„Ich bekomme keinen SMS-Code mehr.“
Was zunächst nach einem kleinen Problem bei der Anmeldung klingt, kann für dein Unternehmen schnell zum echten IT-Thema werden.
Microsoft verändert aktuell die Anmeldung bei Microsoft 365 und Microsoft Entra ID. Die bisher weit verbreitete Anmeldung per SMS oder Sprachanruf wird schrittweise zurückgedrängt. Stattdessen setzt Microsoft künftig stärker auf sogenannte Passkeys und andere phishing-resistente Anmeldemethoden.
Für viele Unternehmen bedeutet das: Wenn du heute noch auf SMS als zweiten Faktor setzt, solltest du nicht warten, bis die erste Anmeldung plötzlich anders aussieht.
Was ändert Microsoft bei der Anmeldung?
Multi-Faktor-Authentifizierung, kurz MFA, gehört mittlerweile zum Standard für eine sichere Microsoft-365-Umgebung. Neben dem Passwort muss der Benutzer beispielsweise einen zusätzlichen Code eingeben oder eine Anmeldung über ein vertrauenswürdiges Gerät bestätigen.
Eine häufig genutzte Variante war bisher der SMS-Code:
- Du gibst Benutzername und Passwort ein.
- Microsoft verschickt einen Code per SMS.
- Du gibst den Code ein.
- Die Anmeldung ist abgeschlossen.
Das Problem: SMS ist zwar besser als überhaupt keine zusätzliche Absicherung, aber längst nicht mehr die sicherste Variante.
Microsoft stuft SMS und Sprachanrufe als anfälliger für Phishing und Kontoübernahmen ein und treibt deshalb die Umstellung auf phishing-resistentere Verfahren voran.
Was sind Passkeys überhaupt?
Der Begriff „Passkey“ klingt zunächst komplizierter, als er ist.
Vereinfacht gesagt ersetzt ein Passkey die klassische Kombination aus Passwort und SMS-Code durch eine sichere Anmeldung über dein Gerät oder einen dafür vorgesehenen Passwort- beziehungsweise Passkey-Manager.
Je nach Gerät kann die Anmeldung beispielsweise über Folgendes erfolgen:
- Fingerabdruck
- Gesichtserkennung
- Windows Hello
- eine PIN des Geräts
- einen FIDO2-Sicherheitsschlüssel
- einen synchronisierten Passkey
Der große Vorteil: Bei einem Passkey gibt es keinen SMS-Code, den ein Angreifer per Phishing abfragen kann.
Für dich als Benutzer kann die Anmeldung dadurch sogar einfacher werden: Gerät bestätigen, Fingerabdruck oder PIN verwenden – fertig.
Was passiert mit SMS-MFA bei Microsoft 365?
Hier wird es für Unternehmen konkret.
Seit dem 1. September 2026 werden Passkeys für Benutzer, die in Microsoft Entra ID noch für SMS oder Sprachanrufe aktiviert sind, stärker in den Anmeldeprozess einbezogen. Betroffene Benutzer können bei der Anmeldung dazu aufgefordert werden, einen Passkey zu registrieren.
Der entscheidende Termin ist jedoch der 1. Februar 2027.
Ab diesem Zeitpunkt stellt Microsoft die eigene SMS- und Sprachauslieferung für MFA in Entra ID ein. Wenn ein Benutzer dann ausschließlich SMS oder Sprache als MFA-Methode verwendet, muss eine andere Methode eingerichtet werden.
Das bedeutet nicht, dass am 1. Februar plötzlich alle Microsoft-365-Konten gesperrt werden. Es bedeutet aber: Wer sich bisher ausschließlich über SMS oder Sprachanruf abgesichert hat, sollte rechtzeitig auf eine andere Anmeldemethode umsteigen.
Warum sollten KMU jetzt handeln?
Der häufigste Fehler bei solchen Änderungen ist nicht die Technik.
Es ist die fehlende Vorbereitung.
In vielen Unternehmen gibt es beispielsweise noch Benutzer, die irgendwann einmal SMS-MFA eingerichtet haben. Vielleicht wurde das vor Jahren bei der Einführung von Microsoft 365 gemacht. Seitdem hat sich niemand mehr damit beschäftigt.
