für die Abschaltung alter Verfahren: Bereits zum 1. Februar 2027 stellt Microsoft die native Zustellung von Multi-Faktor-Authentifizierung (MFA)-Codes per SMS und Sprachanruf ein.
Nutzer, die bis dahin auf diese Methoden setzen, werden beim nächsten Login aufgefordert, einen Passkey zu registrieren. Ein Ausstieg aus der Umstellung ist nicht vorgesehen. Immerhin: Ab dem 30. Oktober 2026 können Administratoren über den Security Store von Microsoft auf Drittanbieter für SMS und Voice zurückgreifen.
Google erweitert den Passkey-Einsatz
Parallel dazu treibt Google die Entwicklung voran. Seit dem 13. Juli 2026 unterstützt der Google Credential Provider for Windows den Login mit FIDO2-Sicherheitsschlüsseln. Noch praktischer: Auch Passkeys, die auf einem nahegelegenen Bluetooth-fähigen Mobilgerät gespeichert sind, lassen sich für den Zugriff auf den Arbeitsplatzrechner nutzen.
Die technische Unterscheidung: Synchronisiert oder gerätegebunden?
Mit dem Umstieg auf Passkeys gewinnt die Unterscheidung zwischen synchronisierten und gerätegebundenen Anmeldedaten an Bedeutung. Bereits Anfang 2025 setzten 47 Prozent der Organisationen auf beide Varianten.
Zwei technische Indikatoren – Backup Eligibility (BE) und Backup State (BS) – geben Aufschluss über das Wiederherstellungsprofil eines Passkeys:
- Synchronisierte Passkeys (BE und BS auf 1): Sie sind in einem Plattformkonto wie iCloud oder einem Google-Konto gesichert und überleben den Verlust des physischen Geräts.
- Gerätegebundene Passkeys (BE und BS auf 0): Sie sind ausschließlich auf einem bestimmten Hardware-Element gespeichert. Bei Verlust oder Zerstörung des Geräts sind sie unwiederbringlich verloren.
Sicherheitsexperten empfehlen, diese Flags zusammen mit der Authenticator Attestation GUID (AAGUID) bereits bei der Registrierung zu speichern. So können Administratoren den Backup-Status bei jedem Authentifizierungsversuch prüfen und Nutzer identifizieren, die von einem dauerhaften Ausschluss bedroht sind.
Was genau hinter der Technologie steckt, die Passwörter für immer ablösen soll, und wie Sie diese bei Diensten wie Amazon oder Microsoft einrichten, erfahren Sie in diesem Ratgeber. Kostenlosen Passkey-Report jetzt herunterladen
Wiederherstellungsprotokolle: Zwei sind besser als einer
Der Wechsel zu Passkeys verändert das Verständnis von Wiederherstellung grundlegend. Es geht nicht mehr um das einfache Zurücksetzen eines Passworts, sondern um die Neu-Einrichtung eines Kontos.
Um einen Totalverlust zu verhindern, setzen Sicherheitsverantwortliche zunehmend auf eine Zwei-Passkey-Mindestanforderung. Die Registrierung eines zweiten Passkeys gilt derzeit als der phishing-resistenteste Wiederherstellungsweg.
Weitere etablierte Methoden sind:
- Physische Wiederherstellungscodes, die offline aufbewahrt werden
- Identitäts-Nachweis über administrative Kanäle
- Magic Links oder Einmal-Passwörter (OTP) als sekundäre Fallback-Lösung
Besonders streng wird es in Hochsicherheitsumgebungen: OpenAI verlangt ab dem 1. September 2026 in seinem Programm Trusted Access for Cyber hardwaregestützte Passkeys. Teilnehmer müssen physische YubiKeys nutzen, um auf die leistungsfähigsten Cybersicherheitsmodelle zuzugreifen. Hier steht die hardwaregebundene Sicherheit klar über der synchronisierten Bequemlichkeit.
Neue Bedrohungen zielen auf Registrierung und Wiederherstellung
Der Umstieg auf Passkeys lockt auch Kriminelle an. Eine als „Pink“ identifizierte Gruppe nutzt Vishing – also Sprach-Phishing – und gibt sich als Microsoft-Support aus. Die Angreifer rufen Mitarbeiter an und überreden sie, einen Passkey auf einer gefälschten Seite zu registrieren, die das Branding des eigenen Unternehmens imitiert.
Aktuelle Sicherheitsbeobachtungen zeigen zudem, dass Angreifer versuchen, sich durch Täuschung der Nutzer unbefugten Zugang zu Konten zu verschaffen. Sie bringen ihre Opfer dazu, nicht autorisierte Passkey-Registrierungen zu bestätigen. Rund jede fünfte proaktive Sicherheitsmeldung der letzten Monate stand im Zusammenhang mit Phishing-Domains, die den Begriff „passkey“ enthielten.
Angesichts von Millionen gehackten Konten pro Quartal ist der Wechsel zu modernen Methoden wie Passkeys für die eigene Sicherheit unumgänglich. Dieser kostenlose Guide zeigt Ihnen, wie Sie sich per Fingerabdruck oder Gesichtserkennung sicher und stressfrei anmelden. Sichern Sie sich hier den kostenlosen PDF-Ratgeber
Analysten empfehlen Unternehmen, Richtlinien zu implementieren, die phishing-resistente Faktoren nicht nur für den täglichen Login, sondern auch für die Registrierung neuer Wiederherstellungs-Anmeldedaten verlangen.
Milliarden Passkeys im Einsatz – doch der Wandel dauert
Die FIDO Alliance meldet für Mitte 2026 weltweit rund drei Milliarden Passkeys im Einsatz. Die Erfolgsquote bei der Anmeldung liegt bei beeindruckenden 93 Prozent. Trotz dieses Wachstums rechnen Experten damit, dass der vollständige Abschied von traditionellen Passwörtern noch mehrere Jahre in Anspruch nehmen wird.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
