Wer sich in diesen Tagen im Microsoft 365 Admin Center anmeldet, sieht womöglich einen Banner: „MFA ist ab Februar erforderlich – jetzt einrichten.“ Er sagt nicht, welcher Februar gemeint ist und welche Erzwingung dann beginnt.
Belegt ist für Februar 2027 eine Änderung, die jeden Entra-Mandanten in der Public Cloud trifft: Am 1. Februar endet die Microsoft-eigene Zustellung von SMS- und Sprachcodes für die Multifaktor-Authentifizierung. Bis dahin sind es knapp 15 Wochen.
Für Entscheider in einer Minute
Was passiert: Am 1. Februar 2027 stellt Microsoft keine SMS- und Voice-Codes mehr für MFA zu. Das gilt auch für das Zurücksetzen von Passwörtern per Self-Service. Passkeys werden zum Standard.
Wer betroffen ist: Alle Nutzer, die noch SMS oder Anruf als MFA-Methode eingerichtet haben. Für Global Administratoren und externe Nutzer gilt erst der 1. Juli 2027.
Was im schlimmsten Fall passiert: Kein Lockout, aber eine Pflichtabfrage. Wer nur SMS oder Voice hat, muss bei der nächsten Anmeldung einen Passkey registrieren, sonst geht es nicht weiter.
Unsere Empfehlung: Betroffene Nutzer jetzt ermitteln, auf Passkeys umstellen und Ausnahmen mit echtem Telefonbedarf gesondert über einen Telefonie-Anbieter lösen. Wer erst im Januar anfängt, plant den Support-Ansturm gleich mit.
Was Microsoft ändert
Microsoft begründet den Schritt mit Sicherheit. SMS und Anrufe gelten in der Entra-Dokumentation als „among the most vulnerable“ Methoden und sollen nicht mehr nativ angeboten werden. An ihre Stelle treten Passkeys, also kryptografische Schlüssel, die an ein Gerät oder einen Passwortmanager gebunden sind. Sie nutzen kein gemeinsames Geheimnis und gelten laut Microsoft als resistent gegen Phishing, SIM-Swap und Replay-Angriffe.
Der Fahrplan ist in vier Daten zusammengefasst:
Datum | Was passiert |
|---|---|
1. September 2026 | Nutzer mit SMS/Voice werden automatisch für Passkeys aktiviert und bei der nächsten MFA-Anmeldung zur Registrierung aufgefordert. Das Wegklicken ist standardmäßig unbegrenzt möglich. |
30. Oktober 2026 | Ab hier lässt sich ein Telefonie-Anbieter über den Microsoft Security Store einrichten. |
1. Februar 2027 | Microsoft-eigenes SMS/Voice endet für alle außer Global Administratoren und externe Nutzer. Danach ist die Passkey-Registrierung bei Nutzern, die nur SMS/Voice haben, blockierend. |
1. Juli 2027 | Dasselbe für Global Administratoren und externe Nutzer. |
Wer schon Passkeys, Windows Hello for Business oder eine andere phishingresistente Methode nutzt, merkt vom Stichtag nichts. Dasselbe gilt für externe MFA-Methoden, sofern die Nutzer nicht zusätzlich für SMS oder Voice aktiviert sind.
Warum „kein Lockout“ nicht heißt „kein Problem“
Microsoft stellt klar: Niemand wird am Stichtag ausgesperrt. Wer bis dahin nichts unternimmt, bekommt beim Anmelden eine Aufforderung, einen Passkey zu registrieren, und kann sie nicht mehr überspringen.
Das klingt harmlos, ist es aber nur für Nutzer, die das ohne Hilfe schaffen. Eine Registrierung braucht ein passendes Gerät, entweder ein Smartphone mit Authenticator-App oder iCloud- bzw. Google-Konto, einen Windows-Rechner mit Windows Hello oder einen Hardware-Sicherheitsschlüssel. Wer sich morgens um acht Uhr mit dem alten Telefon und ohne Authenticator-App anmeldet, steht vor einer Pflichtabfrage, die er nicht erfüllen kann. Das ist ein Helpdesk-Ticket, und zwar am Stichtag und an den Tagen danach für viele Nutzer gleichzeitig.
Dazu kommen zwei Randgruppen, die oft vergessen werden. Interne Gastbenutzer fallen unter den 1. Februar, nicht unter den 1. Juli. Und Passkey-Unterstützung für B2B- und Gastnutzer kommt laut Microsoft erst bis Ende 2026. Wer mit Partnern oder Dienstleistern im Tenant arbeitet, sollte diese Gruppe früh ansprechen.
Passkeys oder Telefonie-Anbieter?
Microsoft empfiehlt Passkeys als Standardweg. Es gibt zwei Typen. Synchronisierte Passkeys liegen in einem Passwortmanager wie iCloud-Schlüsselbund oder Google Password Manager und wandern zwischen den Geräten eines Nutzers. Gerätegebundene Passkeys entstehen auf dem Gerät selbst, etwa als Passkey in der Microsoft Authenticator App, als Entra Passkey on Windows oder auf einem FIDO2-Hardwareschlüssel. Die Migration kostet nichts zusätzlich.
Wer SMS oder Voice aus regulatorischen oder betrieblichen Gründen weiter braucht, kann das über einen Telefonie-Anbieter im Microsoft Security Store lösen. Zum Start sind das Soprano und Telesign, in einer Private Preview. Das kostet je nach Anbieter, Region und Nutzung Geld und gehört deshalb auf wenige, gut begründete Nutzergruppen beschränkt. Für alle übrigen Nutzer gilt: Passkeys als Standard.
Aus unserer Sicht sind das die einzigen zwei sinnvollen Wege. Ein dritter, nämlich „abwarten und schauen, wer sich meldet“, ist formal erlaubt und praktisch der teuerste.
Fazit
Der 1. Februar 2027 ist ein harter Stichtag. Es gibt keinen Opt-out gegen die Abschaltung, nur eine Option, vorher den Anbieter zu wechseln.
Die Arbeit liegt bei den Nutzern, nicht bei der Technik. Die Konfiguration ist überschaubar. Aufwendig ist, dass jeder Betroffene auf ein passendes Gerät kommt und die Registrierung schafft.
Passkeys kosten nichts und verbessern die Sicherheit. Telefonie-Anbieter lohnen sich nur für klar begründete Ausnahmen.
Sie wissen nicht, wie viele Ihrer Nutzer noch auf SMS oder Anruf setzen? Dann ist das der richtige erste Schritt. Wir werten Ihren Mandanten aus, planen mit Ihnen die Umstellung auf Passkeys und begleiten Pilot und Kommunikation, damit der 1. Februar ein ganz normaler Montag wird. Sprechen Sie uns an.