Microsoft Entra ID MFA: Abschaltung von SMS und Sprachanruf
Die Abschaltung von SMS und Sprachanruf (Voice) als Multi-Faktor-Authentifizierung (MFA) wird von Microsoft Entra ID schrittweise durchgeführt. Was nach einem technischen Detail klingt, hat ganz konkrete Auswirkungen auf Mitarbeitende die diese Methoden bisher konfiguriert haben, Ihre IT-Sicherheit und Ihren laufenden Betrieb.
Was ändert sich konkret?
Abschaltung von SMS und Sprachanruf
Microsoft hat angekündigt, dass die MFA-Methoden SMS und Sprachanruf (Voice) für Entra ID auslaufen:
- Bis 01.09.2026: Jeder Benutzer der SMS oder Voice als MFA Methode verwendet, wird für Passkeys freigeschaltet und per Registrierungskampange zur Einrichtung aufgefordert.
- Bis 01.02.2027: SMS und Voice können noch genutzt werden, werden aber zunehmend als „Legacy“ betrachtet.
- Ab 01.02.2027: SMS und Voice werden endgültig abgeschaltet. Nutzerinnen und Nutzer, die bisher ausschließlich SMS oder Voice verwenden, werden dann zwangsläufig auf andere Methoden umgestellt, insbesondere auf Passkeys oder andere moderne MFA-Verfahren.
Wenn Sie bis dahin nicht aktiv umgestellt haben, passiert die Umstellung nicht kontrolliert durch Sie, sondern automatisch durch Microsoft–mit allen Risiken für Akzeptanz, Supportaufwand und Sicherheit.
Microsoft hat diese Änderungen in einem Learn-Artikel kommuniziert.
Warum Microsoft die Abschaltung von SMS und Sprachanruf
SMS und Sprachanrufe waren lange Zeit ein einfacher Einstieg in MFA. Heute gelten sie jedoch als unsicherer und anfälliger:
- SMS können abgefangen oder umgeleitet werden (z.B. SIM-Swapping).
- Sprachanrufe können manipuliert oder durch Spamming bestätigt werden, etwa durch Social Engineering.
- Beide Methoden sind nicht phishing-resistent und bieten keinen starken Schutz gegen moderne Angriffe.
Microsoft setzt deshalb auf stärkere, moderne Verfahren, insbesondere:
- Authentifizierungs-App (Microsoft Authenticator)
- Hardware-Sicherheitsschlüssel (FIDO2)
- Passkeys (passwortlose Anmeldung mit Geräten wie Smartphone, Laptop, Sicherheitsschlüssel)
Passkeys: Moderne Sicherheit – aber bitte kontrolliert
Passkeys sind eine moderne, passwortlose Anmeldemethode. Vereinfacht gesagt:
- Die Identität wird über ein Gerät (z.B. Smartphone, Laptop, Sicherheitsschlüssel) bestätigt.
- Es gibt kein Passwort, das gestohlen oder erraten werden kann.
- Die Anmeldung ist phishing-resistent, weil der Passkey an die konkrete Website bzw. Anwendung gebunden ist.
Für Ihre Organisation bedeutet das: Passkeys können die Sicherheit deutlich erhöhen–wenn sie geplant und gesteuert eingeführt werden.
Wichtige Frist: Vor dem 01. September aktiv werden
Microsoft bietet die Möglichkeit, Passkeys in Entra ID zu aktivieren. Wenn Sie nicht rechtzeitig handeln, kann Microsoft im Rahmen der Umstellung selbstständig Passkeys aktivieren bzw. Nutzerinnen und Nutzer in Richtung Passkeys lenken.
Damit Sie die Kontrolle behalten, sollten Sie:
- Vor dem 01. September Ihre eigene Strategie zur Passkey-Nutzung festlegen.
- Klar definieren, welche Passkeys und welche Profile erlaubt sind und wie diese verwaltet werden.
- Die Einstellungen in Entra ID so konfigurieren, dass nicht unkontrolliert alle möglichen Passkey-Typen zugelassen werden.
So verhindern Sie, dass Microsoft „einfach einschaltet“ und Ihre Umgebung sich unbemerkt verändert.
Warum die Beschränkung per AAGUID so wichtig ist
Was ist eine AAGUID – in einfachen Worten?
Jeder Passkey bzw. jedes Authentifizierungsgerät (z.B. bestimmtes Modell eines Sicherheitsschlüssels) hat eine eindeutige Kennung, die sogenannte AAGUID. Man kann sich das vorstellen wie eine Typnummer oder Modell-ID für Sicherheitsgeräte.
In Entra ID können Sie über diese AAGUID festlegen:
- Welche Geräte und Passkey-Typen erlaubt sind
- Welche nicht verwendet werden dürfen
Warum das für Ihr Unternehmen entscheidend ist
Wenn Sie Passkeys einfach „global“ aktivieren, ohne AAGUID-Beschränkung:
- Können Mitarbeitende beliebige Geräte nutzen, die Sie nicht geprüft haben.
