Microsoft verändert die Anmeldung in Entra ID grundlegend: Ab dem 1. September 2026 werden Passkeys für Nutzer, die bisher SMS oder Sprachanrufe als Authentifizierungsmethode verwenden, automatisch aktiviert. Ab dem 1. Februar 2027 stellt Microsoft die eigene Bereitstellung von SMS- und Voice-Codes schließlich ein. Für Unternehmen bedeutet das: Jetzt ist der richtige Zeitpunkt, die eigene MFA-Strategie zu überprüfen und auf phishing-resistente Authentifizierung umzustellen.
Eine besonders interessante Option für Unternehmen sind hardwaregebundene Passkeys auf einem FIDO2-Sicherheitsschlüssel wie einem YubiKey. Sie verbinden eine sehr hohe Sicherheit mit einer klaren Trennung zwischen Benutzer, Gerät und Zugangsdaten.
In diesem Beitrag erklären wir, was sich bei Microsoft Entra ID konkret ändert, welche Benutzer betroffen sind und wie Unternehmen einen kontrollierten Umstieg von SMS und klassischer MFA auf Passkeys und YubiKeys vorbereiten können.
Was ändert Microsoft bei Entra ID?
Microsoft treibt die Abkehr von klassischen, phishbaren Authentifizierungsmethoden weiter voran. Passkeys werden dabei zu einem zentralen Bestandteil der Entra-Anmeldung.
Die wichtigsten Termine sind:
| Datum | Änderung | Bedeutung für Unternehmen |
|---|---|---|
| 1. September 2026 | Passkeys werden für betroffene SMS- und Voice-Nutzer automatisch aktiviert. | Benutzer können zur Registrierung eines Passkeys aufgefordert werden. |
| 18. September 2026 | Weitere Informationen zu alternativen Telekommunikationsanbietern sollen verfügbar werden. | Relevant für Unternehmen, die SMS aus betrieblichen oder regulatorischen Gründen weiter benötigen. |
| 30. Oktober 2026 | Alternative Telekommunikationsanbieter sollen über den Microsoft Security Store konfigurierbar werden. | Ausweichmöglichkeit für Sonderfälle. |
| 1. Februar 2027 | Microsoft beendet die eigene SMS- und Voice-Zustellung in Entra ID. | Unternehmen müssen vorher alternative Authentifizierungsmethoden bereitstellen. |
Warum Microsoft SMS und Voice zurückdrängt
SMS-Codes waren über viele Jahre ein wichtiger Schritt weg von der reinen Passwortanmeldung. Für moderne Sicherheitsanforderungen reichen sie jedoch zunehmend nicht mehr aus.
Ein wesentlicher Unterschied liegt darin, dass klassische MFA-Verfahren weiterhin Informationen verwenden können, die ein Benutzer an einen Angreifer weitergeben kann. Eine überzeugend gestaltete Phishing-Seite kann beispielsweise versuchen, neben Benutzername und Passwort auch einen Einmalcode abzufragen.
FIDO2 und Passkeys funktionieren grundlegend anders. Statt eines gemeinsamen Geheimnisses wird asymmetrische Kryptografie verwendet. Der für die Anmeldung benötigte private Schlüssel verbleibt auf dem Authenticator. Der jeweilige Dienst besitzt lediglich den dazugehörigen öffentlichen Schlüssel.
Das macht FIDO2-basierte Anmeldungen deutlich widerstandsfähiger gegen klassische Credential-Phishing-Angriffe.
Welche Nutzer sind ab September 2026 betroffen?
Besonders relevant ist die Änderung für Organisationen, in denen Benutzer weiterhin für SMS oder Voice in der Microsoft Entra Authentication Methods Policy oder in älteren MFA-Einstellungen aktiviert sind.
Microsoft plant, diese Benutzer ab dem 1. September 2026 automatisch für Passkeys zu aktivieren. Gleichzeitig kann die Microsoft Registration Campaign die betreffenden Benutzer bei der Anmeldung zur Einrichtung eines Passkeys auffordern.
Für IT-Abteilungen ist deshalb wichtig, nicht erst auf die ersten Support-Tickets zu warten.
Die Migration sollte kontrolliert vorbereitet werden.
Passkey ist nicht gleich Passkey
Für Unternehmen ist entscheidend zu verstehen, dass der Begriff „Passkey“ verschiedene technische Umsetzungen umfasst.
