In einer Mitteilung im Message Center von Microsoft 365 erklärte das Unternehmen am Dienstag: „Die von Microsoft bereitgestellte SMS- und Sprachauthentifizierung wird ab dem 1. Februar 2027 eingestellt. Schließen Sie Ihre Migration ab, bevor die Umstellung beginnt, um das Anmeldeerlebnis Ihrer Nutzer nicht zu unterbrechen."

Zur Begründung verweist Microsoft auf die Anfälligkeit der Verfahren: „SMS und Sprachanrufe sind anfällig für Phishing und SIM-Swap-Angriffe. Microsoft empfiehlt Passkeys für einen stärkeren, phishing-resistenten Schutz. Sie können auch zu einer anderen unterstützten Authentifizierungsmethode migrieren oder SMS und Sprachanrufe beibehalten, indem Sie über den Microsoft Security Store einen kundenverwalteten Telekommunikationsanbieter (CYOT) konfigurieren."

Als Alternativen stehen Passkeys, die Anmeldung per QR-Code, FIDO2-Sicherheitsschlüssel sowie weitere von Entra ID unterstützte Methoden zur Verfügung. Organisationen, die zwingend auf telefonbasierte Authentifizierung angewiesen sind, müssen Drittanbieter aus dem Telekommunikationsbereich über den Microsoft Security Store einbinden.

Die Einstellung betrifft ausschließlich Authentifizierungsszenarien in Entra-ID-Mandanten für Beschäftigte. Azure AD B2C und Microsoft Entra External ID für Kundenidentitäten sind davon nicht berührt.

Wie Microsoft bereits in einer Erinnerung im September ausführte, können Administratoren mit den Rollen Authentication Policy Administrator, Global Reader oder Security Reader betroffene Nutzerkonten mit dem PowerShell-Skript Entra SMS/Voice Policy Scanner ermitteln.

Passkeys als Standardverfahren

Im Juli hatte Microsoft angekündigt, dass Passkeys ab September schrittweise als Standard-Anmeldeerfahrung im Unternehmens-Identitätsdienst Entra ID ausgerollt werden. „Sobald die Einführung eine Organisation erreicht, werden Nutzer, die für SMS- oder Sprachauthentifizierung aktiviert sind, automatisch für Passkeys aktiviert, und beim nächsten Durchlauf der Mehrstufenauthentifizierung werden sie zur Registrierung eines Passkeys aufgefordert", so das Unternehmen.

„Im Anschluss an diese Umstellung wird Microsoft am 1. Februar 2027 die von Microsoft bereitgestellte Telekommunikationszustellung für SMS- und Sprachauthentifizierung einstellen und SMS und Sprachanrufe nicht länger als native Funktion von Microsoft Entra anbieten."

Bereits im August hatte Microsoft die SMS-Anmeldung als erster Faktor für kostenlose Entra-ID-Mandanten abgeschaltet — begründet mit Risiken durch Phishing, Betrug und Kontoübernahmen — und aktiviert sie für neu angelegte Mandanten nicht mehr.

Ausführliche Hinweise zur Einführung und Verwaltung phishing-resistenter, passwortloser Authentifizierung in Entra ID stellt Microsoft in seiner Dokumentation bereit.