Microsoft blockiert SMS-Authentifizierung ab Februar 2027
Veröffentlicht am: 14.08.2026 um 10:16 Uhr | Redaktion boerse-global.de
Ein deutsches Bundesamt hat davor gewarnt, dass herkömmliche Passwörter aufgrund aktueller Sicherheitsentwicklungen in naher Zukunft ihre schützende Wirkung verlieren könnten.
Während Details zu den technologischen Hintergründen dieser Warnung noch nicht vollständig spezifiziert wurden, reagiert die IT-Wirtschaft bereits mit tiefgreifenden Änderungen an ihren Authentifizierungsverfahren. Insbesondere die bisher verbreitete Zwei-Faktor-Authentifizierung (2FA) via Kurzmitteilung gerät zunehmend unter Druck.
Microsoft blockiert SMS-Authentifizierung ab 2027
Der Softwarekonzern Microsoft stuft die SMS-basierte Identitätsprüfung inzwischen als unsicher ein. Hintergrund ist die steigende Gefahr durch KI-gestütztes Phishing. Das Unternehmen kündigte an, ab dem 1. September 2026 Entra-ID-Nutzer automatisch für die Nutzung von Passkeys freizuschalten. Eine Opt-out-Möglichkeit für diese Registrierung ist nicht vorgesehen.
Ab dem 1. Februar 2027 soll die Authentifizierung über SMS oder Sprachanrufe für diesen Nutzerkreis vollständig blockiert werden. Microsoft empfiehlt stattdessen den Einsatz von Passkeys. Für private Nutzerkonten wurde bislang noch kein verbindlicher Termin für eine entsprechende Umstellung genannt.
Schwachstellen in modernen Authentifizierungsverfahren
Trotz der Forcierung neuer Standards wie Passkeys weisen Sicherheitsforscher darauf hin, dass auch diese Systeme nicht immun gegen Angriffe sind. In jüngsten Analysen wurden drei Angriffsszenarien identifiziert.
Unter der Kennung CVE-2026-34348 wurde eine Schwachstelle dokumentiert, bei der Windows YubiKey-Signaturen im Klartext speicherte. Zudem wurde im Google Password Manager eine Lücke entdeckt, die als „Golden Pass-ta-key“ bezeichnet wird und bei der ein Geheimnis im Prozessspeicher verblieb.
Weitere Untersuchungen betrafen Windows Hello for Business, wo eine WebAuthn-Challenge für die Dauer von fünf Minuten gültig blieb. Die betroffenen Unternehmen haben laut Berichten bereits reagiert: Während Microsoft ein Update veröffentlichte, entfernte Google das entsprechende Geheimnis aus den Protokolldateien.
Angesichts der zunehmenden Schwachstellen in herkömmlichen Systemen suchen viele Nutzer nach sichereren Alternativen für ihre Online-Konten. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sofort einrichten und so Phishing-Angriffe effektiv verhindern. Was hinter der neuen Passkey-Technologie steckt
Ransomware-Risiken durch fehlende Multi-Faktor-Authentifizierung
Die Dringlichkeit verbesserter Sicherheitsmaßnahmen wird durch aktuelle Statistiken des InfoGuard CSIRT untermauert. Eine Analyse von etwa 150 Cybervorfällen aus dem ersten Halbjahr 2026 zeigt, dass Phishing mit 34 Prozent der häufigste Einfallsvektor bleibt.
In 16 Prozent der Fälle ermöglichte eine fehlende Multi-Faktor-Authentifizierung (MFA) den Zugriff. Besonders kritisch bewerten Experten den Zusammenhang bei Ransomware-Angriffen: In sechs von zehn untersuchten Fällen war keine MFA implementiert.
Auch staatliche Akteure sind zunehmend Ziel komplexer Angriffe. So wehrte Taiwan im Juli 2026 einen KI-gestützten Cyberangriff ab, bei dem Angreifer über Open-Source-KI-Agenten mindestens 85 Regierungskonten kompromittierten und über 2.500 Personalakten erbeuteten.
Technologische Innovationen und regulatorische Vorgaben
Um die Sicherheit mobiler Endgeräte zu erhöhen, setzen Hersteller auf neue Hardware-Lösungen. Das kommende iPhone Ultra soll aufgrund interner Platzbeschränkungen im nur 4,5 Millimeter dicken Gehäuse auf Touch ID statt Face ID setzen.
Ein seitlich angebrachter Fingerabdrucksensor ermögliche zudem eine größere Batteriekapazität. Huawei wiederum führt eine kollaborative Authentifizierung ein, bei der Nutzer Sprachbefehle auf dem Sperrbildschirm nutzen können, sofern verbundene Geräte wie KI-Brillen die Identität bestätigen.
Wer sich mit der Absicherung seiner digitalen Identität befasst, sollte den Umstieg auf passwortlose Verfahren in Betracht ziehen. Erfahren Sie in diesem Gratis-Leitfaden, wie Sie sich per Fingerabdruck oder Gesichtserkennung sicher anmelden und künftig auf unsichere Passwörter verzichten können. Anleitung zur passwortlosen Anmeldung kostenlos sichern
Parallel dazu treibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Umsetzung des Cyber Resilience Act (CRA) voran. Mit der Veröffentlichung der Richtlinie TR-03183 Version 1.0 wurden die Anforderungen konkretisiert. Hersteller müssen den CRA ab dem 11. Dezember 2027 verbindlich umsetzen, wobei erste Meldepflichten bereits ab dem 11. September 2026 greifen.
Ergänzend dazu werden neue KI-basierte Ansätze erprobt. Ein Anbieter stellte mit der „Zero-Key Engine“ ein Verhaltensmodell vor, das Logins durch die Analyse von über 200 Merkmalen in weniger als 0,8 Sekunden ermöglichen soll. Ziel sei es, das Sicherheitsrisiko um 90 Prozent zu reduzieren, ohne auf externe physische Schlüssel angewiesen zu sein.
