Microsoft Passkeys 2026: Was Unternehmen bei Microsoft 365 und Entra ID jetzt ändern müssen

Warum Microsoft Passkeys jetzt zum Standard macht

Passwörter und SMS-Codes haben Unternehmen über Jahre begleitet, sind aber nicht gegen jede moderne Phishing-Methode robust. Angreifer können Anmeldeseiten täuschend echt nachbauen, Passwörter abgreifen und in manchen Szenarien auch Einmalcodes in Echtzeit weiterleiten. Passkeys setzen an einem anderen Punkt an: Die Anmeldung ist kryptografisch an die echte Website beziehungsweise den Dienst gebunden.

Microsoft beschreibt Passkeys deshalb als Teil des Wechsels zu phishingresistenter Authentifizierung. Für Microsoft-365-Umgebungen bedeutet das nicht, dass von heute auf morgen jedes Passwort verschwindet. Es bedeutet aber, dass Unternehmen ihre bisherige MFA-Strategie prüfen sollten: Wer nutzt noch SMS? Welche Benutzer haben bereits Windows Hello for Business? Wo werden FIDO2-Sicherheitsschlüssel benötigt? Und welche Sonderfälle gibt es?

Der Microsoft-Zeitplan: September 2026 bis Februar 2027

Seit 1. September 2026 werden Benutzer, die in Entra ID für SMS oder Sprachanrufe aktiviert sind, automatisch für Passkeys aktiviert und bei geeigneten Anmeldungen zur Registrierung angestoßen. Microsoft setzt damit den Migrationsprozess praktisch in Gang.

Am 1. Februar 2027 wird die von Microsoft bereitgestellte Zustellung von SMS- und Sprachcodes in Entra ID eingestellt. Organisationen, die aus regulatorischen, technischen oder betrieblichen Gründen weiterhin Telefonie benötigen, können auf kundenseitig verwaltete Anbieter setzen. Microsoft empfiehlt jedoch, wo immer möglich auf phishingresistente Methoden wie Passkeys, Windows Hello oder FIDO2 umzusteigen.

Den offiziellen Zeitplan und die jeweils aktuellen Hinweise veröffentlicht Microsoft in der Dokumentation zu Passkeys und dem Ende von SMS/Voice in Entra ID.

Was ist ein Passkey – einfach erklärt?

Ein Passkey ersetzt das klassische Geheimnis, das Benutzer eintippen und ein Angreifer kopieren könnte, durch ein kryptografisches Schlüsselpaar. Der private Schlüssel bleibt auf dem Gerät oder in einem geschützten Passkey-Speicher. Der Dienst erhält nur den öffentlichen Teil. Beim Anmelden wird kryptografisch nachgewiesen, dass der Benutzer den passenden privaten Schlüssel besitzt.

Der praktische Vorteil: Ein Passkey funktioniert nur für den Dienst, für den er erstellt wurde. Eine gefälschte Microsoft-Anmeldeseite kann den Schlüssel deshalb nicht einfach übernehmen. Genau diese Bindung an den echten Dienst macht Passkeys deutlich robuster gegen klassische Phishing-Angriffe und sogenannte Adversary-in-the-Middle-Szenarien.

Windows Hello, FIDO2-Key oder synchronisierter Passkey?

Im Unternehmensalltag gibt es nicht nur eine einzige Passkey-Variante. Welche Methode passt, hängt von Geräten, Rollen und Sicherheitsanforderungen ab.

• Windows Hello for Business: Besonders sinnvoll auf verwalteten Windows-Geräten. Die Anmeldung kann mit PIN oder Biometrie erfolgen, ohne dass das eigentliche Anmeldegeheimnis den Rechner verlässt.
• FIDO2-Sicherheitsschlüssel: Physische Schlüssel eignen sich für besonders sensible Konten, Administratoren, gemeinsam genutzte Arbeitsplätze oder als definierter Backup-Weg.
• Gerätegebundene Passkeys: Der Schlüssel bleibt an ein bestimmtes Gerät gebunden und ist dadurch gut kontrollierbar.
• Synchronisierte Passkeys: Können über einen unterstützten Passkey-Anbieter auf mehreren Geräten verfügbar sein. Hier sollten Unternehmen genau prüfen, welche Anbieter und Gerätekategorien erlaubt sein sollen.

Entscheidend ist deshalb nicht nur „Passkeys einschalten“, sondern eine Authentifizierungsstrategie: Welche Benutzergruppe bekommt welche Methode und welchen Wiederherstellungsweg?

So sollten Unternehmen die Umstellung vorbereiten

1. Bestand aufnehmen

Prüfen Sie zuerst, welche Authentifizierungsmethoden im Tenant tatsächlich verwendet werden. Besonders wichtig sind Benutzer, deren einziger zweiter Faktor SMS oder Sprachanruf ist. Ebenso sollten alte Konten, Gäste, Servicekonten und privilegierte Administratoren separat betrachtet werden.

