Passkeys werden Standard: Microsoft schaltet SMS-Codes ab

Passwörter und SMS-Codes sind das Einfallstor Nummer eins für Angriffe auf Firmenkonten. Microsoft zieht nun Konsequenzen: Bei Firmenkonten in Microsoft Entra ID, also auch bei den meisten Microsoft-365-Konten von KMU, werden Passkeys zur Standard-Anmeldung. Die Anmeldung per SMS- oder Sprachanruf-Code soll ganz verschwinden.

Die Fristen

• Seit 1. September 2026: Nutzer, die bisher SMS oder Anrufe als zweiten Faktor verwenden, werden bei der Anmeldung aufgefordert, einen Passkey einzurichten.
• Ab 1. Februar 2027: Microsoft beendet laut Ankündigung die eigene SMS- und Sprach-Authentifizierung in Entra ID. Wer dann noch keinen Passkey oder eine andere phishing-resistente Methode hat, muss ihn vor der nächsten Anmeldung einrichten.

Was ist ein Passkey?

Ein Passkey ersetzt Passwort und SMS-Code. Er besteht aus einem Schlüsselpaar: Der private Schlüssel bleibt auf Ihrem Gerät, etwa auf dem Smartphone oder im Laptop, und wird mit Fingerabdruck, Gesicht oder PIN freigegeben. Der Server kennt nur den öffentlichen Schlüssel. Weil der Passkey an die echte Website gebunden ist, funktioniert er auf einer gefälschten Phishing-Seite schlicht nicht.

Warum das für KMU eine gute Nachricht ist

• Phishing läuft ins Leere: Selbst wer auf einen gefälschten Link klickt, kann seinen Passkey nicht verraten.
• Kein SIM-Swapping: Angriffe über umgeleitete Telefonnummern werden wirkungslos.
• Schnellere Anmeldung: Fingerabdruck statt Passwort tippen und auf die SMS warten.

So bereiten Sie Ihr Team vor

1. Bestandesaufnahme: Wer meldet sich heute noch per SMS oder Anruf an? Das lässt sich im Microsoft-365-Admin-Center auswerten.
2. Geräte klären: Haben alle ein Firmen- oder Privathandy mit Microsoft Authenticator oder einen Laptop mit Windows Hello? Für Mitarbeitende ohne Smartphone eignen sich FIDO2-Sicherheitsschlüssel.
3. Kurze Anleitung verteilen: Eine Seite mit Screenshots spart viele Rückfragen.
4. Notfallzugang regeln: Was passiert, wenn jemand sein Handy verliert? Ein zweiter registrierter Passkey oder ein hinterlegter Sicherheitsschlüssel verhindert Aussperrungen.
5. Vor Februar 2027 abschliessen: Wer früh umstellt, vermeidet Stress an einem Montagmorgen.

Fazit

Die Umstellung ist kein grosses Projekt, aber sie sollte geplant sein. Für ein Team von zehn Personen reicht oft ein halber Tag. Im Rahmen unserer IT-Betreuung übernehmen wir das gerne für Sie, inklusive Anleitung für Ihr Team.