Wer sich heute mit einem Code aus dem SMS anmeldet, kennt den Ablauf: Passwort eingeben, warten, Nachricht öffnen, sechs Ziffern abtippen. Diese Methode galt jahrelang als solider zweiter Faktor. Heute ist sie es nicht mehr. Nachrichten lassen sich abfangen oder umleiten, Rufnummern über SIM-Swapping übernehmen, und am Telefon greift Social Engineering besonders gut.
Microsoft zieht daraus die Konsequenz und stellt die eigene Zustellung von SMS und Anrufen ein. An ihre Stelle tritt der Passkey. Für Unternehmen bedeutet das keinen akuten Notfall, aber einen Termin, der sich nicht verschieben lässt.
Die gute Nachricht vorweg
Ein grosser Teil der Mitarbeitenden in Schweizer KMU meldet sich längst über die Microsoft Authenticator App an. Für diese Personen ändert sich im Arbeitsalltag wenig. Sie sind schon heute gut aufgestellt und können der Umstellung entspannt entgegensehen.
Eine Einschränkung gehört dazu, und sie wird häufig übersehen: Massgebend ist nicht, wie sich jemand tatsächlich anmeldet, sondern welche Methoden im Tenant (also der Microsoft-Umgebung des Unternehmens) überhaupt freigegeben sind. Ist SMS oder Telefonanruf in der Authentifizierungsmethoden-Richtlinie von Microsoft Entra ID weiterhin aktiviert, fällt ein Konto auch dann in die Umstellung, wenn im Alltag nur die Authenticator App zum Einsatz kommt.
Was Passkeys sind und warum sie sicherer sind
Kurz gesagt: der moderne, sicherere Ersatz für Passwörter und SMS-Codes. Statt einen Code abzutippen, bestätigen Sie die Anmeldung mit dem, was Ihr Smartphone, Ihr Notebook oder Ihr Tablet ohnehin schon entsperrt. Also mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN.
Technisch beruhen Passkeys auf dem FIDO2-Standard. Anstelle eines gemeinsamen Geheimnisses, das übertragen und damit abgefangen werden kann, kommt ein kryptografisches Schlüsselpaar zum Einsatz. Der private Schlüssel verlässt das Gerät nie, und der Passkey ist an die richtige Adresse gebunden. Auf einer gefälschten Anmeldeseite funktioniert er deshalb gar nicht. Genau darin liegt der Unterschied zu jedem Einmalcode, den man weitergeben kann.
Zwei Arten von Passkeys
- Synchronisierte Passkeys liegen in einem Anmeldedienst oder Passwort-Manager, etwa in der Passwörter App von Apple, im Google Password Manager oder in 1Password. Sie stehen auf allen Geräten zur Verfügung.
- Gerätegebundene Passkeys entstehen und bleiben auf einem bestimmten Gerät, zum Beispiel als Passkey in der Microsoft Authenticator App, über Windows Hello oder auf einem FIDO2-Sicherheitsschlüssel.
Wen die Umstellung direkt betrifft
Betroffen sind vor allem Konten, die sich bei Microsoft 365 (https://semas.ch/microsoft-365/) oder Microsoft Entra ID heute noch per SMS-Code oder Telefonanruf für die Zwei-Faktor-Authentifizierung (MFA) anmelden. Wer bereits einen Passkey, Windows Hello for Business oder eine andere phishing-resistente Methode nutzt, kann dabei bleiben.
Typische Fehleinschätzungen
- ⚠️ Wir nutzen alle die Authenticator App.» Entscheidend ist die Freigabe im Tenant, nicht die Gewohnheit der Mitarbeitenden.
- ⚠️ Die Aufforderung lässt sich ja wegklicken.» Bis Februar 2027 stimmt das. Danach nicht mehr.
- ⚠️ Betroffen sind nur einzelne Personen.» Häufig hängen genau die Konten an SMS, die selten am Arbeitsplatz sitzen: Aussendienst, Geschäftsleitung, externe Mitarbeitende.
- ⚠️ SMS bleibt uns als Notfallmethode.» Fällt SMS weg, fällt auch der Rückfallweg weg, wenn kein zweiter registriert ist.
Umstellung auf Passkeys: fünf Schritte
Ein akuter Handlungsbedarf besteht nicht. Es lohnt sich aber, nicht bis zur letzten Minute zu warten. Sinnvoll ist es, die Umstellung mit der übrigen IT-Sicherheit (https://semas.ch/it-sicherheit/) zu verbinden. Wer weiss, welche Konten besonders schützenswert sind, weiss auch, wo die Umstellung zuerst greifen soll.