Microsoft Entra unterstützt sowohl synchronisierte als auch gerätegebundene Passkeys.
| Variante | Speicherort | Typischer Einsatz |
|---|---|---|
| Synchronisierter Passkey | Credential Manager bzw. Cloud-Ökosystem | Komfortabler Einsatz über mehrere persönliche Geräte |
| Gerätegebundener Passkey | Bestimmtes Gerät oder Authenticator | Unternehmen mit höheren Sicherheitsanforderungen |
| Hardware Security Key | Physischer FIDO2-Sicherheitsschlüssel | Unternehmen, Administratoren, sensible Konten und Zero-Trust-Szenarien |
Ein YubiKey kann dabei als physischer FIDO2-Authenticator eingesetzt werden. Das kryptografische Schlüsselmaterial bleibt an den Hardware-Authenticator gebunden.
Warum ein YubiKey für Unternehmen interessant ist
Für private Anwender kann ein synchronisierter Passkey sehr komfortabel sein. In Unternehmen kommen jedoch zusätzliche Anforderungen hinzu.
IT-Abteilungen müssen beispielsweise berücksichtigen:
- Wer besitzt den Authenticator?
- Kann der Authenticator zentral ausgegeben werden?
- Wie wird ein verlorener Authenticator ersetzt?
- Wie werden Administratoren abgesichert?
- Wie erfolgt das Offboarding eines Mitarbeiters?
- Welche Authentifizierung ist auf gemeinsam genutzten Geräten sinnvoll?
- Welche Anforderungen bestehen hinsichtlich Compliance und Zero Trust?
Ein physischer Sicherheitsschlüssel schafft hier eine klare Zuordnung: Ein Mitarbeiter erhält einen definierten Hardware-Authenticator, der unabhängig vom Smartphone des Benutzers eingesetzt werden kann.
YubiKey und Microsoft Entra ID
YubiKeys der aktuellen Serien können als FIDO2-Sicherheitsschlüssel mit Microsoft Entra ID verwendet werden.
Für viele Unternehmen sind insbesondere zwei Produktfamilien interessant:
Security Key Series
Wenn der Schwerpunkt ausschließlich auf moderner FIDO2-/WebAuthn-Authentifizierung liegt, ist die YubiKey Security Key Series häufig der wirtschaftlich interessante Einstieg.
Zur Auswahl stehen beispielsweise:
YubiKey 5 Series
Unternehmen, die neben FIDO2 weitere Authentifizierungs- und Kryptografiefunktionen benötigen, sollten die YubiKey 5 Series betrachten.
Beliebte Modelle sind:
- YubiKey 5 NFC – USB-A und NFC
- YubiKey 5C NFC – USB-C und NFC
- YubiKey 5C – USB-C
Welches Modell sinnvoll ist, hängt weniger von Microsoft Entra selbst als von der vorhandenen Hardware und den weiteren gewünschten Authentifizierungsfunktionen ab.
Wer hauptsächlich aktuelle Notebooks mit USB-C verwendet, ist mit einem USB-C-Modell häufig besser aufgestellt. In heterogenen Umgebungen mit älteren Desktop-PCs kann USB-A weiterhin sinnvoll sein.
Security Key oder YubiKey 5?
Diese Frage lässt sich für einen reinen Microsoft-Entra-FIDO2-Rollout relativ einfach eingrenzen.
| Anforderung | Security Key Series | YubiKey 5 Series |
|---|---|---|
| FIDO2 / Passkeys | Ja | Ja |
| WebAuthn | Ja | Ja |
| Phishing-resistente Anmeldung | Ja | Ja |
| Zusätzliche Authentifizierungsprotokolle | Fokus auf FIDO | Umfangreicher |
| Typischer Einsatz | FIDO-/Passkey-Rollout | Unternehmen mit zusätzlichen Anforderungen |
Eine ausführliche Gegenüberstellung finden Sie in unserem Beitrag YubiKey 5 NFC vs. Security Key – Welcher Sicherheitsschlüssel ist der richtige?.
So sollten Unternehmen den Entra-Umstieg vorbereiten
1. Aktuelle Authentifizierungsmethoden analysieren
Der erste Schritt ist eine Bestandsaufnahme.
Die IT sollte ermitteln:
- Welche Benutzer verwenden noch SMS?
- Welche Benutzer verwenden Voice?
- Welche Benutzer verwenden bereits Passkeys?
- Welche Benutzer verwenden Windows Hello for Business?
- Welche Administratoren besitzen bereits eine phishing-resistente Authentifizierung?
Besonders Konten mit erweiterten administrativen Berechtigungen sollten frühzeitig betrachtet werden.
2. Zielgruppen definieren
Nicht jede Benutzergruppe muss zwangsläufig denselben Authenticator erhalten.
