Microsoft schaltet SMS-Codes ab, Passkeys werden Standard

Wer sich mit einem Microsoft-365-Geschäftskonto anmeldet und den zweiten Faktor bisher per SMS bekam, sieht seit dem 1. September 2026 bei der Anmeldung eine Aufforderung, einen Passkey einzurichten. Das ist kein Fehler und keine Phishing-Seite. Microsoft macht Passkeys in Entra ID zur Standardmethode und stellt die eigene SMS- und Anrufbestätigung zum 1. Februar 2027 für normale Nutzer ein, zum 1. Juli 2027 für Administratoren und externe Nutzer. Nach dem Stichtag ist die Passkey-Einrichtung bei der Anmeldung verpflichtend; einen Ausweg gibt es nur über einen selbst bezahlten SMS-Anbieter. Die Daten stehen in der Dokumentation von Microsoft, Stand 16. September 2026.

Warum SMS-Codes nicht mehr reichen

Ein SMS-Code schützt gegen ein gestohlenes Passwort, aber nicht gegen eine gefälschte Anmeldeseite. Der Angreifer legt eine Kopie der Microsoft-Anmeldung an, schickt Ihnen einen Link, Sie geben Passwort und den per SMS erhaltenen Code ein, und der Angreifer reicht beides in Echtzeit an Microsoft weiter. Der Code ist dann sechzig Sekunden lang gültig, und das reicht. Dazu kommt der Wechsel der SIM-Karte auf den Namen des Opfers beim Mobilfunkanbieter, was in Deutschland regelmäßig vorkommt.

Ein Passkey ist ein Schlüsselpaar, das auf dem Gerät erzeugt wird und an die Adresse der Website gebunden ist. Die gefälschte Seite hat eine andere Adresse, also gibt das Gerät den Schlüssel nicht heraus. Es gibt nichts, das man abtippen und weiterreichen könnte. Das BSI empfiehlt Passkeys seit Oktober 2024 und hat im Januar 2026 noch einmal nachgelegt: Statt Passwörter routinemäßig zu wechseln, solle man prüfen, welche Konten Passkeys anbieten, und dort umstellen. Die Erklärung für Laien steht auf der Seite des BSI.

Welche Konten in einem kleinen Betrieb betroffen sind

Bei Microsoft geht es um jedes Konto, das E-Mails, Teams oder OneDrive nutzt. Die Umstellung geschieht dort, ob man will oder nicht, und wer sie bis Februar ignoriert, steht an einem Montagmorgen ohne Zugang zum Postfach da. Das ist der dringende Teil. Der wichtigere Teil sind die Konten, an denen Ihre Website hängt: Google Unternehmensprofil, Domain-Registrar, Hosting, das CMS, der Zahlungsanbieter. Wer eines davon verliert, verliert die Erreichbarkeit des Betriebs, und diese Anbieter zwingen niemanden zu Passkeys. Google, Apple, Amazon, PayPal, GitHub und die meisten deutschen Registrare bieten sie an. Man muss es nur einschalten.

Was Sie in dieser Woche tun sollten

• Melden Sie sich bei Microsoft 365 an, folgen Sie der Aufforderung und richten Sie den Passkey auf dem Gerät ein, das Sie täglich nutzen. Windows Hello, Face ID oder Fingerabdruck übernehmen die Bestätigung. Dauer: zwei Minuten.
• Richten Sie einen zweiten Passkey auf einem anderen Gerät ein, etwa dem privaten Handy oder einem Hardware-Schlüssel, der im Safe liegt. Ein Gerät kann verloren gehen. Bei Apple- und Google-Konten werden Passkeys ohnehin über die Cloud synchronisiert, bei Hardware-Schlüsseln nicht.
• Öffnen Sie das Google Unternehmensprofil und den Domain-Registrar und aktivieren Sie dort Passkeys oder mindestens eine Authentifizierungs-App. SMS als einziger zweiter Faktor sollte bei keinem dieser Konten mehr stehen.
• Schreiben Sie auf, wer im Betrieb Zugang zu welchem Konto hat, und wo der Ersatzschlüssel liegt. Nicht in einer E-Mail, sondern in einem Passwortmanager oder auf Papier im Safe.
• Wenn ein Mitarbeiter geht, entziehen Sie den Zugang am selben Tag. Mit Passkeys geht das je Gerät, ohne dass alle anderen ein neues Passwort brauchen.

Passwortmanager wie Bitwarden, 1Password oder der in Apple und Google eingebaute speichern Passkeys inzwischen mit und gleichen sie zwischen Geräten ab. Wer bereits einen nutzt, muss nichts umstellen. Wer noch keinen hat, hat jetzt zwei Gründe für einen.

Der Zugang zum Studio von UnifiedCMS läuft heute über Passwort und E-Mail-Adresse. Für die Konten, die dieser Beitrag beschreibt, braucht es uns nicht. Die Einstellung liegt beim jeweiligen Anbieter, und sie ist in einer Kaffeepause erledigt.