Wer in Microsoft 365 den zweiten Faktor per SMS-Code oder Rückruf eingerichtet hat, bekommt in den kommenden Monaten keine Ankündigung, die niemand bemerkt: Microsoft zieht sich schrittweise aus der eigenen SMS- und Anruf-Zustellung für die Anmeldung zurück. Der Vorgang ist offiziell angekündigt, mit einem Zeitplan bis Februar 2027 — und ohne eine einzige Formulierung, die nach sofort handeln klingt.
Was Microsoft tatsächlich ändert
Nicht die Methode »Code per SMS« verschwindet aus Microsoft Entra ID als Konzept — Microsoft zieht sich als Zusteller zurück. Bisher hat Microsoft den SMS-Versand und den Anruf selbst abgewickelt. Künftig fällt das weg; wer weiterhin per SMS oder Anruf arbeiten will, muss dafür einen eigenen Telekommunikationsanbieter über den neuen Microsoft Security Store einbinden und bezahlen. Der eigentliche Zielpunkt der Umstellung ist ein anderer: Passkeys werden die neue Standardmethode.
Der Zeitplan
Vier Termine sind bislang bekannt, und sie bauen aufeinander auf:
1. September 2026
Nutzer, die aktuell SMS oder Anruf verwenden, werden automatisch für Passkeys freigeschaltet und bekommen bei der nächsten Anmeldung eine Aufforderung zur Registrierung — die sich vorerst überspringen lässt.
18. September 2026
Microsoft veröffentlicht im Security Store, welche Telekommunikationsanbieter SMS und Anruf künftig gegen Gebühr weiter zustellen können.
30. Oktober 2026
Unternehmen können einen eigenen Anbieter auswählen und einrichten, falls sie SMS oder Anruf tatsächlich weiter nutzen wollen.
1. Februar 2027
Die Microsoft-eigene SMS- und Anruf-Zustellung wird vollständig eingestellt — für alle Tenants, ohne Ausnahme und ohne Opt-out.
Was Microsoft stattdessen empfiehlt
Im Zentrum steht der Passkey — als synchronisierte Variante (etwa über die Authenticator-App) oder gerätegebunden auf einem FIDO2-Sicherheitsschlüssel. Windows Hello for Business gilt bereits heute als ausreichend phishingresistent und muss nicht ersetzt werden. Was in der Ankündigung auffällt: Microsoft stellt nicht mehr in erster Linie die klassische Authenticator-Anmeldung per Tippen einer angezeigten Zahl in den Vordergrund, sondern den Passkey selbst — dazu mehr im Beitrag über Passkeys.
Wer betroffen ist
Alle Microsoft-Entra-ID-Tenants in der öffentlichen Cloud, unabhängig von Lizenzstufe oder Alter des Tenants — für den 1. Februar 2027 gibt es keine Ausnahmeregelung. Nicht betroffen ist Azure AD B2C; für Microsoft Entra External ID hat Microsoft eine separate, spätere Ankündigung in Aussicht gestellt. Gastkonten (B2B) fallen ebenfalls darunter, hier soll die Passkey-Unterstützung bis Ende 2026 nachgezogen werden.
Wie Sie herausfinden, wer bei Ihnen noch SMS oder Anruf nutzt
- Microsoft stellt dafür ein eigenes PowerShell-Skript bereit (entra-sms-voice-usage-analyzer auf GitHub), das eine Liste aller betroffenen Konten erzeugt.
- Im Entra Admin Center zeigt der Bericht Authentication Methods Activity (unter Authentifizierungsmethoden, ab Entra ID P1), welche Konten sich per SMS oder Anruf registriert haben und angemeldet haben.
- Beide Wege laufen ohne Eingriff in bestehende Anmeldungen — es wird nur ausgelesen, nicht verändert.
Ein Termin in eineinhalb Jahren fühlt sich nicht wie ein Termin an — bis er es ist.
Was das für Ihr Unternehmen bedeutet
Zeitdruck besteht nicht — der Zeitplan reicht bis 2027, und niemand verliert am Stichtag den Zugriff. Sinnvoll ist trotzdem, jetzt schon zu beginnen, statt im Jänner 2027 auf ein Datum zu reagieren: zuerst die Konten mit administrativen Rechten auf Passkeys umstellen, danach schrittweise den Rest. Genau diese Absicherung der Anmeldung gehört zu Protect — Protect enthält Manage vollständig und baut die Schutzschichten darüber. Wenn Sie nicht wissen, wie viele Konten in Ihrem Tenant heute noch per SMS oder Anruf abgesichert sind: Das ist genau die Frage, die ein IT-Sicherheitscheck beantwortet.