Microsoft beendet die Anmeldebestätigung per SMS und Anruf, die es bisher selbst für Microsoft Entra ID und damit für Microsoft 365 bereitstellt. Ab dem 1. Februar 2027 gilt das für alle Nutzer außer globalen Administratoren und externen Nutzern, ab dem 1. Juli 2027 auch für diese. Wer dann nur noch eine Telefonnummer als zweiten Faktor hinterlegt und keinen eigenen Telefonieanbieter eingebunden hat, muss bei der Anmeldung einen Passkey einrichten – die Aufforderung lässt sich nicht mehr überspringen. In einer Folgemeldung vom 5. November weist Microsoft zudem darauf hin, dass solche Nutzer in Anmeldeumgebungen ohne Passkey-Unterstützung gesperrt werden können.
Der Zeitplan
- 13. Juli 2026Microsoft kündigt im Message Center (MC1426371) „Passkeys als Standard“ und das Ende der eigenen SMS- und Sprachanmeldung an; am 15. September folgt eine überarbeitete Fassung mit dem heutigen Zeitplan.
- 1. September 2026Nutzer mit SMS oder Anruf werden automatisch auch für Passkeys freigeschaltet; Microsoft fordert sie bei der Anmeldung zur Einrichtung auf, die Aufforderung lässt sich noch verschieben. Die automatische Freischaltung lässt sich bis zum 1. Februar 2027 vorübergehend aussetzen.
- 30. Oktober 2026Kostenpflichtige SMS- und Sprachanbieter lassen sich über den Microsoft Security Store anbinden, zunächst in einer geschlossenen Vorschau.
- 5. November 2026Folgemeldung MC1540327: Die Termine sind gestaffelte Starttermine; in Anmeldeumgebungen ohne Passkey-Unterstützung, etwa eingebetteten Browsern, können Nutzer mit ausschließlich SMS oder Anruf gesperrt werden.
- 1. Februar 2027Ende der Microsoft-SMS- und -Sprachanmeldung für alle Nutzer außer aktiven globalen Administratoren und externen Nutzern; interne Gäste sind eingeschlossen.
- 1. Juli 2027Ende auch für aktive globale Administratoren und externe Nutzer. Wer die Rolle über PIM nur beantragen kann, zählt schon ab 1. Februar als normaler Nutzer.
Was sich genau ändert
| Bereich | Ab dem Stichtag |
|---|---|
| Mehrfaktor-Anmeldung per SMS oder Anruf von Microsoft | Entfällt; Nutzer ohne anderen Faktor müssen einen Passkey einrichten |
| Passwort zurücksetzen per SMS (SSPR) | Entfällt ebenfalls |
| Alte MFA-Einstellungen pro Benutzer | Betroffen |
| Codes aus der Authenticator-App (TOTP) | Bleiben möglich, gelten aber nicht als phishing-resistent |
| Passkeys im Microsoft Authenticator, synchronisierte Passkeys, FIDO2-Schlüssel sowie Windows Hello for Business | Empfohlener Ersatz; in Entra ID ohne Zusatzlizenz nutzbar, FIDO2-Hardwareschlüssel kosten Geld |
| SMS über einen kostenpflichtigen Drittanbieter | Möglich über den Microsoft Security Store, wenn SMS zwingend gebraucht wird |
| Externe MFA-Verfahren, Azure AD B2C | Nicht betroffen; externe MFA nur, wenn die Nutzer nicht zusätzlich für SMS freigeschaltet sind |
| Mandanten mit Entra External ID | Folgen später mit eigener Ankündigung |
Microsoft begründet den Schritt mit der Sicherheit: SMS-Codes lassen sich abfangen, über gefälschte Anmeldeseiten abgreifen oder per SIM-Tausch umleiten. Passkeys sind dagegen an das Gerät und an die echte Anmeldeseite gebunden und funktionieren auf einer gefälschten Seite nicht.