Dann kommt die Änderung – und plötzlich steht ein Mitarbeiter vor der Anmeldung und fragt:
„Was soll ich jetzt hier auswählen?“
Besonders interessant ist das bei folgenden Benutzergruppen:
- Geschäftsführung und Administratoren
- Mitarbeiter im Außendienst
- Benutzer mit mehreren Geräten
- Mitarbeiter ohne aktuelles Firmenhandy
- Benutzer mit älteren Geräten
- Benutzer, die nur selten auf bestimmte Microsoft-365-Dienste zugreifen
Gerade bei Administrator-Konten solltest du nicht erst reagieren, wenn die Anmeldung bereits Probleme macht.
Passkeys auf mehreren Geräten – muss ich jeden Rechner einzeln einrichten?
Das ist eine berechtigte Frage – und die Antwort lautet: Es kommt darauf an.
Es gibt grundsätzlich zwei Varianten von Passkeys.
Synchronisierte Passkeys
Ein synchronisierter Passkey kann über einen Passkey-Anbieter auf mehreren Geräten verfügbar gemacht werden. Beispiele dafür sind unter anderem der iCloud-Schlüsselbund oder der Google Password Manager.
Wenn du beispielsweise einen Passkey auf deinem Smartphone registrierst und dieser über deinen Passkey-Anbieter synchronisiert wird, kannst du ihn unter bestimmten Voraussetzungen auch auf einem anderen Gerät verwenden.
Du musst dann nicht zwingend für jeden Rechner einen komplett neuen Passkey registrieren.
Gerätegebundene Passkeys
Anders sieht es bei einem gerätegebundenen Passkey aus.
Dieser bleibt auf dem jeweiligen Gerät und wird nicht automatisch auf andere Rechner übertragen. Beim Microsoft Entra Passkey unter Windows ist das beispielsweise der Fall: Der Passkey wird lokal im Windows- bzw. Windows-Hello-Kontext gespeichert.
Wenn du einen solchen Passkey auf zwei unterschiedlichen Rechnern verwenden möchtest, kann deshalb eine separate Registrierung auf jedem Gerät notwendig sein.
Das klingt zunächst nach mehr Aufwand, kann aus Sicherheitssicht aber durchaus sinnvoll sein. Gerade für besonders geschützte Administrator-Konten empfiehlt Microsoft gerätegebundene Passkeys beziehungsweise entsprechende Sicherheitslösungen.
Für KMU bedeutet das: Bevor du einfach für alle Mitarbeiter irgendeine Passkey-Variante aktivierst, solltest du überlegen, welche Geräte genutzt werden und welches Sicherheitsniveau für die jeweiligen Benutzergruppen sinnvoll ist.
Was sollten KMU jetzt prüfen?
Die gute Nachricht: Für die meisten Unternehmen ist keine hektische Umstellung notwendig.
Ein strukturierter Check reicht zunächst aus.
1. Welche Benutzer verwenden noch SMS?
Der erste Schritt ist eine Bestandsaufnahme.
Prüfe in Microsoft Entra ID, welche Benutzer noch SMS oder Sprachanrufe als Authentifizierungsmethode verwenden.
Damit bekommst du schnell einen Überblick:
- Wie viele Benutzer sind betroffen?
- Welche Benutzer verwenden SMS?
- Gibt es noch Administratoren mit SMS-MFA?
- Gibt es alte oder nicht mehr benötigte Konten?
Oft ist dieser Schritt bereits aufschlussreich. Denn dabei tauchen nicht selten Benutzerkonten auf, die eigentlich längst anders abgesichert oder deaktiviert werden sollten.
2. Administrator-Konten zuerst überprüfen
Administratoren sind besonders interessant.
Ein kompromittiertes Administratorkonto kann wesentlich größere Auswirkungen haben als ein einzelnes Benutzerkonto.
Deshalb sollte für privilegierte Konten grundsätzlich eine möglichst starke Authentifizierung eingesetzt werden.
Passkeys, Windows Hello for Business oder FIDO2-Sicherheitsschlüssel gehören hier zu den interessanten Optionen.
3. Sind die Geräte für Passkeys geeignet?
Ein Passkey ist nur dann praktisch, wenn du ihn auf deinen Geräten auch problemlos verwenden kannst.
Prüfe deshalb beispielsweise:
- Welche Windows-Versionen werden eingesetzt?
- Wer arbeitet mit Notebook und Smartphone?
- Ist Windows Hello eingerichtet?
- Wer benötigt mehrere Geräte?
- Gibt es ältere Hardware?
- Welche Geräte sollen einen synchronisierten oder gerätegebundenen Passkey verwenden?
Das Ziel sollte nicht sein, jeden Mitarbeiter mit einer komplizierten Sonderlösung auszustatten.
Viel besser ist eine möglichst einheitliche Anmeldung, die im täglichen Arbeitsablauf funktioniert.