2. Zielgruppen definieren

Ein Pilot mit IT, Power-Usern und ausgewählten Fachbereichen reduziert Risiken. Administratoren können einen strengeren Standard erhalten als normale Benutzer. Außendienst, Produktion oder gemeinsam genutzte Geräte brauchen gegebenenfalls andere Verfahren als klassische Büroarbeitsplätze.

3. Geräte und Richtlinien prüfen

Passkeys funktionieren am besten, wenn Endgeräte, Browser, Betriebssysteme und Entra-Richtlinien zusammenpassen. Bei Windows-Arbeitsplätzen ist außerdem zu prüfen, ob Windows Hello for Business bereits sauber ausgerollt ist.

4. Kommunikation vorbereiten

Der technische Teil ist nur die Hälfte des Projekts. Benutzer müssen wissen, was sich beim nächsten Login verändert, warum eine Registrierung erscheint und an wen sie sich bei einem Gerätewechsel wenden können.

Praxis: Ein sinnvoller Passkey-Rollout in fünf Schritten

1. Analyse: Aktive SMS-/Voice-Nutzer und Authentifizierungsmethoden erfassen.
2. Pilot: Passkeys mit einer kleinen Benutzergruppe testen.
3. Recovery: Verlust von Smartphone, Notebook oder Sicherheitsschlüssel durchspielen.
4. Rollout: Benutzergruppen stufenweise migrieren und Supportkapazität einplanen.
5. Bereinigung: Nicht mehr benötigte SMS-/Voice-Methoden und alte Registrierungen entfernen.

Microsoft stellt zusätzlich eine FAQ zur Umstellung bereit. Gerade für Sonderfälle wie externe Benutzer, Telefonieanbieter oder die Frage nach möglichen Anmeldeunterbrechungen lohnt sich ein Blick in die offizielle Entra-ID-FAQ.

Typische Fehler bei der Passkey-Einführung

• Alle Benutzer gleichzeitig umstellen: Das erzeugt unnötig viele Supportfälle und erschwert die Fehlersuche.
• Nur die Technik betrachten: Ohne verständliche Nutzerkommunikation wird selbst eine gute Sicherheitslösung zum Frustthema.
• Keinen Notfallweg planen: Geräte gehen verloren, werden ersetzt oder sind defekt. Recovery muss vorher getestet sein.
• Administratoren wie Standardnutzer behandeln: Privilegierte Konten benötigen besonders robuste und getrennte Anmeldewege.
• Alte Methoden dauerhaft offenlassen: Wenn unsichere Verfahren unbegrenzt parallel bestehen bleiben, sinkt der Sicherheitsgewinn.

Notfallzugänge und Administratoren nicht vergessen

Bei jeder Änderung an der Authentifizierung muss geklärt sein, wie das Unternehmen im Störungsfall handlungsfähig bleibt. Dazu gehören dokumentierte Break-Glass-Konten, kontrollierte FIDO2-Schlüssel, sichere Aufbewahrung, klar definierte Verantwortlichkeiten und regelmäßige Funktionstests.

Besonders kritisch ist, dass Notfallkonten nicht unbemerkt zu normalen Arbeitskonten werden. Sie sollten ausschließlich für definierte Ausnahmesituationen existieren und entsprechend überwacht werden. Gleichzeitig darf die Wiederherstellung eines normalen Benutzers nicht davon abhängen, dass genau das verlorene Gerät zur Bestätigung benötigt wird.

Was Unternehmen jetzt konkret tun sollten

• Aktive SMS- und Voice-Nutzer im Entra-Tenant identifizieren.
• Windows Hello for Business, FIDO2 und Passkey-Richtlinien bewerten.
• Pilotgruppe festlegen und echte Alltagsszenarien testen.
• Recovery und Gerätewechsel dokumentieren.
• Administratorkonten separat absichern.
• Benutzerkommunikation vor dem Rollout vorbereiten.
• Spätestens vor dem 1. Februar 2027 einen belastbaren Zielzustand erreichen.

Fazit: Passkeys sind kein Feature-Schalter, sondern ein Authentifizierungsprojekt

Die Microsoft-Umstellung ist eine gute Gelegenheit, die gesamte Anmeldung in Microsoft 365 und Entra ID zu modernisieren. Unternehmen sollten nicht lediglich SMS durch einen neuen Button ersetzen, sondern Benutzergruppen, Geräte, Recovery, privilegierte Konten und Richtlinien als Ganzes betrachten.

büKOM Systemhaus GmbH unterstützt Unternehmen bei Microsoft 365, Entra ID, MFA, Passkeys, Windows Hello for Business und der technischen Vorbereitung eines kontrollierten Rollouts. Ziel ist eine Anmeldung, die für Benutzer praktikabel bleibt und gleichzeitig deutlich widerstandsfähiger gegen Phishing wird.