|
15.10.2026 13:30 Uhr |
Microsoft möchte die Authentifizierung in Entra ID phishingsicher gestalten und schickt daher die Zwei-Faktor-Authentifizierung mit SMS oder Anruf in Rente. Stattdessen sollen Passkeys Standard werden. Microsoft hat für die Umstellung einen Zeitplan veröffentlicht.
Für diesen Artikel nutzen wir einen Test-Tenant, in dem die Methode SMS für alle Benutzer auf „Ja“ und der befristete Zugriffspass (Temporary Access Pass, TAP) auf „Nein“ steht. Solchen Konten hat Microsoft ab dem 1. September 2026 ein Passkey-Profil zugeordnet. Die Registrierungskampagne hat auf „Microsoft verwaltet“ gewechselt. Ein Anwender mit SMS als zweitem Faktor bekommt bei der nächsten Mehr-Faktor-Anmeldung die Aufforderung, einen Passkey anzulegen, darf das in der Voreinstellung aber unbegrenzt oft wegklicken. An der Abdeckung im Tenant ändert der Automatismus deshalb zunächst wenig.
Die Verwaltung der Passkeys findet im Entra Admin Center unter „Entra ID/Authentifizierungsmethoden/Richtlinien/Hauptschlüssel (FIDO2)“ statt. Das Portal übersetzt „Passkey“ als „Hauptschlüssel“ ins Deutsche, die Dokumentation bleibt beim englischen Begriff. Seit März 2026 arbeitet die Richtlinie mit Passkey-Profilen, die je Zielgruppe festlegen, welche Schlüsseltypen zugelassen sind: Synchronisierte Passkeys liegen verschlüsselt beim Anbieter, zum Beispiel im iCloud-Schlüsselbund oder im Google Passwortmanager. Sie werden auf jedes Gerät des Anwenders synchronisiert, auch auf das private Tablet – das ist nicht immer gewollt. Gerätegebundene Passkeys verlassen das Gerät nicht, dazu zählen FIDO2-Sicherheitsschlüssel und der Passkey im Microsoft Authenticator.