Eine mögliche Strategie wäre:
| Benutzergruppe | Mögliche Strategie |
|---|---|
| Global-/Security-Administratoren | Hardwaregebundene FIDO2-Schlüssel |
| IT-Mitarbeiter | YubiKey oder andere gerätegebundene Passkeys |
| Standardanwender | Passkeys entsprechend Geräte- und Sicherheitsstrategie |
| Shared-Device-Benutzer | Physische Security Keys prüfen |
| Externe Mitarbeiter | Separat nach Geräte- und Zugriffsmodell bewerten |
3. Passkey (FIDO2) in Entra konfigurieren
Administratoren können in Microsoft Entra über die Authentication Methods Policies definieren, welche Benutzer oder Gruppen Passkeys verwenden dürfen.
Microsoft ermöglicht zusätzlich Einschränkungen für bestimmte Sicherheitsschlüssel beziehungsweise Passkey-Provider über sogenannte AAGUIDs.
Damit können Unternehmen die zugelassenen Authenticator-Modelle stärker kontrollieren.
4. Mit einer Pilotgruppe beginnen
Ein unternehmensweiter Rollout sollte nicht mit allen Mitarbeitern gleichzeitig beginnen.
Bewährt ist eine Pilotgruppe aus:
- IT-Administration
- Security-Team
- Power Usern
- einer kleinen Gruppe normaler Anwender
Dabei sollten insbesondere Registrierung, Anmeldung, Gerätewechsel, Verlust eines Schlüssels und Recovery getestet werden.
5. Ersatzschlüssel einplanen
Ein häufiger Fehler bei Hardware-Security-Key-Projekten besteht darin, ausschließlich einen Schlüssel pro Benutzer einzuplanen.
Geht dieser verloren, muss ein sauber definierter Recovery-Prozess greifen.
Für besonders wichtige Konten empfiehlt es sich daher, einen zweiten registrierten Sicherheitsschlüssel als Backup vorzusehen und diesen sicher aufzubewahren.
6. Benutzer informieren
Technisch kann eine Passkey-Migration hervorragend vorbereitet sein und dennoch hohe Helpdesk-Kosten verursachen, wenn Anwender nicht wissen, warum sich ihre Anmeldung verändert.
Kommunizieren Sie daher frühzeitig:
- Warum die Anmeldung geändert wird
- Wann die Änderung erfolgt
- Welche Mitarbeiter betroffen sind
- Wie ein Passkey eingerichtet wird
- Wie ein YubiKey verwendet wird
- Was bei Verlust zu tun ist
Was passiert am 1. September 2026 konkret?
Benutzer, die für SMS oder Voice aktiviert sind, können automatisch in eine Passkey-fähige Authentication-Methods-Konfiguration aufgenommen werden.
Microsoft kann außerdem die Registration Campaign für diese Anwender in den Microsoft-Managed-Zustand versetzen. Beim nächsten geeigneten Anmeldevorgang können Benutzer dadurch aufgefordert werden, einen Passkey zu registrieren.
Unternehmen, die ihre Benutzer vorher kontrolliert migrieren, vermeiden Überraschungen und können selbst festlegen, welche Passkey-Strategie sie einsetzen möchten.
Kann die Umstellung verzögert werden?
Microsoft beschreibt eine temporäre Opt-out-Möglichkeit für die automatische Migration während der Übergangsphase zwischen September 2026 und Februar 2027.
Das sollte jedoch nicht mit einer dauerhaften Ausnahme verwechselt werden.
Spätestens ab dem 1. Februar 2027 greift die neue Microsoft-Strategie deutlich konsequenter. Unternehmen sollten die zusätzliche Zeit deshalb nicht als Grund zum Abwarten betrachten, sondern als Migrationsfenster nutzen.
Was passiert am 1. Februar 2027?
Ab diesem Datum stellt Microsoft die eigene Bereitstellung von SMS- und Voice-Authentifizierungscodes für Entra ID ein.
Benutzer, deren einzige verfügbare MFA-Methode weiterhin SMS oder Voice ist, können dann zur Registrierung eines Passkeys gezwungen werden, bevor sie ihre Anmeldung fortsetzen können.
Für diese Durchsetzung sieht Microsoft keine allgemeine Opt-out-Möglichkeit vor.
Unternehmen, die für bestimmte Sonderfälle weiterhin Telekommunikationsmethoden benötigen, müssen sich deshalb rechtzeitig mit den von Microsoft vorgesehenen alternativen Providern befassen.
Warum Unternehmen nicht bis Februar 2027 warten sollten
Die eigentliche Herausforderung einer Passkey-Einführung ist nicht die Bestellung eines Sicherheitsschlüssels.
Entscheidend sind Prozesse.
Dazu gehören:
- Beschaffung
- Inventarisierung
- Registrierung
- Ausgabe an Mitarbeiter
- Backup-Authentifizierung
- Verlust und Ersatz
- Offboarding
- Support
- Dokumentation
Je größer ein Unternehmen ist, desto wichtiger ist ein strukturierter Rollout.
