Die Microsoft MFA Umstellung 2026 beginnt bereits am 1. September 2026. Microsoft Entra ID macht Passkeys schrittweise zur bevorzugten Authentifizierungsmethode und beginnt gleichzeitig damit, Benutzer von SMS und Sprachanrufen wegzuführen. Spätestens zum 1. Februar 2027 wird Microsoft die eigene Bereitstellung von SMS- und Sprachanrufen für die Authentifizierung einstellen.
Du meldest Dich bei Microsoft 365 an, gibst Dein Passwort ein und kurz darauf kommt der bekannte sechsstellige Code per SMS. Für viele Unternehmen ist genau das noch immer der normale Ablauf bei der Multi-Faktor-Authentifizierung. Doch Microsoft verändert dieses Verfahren grundlegend.
Für Unternehmen bedeutet das: Jetzt ist der richtige Zeitpunkt, die vorhandenen MFA-Methoden zu überprüfen. Nicht erst dann, wenn sich einzelne Mitarbeiter plötzlich nicht mehr wie gewohnt anmelden können.
Das Wichtigste in Kürze
- Ab 1. September 2026: Passkeys werden für Benutzer aktiviert, die bisher für SMS oder Sprachanrufe freigeschaltet sind.
- Bei der MFA-Anmeldung: Betroffene Benutzer werden zur Registrierung eines Passkeys aufgefordert.
- Bis 1. Februar 2027: Unternehmen sollten ihre Benutzer auf eine phishing-resistente Authentifizierungsmethode umstellen.
- Ab 1. Februar 2027: Microsoft stellt die eigene SMS- und Sprachanruf-Zustellung für Microsoft Entra ID ein.
Was ändert sich bei der Microsoft MFA Umstellung 2026?
Microsoft verändert nicht die Multi-Faktor-Authentifizierung an sich. Vielmehr geht es darum, wie Benutzer ihren zweiten Faktor bestätigen.
SMS und Sprachanrufe gehören seit vielen Jahren zu den bekannten MFA-Methoden. Sie sind einfach einzurichten und funktionieren praktisch auf jedem Mobiltelefon. Sicherheitstechnisch haben sie jedoch deutliche Nachteile. Telefonnummern können übernommen werden, Nachrichten können umgeleitet werden und auch klassische Phishing-Angriffe können Benutzer dazu bringen, einen erhaltenen Code auf einer gefälschten Internetseite einzugeben.
Microsoft stuft SMS und Sprache deshalb nicht mehr als ausreichend sichere Standardmethoden ein und möchte Unternehmen stärker in Richtung phishing-resistenter Authentifizierung bewegen. Dazu gehören insbesondere Passkeys, Windows Hello for Business und FIDO2-Sicherheitsschlüssel.
Die Änderung betrifft Microsoft Entra ID und damit die Identitäts- und Zugriffsverwaltung, die hinter vielen Microsoft-365-Anmeldungen steht.
Offizielle Microsoft-Quelle
Microsoft beschreibt die Microsoft MFA Umstellung 2026 ausführlich in der offiziellen Entra-Dokumentation. Dort nennt der Hersteller auch die beiden wichtigen Termine. Den Beginn der Passkey-Aktivierung ab dem 1. September 2026 und die Einstellung der von Microsoft bereitgestellten SMS- und Sprachanruf-Zustellung zum 1. Februar 2027.
Was passiert ab dem 1. September 2026?
Der erste wichtige Termin der Microsoft MFA Umstellung 2026 ist der 1. September.
Benutzer, die in den Authentifizierungsrichtlinien von Microsoft Entra für SMS oder Sprachanruf aktiviert sind, werden automatisch auch für Passkeys freigeschaltet. Das gilt laut Microsoft sowohl für die aktuelle Authentication Methods Policy als auch für entsprechende ältere MFA-Einstellungen.
Wenn sich ein betroffener Benutzer anschließend anmeldet und eine MFA-Prüfung durchführt, kann Microsoft ihn dazu auffordern, einen Passkey zu registrieren.
Wichtig ist dabei folgender Punkt: Der 1. September bedeutet noch nicht, dass SMS an diesem Tag plötzlich nicht mehr funktioniert. Microsoft beginnt zunächst mit der Migration und möchte Benutzer aktiv an die neue Authentifizierungsmethode heranführen.
Der 1. September ist kein Abschaltdatum für SMS. Er ist der Startpunkt für Microsofts Umstellung auf Passkeys als Standard.
