Entra ID: Microsoft macht Passkeys zur Pflicht ab September
Veröffentlicht am: 17.07.2026 um 06:34 Uhr | Redaktion boerse-global.de
Ab September wird der Passkey zur Standard-Authentifizierung bei Microsofts Entra ID – SMS und Sprachcodes werden bis Februar 2027 komplett abgeschafft.
Der Schritt ist radikal, aber längst überfällig. Microsoft kündigte heute an, dass Passkeys ab dem 1. September 2026 zur Standard-Authentifizierungsmethode für Entra ID werden. Die klassische SMS- und sprachgestützte Authentifizierung folgt dann zum 1. Februar 2027 – endgültig.
Warum Microsoft den Stecker zieht
Der Grund liegt auf der Hand: KI-gestützte Phishing-Angriffe werden immer gefährlicher. Branchenzahlen zeigen, dass KI-Phishing-Kampagnen mittlerweile eine Klickrate von 54 Prozent erreichen. Herkömmliche Codes per SMS oder Anruf sind gegen solche Angriffe machtlos.
Passkeys setzen dagegen auf Public-Key-Kryptographie – ein System, das sich gegen Phishing-Angriffe als resistent erwiesen hat. Nutzer werden künftig automatisch für Passkeys aktiviert und bei der nächsten MFA-Abfrage zur Registrierung aufgefordert.
Angesichts von Millionen gehackter Konten pro Quartal wird die herkömmliche Passwort-Anmeldung zunehmend zum Sicherheitsrisiko. Wie Sie die neue, phishing-resistente Technologie für Ihre wichtigsten Dienste nutzen, erfahren Sie in diesem Ratgeber. Passkey-Leitfaden für Amazon, Microsoft und Co. kostenlos anfordern
Drittanbieter willkommen – aber nicht mehr lange
Microsoft setzt zwar auf die eigene Lösung, öffnet aber die Tür für Drittanbieter. Ab dem 30. Oktober 2026 können Unternehmen über den Microsoft Security Store auch alternative Passkey-Anbieter nutzen.
Doch eines ist klar: Nach Februar 2027 gibt es kein Zurück mehr. Microsoft wird dann keinen Opt-out mehr für SMS oder Sprachcodes anbieten. Wer bis dahin nicht umgestellt hat, steht ohne Authentifizierungsmöglichkeit da.
Großunternehmen im Fokus: Die API-Lösung
Für Konzerne mit Tausenden Mitarbeitern hat Microsoft vorgesorgt. Über die Passkey Provisioning API in Microsoft Graph können Administratoren Passkeys direkt an Mitarbeiter ausgeben – ohne dass jeder selbst Hand anlegen muss.
Partner wie HYPR bieten zusätzliche Identitätsprüfung und Lebenszyklus-Management für diese API-gesteuerte Bereitstellung. Branchenanalysten von Forrester raten Unternehmen, sofort mit der Umstellung zu beginnen: Bestandsaufnahme der aktuellen Methoden, Priorisierung von Hochrisikogruppen wie Administratorkonten und eine schrittweise Migrationsstrategie.
Während Microsoft die Authentifizierung modernisiert, setzen Cyberkriminelle bereits auf neue psychologische Tricks, um Sicherheitsbarrieren zu umgehen. Dieser kostenlose Expertenreport enthüllt die aktuellen Methoden der Hacker und zeigt, wie Sie Ihr Unternehmen effektiv schützen. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen
Die Schattenseite: Neue Angriffswelle auf Passkeys
Während Unternehmen auf Passkeys umstellen, haben Angreifer längst umgeschaltet. Eine als O-UNC-066 (auch „Pink") bekannte Gruppe führt seit April 2026 Vishing-Kampagnen durch – also Phishing per Telefon.
Die Masche: Kriminelle rufen Mitarbeiter an und locken sie auf gefälschte Microsoft-365-Passkey-Registrierungsseiten. Betroffen sind Technologie, Gesundheitswesen, Automobilindustrie, Baugewerbe, Luftfahrt und Lebensmittelbranche. Ziel: Daten- und Finanzerpressung.
Windows 11: Neue SSO-Kontrollen für Europa
Parallel zur Passkey-Offensive hat Microsoft neue Administrativeinstellungen für Single Sign-On (SSO) in Windows 11 eingeführt. Die Juli-2026-Kumulativupdates (KB5094126 oder KB5101650) für die Versionen 24H2 und 25H2 enthalten eine neue Registry-Richtlinie namens „AutoAcceptSsoPermission".
Administratoren können damit SSO-Zustimmungsdialoge automatisch verwalten – ohne dass jeder Nutzer einzeln bestätigen muss. Die Änderung ist auch eine Reaktion auf den Digital Markets Act (DMA) der EU, der Anpassungen bei der Anmeldung zu Onlinediensten verlangt. Die Einstellungen lassen sich über Gruppenrichtlinien, Intune oder Mobile Device Management verteilen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
