SMS und Sprachanruf verlassen Entra ID.
Der zweite Termin lässt sich nicht verschieben.

Microsoft hat zwei verschiedene Dinge entschieden, und es hilft, sie auseinanderzuhalten. Erstens: Passkeys werden zur Standard-Anmeldeerfahrung in Microsoft Entra ID. Zweitens, und das ist der Punkt, der wirklich zählt: SMS und Sprachanruf werden von Entra ID nicht mehr nativ bereitgestellt. Das ist keine Ermutigung zur Modernisierung — es ist die Entfernung einer Methode, die in sehr vielen Unternehmen der einzige tatsächlich konfigurierte zweite Faktor ist.

Die vier Termine

Der 1. September ist verschiebbar. Der 1. Februar nicht.

Das ist die Unterscheidung, die am teuersten werden kann, denn der erste Termin ist weich und verleitet zur Gelassenheit. Am 1. September werden für SMS oder Sprachanruf aktivierte Benutzer in ein Profil gesetzt, das alle Passkey-Typen zulässt, und die Registrierungskampagne erfasst sie automatisch: Bei der nächsten Anmeldung mit MFA sehen sie die Aufforderung, einen zu registrieren. Standardmäßig lässt sich diese Aufforderung unbegrenzt oft verschieben. In der Praxis klicken die meisten Benutzer auf „später“ — und damit endet die Sache.

Am 1. Februar 2027 ändert sich das Verhalten grundlegend. Wer zu diesem Zeitpunkt als einzige verfügbare MFA-Methode SMS oder Sprachanruf hat, erhält bei der Anmeldung eine Aufforderung zur Passkey-Registrierung, die sich nicht mehr verschieben lässt: ohne Abschluss keine Anmeldung. Microsoft formuliert das ohne Spielraum — für den Februar-Termin gibt es kein Opt-out, und die Regel gilt für jeden Mandanten. Niemand wird dauerhaft aus dem eigenen Konto ausgesperrt, aber faktisch steht am Morgen des 1. Februar ein Teil der Belegschaft vor einer verpflichtenden Registrierung, die sie nie zuvor gesehen hat — ohne Vorwarnung und ohne zu wissen, was zu tun ist.

Die Falle: wenn „keine Aktion erforderlich“ die falsche Antwort ist

Microsoft stellt ein Skript bereit, um zu erheben, wer im Mandanten noch SMS oder Sprachanruf nutzt — ausführbar mit den Rollen Globaler Leser, Administrator für Authentifizierungsrichtlinien oder Sicherheitsleser. Das ist der richtige Ausgangspunkt, doch das Ergebnis will mit Vorsicht gelesen werden: Das Skript betrachtet die moderne Richtlinie für Authentifizierungsmethoden.

Hat der Mandant die Migration von der Legacy-Konfiguration nicht abgeschlossen — der Zustand, den das Portal „migration not started“ nennt —, können SMS und Sprachanruf in der modernen Richtlinie als deaktiviert erscheinen, während Benutzer sie weiterhin über die alten benutzerbezogenen MFA-Einstellungen verwenden. Das Skript liefert ein beruhigendes „keine Aktion erforderlich“, und der Mandant sieht sauber aus. Die Microsoft-Dokumentation zieht jedoch Benutzer in den Geltungsbereich, die in der Richtlinie für Authentifizierungsmethoden oder in den Legacy-MFA-Einstellungen für SMS oder Sprachanruf aktiviert sind. Die Rechnung kommt im Februar.

Vor dem Vertrauen in die Erhebung ist genau eine Prüfung nötig: der Migrationsstatus in Entra ID unter Schutz, Authentifizierungsmethoden, Migration verwalten. Steht er nicht auf „Migration complete“, lebt der Mandant in einem Mischzustand, und die Erhebung muss über die tatsächlich von den Benutzern registrierten Methoden erfolgen — nicht über die Richtlinieneinstellungen.

Das private Telefon — und die DSGVO-Frage in der naheliegenden Lösung

Hier hört die Frage auf, technisch zu sein. Das Szenario, das man in mittelständischen Unternehmen am häufigsten trifft, sieht so aus: MFA ist aktiv, der zweite Faktor ist eine SMS, und die Nummer, auf der sie eintrifft, ist die private Nummer der Beschäftigten. Microsoft Authenticator wurde nie ausgerollt, und der Grund ist immer derselbe — es gibt keine Firmentelefone, die App müsste also auf einem privaten Gerät landen.

Die instinktive Reaktion auf diese Nachricht wird lauten: „Dann rollen wir Authenticator aus.“ Es lohnt sich, kurz innezuhalten, denn diese Entscheidung bringt einen Aspekt mit, der selten bewertet wird. Werden im Conditional Access GPS-basierte Named Locations verwendet, fordert Authenticator die Standortberechtigung im Modus „always allow“, und das System erhebt die Position des Telefons stündlich — auch im Report-only-Modus. Auf einem privaten Gerät bedeutet das einen kontinuierlichen Strom von Standortdaten einer beschäftigten Person, mit allem, was das für Rechtsgrundlage und Verhältnismäßigkeit bedeutet. Microsoft selbst empfiehlt, solche Richtlinien auf sehr sensible Anwendungen zu beschränken. Das normale Number Matching tut, zur Klarstellung, nichts davon: Es zeigt einen ungefähren, aus der IP-Adresse abgeleiteten Standort, nicht die Koordinaten des Telefons.