Was passiert am 1. Februar 2027?
Der deutlich wichtigere Stichtag ist der 1. Februar 2027. Ab diesem Zeitpunkt stellt Microsoft die von Microsoft selbst bereitgestellte Telekommunikationszustellung für SMS und Sprachanrufe in Microsoft Entra ID ein.
Ist bei einem Benutzer zu diesem Zeitpunkt SMS oder Sprachanruf die einzige verfügbare MFA-Methode, kann er diese Methode nicht mehr wie bisher verwenden. Microsoft sieht vor, dass solche Benutzer während der Anmeldung einen Passkey registrieren müssen, bevor sie fortfahren können.
Für diese verpflichtende Umstellung ab Februar 2027 gibt es laut Microsoft keine dauerhafte Opt-out-Möglichkeit. (Stand 26.08.2026)
Warum Unternehmen nicht bis Januar 2027 warten sollten
Eine MFA-Umstellung betrifft nicht nur eine technische Einstellung im Admin-Portal. Mitarbeiter müssen ihre neue Anmeldemethode einrichten, Geräte müssen geeignet sein und Sonderfälle sollten vorher bekannt sein. Eine geplante Umstellung ist deshalb wesentlich angenehmer als eine Migration unter Zeitdruck.
Warum verabschiedet sich Microsoft von SMS als MFA-Methode?
SMS-basierte MFA ist grundsätzlich besser als ein Konto, das nur mit Benutzername und Passwort geschützt wird. Trotzdem hat die Methode Schwächen, die bei modernen Angriffen zunehmend relevant werden.
Ein klassisches Beispiel ist eine gefälschte Microsoft-365-Anmeldeseite. Ein Mitarbeiter gibt dort Benutzername und Passwort ein. Anschließend fordert die Seite auch den per SMS erhaltenen Sicherheitscode an. Gibt der Benutzer diesen Code ebenfalls ein, kann der Angreifer versuchen, ihn unmittelbar für die echte Anmeldung zu verwenden.
Ein zweiter Faktor hilft also nur begrenzt, wenn er selbst an den Angreifer weitergegeben werden kann.
Genau hier liegt der Vorteil moderner, phishing-resistenter Verfahren. Ein Passkey ist kryptografisch an den jeweiligen Dienst beziehungsweise die tatsächliche Domain gebunden. Eine gefälschte Microsoft-Seite kann den für Microsoft registrierten Passkey deshalb nicht einfach verwenden.
Was ist ein Passkey?
Ein Passkey ersetzt die klassische Kombination aus Passwort und übertragbarem Sicherheitscode durch ein kryptografisches Schlüsselpaar.
Der private Schlüssel verbleibt auf dem Gerät oder in einem dafür vorgesehenen sicheren Speicher. Beim Login wird nicht das Passwort übermittelt, sondern der Besitz des passenden kryptografischen Schlüssels nachgewiesen. Für den Benutzer kann die Anmeldung trotzdem sehr einfach aussehen. Je nach Gerät wird sie beispielsweise per Fingerabdruck, Gesichtserkennung oder Geräte-PIN bestätigt.
Der große Sicherheitsvorteil liegt darin, dass es keinen sechsstelligen Code gibt, den ein Mitarbeiter versehentlich an einen Angreifer weitergeben kann.
Passkey, Authenticator-App oder SMS: Was ist besser?
| Methode | Bedienung | Phishing-Resistenz | Einordnung |
|---|---|---|---|
| SMS-Code | Einfach | Niedrig | Von Microsoft nicht mehr als bevorzugte Methode vorgesehen |
| Sprachanruf | Einfach | Niedrig | Wird zusammen mit Microsoft-SMS-Zustellung eingestellt |
| Authenticator mit Code | Gut | Begrenzt | Sicherer als reine Passwort-Anmeldung, Code bleibt jedoch übertragbar |
| Passkey / FIDO2 | Nach Einrichtung sehr komfortabel | Hoch | Von Microsoft ausdrücklich empfohlen |
| Windows Hello for Business | Sehr komfortabel auf verwalteten Windows-Geräten | Hoch | Besonders interessant für Unternehmensgeräte |
Welche Methode im konkreten Unternehmen sinnvoll ist, hängt trotzdem von den verwendeten Geräten und Arbeitsabläufen ab. Nicht jeder Mitarbeiter arbeitet ausschließlich an einem fest zugewiesenen Windows-Rechner. Außendienst, gemeinsam verwendete Geräte oder besondere technische Anforderungen müssen deshalb bei der Planung berücksichtigt werden.