Was Administratoren jetzt tun sollten
Microsoft rät, nicht bis zum Stichtag zu warten. Wer SMS weiter braucht, sollte den Telefonieanbieter laut Microsoft mindestens vier Wochen vor dem 1. Februar 2027 eingerichtet haben.
- Betroffene Nutzer ermitteln. Microsofts Skript entra-sms-voice-usage-analyzer zeigt, welche Gruppen und Nutzer für SMS und Anruf freigeschaltet sind; es braucht die Rolle Globaler Leser, Sicherheitsleser oder Authentifizierungsrichtlinienadministrator. Wer tatsächlich nur eine Telefonnummer hinterlegt hat, zeigt der Bericht zu den Registrierungsdetails im Entra Admin Center.
- Passkeys freischalten. In der Richtlinie für Authentifizierungsmethoden Passkeys (FIDO2) aktivieren und die Gruppe der SMS-Nutzer einschließen. Für Arbeitsplätze mit Windows Hello for Business ist der Passkey oft schon vorhanden.
- Registrierungskampagne starten. Seit dem 1. September läuft die Kampagne für SMS-Nutzer bereits automatisch. Unter Entra ID › Authentifizierungsmethoden › Registrierungskampagne lässt sie sich gezielt auf die Gruppe der SMS-Nutzer ausrichten; dafür ist die Rolle Authentifizierungsrichtlinienadministrator nötig.
- Anwendungen und Geräte prüfen. Nach der Meldung vom 5. November klären, welche Programme, Browser und eingebetteten Anmeldefenster Passkeys nicht unterstützen. Nutzer, die solche Programme brauchen, benötigen eine Alternative wie Authenticator-Push. Microsoft schreibt: Nur den Authenticator zu installieren, reicht nicht.
- Nutzer informieren und den Helpdesk vorbereiten. Ankündigung, Anleitung, Erinnerung – Microsoft stellt Vorlagen bereit. Der Helpdesk sollte wissen, wie ein verlorener Passkey ersetzt wird, ohne dass eine Rückfrage per Telefon zum Einfallstor wird.
- Aufräumen. Sobald alle Nutzer einen Ersatz haben, SMS und Anruf aus den Richtlinien entfernen. Globale Administratoren bis spätestens 1. Juli 2027 auf ein phishing-resistentes Verfahren umstellen – besser sofort.
Weitere Änderungen in Microsoft 365 im November
- Copilot Chat: Für Nutzer ohne Copilot-Lizenz gelten Nutzungsgrenzen, in Mandanten mit bis zu 2.000 Lizenzplätzen seit dem 2. November, in größeren seit dem 9. November. Die Grenzen veröffentlicht Microsoft nicht; Administratoren können sie weder einsehen noch ändern.
- Copilot-Abrechnung nach Nutzung: Die standardmäßig aktive Abrechnung nach Nutzung für neue Käufe von Microsoft 365 Copilot Business über Partner startet erst im ersten Quartal 2027 statt am 1. Dezember und gilt dann auch in Deutschland; das Standard-Ausgabenlimit liegt bei 4.000 Copilot-Credits je Nutzer und Monat und lässt sich anpassen.
- Agenten in Entra ID: Seit dem 4. November (Verteilung bis Ende November) dürfen Nutzer ohne Entra-Rolle standardmäßig sogenannte Agent-Blueprints anlegen. Wer das nicht möchte, stellt unter Entra ID › Benutzer › Benutzereinstellungen die Option „Users can create agent blueprints“ auf „Nein“.
