Microsoft Entra ID Passkeys gewinnen 2026 deutlich an Bedeutung. Microsoft hat die schrittweise Einführung von Passkeys als bevorzugte Authentifizierung ab dem 1. September 2026 angekündigt. Ab dem 1. Februar 2027 endet laut Microsoft die eigene Bereitstellung von SMS- und Sprachanrufen für die Authentifizierung in der öffentlichen Entra-Cloud – mit ausdrücklich genannten Ausnahmen und möglichen Drittanbieteroptionen.
Microsoft Entra ID Passkeys: Was ändert sich?
Passkeys verwenden asymmetrische Kryptografie und sind an den legitimen Anmeldedienst gebunden. Im Gegensatz zu per SMS übermittelten Codes lassen sie sich nicht einfach auf einer Phishing-Webseite wiederverwenden. Die Maßnahme ist Teil eines breiteren Wechsels zu phishing-resistenter Authentifizierung.
Die relevanten Termine 2026 und 2027
1. September 2026: Beginn des gestaffelten Rollouts, bei dem für bisherige SMS-/Voice-Nutzer Passkey-Registrierung angeregt wird. 30. Oktober 2026: Von Microsoft angekündigter Start der Auswahl unterstützter Telekommunikationsanbieter. 1. Februar 2027: Geplantes Ende der Microsoft-eigenen SMS-/Voice-Zustellung für die betroffenen Benutzergruppen. Globale Administratoren und externe Benutzer sind nach der veröffentlichten Dokumentation ausgenommen; für interne Gäste gelten gesondert genannte Regeln.
Passkey, FIDO2 und Windows Hello: Was eignet sich?
FIDO2-Sicherheitsschlüssel eignen sich etwa für privilegierte Konten und definierte Recovery-Szenarien. Plattform-Passkeys können auf kompatiblen Geräten eine benutzerfreundliche Anmeldung ermöglichen. Windows Hello for Business ist für verwaltete Windows-Endgeräte besonders relevant. Die konkrete Wahl hängt von Gerätebestand, Conditional Access, Registrierung und Supportprozessen ab.
Checkliste für Microsoft Entra Administratoren
1. Betroffene Authentifizierungsmethoden ermitteln
Prüfen Sie in Entra ID die eingerichteten Authentication Methods und die tatsächliche Registrierung der Benutzer. Unterscheiden Sie ausdrücklich zwischen erlaubten Methoden und real genutzten Methoden.
2. Authentication Methods Policy kontrollieren
Definieren Sie Zielgruppen, Pilotgruppen und zulässige Methoden. Ein gestaffelter Rollout ermöglicht es, Gerätekombinationen und Helpdesk-Prozesse zu prüfen, bevor alle Benutzer umgestellt werden.
3. Conditional Access und privilegierte Konten absichern
Prüfen Sie geeignete Authentication Strengths und phishing-resistente Anforderungen für Admin-Zugänge. Änderungen sollten zunächst im Report-only-Modus beziehungsweise mit Pilotgruppen bewertet werden, damit legitime Konten nicht ausgesperrt werden.
4. Recovery und verlorene Geräte berücksichtigen
Legen Sie einen verifizierten Prozess für neue Geräte, verlorene FIDO2-Schlüssel, Temporary Access Pass und Identitätsprüfung fest. Halten Sie sicher verwahrte Notfallzugänge bereit und testen Sie diese regelmäßig.
5. Benutzerkommunikation frühzeitig starten
Erklären Sie verständlich, welche Geräte unterstützt sind, wie die Registrierung funktioniert und wann der Helpdesk eingebunden wird. Technische Richtlinien ohne Kommunikation erhöhen unnötig die Zahl der Supportfälle.
Was ist mit Service Principals und Workload-Identitäten?
Passkeys betreffen primär interaktive Benutzeranmeldungen. Für Anwendungen, Automatisierung und API-Zugriffe benötigen Unternehmen eine separate Strategie: Managed Identities, föderierte Credentials, begrenzte API-Berechtigungen und möglichst keine langlebigen Client Secrets. Die Passkey-Migration ersetzt kein Workload-Identity-Management.
Typische Fehler bei der Umstellung
Zu den häufigsten Risiken gehören eine unvollständige Geräteanalyse, fehlende Recovery-Wege, ungetestete Conditional-Access-Regeln und die Annahme, alle Benutzer und alle Entra-Clouds seien von denselben Stichtagen betroffen. Die Microsoft-Dokumentation sollte deshalb während der Einführung erneut geprüft werden.
FAQ zu Microsoft Entra ID Passkeys
Werden SMS-Codes sofort abgeschaltet?
Nein. Microsoft beschreibt einen gestaffelten Übergang und einen Stichtag im Februar 2027 für die eigene Telekommunikationszustellung; Ausnahmen und Drittanbieteroptionen sind zu beachten.
Sind Passkeys wirklich phishing-resistent?
Passkeys schützen gegenüber vielen üblichen Credential-Phishing-Angriffen durch die Bindung an den legitimen Dienst. Sie beseitigen jedoch nicht alle Risiken durch kompromittierte Geräte, Sessions oder fehlerhafte Berechtigungen.
Kann ich alle Benutzer an einem Tag umstellen?
Technisch möglich ist das abhängig von der Umgebung, organisatorisch sind Pilotgruppen und getestete Wiederherstellungswege meist sicherer.
Fazit: Die Microsoft Entra ID Passkeys Migration sollte 2026 als Identitätsprojekt mit Inventar, Pilot, Recovery und Monitoring gestartet werden – nicht erst kurz vor Februar 2027.
Quellen: Microsoft Learn: Passkeys und SMS-/Voice-Umstellung · Microsoft Security Blog · Cloud Security bei GORTNET.