1. Bestand aufnehmen
Microsoft stellt ein PowerShell-Skript bereit, das zeigt, welche Konten im Tenant noch für SMS oder Anruf freigegeben sind. Ohne diese Liste bleibt die Planung eine Vermutung. Häufig ist die Zahl höher als erwartet, weil alte Freigaben nie zurückgenommen wurden.
2. Passkeys freigeben
Passkey (FIDO2) als Authentifizierungsmethode in Entra ID aktivieren und die betroffenen Konten einer passkey-fähigen Richtlinie zuordnen. Erst danach ist eine gesteuerte Registrierung überhaupt möglich.
3. Registrierung aktiv steuern
Eine Registrierungskampagne fordert die Mitarbeitenden direkt beim Login zur Einrichtung auf. Das wirkt deutlich besser als eine einmalige E-Mail und hält den Supportaufwand tief. Sinnvoll ist es, mit den kritischen Rollen zu beginnen: Geschäftsleitung, Finanzen und Konten mit erweiterten Berechtigungen.
4. Wiederherstellung mitdenken
Prüfen, welche Methoden für die Passwortzurücksetzung und für Notfälle hinterlegt sind. Fällt SMS weg, sollte pro Konto mehr als eine Methode registriert sein, etwa ein zweites Gerät oder ein Sicherheitsschlüssel. Sonst verlagert sich das Problem nur vom Login zum Helpdesk.
5. Frühzeitig kommunizieren
Erst informieren, was sich ändert und warum. Dann konkret anleiten, wie die Registrierung je Gerätetyp funktioniert. Und danach an die erinnern, die noch offen sind. Microsoft stellt für alle drei Schritte Vorlagen bereit. Eine gute Kommunikation ist der beste Indikator für eine reibungslose Umstellung.
Was Mitarbeitende wissen müssen
Schlägt Microsoft beim nächsten Login vor, einen Passkey einzurichten, nehmen Sie die Option am besten gleich an. Das dauert wenige Klicks und Sie sind startklar. Wer die Aufforderung wegklickt, sieht sie später wieder. Ab dem 1. Februar 2027 lässt sie sich nicht mehr überspringen.
Wenn SMS oder Anruf zwingend bleiben muss
Es gibt Konstellationen, in denen ein Kanal ausserhalb der eigenen Systeme regulatorisch vorgeschrieben oder betrieblich notwendig ist. Für diese Fälle können Unternehmen über den Microsoft Security Store einen eigenen Telekom-Anbieter beziehen. Die Kosten fallen pro Nachricht an und hängen von Anbieter, Region und Volumen ab. Die Migration auf Passkeys selbst verursacht keine zusätzlichen Lizenzkosten.
Wer mehr Zeit für die Umstellung braucht, kann die automatische Passkey-Aktivierung befristet aussetzen. Das ist über die Authentifizierungsmethoden-Richtlinie in Microsoft Graph möglich und gilt nur bis zum 1. Februar 2027.
Beide Wege gehören zu den Ausnahmen, nicht zur Regel. Ein zusätzlicher Anbieter bedeutet Vertrag, Kosten und laufenden Betrieb für eine Methode, die Microsoft als nicht mehr ausreichend sicher einstuft. Wer diesen Weg prüft, sollte den Grund dokumentieren können.
Ja. Ein Code kann abgetippt und damit auf einer gefälschten Seite weitergegeben werden. Ein Passkey nicht, weil er an die richtige Adresse gebunden ist und den privaten Schlüssel niemals herausgibt.
Fazit: eine Umstellung, die sich lohnt
Der Wechsel von SMS-Codes zu Passkeys ist keine Pflichtübung ohne Nutzen. Er entfernt den schwächsten Punkt in vielen MFA-Setups und macht die Anmeldung gleichzeitig schneller. Wer den Bestand jetzt aufnimmt, Passkeys freigibt und die Mitarbeitenden früh mitnimmt, hat die Umstellung erledigt, bevor sie im Februar 2027 zur Bedingung wird. Wer wartet, riskiert blockierte Anmeldungen genau dann, wenn gearbeitet werden soll.
Wie weiter?
Sie wissen nicht genau, welche Konten in Ihrem Unternehmen noch von SMS oder Telefonanruf abhängen? Wir nehmen Ihre Authentifizierungsmethoden auf, zeigen die Lücken und begleiten die Einführung samt Kommunikation an die Mitarbeitenden. Nehmen Sie mit uns Kontakt auf für ein unverbindliches Erstgespräch.
Wir sind für Sie da!
Für weitere Informationen oder ein unverbindliches, Beratungsgespräch nehmen Sie bitte direkt Kontakt mit uns auf. WIR SIND FÜR SIE DA.
KONTAKTIEREN SIE UNS JETZT
