Entra ID schafft SMS-MFA ab: Ihr Fahrplan bis zum 1. September 2026

Inhaltsverzeichnis

• Was Microsoft entschieden hat: die Timeline im Überblick
• Warum SMS-MFA fällt: NIST, BSI und AI-Phishing
  • NIST SP 800-63B-4: Telefonnetz-Verfahren sind restricted
  • BSI-Bewertung: SIM-Swapping und Echtzeit-Phishing
  • Microsofts Zahlen: 54 Prozent Klickrate bei AI-Phishing
• Was ab dem 1. September 2026 in Ihrem Tenant passiert
  • Auto-Enablement und Registration Campaign
  • Ab Februar 2027: der blockierende Registrierungs-Prompt
  • Temporäres Opt-out per Graph API
• Ihr Aktionsplan in fünf Schritten
• Die Souveränitäts-Frage: Wer bestimmt Tempo und Methodenmix?
• Passkeys in Authentik: was heute schon geht
• Entscheidungsmatrix: Entra-only, Koexistenz oder souveräne Schicht
• Managed Authentik bei authhost
• Fazit: Ein Monat bis zum Stichtag
• Quellen

Was Microsoft entschieden hat: die Timeline im Überblick

Die Ankündigung kam am 13. Juli 2026 über den Microsoft Security Blog; Autor ist Nadim Abdo, Corporate Vice President, Identity and Network Access Engineering [2]. Die Details stehen seitdem in der Entra-Dokumentation, zuletzt aktualisiert am 29. Juli 2026 [1]. Auch die deutschsprachige Fachpresse hat das Thema aufgegriffen, unter anderem heise online und Borncity [13][14].

Der Kern in einem Satz: Entra ID macht Passkeys zum Standard und beendet die von Microsoft bereitgestellte SMS- und Sprachanruf-Authentifizierung, einschließlich des Self-Service Password Reset (SSPR) [1]. Diese Termine gehören in Ihren Kalender:

Zum Geltungsbereich: Das Retirement betrifft zunächst nur die Public Cloud. Azure AD B2C ist nicht betroffen, für Entra External ID kündigt Microsoft die Änderung später separat an. B2B-Gastnutzer sind dagegen im Scope; die Passkey-Unterstützung für sie ist bis Ende 2026 geplant. MFA über externe Drittanbieter-Methoden bleibt unberührt [1].

Warum SMS-MFA fällt: NIST, BSI und AI-Phishing

Die Entscheidung ist keine Laune aus Redmond, sondern folgt einer Linie, die Standardisierungsgremien und Sicherheitsbehörden seit Jahren vorzeichnen.

NIST SP 800-63B-4: Telefonnetz-Verfahren sind restricted

NIST hat die finale Revision 4 von SP 800-63B am 26. August 2025 veröffentlicht [4]. Abschnitt 3.1.3.3 stellt fest, dass die Nutzung des öffentlichen Telefonnetzes (PSTN) für Out-of-Band-Verifikation, also SMS und Sprachanruf, restricted ist. Die Pflichten aus Abschnitt 3.2.9 schließen an: Organisationen sollen Risikoindikatoren wie Gerätewechsel, SIM-Tausch und Rufnummern-Portierung berücksichtigen und müssen alternative Authenticator-Typen anbieten [4].

BSI-Bewertung: SIM-Swapping und Echtzeit-Phishing

Das BSI kommt in seiner Bewertung von Zwei-Faktor-Verfahren zu einem klaren Ergebnis: Vor Phishing-Angriffen, die in Echtzeit stattfinden, schützen E-Mail- und SMS-TAN-Verfahren sowie TOTP nicht [5]. In den Bewertungstabellen (Stand 29.06.2026) erhält SMS-TAN in mehreren Angriffsszenarien die Note Schlecht, unter anderem beim Echtzeit-Phishing; als Risiken nennt das BSI ausdrücklich SIM-Swapping, also das unberechtigte Beschaffen einer Ersatz-SIM, sowie die Neuvergabe von Rufnummern [6]. Auf der Gegenseite steht wörtlich: „Die beiden Passkey-Verfahren sind resistent gegen übliche Phishing-Angriffe" [5].

Microsofts Zahlen: 54 Prozent Klickrate bei AI-Phishing

Microsoft selbst verweist auf Beobachtungen von Microsoft Threat Intelligence: AI-gestützte Phishing-Kampagnen erreichen Klickraten von bis zu 54 Prozent, verglichen mit rund 12 Prozent bei klassischen Kampagnen [2]. Je überzeugender das Phishing, desto gefährlicher jeder Faktor, der sich abfangen oder weitergeben lässt. Der Kurs weg von zustellbaren Codes hin zu phishing-resistenten Passkeys ist damit fachlich gut begründet. Die kritische Frage an diesem Retirement betrifft nicht das Ziel, sondern Tempo und Fristsetzung, dazu gleich mehr.

