SMS-Code für MFA fällt weg: Fristen 2027

Kurz gesagt: Microsoft schaltet die eigene SMS- und Sprachanruf-Authentifizierung in Microsoft Entra ID ab. Ab dem 01.09.2026 aktiviert Microsoft Passkeys automatisch für betroffene Nutzer, am 01.02.2027 endet SMS und Anruf für alle normalen Nutzer, am 01.07.2027 auch für Globale Administratoren und externe Nutzer. Wer bis dahin nur SMS als zweiten Faktor hat, kann sich danach nicht mehr anmelden. Stell jetzt auf Passkeys, FIDO2-Schlüssel oder Authenticator-Codes um.

Stand: 03.11.2026

Welche Fristen gelten für die SMS-Abschaltung?

Microsoft begründet den Schritt damit, dass SMS und Sprachanrufe zu den anfälligsten Authentifizierungsmethoden gehören und deutlich schlechter vor Phishing schützen als Passkeys. Die Abschaltung betrifft die von Microsoft bereitgestellte SMS- und Sprachauthentifizierung in Microsoft Entra ID, inklusive der Kennwortzurücksetzung (SSPR). Die FAQ gilt für die öffentliche Cloud; andere Clouds folgen später.

Zwischen dem 01.09.2026 und dem 01.02.2027 kann ein Administrator die automatische Passkey-Aktivierung vorübergehend aussetzen. Das verschiebt nur die Aktivierung, nicht die Abschaltung. Für die Abschaltung selbst gibt es kein Opt-out.

Wer ist betroffen und wer nicht?

• Betroffen: Alle Nutzer in Microsoft Entra ID (öffentliche Cloud), die SMS oder Sprachanruf als Anmelde- oder SSPR-Methode nutzen. Das schließt Microsoft-365-Konten von Unternehmen, Praxen und Kanzleien ein.
• Später betroffen: Globale Administratoren und externe Nutzer, für sie gilt der 01.07.2027. Interne Gastkonten fallen dagegen unter den 01.02.2027.
• Nicht betroffen: Azure AD B2C. Für Microsoft Entra External ID folgt eine eigene Ankündigung, derzeit ändert sich dort nichts. Externe MFA-Methoden sind nicht betroffen, solange der Nutzer nicht zusätzlich für SMS oder Anruf freigeschaltet ist.

Welche Alternativen empfiehlt Microsoft?

• Passkeys: Der von Microsoft bevorzugte Weg, phishing-resistent und ohne zusätzliche Kosten. Microsoft aktiviert sie ab dem 01.09.2026 automatisch für betroffene Nutzer.
• FIDO2-Sicherheitsschlüssel: Ebenfalls phishing-resistent, sinnvoll für Nutzer ohne Diensthandy oder für Admin-Konten.
• Verifizierungscodes (TOTP): Mit Microsoft Authenticator oder einer anderen OATH-TOTP-App. Diese Codes bleiben nach dem 01.02.2027 nutzbar, sofern die Richtlinien deiner Organisation das erlauben. Sie sind aber nicht phishing-resistent und erfüllen keine Conditional-Access-Richtlinien, die phishing-resistente Anmeldung verlangen.
• Telefonie-Anbieter über den Microsoft Security Store: Für Organisationen, die SMS oder Anruf aus geschäftlichen, regulatorischen oder technischen Gründen weiter brauchen. Die Kosten hängen von Anbieter, Region und Nutzung ab.

Was solltest du als Administrator jetzt tun?

1. Betroffenheit prüfen: Microsoft stellt auf GitHub das PowerShell-Skript „entra-sms-voice-usage-analyzer“ bereit. Jedes Ergebnis ungleich null bedeutet, dass dein Mandant betroffen ist.
2. Methoden freischalten: Aktiviere in der Richtlinie für Authentifizierungsmethoden Passkeys, FIDO2-Schlüssel und Software-OATH-Token, soweit noch nicht geschehen.
3. Nutzer migrieren: Lass jeden Nutzer vor dem Stichtag eine neue Methode registrieren und testen. Plane das als Kampagne mit Anleitung, nicht als Überraschung am Montagmorgen.
4. Admin-Konten zuerst: Globale Administratoren haben zwar bis zum 01.07.2027 Zeit, sollten aber als Erste auf FIDO2 oder Passkeys umgestellt werden.
5. SMS und Anruf abschalten: Entferne Nutzer nach erfolgreichem Test aus dem Geltungsbereich der Methoden „SMS“ und „Voice calls“. Dann erscheinen auch keine Erinnerungen mehr.
6. Sonderfälle klären: Wenn du SMS zwingend brauchst, konfiguriere ab dem 30.10.2026 einen Telefonie-Anbieter über den Microsoft Security Store.

Ohne Gegenmaßnahme läuft die Passkey-Aktivierung am 01.09.2026 automatisch. Wer das verhindern will, muss Nutzer vor diesem Datum aus der SMS- und Sprachanruf-Richtlinie entfernen oder das temporäre Opt-out setzen.

Was passiert, wenn du nichts tust?

Am jeweiligen Stichtag können Nutzer, die nur SMS oder Anruf als Methode haben, sich nicht mehr per MFA anmelden, sofern kein Telefonie-Anbieter konfiguriert ist. In der Praxis heißt das: Mitarbeitende kommen nicht an E-Mails, Teams und Dateien. Auch die Kennwortzurücksetzung per SMS fällt weg. Deshalb lohnt sich der Umstieg jetzt, solange noch ausreichend Zeit für Schulung und Tests bleibt.

So unterstützen wir dich

Wir prüfen deinen Mandanten auf SMS- und Anruf-Nutzung, richten Passkeys, FIDO2-Schlüssel oder Authenticator ein und begleiten die Umstellung deiner Mitarbeitenden in Osnabrück und Umgebung vor Ort, weiter entfernt per Fernwartung. Mehr dazu findest du auf unserer Seite Microsoft 365 für Unternehmen.

Häufige Fragen

Kann ich SMS für MFA nach dem 01.02.2027 weiter nutzen?

Nur über einen Telefonie-Anbieter aus dem Microsoft Security Store, der ab dem 30.10.2026 konfigurierbar ist. Die von Microsoft selbst bereitgestellte SMS-Funktion endet.

Kosten Passkeys zusätzlich?

Laut Microsoft verursacht die Migration zu Passkeys keine zusätzlichen Kosten. Externe Telefonie-Anbieter rechnen dagegen nach Anbieter, Region und Nutzung ab.

Reicht der Microsoft Authenticator als Ersatz?

Verifizierungscodes aus dem Authenticator bleiben nutzbar, wenn deine Richtlinien das erlauben. Sie sind aber nicht phishing-resistent. Microsoft empfiehlt Passkeys oder FIDO2-Schlüssel.

Was ist mit der Kennwortzurücksetzung (SSPR)?

Die Abschaltung gilt auch für SSPR. Microsoft plant zusätzlich, das Ändern des Kennworts für Nutzer zu unterstützen, die sich passwortlos anmelden; Details sind noch angekündigt.

Quellen

• FAQ: Retirement of Microsoft-provided SMS and voice authentication in Microsoft Entra ID (Microsoft Learn, abgerufen am 03.11.2026)