- Besteht das Risiko, dass unsichere oder ungeeignete Passkey-Implementierungen verwendet werden.
- Wird es schwer, Compliance-Vorgaben (z.B. bestimmte Hersteller, bestimmte Sicherheitsstandards) einzuhalten.
Wenn Sie Passkeys dagegen gezielt über AAGUID einschränken:
- Erlauben Sie nur geprüfte, vertrauenswürdige Geräte (z.B. bestimmte Sicherheitsschlüssel oder Plattform-Passkeys).
- Behalten Sie die Kontrolle über Ihre Sicherheitsarchitektur.
- Können Sie Support und Schulung auf wenige, klar definierte Methoden konzentrieren.
Die AAGUID-Beschränkung sorgt also dafür, dass Passkeys nicht zum Wildwuchs werden, sondern ein geplantes, sicheres und kontrollierbares Element Ihrer MFA-Strategie sind.
Was passiert am 01.02.2027?
Ab dem 01.02.2027 werden SMS und Voice als MFA-Methoden in Entra ID abgeschaltet.
Das hat folgende Konsequenzen:
- Nutzerinnen und Nutzer, die nur SMS oder Voice als zweiten Faktor eingerichtet haben, können sich nicht mehr wie gewohnt anmelden.
- Sie werden faktisch gezwungen, auf Passkeys oder andere moderne MFA-Methoden umzusteigen.
- Wenn diese Umstellung nicht vorbereitet ist, drohen:
- Login-Probleme und erhöhte Supportanfragen
- Frust bei Mitarbeitenden
- Im schlimmsten Fall Unterbrechungen im Geschäftsbetrieb
Die Frage ist also nicht, ob Sie umstellen, sondern wann und wie.
Empfohlene Schritte für Unternehmen
Damit die Umstellung geordnet und sicher verläuft, empfehle ich folgende Vorgehensweise:
- Bestandsaufnahme
Prüfen Sie, welche MFA-Methoden Ihre Mitarbeitenden heute nutzen:- Wie viele nutzen SMS?
- Wie viele nutzen Sprachanruf?
- Wo gibt es bereits App-basierte MFA oder Passkeys?
- Strategie für MFA und Passkeys festlegen
Definieren Sie:- Welche MFA-Methoden künftig Standard sein sollen (z.B. Authenticator-App, bestimmte Passkeys, ggf. Hardware-Token).
- Welche Passkey-Typen Sie über AAGUID explizit zulassen möchten.
- Welche Passkey-Profile sie zulassen möchten.
- Konfiguration in Entra ID anpassen
- Passkeys bewusst aktivieren, nicht dem Standard überlassen.
- AAGUID-Beschränkungen setzen, um nur geprüfte Geräte zu erlauben.
- Passkey-Profilvorgabe umsetzen
- SMS und Voice schrittweise zurückfahren, bevor sie abgeschaltet werden.
- Kommunikation und Schulung
- Mitarbeitende frühzeitig informieren: Was ändert sich, warum ist das wichtig?
- Kurze Anleitungen bereitstellen: „So richten Sie Ihre neue MFA-Methode ein.“
- Besonders kritische Bereiche (z.B. Admin-Konten, externe Partner) gezielt begleiten.
- Testphase und Monitoring
- Zunächst mit einer Pilotgruppe starten.
- Erfahrungen sammeln, Supportbedarf erkennen.
- Danach schrittweise auf die gesamte Organisation ausrollen.
Fazit: Jetzt gestalten, statt später reagieren
Die Abschaltung von SMS und Sprachanruf in Entra ID ist beschlossen–und sie kommt mit klaren Fristen. Sie haben jetzt die Chance, Ihre MFA-Landschaft aktiv zu gestalten, statt später unter Zeitdruck zu reagieren:
- Vor dem 01. September: Passkeys bewusst planen und konfigurieren, AAGUID-Beschränkungen setzen.
- Bis 01.02.2027: Nutzerinnen und Nutzer geordnet von SMS/Voice auf moderne, sichere Methoden migrieren.
Wer frühzeitig handelt, erhöht die Sicherheit, reduziert spätere Störungen und sorgt für eine bessere Akzeptanz bei den Mitarbeitenden.
Unterstützung bei der Umsetzung
Wenn Sie Unterstützung bei der Planung, Konfiguration oder Umsetzung der Umstellung auf moderne MFA-Methoden und Passkeys benötigen–inklusive AAGUID-Beschränkung und Nutzerkommunikation–kommen Sie gerne auf mich zu.
Ich unterstütze Sie dabei, Ihre Entra-ID-Umgebung so zu gestalten, dass sie sicher, praxistauglich und zukunftsfähig ist.