Was ab dem 1. September 2026 in Ihrem Tenant passiert

Auto-Enablement und Registration Campaign

Am 1. September 2026 aktiviert Microsoft Passkeys automatisch für alle Nutzer, die in der Authentication Methods Policy oder in den Legacy-MFA-Einstellungen für SMS oder Voice aktiviert sind; das zugehörige Profil erlaubt alle Passkey-Typen [1]. Parallel wechseln die Registration-Campaign-Einstellungen in den Zustand Microsoft Managed mit Ziel Passkeys: Betroffene Nutzer werden beim nächsten MFA-Sign-in zur Passkey-Registrierung aufgefordert, wobei sich der Hinweis standardmäßig unbegrenzt oft aufschieben lässt [1]. Blockiert wird im September also noch nichts. Aber der Nudge erscheint sichtbar bei jedem betroffenen Nutzer, und genau deshalb sollte Ihre Kommunikation vorher stehen.

Ab Februar 2027: der blockierende Registrierungs-Prompt

Zum 1. Februar 2027 endet die Microsoft-eigene SMS- und Voice-Zustellung vollständig, einschließlich SSPR [1]. Danach gilt: Nutzer, deren einzige verfügbare MFA-Methode SMS oder Voice ist, müssen beim Sign-in einen Passkey registrieren. Dieser Prompt ist blockierend, ein Opt-out existiert nicht, die Regel greift für alle Tenants [1]. Wichtig zur Einordnung: Konten werden nicht deaktiviert, der Zugriff ist blockiert, bis die Passkey-Registrierung abgeschlossen ist [1]. Für den Helpdesk macht das trotzdem einen Unterschied, denn jeder nicht migrierte Nutzer wird ab diesem Datum zum Support-Fall.

Temporäres Opt-out per Graph API

Wer den September-Termin nicht halten kann, etwa weil erst ein Telekom-Provider konfiguriert werden soll, kann den Tenant vorübergehend vom Auto-Enablement und vom Registration-Campaign-Rollout ausnehmen [1]:

PATCH https://graph.microsoft.com/beta/policies/authenticationmethodspolicy
Content-Type: application/json

{
  "optOutSettings": {
    "passkeyDynamicMigration": true
  }
}

Das Opt-out wirkt nur zwischen dem 1. September 2026 und dem 1. Februar 2027; ab dann greift die Enforcement-Stufe unabhängig von diesem Setting [1]. Es verschafft Zeit für einen geordneten Rollout, es ersetzt ihn nicht.

Ihr Aktionsplan in fünf Schritten

1. Betroffene Nutzer inventarisieren. Microsoft stellt dafür das PowerShell-Skript entra-sms-voice-usage-analyzer auf GitHub bereit; für die Ausführung genügt eine der Rollen Global Reader, Authentication Policy Administrator oder Security Reader [3]. Das Ergebnis zeigt, wie groß Ihre Migrationsaufgabe tatsächlich ist.
2. Passkey-Strategie festlegen. Klären Sie, welche Passkey-Varianten zu Ihrer Geräteflotte und Ihren Richtlinien passen, und definieren Sie die Reihenfolge: privilegierte Konten zuerst, danach die Breite.
3. Kommunikation planen. Der Nudge erscheint ab dem 1. September 2026 beim nächsten MFA-Sign-in, und unbegrenztes Aufschieben ist der Default [1]. Nutzer, die vorher wissen, was auf sie zukommt, registrieren sich, statt monatelang zu snoozen.
4. Registration Campaign aktiv steuern. Warten Sie nicht auf den Microsoft-Managed-Default, sondern legen Sie Zielgruppen und Zeitplan der Kampagne selbst fest, abgestimmt auf Ihre Rollout-Wellen.
5. Sonderfälle klären. Prüfen Sie SSPR-Abhängigkeiten und B2B-Gastnutzer [1] sowie einen etwaigen regulatorischen SMS-Bedarf. Falls SMS bleiben muss: Provider-Informationen gibt es ab dem 18. September 2026 im Security Store, Auswahl und Konfiguration ab dem 30. Oktober 2026, mit Kosten typischerweise pro Nachricht [1].

Die Souveränitäts-Frage: Wer bestimmt Tempo und Methodenmix?

Der Passkey-Kurs selbst ist fachlich richtig, das soll dieser Beitrag nicht relativieren: weg von abfangbaren Codes, hin zu phishing-resistenten Verfahren, im Einklang mit NIST und BSI [4][5]. Die eigentliche Lehre aus dem Retirement liegt eine Ebene tiefer. Wer seine Identität vollständig in einen fremdbetriebenen Cloud-Dienst legt, übernimmt dessen Fahrplan: Microsoft bestimmt den Methodenkatalog, die Stichtage und das Preismodell für Ausnahmen, denn SMS gibt es nach dem 1. Februar 2027 nur noch über einen selbst bezahlten Telekom-Provider [1]. Für den einzelnen Tenant sind diese Entscheidungen nicht verhandelbar, selbst das Opt-out ist ausdrücklich befristet [1].