Einordnung: kein Grund zur Unruhe – aber jetzt beginnen
Für gut eingerichtete Mandanten ändert sich wenig: Wer den Microsoft Authenticator oder Windows Hello for Business nutzt, wird nicht gesperrt, erhält aber Aufforderungen zur Passkey-Einrichtung, solange SMS freigeschaltet bleibt. Heikel wird es dort, wo einzelne Konten seit Jahren mit SMS laufen – oft genau die Geschäftsführung, die Buchhaltung oder Außendienstmitarbeitende mit älteren Geräten. Müssen sie am 1. Februar 2027 einen Passkey einrichten und scheitern daran, steht die Arbeit. Mit knapp drei Monaten Vorlauf lässt sich das in Ruhe lösen.
In unserer Betreuung von Microsoft-365-Umgebungen werten wir die Anmeldemethoden aller Nutzer aus, richten Passkeys und Windows Hello for Business ein und begleiten die Umstellung bis zum letzten Konto – einschließlich der Administratoren.
Häufige Fragen
Wann schaltet Microsoft die SMS-Anmeldung ab?
Für alle Nutzer außer aktiven globalen Administratoren und externen Nutzern ab dem 1. Februar 2027, für diese ab dem 1. Juli 2027. Betroffen ist die SMS- und Sprachanmeldung, die Microsoft selbst bereitstellt.
Was passiert mit Nutzern, die nur SMS als zweiten Faktor haben?
Sofern kein eigener Telefonieanbieter eingebunden ist, müssen sie bei der nächsten Anmeldung nach dem Stichtag einen Passkey einrichten; die Aufforderung lässt sich nicht überspringen. In Anmeldeumgebungen ohne Passkey-Unterstützung können sie laut Microsoft gesperrt werden.
Funktioniert das Zurücksetzen des Passworts per SMS weiter?
Nein. Laut Microsoft gilt das Ende auch für die Kennwortzurücksetzung per SMS.
Kann ich die Umstellung ablehnen?
Die Durchsetzung zum Stichtag nicht – Microsoft schreibt ausdrücklich, dass es dafür keine Ausnahme gibt. Vorübergehend aussetzen lässt sich nur die automatische Passkey-Freischaltung seit dem 1. September. Wer SMS zwingend braucht, kann einen kostenpflichtigen Drittanbieter über den Microsoft Security Store anbinden.
Bleibt die Authenticator-App nutzbar?
Ja. Push-Bestätigungen und Codes aus der Authenticator-App bleiben möglich. Codes gelten aber nicht als phishing-resistent; empfohlen sind Passkeys.
Was ist ein Passkey?
Ein Anmeldeschlüssel, der an ein Gerät oder einen Passwortspeicher gebunden ist und mit Fingerabdruck, Gesichtserkennung oder PIN freigegeben wird. Er funktioniert nur auf der echten Anmeldeseite und lässt sich deshalb nicht abfischen.
Was kostet die Umstellung auf Passkeys?
Für Passkeys im Microsoft Authenticator, Windows Hello for Business oder synchronisierte Passkeys verlangt Microsoft nichts zusätzlich. FIDO2-Hardwareschlüssel und SMS-Drittanbieter kosten Geld.
Was muss ich als Administrator zuerst tun?
Betroffene Nutzer ermitteln, Passkeys in der Richtlinie für Authentifizierungsmethoden freischalten und eine Registrierungskampagne starten. Microsoft rät, nicht bis zum Stichtag zu warten.
Verwandte Themen: Wer hier weiterdenkt, liest bei Phishing und Ransomware, Mehrfaktor-Authentifizierung und Zugang und Identität weiter.
Im Text erwähnt
Quellen
- MC1426371: Passkeys by default and retirement of Microsoft-provided SMS and voice authentication · Microsoft Message Center
- MC1540327: Folgemeldung zum Ende der SMS- und Sprachanmeldung · Microsoft Message Center
- Retirement of Microsoft-provided SMS and voice authentication · Microsoft
- SMS and voice retirement – FAQ · Microsoft
- entra-sms-voice-usage-analyzer · Microsoft
- November 2026 announcements – Partner Center · Microsoft
- MC1506733: Review who can create agents in Microsoft Entra · Microsoft Message Center