4. Nicht nur die Technik – auch die Mitarbeiter vorbereiten
Eine neue Anmeldung kann für Mitarbeiter zunächst ungewohnt sein.
Wenn plötzlich eine Meldung erscheint wie „Registrieren Sie einen Passkey“, sollte der Mitarbeiter wissen, warum.
Sonst besteht ein unnötiges Risiko, dass Benutzer die Meldung wegklicken, den Vorgang abbrechen oder im schlimmsten Fall auf eine gefälschte Anleitung hereinfallen.
Eine kurze Information reicht häufig schon:
„Microsoft verändert die Anmeldung. Statt SMS-Codes verwenden wir künftig eine sicherere Anmeldung über dein Gerät. Wenn du bei der Anmeldung zur Einrichtung eines Passkeys aufgefordert wirst, ist das beabsichtigt.“
Ein paar Minuten Aufklärung können später einiges an Rückfragen und Supportaufwand sparen.
Der 30-Minuten-Check für KMU
Wenn du schnell einen Überblick bekommen möchtest, kannst du mit diesem kleinen Check starten:
0–5 Minuten: MFA-Methoden prüfen
Welche Benutzer verwenden SMS oder Sprachanrufe? Gibt es noch alte MFA-Konfigurationen?
5–10 Minuten: Administratoren kontrollieren
Sind alle administrativen Konten ausreichend geschützt? Gibt es noch Admin-Konten, die ausschließlich auf schwächere MFA-Methoden setzen?
10–15 Minuten: Passkey-Fähigkeit prüfen
Sind die verwendeten Geräte und Betriebssysteme für Passkeys beziehungsweise Windows Hello geeignet?
15–20 Minuten: Wiederherstellung berücksichtigen
Was passiert, wenn ein Mitarbeiter sein Smartphone verliert oder das Notebook defekt ist?
Auch für diesen Fall sollte es einen definierten Prozess geben.
20–25 Minuten: Benutzer informieren
Kommuniziere die Änderung frühzeitig. Eine kurze Information an die betroffenen Mitarbeiter ist besser als eine Überraschung bei der nächsten Anmeldung.
25–30 Minuten: Umstellung planen
Definiere, welche Benutzer wann umgestellt werden und wer bei Problemen unterstützt.
So wird aus einer Microsoft-Änderung ein kontrollierter IT-Prozess statt eines spontanen Helpdesk-Problems.
Und was ist mit SMS?
In bestimmten Situationen kann SMS weiterhin eine Rolle spielen. Microsoft sieht für Organisationen mit berechtigtem geschäftlichem, regulatorischem oder technischem Bedarf Möglichkeiten über kundenseitig verwaltete Telekommunikationsanbieter vor.
Für die meisten KMU sollte die Frage jedoch nicht lauten, wie man SMS möglichst lange behält.
Die bessere Frage ist:
„Wie bekommen wir unsere Benutzer möglichst einfach auf eine sichere, phishing-resistente Anmeldung?“
Genau hier liegt der eigentliche Vorteil der Umstellung.
Fazit: Nicht warten, bis der erste Mitarbeiter vor der Anmeldung steht
Microsoft verändert die Anforderungen an die Anmeldung nicht ohne Grund. Passkeys bieten gegenüber SMS-Codes einen besseren Schutz gegen Phishing und Kontoübernahmen.
Für KMU ist die aktuelle Änderung deshalb weniger ein lästiges Microsoft-Update als vielmehr eine gute Gelegenheit, die eigene Microsoft-365-Sicherheit aufzuräumen.
Prüfe jetzt, welche Benutzer noch SMS-MFA verwenden, welche Geräte für Passkeys geeignet sind und wie die Umstellung organisiert werden soll.
Und vor allem: Überlege dir, welche Passkey-Variante zu deinen Benutzern und Geräten passt. Nicht jeder Passkey funktioniert automatisch auf jedem Rechner.
Dann wird aus einer potenziellen Störung eine planbare Verbesserung der IT-Sicherheit.
Du möchtest wissen, ob deine Microsoft-365-Umgebung bereits für die Umstellung vorbereitet ist?
Wir unterstützen KMU bei der Überprüfung von Microsoft 365, MFA, Benutzerkonten und Sicherheitsrichtlinien – und sorgen dafür, dass technische Änderungen nicht plötzlich zum Problem im Arbeitsalltag werden.
Matoni IT – IT, die einfach funktioniert. Sicher, zuverlässig und passend zu deinem Unternehmen.