Bei einem selbst betriebenen Identity Provider wie Authentik liegt genau diese Hoheit beim Betreiber. Flows und Policies definieren Sie selbst, pro Gruppe, pro Anwendung, pro Risikoklasse: Passkeys für Administratoren sofort erzwingen, TOTP für geteilte Werkstatt-Rechner vorerst behalten, E-Mail-OTP für selten genutzte Partner-Konten. Neue Authentik-Releases erscheinen etwa alle drei Monate, Security-Fixes erhalten die aktuelle Version und eine zurück [10]; wann ein Update eingespielt wird und welche Methoden im Login zulässig sind, entscheidet der Betreiber. Souveränität heißt hier nicht, es besser zu wissen als Microsoft, sondern Tempo, Methodenmix und Ausnahmen selbst festlegen zu können. Dieselbe strukturelle Abhängigkeit besteht übrigens bei anderen US-Cloud-IdPs, wie unser Vergleich zur Okta-Alternative Authentik zeigt; die Koexistenz-Strategie mit Microsoft beleuchtet Authentik vs. Entra ID.

Für regulierte Unternehmen kommt eine Compliance-Dimension dazu. NIST und BSI liefern den fachlichen Referenzrahmen, SMS unabhängig von Microsoft-Fristen abzulösen [4][5]; wie sich MFA-Pflichten aus NIS2 mit Authentik umsetzen lassen, zeigt unser Beitrag NIS2: MFA und Zugriffskontrolle mit Authentik. Zur DSGVO gehört außerdem die Frage, wo Identitäts- und Protokolldaten liegen und wer als Auftragsverarbeiter agiert. Dieser Beitrag ist eine technische Einordnung und kein Rechtsrat; die Bewertung im Einzelfall gehört zu Ihrem Datenschutz- und Compliance-Team.

Passkeys in Authentik: was heute schon geht

Authentik bringt die Bausteine für einen selbstbestimmten Passkey-Rollout bereits mit. Die WebAuthn Authenticator Setup Stage steuert die Registrierung im Detail: User Verification als require, prefer oder discourage, ein Resident-Key-Requirement als Grundlage für Passwordless-Anmeldungen, Authenticator Attachment (platform, cross-platform oder ohne Einschränkung), Verhinderung doppelter Registrierungen sowie Geräte-Restriktionen über AAGUIDs [7]. Für die Anmeldung selbst unterstützt Authentik Passkey-Autofill: Dafür wird die Identification Stage mit einer WebAuthn-fähigen Authenticator Validation Stage verknüpft, sodass der Browser Passkeys direkt im Login-Formular anbietet (WebAuthn Conditional UI) [7].

Mit Version 2026.5, erschienen am 22. Mai 2026 und aktuell beim Patch 2026.5.6 vom 22. Juli 2026 [9], unterstützt die WebAuthn Stage zusätzlich den hints-Parameter aus der WebAuthn-Level-3-Spezifikation (security-key, client-device, hybrid), mit dem sich die bevorzugte Authenticator-Art signalisieren lässt [8]. Dasselbe Release brachte unter anderem Account Lockdown als Enterprise-Feature für die Sofort-Reaktion bei kompromittierten Konten [8]; Details dazu in unserem Beitrag zum Authentik Account Lockdown.

Randnotiz für Keycloak-Nutzer: Auch dort sind Passkeys angekommen. Seit Version 26.4, veröffentlicht am 30. September 2025, ist die Passkey-Unterstützung inklusive WebAuthn Conditional UI (Autofill) offiziell [11][12]; per Default aktiv ist sie allerdings nicht, der Administrator muss die WebAuthn-Passwordless-Policy konfigurieren [11]. Phishing-resistente Verfahren sind damit im Open-Source-IAM angekommen, nicht nur bei den Hyperscalern. Wie sich die beiden Projekte grundsätzlich unterscheiden, zeigt die Keycloak-Alternative Authentik.

Entscheidungsmatrix: Entra-only, Koexistenz oder souveräne Schicht

Für die Einordnung der eigenen Situation hilft eine nüchterne Gegenüberstellung:

Wann Entra ID allein reicht: Ihre Nutzer sind ausschließlich Mitarbeiter in einer Microsoft-365-Landschaft, der Passkey-Rollout ist bis Februar 2027 personell und gerätetechnisch machbar, und Sie brauchen weder SMS über den Stichtag hinaus noch Protokolle wie LDAP oder RADIUS. Dann ist der Entra-Rollout der direkte Weg, ein zweiter Identity Provider wäre unnötige Komplexität.