Interessant ist, dass die erzwungene Migration die Gelegenheit bietet, das Problem zu verlassen statt es zu verschieben. Ein Passkey auf einem Firmengerät oder ein der Person zugewiesener FIDO2-Sicherheitsschlüssel schließt die Frage an der Wurzel: keine App auf dem privaten Telefon, keine Standorterfassung, keine private Nummer in Unternehmenssystemen. Wer in NIS2-Kategorien denkt, hat zudem ein belastbares Argument: Die Authentifizierungsmethode wird zu einem steuerbaren Unternehmenswert statt zu einem Gefallen, um den man Beschäftigte bittet.

Beschäftigte ohne Smartphone — und solche am Mac

Entra ID unterstützt zwei Familien von Passkeys: synchronisierte, die in einem Plattform-Anmeldeinformationsmanager wie iCloud Keychain oder Google Password Manager liegen und auf allen Geräten der Person verfügbar sind, und gerätegebundene, die auf einem einzelnen Gerät bleiben — Passkeys in Microsoft Authenticator, Entra-Passkeys unter Windows, FIDO2-Sicherheitsschlüssel. Keine Beschäftigtengruppe bleibt ohne Option, aber die Wege sind nicht gleichwertig.

• Ohne Smartphone, oder ohne Firmen-Apps auf dem eigenen — ein physischer FIDO2-Sicherheitsschlüssel, vom Unternehmen beschafft und der Person zugewiesen. Keine zusätzliche Lizenz, keine Daten aus einem privaten Gerät. Auch für administrative Konten die belastbarste Wahl.
• Windows-Arbeitsplätze — ein Entra-Passkey auf dem Gerät selbst oder Windows Hello for Business, wo es bereits im Einsatz ist. Wer schon einen FIDO2-Rollout begonnen hat, ist auf halbem Weg: Das vollständige Verfahren haben wir im Beitrag zur passwortlosen Windows-Anmeldung mit FIDO2 beschrieben.
• Mac — drei Wege mit unterschiedlichen Folgen. Der Passkey mit Touch ID erfordert keine Lizenz und kein Smartphone, bleibt aber an die persönliche Apple-ID der Person gebunden und holt damit das Problem des privaten Geräts zurück. Ein FIDO2-Schlüssel des Unternehmens trennt die Identität klar. Platform SSO mit der Secure Enclave ist die verwaltete, gerätegebundene Variante — konzeptionell vergleichbar mit Windows Hello for Business, setzt aber Intune voraus.

Was jetzt zu tun ist

• 1Erheben, wer SMS oder Sprachanruf nutzt — und den Migrationsstatus prüfen — in dieser Reihenfolge. Zuerst klären, ob der Mandant auf „Migration complete“ steht; erst dann ist das Ergebnis der Erhebung verlässlich.
• 2Die Methode für jede Beschäftigtengruppe vor September festlegen — wer ein Firmengerät hat, wer am Mac arbeitet, wer kein Smartphone besitzt, wer privilegierte Rollen innehat. Das sind unterschiedliche Entscheidungen, und sie gehören getroffen, bevor Benutzer unerwartete Aufforderungen sehen.
• 3Die Registrierungskampagne selbstbestimmt starten — zuerst Passkey (FIDO2) als Methode aktivieren und die Sicherheitsgruppe der SMS- und Sprachanruf-Benutzer in den Geltungsbereich nehmen, statt von der automatischen Aktivierung im September überrascht zu werden. Eine zusätzliche Lizenz ist dafür nicht erforderlich.
• 4Vorher kommunizieren, nicht während — Microsoft nennt koordinierte Kommunikation als den wichtigsten Einzelfaktor für einen reibungslosen Rollout und stellt Vorlagen für E-Mail und Teams bereit. Ein Hinweis nach der ersten Aufforderung ist bereits ein zusätzlicher Anruf beim Support.
• 5Einen Telekommunikationsanbieter nur bei dokumentiertem Bedarf prüfen — besteht eine regulatorische oder betriebliche Vorgabe für einen telefonischen Out-of-band-Kanal, gehört festgehalten, welche, für welche Benutzergruppe und auf welcher Grundlage. Anbieterinformationen gibt es ab dem 18. September, die Konfiguration ab dem 30. Oktober, und die Kosten für den Versand gehen auf das Unternehmen über.

Was es braucht, um das wirklich zu steuern

Ein Punkt verdient Präzision, weil er in der begeisterten Kommunikation über Passkeys untergeht. Für die Aktivierung von Passkeys und für eine Registrierungskampagne ist keine zusätzliche Lizenz erforderlich: Es genügt, dass MFA aktiv ist. Aber eine Methode anzubieten und sie zu steuern sind zwei verschiedene Dinge.

Eine phishing-resistente Methode für sensible Anwendungen oder administrative Rollen erzwingen, schwache Methoden in bestimmten Kontexten ausschließen, Regeln nach Gruppen differenzieren: Das sind Authentication Strengths, also Funktionen des Conditional Access, und Conditional Access setzt Entra ID P1 voraus. Ohne P1 lassen sich Methoden auf Mandantenebene aktivieren oder deaktivieren und Benutzer zur Registrierung einladen, aber keine Regeln schreiben: Es bleiben die Security Defaults, eine generische Alles-oder-nichts-MFA. Für viele Unternehmen wird dieser Termin faktisch der Moment sein, in dem die Lizenzfrage zurück auf den Tisch kommt — und es ist besser, sie jetzt zu klären als im Januar.

Eine letzte Klarstellung zum Geltungsbereich, weil sie Verwirrung stiftet: Azure AD B2C ist von dieser Ankündigung nicht betroffen. Für Microsoft Entra External ID ist die Änderung für das nächste Jahr vorgesehen, mit einer separaten Mitteilung.