Wer ist von der Microsoft MFA Umstellung 2026 betroffen?
Besonders wichtig ist die Umstellung für Unternehmen, deren Benutzer SMS oder Sprachanrufe noch als MFA-Methode verwenden.
Benutzer, die bereits mit Passkeys, Windows Hello for Business oder anderen phishing-resistenten Verfahren arbeiten, können diese Methoden weiterhin verwenden.
Unternehmen sollten deshalb nicht pauschal davon ausgehen, dass „MFA aktiviert“ automatisch bedeutet, dass nichts zu tun ist. Entscheidend ist, welche Authentifizierungsmethode tatsächlich hinterlegt und im Alltag genutzt wird.
So solltest Du Dich auf die Microsoft MFA Umstellung 2026 vorbereiten
Für kleine und mittlere Unternehmen muss daraus kein Großprojekt werden. Wichtig ist vor allem, strukturiert vorzugehen.
- Aktuelle MFA-Methoden prüfen: Ermittle, welche Benutzer noch SMS oder Sprachanrufe verwenden.
- Benutzergruppen unterscheiden: Prüfe ob Mitarbeiter unterschiedliche Anforderungen haben, beispielsweise Büro, Außendienst oder gemeinsam genutzte Arbeitsplätze.
- Passkeys testen: Beginne mit einer kleinen Benutzergruppe und sammle praktische Erfahrungen.
- Alternative phishing-resistente Verfahren bewerten: Je nach Umgebung können auch Windows Hello for Business oder FIDO2-Sicherheitsschlüssel sinnvoll sein.
- Mitarbeiter informieren: Eine neue Anmeldemaske oder Registrierungsaufforderung sollte nicht überraschend auftauchen.
- Support einplanen: Gerade bei der ersten Einrichtung entstehen erfahrungsgemäß Rückfragen.
- Migration vor Februar 2027 abschließen: So vermeidest Du unnötige Anmeldeprobleme kurz vor dem Abschaltdatum.
Was ist mit Unternehmen, die weiterhin SMS benötigen?
Microsoft schafft SMS und Sprachanrufe nicht vollständig aus Microsoft Entra ID ab. Eingestellt wird zunächst die von Microsoft selbst bereitgestellte Telekommunikationszustellung.
Unternehmen mit einem nachvollziehbaren geschäftlichen, regulatorischen oder technischen Bedarf können zukünftig einen eigenen unterstützten Telekommunikationsanbieter über den Microsoft Security Store verwenden. Microsoft weist allerdings ausdrücklich darauf hin, dass phishing-resistente Methoden wie Passkeys bevorzugt werden sollten. Ein externer Telefonieanbieter ist deshalb eher als Lösung für begründete Sonderfälle gedacht und nicht als Empfehlung, SMS möglichst lange beizubehalten.
Informationen zu unterstützten Anbietern sollen ab dem 18. September 2026 verfügbar sein. Die Konfiguration der kundenseitig verwalteten Telefonieanbieter soll nach aktuellem Microsoft-Zeitplan ab dem 30. Oktober 2026 möglich sein.
MFA bleibt wichtig, entscheidend ist jedoch die Methode
Die aktuelle Änderung bedeutet nicht, dass Multi-Faktor-Authentifizierung überholt ist, ganz im Gegenteil. Microsoft stärkt MFA, indem schwächere Verfahren schrittweise durch modernere Authentifizierungsmethoden ersetzt werden.
Für Unternehmen ist das ein guter Anlass, die eigene Kontosicherheit insgesamt zu betrachten. Dazu gehören nicht nur die eingesetzten MFA-Verfahren, sondern auch sichere Passwörter, geschützte Administratorkonten, ein professioneller Passwortmanager und sinnvoll konfigurierte Zugriffsrichtlinien.
Wenn Du zunächst noch einmal die Grundlagen verstehen möchtest, findest Du in unserem Beitrag „MFA/2FA erklärt: So schützt Du Deine Konten wirklich“ eine verständliche Einführung in die Multi-Faktor-Authentifizierung.
Für den sicheren Umgang mit vielen unterschiedlichen Zugangsdaten lohnt sich außerdem ein Blick auf unseren Beitrag zum Passwortmanager für Selbstständige.
