Microsoft Entra ID: SMS und Sprachanrufe enden ab 1. Februar 2027 – Umstellung für Mitarbeiterkonten planen

Microsoft stellt ab dem 1. Februar 2027 die eigene SMS-⁠ und Sprachanruf-⁠Zustellung für Entra-ID-Workforce-Mandanten ein. Wer diese Wege noch für die Mehr-Faktor-Authentifizierung nutzt, sollte rechtzeitig einen anderen unterstützten Anmeldeweg bereitstellen; Kundenidentitäten in Azure AD B2C und Microsoft Entra External ID sind nicht betroffen.

Die Änderung betrifft die Anmeldung von Beschäftigten

Der Stichtag gilt nicht pauschal für alle Identitäten, die mit Microsoft Entra ID verwaltet werden. Betroffen sind Workforce-⁠Mandanten, also Anmeldeszenarien für Mitarbeiterkonten. Die Kundenidentitätsdienste Azure AD B2C und Microsoft Entra External ID nimmt Microsoft ausdrücklich aus.

Ebenfalls wichtig ist die genaue Reichweite der Änderung: Microsoft beendet die eigene Bereitstellung von SMS und Sprachanrufen als native Entra-⁠Funktion. Das ist nicht gleichbedeutend damit, dass jede telefonbasierte Authentifizierung unmöglich wird. Organisationen, die SMS oder Sprachanrufe weiter benötigen, können dafür einen kundeneigenen Telekommunikationsanbieter über den Microsoft Security Store konfigurieren. Das ist ein eigener Umstellungsweg, nicht die unveränderte Fortsetzung der bisherigen Microsoft-⁠Zustellung.

Microsoft begründet den Wechsel mit Risiken durch Phishing und SIM-⁠Swap-⁠Angriffe und empfiehlt Passkeys als phishing-⁠resistente Alternative. Die Ankündigung ist daher nicht nur eine technische Änderung am Versandweg. Sie zwingt Unternehmen dazu, zu prüfen, welche Anmeldeverfahren für ihre Beschäftigten tatsächlich verfügbar und eingerichtet sind.

Die Passkey-⁠Einführung ersetzt keine abgeschlossene Registrierung

Der Rollout von Passkeys als standardmäßiger Anmeldeerfahrung für Entra ID begann im September. Nutzer, für die SMS oder Sprachanrufe aktiviert sind, werden dabei automatisch auch für Passkeys aktiviert. Bei ihrer nächsten Mehr-⁠Faktor-⁠Anmeldung sollen sie aufgefordert werden, einen Passkey zu registrieren.

Das ist ein Übergang, aber keine Garantie, dass alle betroffenen Personen bereits einen verwendbaren Passkey eingerichtet haben. Die Aufforderung erscheint beim nächsten entsprechenden Anmeldevorgang. Beschäftigte, die selten interaktiv anmelden, könnten deshalb erst spät mit dem Registrierungsschritt in Berührung kommen. Planen Sie die Umstellung nicht allein anhand der aktivierten Kontoeinstellung.

Sinnvoll ist ein Pilot mit repräsentativen Nutzergruppen. Prüfen Sie dabei den tatsächlichen Ablauf aus Sicht der Beschäftigten: Können sie die Registrierung abschließen und sich anschließend mit dem neuen Verfahren anmelden? Klären Sie außerdem, wer bei Problemen unterstützt und wie Nutzer vor dem Wechsel informiert werden. So wird aus einer zentral aktivierten Funktion ein nutzbarer Anmeldeweg.

Erst die betroffenen Konten finden, dann den Ersatz festlegen

Für die Bestandsaufnahme nennt Microsoft das Entra SMS/Voice Policy Scanner PowerShell-⁠Skript. Ausführen können es Administratoren mit der Rolle Authentication Policy Administrator, Global Reader oder Security Reader. Damit lässt sich gezielt nach Nutzern suchen, die SMS oder Sprachanrufe verwenden, statt die Umstellung nur aus einer allgemeinen Richtlinie abzuleiten.

Microsoft nennt Passkeys, QR-⁠Code-⁠Anmeldung, FIDO2-⁠Sicherheitsschlüssel und weitere in Entra ID unterstützte Methoden als mögliche Alternativen. Die Auswahl sollte zum konkreten Anmeldeablauf der jeweiligen Nutzer passen. Passkeys sind Microsofts Empfehlung für einen stärkeren Schutz vor Phishing; die übrigen unterstützten Wege sollten Sie nicht ungeprüft als gleichwertig behandeln, sondern anhand Ihrer Anforderungen und der verfügbaren Einrichtung bewerten.

Nehmen Sie auch Konten in den Blick, deren Nutzer selten anmelden oder die in Sonderabläufen verwendet werden. Entscheidend ist nicht nur, ob eine Methode im Mandanten eingeschaltet ist. Entscheidend ist, ob der betroffene Nutzer sie vor dem Wegfall der bisherigen SMS-⁠ oder Sprachanruf-⁠Zustellung registriert hat und damit anmelden kann.

Telefonbasierte Anmeldung braucht eine bewusste Ausnahme

Wenn ein Teil der Organisation weiterhin auf Telefonie angewiesen ist, sieht Microsoft dafür die Konfiguration eines Drittanbieters über den Microsoft Security Store vor. Diese Möglichkeit sollte als gezielte Ausnahme geplant werden. Erfassen Sie, für welche Nutzergruppen sie gebraucht wird, und prüfen Sie den Ablauf mit dem gewählten Anbieter, bevor die Microsoft-⁠eigene Zustellung endet.

Eine pauschale Weiterführung von SMS für alle ist keine belastbare Migrationsplanung. Sie vermischt den Wechsel auf andere Anmeldeverfahren mit dem Sonderfall, in dem Telefonie vorerst erforderlich bleibt. Trennen Sie diese Entscheidungen: Legen Sie für die Mehrheit einen passenden unterstützten Weg fest und behandeln Sie verbleibende Telefoniebedarfe ausdrücklich.

Der Stichtag gehört in den Umstellungsplan

Beginnen Sie mit dem Scanner, ordnen Sie die gefundenen Nutzergruppen passenden Anmeldeverfahren zu und testen Sie Registrierung sowie Anmeldung vor dem Stichtag. Berücksichtigen Sie dabei, dass Microsoft die eigene SMS-⁠ und Sprachanruf-⁠Zustellung ab dem 1. Februar 2027 zurückzieht.

Planen Sie die Migration nach tatsächlich verwendeten Anmeldewegen und abgeschlossenen Registrierungen, nicht allein nach aktivierten Einstellungen.

Quellen: BleepingComputer, „Microsoft urges Entra ID admins to migrate users to passkeys“ (https://www.bleepingcomputer.com/news/microsoft/microsoft-reminds-entra-id-admins-to-migrate-users-to-passkeys/)