Wer im August oder September 2026 mit einer Pilotgruppe beginnt, besitzt genügend Zeit, Prozesse zu testen, bevor SMS und Voice endgültig aus der von Microsoft bereitgestellten Entra-Authentifizierung verschwinden.
Microsoft Authenticator oder YubiKey?
Die beiden Lösungen müssen nicht zwingend gegeneinander ausgespielt werden. Microsoft unterstützt mehrere Passkey-Varianten und phishing-resistente Methoden.
Die eigentliche strategische Frage lautet daher:
Welche Benutzer benötigen welchen Grad an Kontrolle, Portabilität und Hardwarebindung?
Für eine detaillierte Gegenüberstellung finden Sie in unserem Content Hub den Beitrag Microsoft Authenticator oder YubiKey – welche MFA-Lösung ist sicherer?.
Welche YubiKeys eignen sich für einen Entra-Rollout?
Für typische Unternehmensumgebungen sind insbesondere Modelle mit NFC praktisch, da sie neben Windows-Notebooks auch mit kompatiblen Mobilgeräten eingesetzt werden können.
USB-A-Umgebung:
Security Key NFC oder YubiKey 5 NFC
USB-C-Umgebung:
Security Key C NFC oder YubiKey 5C NFC
Wer ausschließlich FIDO2 und Passkeys benötigt, sollte zunächst die Security Key Series prüfen. Werden zusätzlich weitere Funktionen der YubiKey-5-Plattform benötigt, ist die YubiKey 5 Series die flexiblere Variante.
FAQ: Microsoft Entra, Passkeys und YubiKey
Schafft Microsoft MFA ab?
Nein. Microsoft reduziert nicht die Sicherheitsanforderungen, sondern verlagert den Schwerpunkt auf stärkere, phishing-resistente Authentifizierungsmethoden.
Werden SMS-Codes am 1. September 2026 abgeschaltet?
Nein. Am 1. September beginnt die stärkere automatische Passkey-Migration für betroffene Benutzer. Die von Microsoft bereitgestellte SMS- und Voice-Zustellung wird erst am 1. Februar 2027 eingestellt.
Kann ein YubiKey als Passkey für Microsoft Entra verwendet werden?
Ja. FIDO2-Hardware-Sicherheitsschlüssel gehören zu den von Microsoft Entra unterstützten gerätegebundenen Passkey-Varianten.
Braucht jeder Mitarbeiter einen YubiKey?
Nicht zwingend. Unternehmen können unterschiedliche Authentifizierungsstrategien für unterschiedliche Benutzergruppen definieren. Für privilegierte Konten, Administratoren und sicherheitskritische Arbeitsplätze ist eine hardwaregebundene Lösung besonders interessant.
Sollte ein Benutzer zwei YubiKeys erhalten?
Für wichtige Konten ist ein zweiter registrierter Authenticator als Backup sehr sinnvoll. Der genaue Recovery-Prozess sollte Teil der unternehmensweiten Authentifizierungsrichtlinie sein.
Security Key oder YubiKey 5 für Microsoft Entra?
Wer ausschließlich FIDO2-basierte Authentifizierung benötigt, kann mit der Security Key Series starten. Wer zusätzliche Authentifizierungs- und Kryptografiefunktionen benötigt, sollte die YubiKey 5 Series prüfen.
Fazit: September ist der Startschuss – nicht das Ziel
Der 1. September 2026 ist für Unternehmen ein wichtiger Termin. Microsoft macht Passkeys in Entra ID deutlich präsenter und bereitet gleichzeitig das Ende der eigenen SMS- und Voice-Authentifizierung vor.
Unternehmen sollten die kommenden Monate deshalb für einen strukturierten Wechsel nutzen.
Der beste Ansatz besteht nicht darin, einfach eine neue MFA-Methode zu aktivieren. Unternehmen sollten festlegen, welche Benutzer welche Authenticator-Klasse benötigen, wie Recovery funktioniert und wie Hardware-Sicherheitsschlüssel ausgegeben und verwaltet werden.
Mit FIDO2-fähigen YubiKeys steht dafür eine phishing-resistente, hardwaregebundene Authentifizierungsmöglichkeit zur Verfügung, die sich insbesondere für Unternehmens-, Administrator- und Zero-Trust-Szenarien eignet.
Sie planen einen größeren YubiKey-Rollout?
Für Unternehmen, Behörden und Bildungseinrichtungen bieten wir individuelle Beratung und Projektpreise. Bereits ab 10 Stück sind attraktive Mengen- und Projektpreise für YubiKeys möglich.
