SMS-Codes und Sicherheitsfragen: Microsoft 365 stellt die Anmeldung um

Microsoft baut die Anmeldung in Microsoft 365 grundlegend um. Betroffen sind gleich drei Verfahren, die in vielen Unternehmen bis heute Standard sind: der Zahlencode per SMS, die Bestätigung per Telefonanruf und die Sicherheitsfragen beim Zurücksetzen des Kennworts. Das läuft in Stufen ab: 1. September 2026 — Für alle Konten, die auf SMS oder Anruf eingestellt sind, schaltet Microsoft automatisch Passkeys frei. Die Betroffenen werden bei der Anmeldung aufgefordert, einen einzurichten. Diese Aufforderung lässt sich zunächst noch wegklicken. 18. September 2026 — Ab diesem Tag lassen sich Telekommunikationsanbieter über den Microsoft Security Store buchen, falls SMS zwingend erhalten bleiben muss. 1. Februar 2027 — Microsoft stellt SMS und Anrufe aus eigener Hand ein. Wer bis dahin keinen eigenen Anbieter gebucht hat, dessen Nutzer kommen mit SMS nicht mehr durch die Anmeldung. März 2027 — Die Sicherheitsfragen beim Kennwort-Zurücksetzen fallen weg. Der Zeitplan gilt zunächst für die öffentliche Cloud. Azure AD B2C ist ausgenommen, für Entra External ID kommt die Umstellung später.

Ein Code per SMS ist besser als gar keine zweite Stufe — aber deutlich schwächer, als die meisten annehmen. Zwei Angriffe machen ihm zu schaffen. Beim SIM-Swapping überzeugt ein Angreifer den Mobilfunkanbieter, die Rufnummer auf eine neue SIM-Karte zu übertragen. Danach landen alle Codes bei ihm. Das erfordert kein technisches Können, sondern Überredung — und funktioniert deshalb erschreckend zuverlässig. Beim Phishing führt eine täuschend echte Anmeldeseite den Code direkt weiter an die echte Seite. Der Nutzer merkt nichts, der Angreifer ist drin. Genau hier liegt der Unterschied zu einem Passkey: Der ist an die echte Adresse gebunden und funktioniert auf einer gefälschten Seite technisch nicht. Sicherheitsfragen wiederum sind aus einem anderen Grund problematisch: Der Geburtsort der Mutter oder der Name des ersten Haustiers steht bei vielen Menschen in sozialen Netzwerken. Microsoft nennt sie ausdrücklich erratbar und anfällig für Social Engineering.

Microsofts erste Wahl ist der Passkey. Dahinter steckt ein kryptografisches Schlüsselpaar: Der geheime Teil verlässt nie das Gerät, weitergegeben wird nur eine Bestätigung. Es gibt kein Geheimnis, das man versehentlich auf einer falschen Seite eingeben könnte. In der Praxis ist ein Passkey meist eines davon: Windows Hello am Firmenrechner — Anmeldung per Gesicht, Fingerabdruck oder PIN. Für Büroarbeitsplätze der bequemste Weg, weil kein zusätzliches Gerät nötig ist. Die Microsoft-Authenticator-App auf dem Smartphone. Sie bleibt erhalten und kann Passkeys speichern. Ein FIDO2-Sicherheitsschlüssel zum Anstecken oder Auflegen. Die richtige Wahl für gemeinsam genutzte Arbeitsplätze und für alle ohne Diensthandy — ein Schlüssel kostet einmalig etwa 25 bis 60 Euro. Wichtig für die Planung: Jeder Nutzer sollte zwei Methoden hinterlegt haben. Sonst wird aus einem verlorenen Telefon oder einem defekten Schlüssel ein Fall für den Helpdesk — und genau die Rückfalltür, die früher die SMS war, fällt ja weg.

Die Sicherheitsfragen laufen unabhängig von der SMS-Abschaltung aus, nämlich im März 2027. Sie werden ausschließlich beim Zurücksetzen des Kennworts verwendet, nicht bei der normalen Anmeldung — für Administratorkonten waren sie ohnehin nie zugelassen. Der Haken liegt im Zeitpunkt: Ein Mitarbeiter merkt erst dann, dass seine Methode fehlt, wenn er sein Kennwort vergessen hat — also im ungünstigsten Moment. Deshalb sollten Sie nicht warten, bis die Abschaltung greift, sondern die hinterlegten Methoden vorher einmal durchgehen. Nebenbei ändert sich beim Kennwort-Zurücksetzen noch etwas: Künftig zählen nur noch Methoden, die der Nutzer selbst registriert hat. Telefonnummern und Adressen, die lediglich im Verzeichnis stehen, werden nicht mehr akzeptiert.

Es gibt Fälle, in denen SMS nicht verhandelbar ist — etwa wenn eine Aufsichtsbehörde es vorschreibt oder ein Fachverfahren nichts anderes kann. Für diese Fälle bietet Microsoft ab dem 18. September 2026 den Weg über einen eigenen Telekommunikationsanbieter aus dem Microsoft Security Store. Zwei Dinge sollten Sie dabei wissen. Erstens kostet das Geld: Abgerechnet wird in der Regel pro Nachricht, der Preis hängt von Anbieter, Region und Menge ab. Die Umstellung auf Passkeys ist dagegen kostenlos. Zweitens tragen Sie die Verantwortung für die Zustellung dann selbst. Wer mehr Zeit für die Umstellung braucht, kann die automatische Passkey-Aktivierung vom 1. September 2026 vorübergehend aussetzen. Das geschieht über eine Einstellung in der Authentifizierungsrichtlinie und verschafft Luft bis zum 1. Februar 2027. Für diesen Termin gibt es dann allerdings keine Ausnahme mehr — er gilt für alle Tenants.

Der Aufwand hält sich in Grenzen, wenn Sie früh anfangen. In dieser Reihenfolge: Erstens: Zählen, wie viele Konten überhaupt betroffen sind. Microsoft stellt dafür ein Auswertungsskript bereit; jedes Ergebnis über null bedeutet Handlungsbedarf. Zweitens: Die Arbeitsplätze durchgehen und je Gruppe entscheiden, was passt — Windows Hello im Büro, Authenticator für alle mit Diensthandy, Sicherheitsschlüssel für den Rest. Drittens: Sicherheitsschlüssel rechtzeitig beschaffen. Erfahrungsgemäß dauert die Auswahl länger als die Einrichtung. Viertens: Nutzer informieren, bevor die Aufforderung von selbst erscheint. Ein unangekündigtes Fenster bei der Anmeldung erzeugt sonst genau die Anrufe, die Sie vermeiden wollten. Fünftens: Die hinterlegten Methoden für das Kennwort-Zurücksetzen prüfen und Sicherheitsfragen ersetzen. Wenn wir Ihre Microsoft-365-Umgebung betreuen, läuft diese Umstellung über die laufende IT-Betreuung — inklusive der Auswertung, welche Konten betroffen sind. Passend dazu: unsere IT-Sicherheitsleistungen.