Microsoft Entra ID: SMS-Codes fürs Passwort-Reset werden ab Februar 2027 abgeschaltet

Microsoft stellt die Bereitstellung eigener SMS- und Sprachanruf-Codes für das Zurücksetzen von Passwörtern ein. Wie aus einer Mitteilung im Microsoft 365 Message Center hervorgeht, wird der hauseigene Versand entsprechender Verifizierungscodes für den Self-Service Password Reset (SSPR) in Microsoft Entra ID ab dem 1. Februar 2027 schrittweise abgeschaltet.

Die Maßnahme betrifft im ersten Schritt reguläre Unternehmenskonten, während globale Administratoren und externe Nutzer zu einem späteren Zeitpunkt folgen.

Zeitplan sieht schrittweise Abschaltung in zwei Phasen vor

Der Rollout zur Deaktivierung der Microsoft-eigenen Telekommunikationszustellung in Cloud Public Entra ID startet am 1. Februar 2027 für alle Konten mit Ausnahme von Global Admins und Gästen. Für Administratoren mit Vollzugriff sowie externe Konten greift die Abschaltung erst ab dem 1. Juli 2027.

Für beide Phasen sieht Microsoft jeweils eine Übergangsfrist von 50 Tagen vor. Während dieses Zeitfensters bleiben bereits hinterlegte SMS- und Telefonnummern funktionsfähig, neue Registrierungen für diese Übertragungswege lassen sich jedoch nicht mehr anlegen. Für Organisationen wird in der Ankündigung der 22. März 2027 als wichtiger Stichtag für erforderliche Umstellungen genannt.

Risiken für den Helpdesk und verbleibende Telefonie-Optionen

Läuft die Übergangsfrist ab, ohne dass betroffene Beschäftigte eine alternative, qualifizierende Wiederherstellungsmethode eingerichtet haben, können sie ihr Kennwort nicht mehr eigenständig zurücksetzen. In diesen Fällen bleibt nur der Rückgriff auf den internen IT-Support. Zudem weist Microsoft darauf hin, dass ein Passkey allein die formalen Anforderungen für den SSPR-Prozess derzeit nicht erfüllt.

Unternehmen, die aus betrieblichen Gründen weiterhin auf SMS oder Sprachanrufe angewiesen sind, müssen auf externe Lösungen ausweichen. Die sogenannte kundenverwaltete Telefonie (Customer-managed Telephony, CYOT) bleibt weiterhin zulässig. Entsprechende unterstützte Telefonie-Dienstleister können seit dem 30. Oktober 2026 direkt über den Microsoft Security Store angebunden werden.

Wer sich mit den neuen Sicherheitsstandards bei Microsoft befasst, sollte auch die grundlegende Absicherung seiner Konten überdenken. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Microsoft oder WhatsApp sofort einrichten und so Phishing keine Chance mehr lassen. Passkey-Ratgeber jetzt kostenlos herunterladen

Umstieg auf Passkeys als phishing-resistente Alternative

Hintergrund des Schritts sind wachsende Sicherheitsrisiken bei traditionellen Authentifizierungsverfahren. Daten von Microsoft Threat Intelligence belegen, dass Angriffe mit KI-Unterstützung inzwischen Klickraten von bis zu 54 Prozent verzeichnen, während herkömmliche Kampagnen bei 12 Prozent liegen.

Microsoft stuft Passkeys als phishing-resistente Referenzmethode ein und hat diese bereits zum 1. September 2026 zur Standard-Authentifizierung für Nutzer erklärt, die zuvor für SMS oder Sprachanrufe freigeschaltet waren.

Zusätzlich passt das Unternehmen die Registrierungsprozesse an. Konnten Passkeys bisher nur nach vorheriger Nutzung einer anderen MFA-Methode oder eines Temporary Access Pass hinterlegt werden, wird die direkte Erstanmeldung schrittweise freigeschaltet.

Angesichts steigender Cyberrisiken durch KI-gestützte Angriffe gewinnt die passwortlose Anmeldung zunehmend an Bedeutung. Erfahren Sie in diesem Gratis-Leitfaden, wie Sie die neue Technologie nutzen, um Ihre digitalen Zugänge sicher und ohne Passwort-Stress zu verwalten. Kostenlosen Passkey-Report hier anfordern

Der erste Abschnitt dieses Rollouts läuft von Anfang November 2026 bis Anfang Januar 2027 und umfasst synchronisierte Passkeys, Entra-Passkeys unter Windows sowie FIDO2-Sicherheitsschlüssel.

Zwischen Anfang Januar 2027 und Ende Februar 2027 folgen Lösungen über Windows Hello for Business, macOS Platform SSO sowie den Microsoft Authenticator. IT-Verantwortlichen wird empfohlen, betroffene Konten frühzeitig zu erfassen und Richtlinien für den bedingten Zugriff anzupassen.