Die Termine, die Microsoft bereits gesetzt hat

Microsoft hat die Änderung am 13. Juli in einem Beitrag des Security-Blogs veröffentlicht, der sich wie ein gewöhnliches Identitäts-Update liest und vier Termine enthält. Ab dem 1. September 2026 wird jeder Entra-ID-Nutzer, der heute für SMS oder Sprachanruf freigeschaltet ist, automatisch für Passkeys aktiviert und bei der nächsten Mehrfaktor-Abfrage zur Registrierung aufgefordert. Am 18. September will Microsoft die unterstützten Telekommunikationsanbieter, ihre Preise und ihre Vertragsbedingungen im Microsoft Security Store benennen. Ab dem 30. Oktober können Administratoren einen dieser Anbieter auswählen und einrichten.

Das Datum, das die Diskussion beendet, ist der 1. Februar 2027. An diesem Tag stellt Microsoft die Zustellung von SMS und Sprachanrufen als native Funktion von Entra ID ein. Mandanten, die bis dahin keinen eigenen Telekommunikationsanbieter unter Vertrag haben, können einen Code per SMS oder Anruf gar nicht mehr als zweiten Faktor verwenden, und wer sich bisher darauf verlassen hat, muss einen Passkey registrieren, bevor eine Anmeldung überhaupt gelingt. Microsoft schreibt ausdrücklich, dass es nach diesem Datum kein Opt-out mehr gibt.

Die Frist steht vor dem Preis fest

Liest man die Termine der Reihe nach, ist die Reihenfolge die eigentliche Nachricht. Das Ende ist auf den 1. Februar 2027 fixiert. Der Preis des einzigen unterstützten Weges, SMS und Sprachanruf zu behalten, wird erst am 18. September 2026 veröffentlicht und lässt sich erst ab dem 30. Oktober einrichten. Ein Unternehmen muss also entscheiden, wie es Zehntausende Anmeldevorgänge umstellt, bevor es die Alternative zur Umstellung überhaupt beziffern kann.

Das ist keine Sicherheitsentscheidung im Kostenmantel. Es ist beides zugleich. Eine Funktion, die in der Entra-Lizenz enthalten war, wird für alle, die sie weiter brauchen, zum Vertragskauf bei einem fremden Netzbetreiber über den Marktplatz von Microsoft. Die angreifbare Methode verschwindet, was fachlich vertretbar ist, und der unterstützte Weg, sie zu behalten, wird zur Beschaffung mit Lieferant, Vertrag und einem Preis, den außerhalb von Microsoft niemand nennen kann.

Betroffen sind die Konten ohne Telefon

Passkeys setzen voraus, dass eine Person ein Gerät besitzt, das sie kontrolliert und auf dem sie sich per Biometrie oder PIN ausweisen kann. Bei Büropersonal ist das meist der Fall. Die Konten, die am Code per SMS hingen, sind häufig genau die anderen: Lager und Produktion an gemeinsam genutzten Terminals, Schichtkräfte ohne Diensthandy, Saison- und Werkvertragskräfte, Servicetechniker, deren privates Telefon nie irgendwo registriert war. Die SMS war der kleinste gemeinsame Nenner, gerade weil sie weder eine Registrierung noch ein verwaltetes Gerät verlangte.

Ersatz für diese Nutzer heißt, etwas auszugeben, ein verwaltetes Telefon oder einen FIDO2-Sicherheitsschlüssel pro Kopf, und das ist eine Investitionsposition und eine Logistikaufgabe, keine Einstellung. Im Vereinigten Königreich drängt das NCSC seit Jahren darauf, dass Organisationen von SMS-Codes auf phishing-resistente Verfahren umsteigen, die Richtung überrascht also niemanden. Die Rechnung für die letzte Meile schon. Und das ist keine Entscheidung, die ein Identitätsadministrator in der letzten Januarwoche 2027 allein treffen kann.

Was vor dem 1. August geklärt sein muss

Die nützliche Frist ist nicht der Februar. Microsofts eigene Dokumentation datiert das befristete Opt-out für das Fenster von September bis Februar und die dafür nötige Schnittstelle auf den 1. August 2026. Das sind rund zwei Wochen, und bis dahin braucht ein Unternehmen eine Antwort auf eine einzige Frage: Lassen wir den Passkey-Rollout am 1. September anlaufen, oder halten wir ihn an, bis wir wissen, wer sich nicht registrieren kann?

Dafür braucht es eine Zahl, keine Meinung. Ziehen Sie die Liste der Konten, deren einzige hinterlegte Methode SMS oder Sprachanruf ist, teilen Sie sie in Personen mit und ohne registrierbares Gerät, und bepreisen Sie die zweite Gruppe. Ist die Zahl klein, nehmen Sie den Rollout mit und sind früh fertig. Ist sie es nicht, nutzen Sie im August das Opt-out, kaufen im Herbst Schlüssel oder Telefone und behandeln den 18. September als den Tag, an dem Sie erfahren, was die Rückfallebene gekostet hätte.

Weiterlesen: Der Angreifer war ein Anbieter im Testlauf  |  Drei Tage Frist für den KI-Baukasten ohne Eintrag