Wenn in Ihrem Betrieb jemand Microsoft 365 nutzt und den zweiten Faktor per SMS oder Anruf bekommt, dann ist in den letzten Wochen vermutlich schon etwas passiert, ohne dass jemand es angestossen hat.
Microsoft schafft beide Verfahren ab. Der Termin dafür ist der 1. Februar 2027 — weit genug weg, um ihn zu vertagen. Die interessantere Hälfte ist der Termin, der schon vorbei ist.
Was am 1. September passiert ist
Seit dem 1. September 2026 werden alle Konten, die für SMS oder Anruf freigeschaltet sind, automatisch auch für Passkeys freigeschaltet. Gleichzeitig hat Microsoft die Registrierungskampagne im Mandanten auf den eigenen, verwalteten Zustand gestellt und diese Benutzer hineingenommen.
In der Praxis heisst das: Bei einer der nächsten Anmeldungen erscheint mitten im Arbeitstag die Aufforderung, ein neues Anmeldeverfahren einzurichten. Niemand im Betrieb hat das veranlasst, niemand wurde vorher gefragt.
Und jetzt der Teil, der in den Meldungen dazu meist fehlt. Microsoft schreibt dazu ausdrücklich: Standardmässig können Benutzer diese Aufforderung unbegrenzt oft wegklicken.
Warum das schlechter ist, als es klingt
Eine Aufforderung, die man unbegrenzt wegklicken kann, wird unbegrenzt weggeklickt. Nicht aus Bosheit — sondern weil sie in dem Moment erscheint, in dem jemand ins Postfach will.
Fünf Monate lang. Und dann, am 1. Februar 2027, ändert sich ein Detail: Für Benutzer, deren einziges Verfahren SMS oder Anruf ist, wird dieselbe Aufforderung blockierend. Microsofts eigene Formulierung dazu ist unmissverständlich: Man müsse einen Passkey einrichten, bevor man sich weiter anmelden kann, und ein Abwählen dieses Verhaltens gibt es nicht.
Das heisst im Klartext: Der Vorgang, den man fünf Monate lang wegklicken durfte, steht plötzlich an einem Montagmorgen zwischen einer Mitarbeiterin und ihrer Arbeit — auf einem Gerät, an dem sie vielleicht gerade keinen Passkey einrichten kann.
Der Unterschied zwischen «vorbereitet» und «überrascht» entscheidet sich also jetzt, nicht im Januar.
Der Teil, der uns selbst unangenehm ist
Wir schreiben hier seit Wochen dasselbe. Bei Rückrufbetrug mit einer Ostschweizer Vorwahl, bei Anrufen, die auf Ihren Bildschirm wollen: Wer Sie unerwartet kontaktiert und zu einer Handlung drängt, ist erst einmal verdächtig. Auflegen, selbst nachschauen, nichts installieren.
Und nun bekommt dieselbe Belegschaft eine unerwartete Aufforderung, mitten im Arbeitstag, ein neues Anmeldeverfahren einzurichten — und die ist echt.
Wer unsere Regel verstanden hat, klickt sie weg. Das ist die richtige Reaktion auf eine unerwartete Aufforderung, und sie führt hier in die falsche Richtung.
Auflösen lässt sich das nur auf eine Weise: Die Leute müssen vorher wissen, dass sie kommt. Eine Ankündigung, die sagt, was erscheinen wird, wie es aussieht und ab wann — dann ist es keine unerwartete Aufforderung mehr, sondern eine angekündigte. Das ist kein IT-Projekt, das ist eine E-Mail.
In der Sache hat Microsoft recht
Dazu gehört auch die andere Seite. SMS als zweiter Faktor ist schwach, und das ist keine Meinung: Eine Nummer lässt sich auf eine fremde Karte übertragen, Nachrichten lassen sich umleiten, und wer das Opfer am Telefon hat, bekommt den Code oft einfach genannt. Genau diese Masche haben wir selbst mehrfach beschrieben.
Passkeys lösen das, weil nichts mehr übertragen wird, das man weitersagen könnte.
Bemerkenswert ist nur, womit Microsoft den Schritt begründet. Der erste Satz der offiziellen Seite handelt nicht von SMS, sondern davon, Unternehmen bei der Einführung von KI im grossen Massstab zu unterstützen; die Sicherheitsbegründung kommt danach. Man muss daraus nichts machen — es steht einfach so da.
Die Termine, vollständig
1. September 2026 — geschehen. Automatische Freischaltung für Passkeys, Aufforderung bei der Anmeldung, unbegrenzt wegklickbar.
1. Februar 2027 — SMS und Anruf von Microsoft enden für alle ausser globalen Administratoren und externen Nutzern. Interne Gastkonten fallen ausdrücklich unter dieses Datum, nicht unter das spätere.
1. Juli 2027 — dasselbe für globale Administratoren und externe Nutzer.
Wer die Verfahren aus regulatorischen Gründen behalten muss, kann ab dem 30. Oktober 2026 über den Microsoft Security Store einen eigenen Telekom-Anbieter anbinden. Das ist ausdrücklich kostenpflichtig, abgerechnet je Nachricht und je nach Anbieter und Region verschieden. Der Weg zu Passkeys kostet dagegen nichts.
Und ein Punkt, der leicht untergeht: Die Abschaltung gilt auch für das Zurücksetzen von Passwörtern. Wer sein Passwort bisher per SMS-Code neu setzen konnte, kann das danach nicht mehr.
Was zu tun ist
Erstens: nachsehen, ob es Sie überhaupt betrifft. Microsoft stellt dafür ein Auswertungsskript bereit, das die betroffenen Konten im Mandanten auflistet. Jedes Ergebnis über null heisst: betroffen. Diese eine Zahl zu kennen, ist die halbe Miete — in vielen kleinen Betrieben sind es zwei oder drei Konten, nicht dreissig.
Zweitens: die Leute vorwarnen, bevor die Aufforderung sie erwischt. Ein kurzer Text an alle: Das kommt, es ist echt, so sieht es aus, und wir machen es gemeinsam an dem und dem Tag. Danach ist die Aufforderung kein Fremdkörper mehr.
Drittens: die Umstellung selbst legen, statt sie geschehen zu lassen. Zu einem Zeitpunkt, an dem jemand Zeit hat zu helfen — nicht verteilt über fünf Monate und nicht am 1. Februar.
Wer die Aufforderung vorübergehend ganz abstellen will, kann das: Es gibt einen befristeten Opt-out für die Zeit bis zum 1. Februar 2027. Nur liegt der nicht im Admin-Center, sondern muss über die Graph-Schnittstelle gesetzt werden. Das ist eher ein Werkzeug für den, der die Umstellung ohnehin plant — nicht eines, um sie zu verschieben, denn an der Frist ändert es nichts.
Wir haben vor einer Woche über eine andere Entra-Frist geschrieben, und das Muster wiederholt sich: Das Datum in der Ankündigung ist selten das Datum, an dem man handeln muss.
Wenn Sie nicht wissen, wer bei Ihnen betroffen ist
Das ist in einer halben Stunde beantwortet — und danach wissen Sie, ob Sie ein Thema haben oder keines. Bei Kunden, deren Microsoft-365-Umgebung wir betreuen, sehen wir das ohnehin nach und melden uns, wenn etwas ansteht.