Wie Arminius IT bei der Microsoft MFA Umstellung unterstützt
Gerade in kleineren Unternehmen gibt es häufig keine eigene IT-Abteilung, die regelmäßig alle Änderungen in Microsoft 365 und Microsoft Entra verfolgt. Genau dadurch können technische Änderungen wie die Microsoft MFA Umstellung 2026 schnell erst dann auffallen, wenn Mitarbeiter bereits vor einer neuen Anmeldeaufforderung stehen.
Arminius IT unterstützt Dich dabei bestehende Authentifizierungsmethoden zu prüfen, geeignete sichere Anmeldeverfahren auszuwählen und die Umstellung für Deine Benutzer sinnvoll vorzubereiten.
Dabei geht es nicht darum, jede neue Microsoft-Funktion möglichst schnell zu aktivieren. Entscheidend ist, eine Lösung zu finden, welche Sicherheit und einen praktikablen Arbeitsalltag miteinander verbindet und keine zusätzliche Belastung für die Mitarbeiter schafft.
Nutzt Dein Unternehmen noch SMS für Microsoft 365?
Dann ist jetzt ein guter Zeitpunkt die vorhandenen MFA-Methoden zu prüfen und die Umstellung auf moderne, phishing-resistente Verfahren vorzubereiten.
Arminius IT unterstützt Dich bei der Prüfung und sicheren Konfiguration Deiner Microsoft-365-Umgebung.
Die Microsoft MFA Umstellung 2026 zusammengefasst
Die Microsoft MFA Umstellung 2026 ist mehr als eine kleine Änderung an der Anmeldemaske. Microsoft verabschiedet sich schrittweise von SMS und Sprachanrufen, als standardmäßig bereitgestellte MFA-Verfahren und setzt deutlich stärker auf phishing-resistente Authentifizierung.
Ab dem 1. September 2026 beginnt die automatische Aktivierung und Bewerbung von Passkeys für Benutzer, die bislang SMS oder Sprache verwenden. Am 1. Februar 2027 endet schließlich die von Microsoft bereitgestellte SMS- und Sprachauthentifizierung.
Unternehmen sollten deshalb nicht bis zur letzten Minute warten. Wer jetzt prüft, welche Methoden im eigenen Microsoft-365-Tenant tatsächlich genutzt werden, kann Passkeys oder alternative sichere Verfahren in Ruhe testen, Mitarbeiter informieren und mögliche Sonderfälle frühzeitig lösen.
Häufige Fragen zur Microsoft MFA Umstellung 2026
Nein. Ab dem 1. September 2026 beginnt Microsoft damit, Passkeys für Benutzer zu aktivieren, die bisher für SMS oder Sprachanrufe freigeschaltet sind und sie zur Registrierung aufzufordern. Die von Microsoft bereitgestellte SMS- und Sprachanruf-Zustellung wird erst am 1. Februar 2027 eingestellt.
Nach dem 1. Februar 2027 können diese Benutzer die von Microsoft bereitgestellte SMS-Zustellung nicht mehr wie bisher verwenden. Laut Microsoft müssen Benutzer, deren einzige MFA-Methode SMS oder Sprache ist, während der Anmeldung einen Passkey registrieren, bevor sie fortfahren können. Dies soll verhindern, dass ein Zugriff auf das Konto nicht mehr möglich ist.
Ja, Passkeys gelten als phishing-resistent, weil sie an den jeweiligen Dienst, beziehungsweise die Domain gebunden sind. Ein Passkey für Microsoft kann dadurch nicht einfach auf einer gefälschten Anmeldeseite verwendet werden.
Microsoft setzt Passkeys künftig als Standard und empfiehlt phishing-resistente Authentifizierung. Je nach Umgebung können jedoch auch andere phishing-resistente Verfahren wie Windows Hello for Business oder FIDO2-Sicherheitsschlüssel infrage kommen.
Technisch gesehen ja, allerdings nicht mehr über die bisherige von Microsoft bereitgestellte Telekommunikationszustellung. Unternehmen mit einem begründeten Bedarf können zukünftig einen unterstützten, selbst verwalteten Telefonieanbieter einbinden. Microsoft empfiehlt jedoch, wann immer möglich auf phishing-resistente Methoden umzusteigen.
Quellen und weiterführende Informationen
Die Informationen zu Terminen und technischen Änderungen in diesem Beitrag basieren auf den aktuellen offiziellen Veröffentlichungen von Microsoft. Da Microsoft Cloud-Dienste laufend weiterentwickelt werden, empfiehlt sich vor einer konkreten Migration zusätzlich ein Blick in die jeweils aktuelle Dokumentation.