Wann Authentik zusätzlich oder stattdessen lohnt: Sie betreiben Kunden-, Partner- oder App-Logins außerhalb von Microsoft 365 (OIDC, SAML, LDAP, SCIM, RADIUS), Sie wollen Tempo und Methodenmix selbst bestimmen, Datenstandort Deutschland und AV-Vertrag sind harte Anforderungen, oder Sie planen bewusst eine Koexistenz: Entra ID für die Belegschaft, Authentik als selbst kontrollierte Schicht für alles andere. Die strategische Abwägung vertieft der Vergleich Authentik vs. Entra ID.

Managed Authentik bei authhost

Wer die souveräne Schicht nicht selbst betreiben will, bekommt sie bei authhost als Managed Service: eine dedizierte Authentik-Instanz auf Infrastruktur in Deutschland, mit automatischen Backups und Updates, AV-Vertrag inklusive, ohne Einrichtungsgebühr und monatlich kündbar. Der Starter-Plan kostet in der Region Deutschland 99,90 € pro Monat zzgl. MwSt., mit unbegrenzten Nutzern, SSO über OIDC, SAML, LDAP, SCIM und RADIUS sowie MFA mit TOTP, WebAuthn/Passkeys und E-Mail-OTP; Business gibt es ab 199,90 € pro Monat, Enterprise auf Anfrage. Die Details zeigen die Funktionsübersicht und die Preisübersicht. Ehrlich bleibt: Für eine reine Microsoft-365-Umgebung ohne externe Anwendungen brauchen Sie keinen zweiten Identity Provider. Die Testphase läuft sieben Tage und setzt eine Kreditkarte voraus.

→ Pläne und Preise ansehen | → Sieben Tage testen

Fazit: Ein Monat bis zum Stichtag

Drei Dinge sollten Sie in den kommenden Wochen erledigen. Erstens die Inventur mit dem Microsoft-Analyzer-Skript, damit Sie wissen, wie viele Nutzer betroffen sind [3]. Zweitens Kommunikation und Registration Campaign vorbereiten, bevor der Nudge am 1. September 2026 von selbst erscheint [1]. Drittens die Sonderfälle klären: SSPR, B2B-Gäste und einen etwaigen regulatorischen SMS-Bedarf über den Security Store [1].

Der Umstieg auf Passkeys ist der richtige Schritt, das bestätigen NIST und BSI unabhängig von Microsoft [4][5]. Die strategische Frage lautet, wer künftig über solche Umstellungen entscheidet. Für alles, was nicht in Microsoft 365 lebt, können Sie diese Entscheidung zurückholen: mit Authentik als selbst kontrollierter Identitätsschicht, betrieben als Managed Service auf deutscher Infrastruktur, mit Passkey-Rollout in Ihrem Tempo.

Jetzt Managed Authentik testen →

Quellen

1. Microsoft Learn: Passkeys by default and retirement of Microsoft-provided SMS and voice authentication (Stand 29.07.2026): learn.microsoft.com
2. Microsoft Security Blog, 13.07.2026, Nadim Abdo: Passkeys are the default authentication method in Entra ID (AI-Phishing-Klickraten): microsoft.com
3. Microsoft: PowerShell-Inventur-Skript entra-sms-voice-usage-analyzer (benötigte Rollen): github.com
4. NIST SP 800-63B-4 (final, 26.08.2025), Abschnitte 3.1.3.3 und 3.2.9 (PSTN restricted): pages.nist.gov
5. BSI: Bewertung von Zwei-Faktor-Verfahren (Echtzeit-Phishing, Passkey-Einordnung): bsi.bund.de
6. BSI: Bewertungstabellen zu Zwei-Faktor-Verfahren (PDF, Stand 29.06.2026, SMS-TAN-Bewertungen, SIM-Swapping): bsi.bund.de
7. Authentik: WebAuthn Authenticator Setup Stage (User Verification, Resident Keys, AAGUID, Conditional UI): docs.goauthentik.io
8. Authentik Release Notes 2026.5 (WebAuthn Level 3 Hints, Account Lockdown): docs.goauthentik.io
9. Authentik GitHub Releases (2026.5.0 vom 22.05.2026, Patch 2026.5.6 vom 22.07.2026): github.com
10. endoflife.date: Authentik-Release-Zyklus und Support-Fenster: endoflife.date
11. Keycloak: Passkeys support in Keycloak 26.4 (Conditional UI, Konfiguration erforderlich): keycloak.org
12. Keycloak 26.4.0 released (30.09.2025): keycloak.org
13. heise online: Microsoft makes passkeys the default in Entra ID: heise.de
14. Borncity: Microsoft Entra ID: Passkeys werden ab September Pflicht: borncity.com