Microsoft stellt die eigene Zustellung von SMS-Codes und Sprachanrufen für die Anmeldung mit Microsoft Entra ID schrittweise ein. Ab dem 1. Februar 2027 betrifft dies die meisten internen Benutzerkonten; für globale Administratoren und bestimmte externe Benutzer folgt der Schritt am 1. Juli 2027. Unternehmen, die weiterhin eine telefonbasierte Multifaktor-Authentifizierung benötigen, müssen rechtzeitig einen unterstützten Telefonieanbieter anbinden oder ihre Benutzer auf Passkeys und andere geeignete Anmeldemethoden umstellen.
Das Modell zur Einbindung eigener Telefonieanbieter ist nach Microsofts ${link(source.november,“Entra-Produktübersicht vom 6. November 2026″)} allgemein verfügbar. Für Administratoren geht es damit nicht nur um eine neue Abrechnungs- und Zustellstrecke: Konten, die bislang ausschließlich SMS oder Anrufe als zweiten Faktor nutzen, benötigen vor der Umstellung einen funktionierenden Anmeldeweg.
Zwei Stichtage für die bisherige SMS- und Anrufzustellung
Die Änderung betrifft die von Microsoft betriebene Übermittlung von SMS-Nachrichten und automatisierten Sprachanrufen zur Authentifizierung in Entra ID. Die Authentifizierung selbst bleibt Bestandteil des Microsoft-Dienstes. SMS und Anrufe können weiterhin eingesetzt werden, wenn ein unterstützter externer Anbieter die Zustellung übernimmt.
- 1. Februar 2027: Ende der Microsoft-Zustellung für die regulären betroffenen Benutzer. Auch interne Gastbenutzer fallen laut Microsoft unter diese Frist.
- 1. Juli 2027: Ende der Microsoft-Zustellung für globale Administratoren und externe Benutzer, für die Microsoft die spätere Frist vorsieht.
Microsoft weist ausdrücklich darauf hin, dass Benutzer, denen nach dem jeweiligen Stichtag keine andere verfügbare MFA-Methode zur Verfügung steht, bei der Anmeldung zur Registrierung eines Passkeys aufgefordert werden können. Diese Registrierung ist dann für die Fortsetzung der Anmeldung erforderlich. Die Frist darf deshalb nicht erst am Tag der Umstellung zum Anlass für einen Test werden.
Die genaue Abgrenzung der Benutzergruppen und die Folgen für die Anmeldung beschreibt Microsoft in der deutschen Dokumentation zur Einstellung der SMS- und Sprachanrufzustellung.
Eigene Telefonieanbieter übernehmen die Zustellung
Mit der als allgemein verfügbar angekündigten Funktion Choose Your Own Telephony Provider (CYOT) bleibt die Prüfung der Einmalcodes bei Microsoft Entra. Die Übertragung der SMS oder des Anrufs erfolgt dagegen über einen Anbieter, mit dem das Unternehmen selbst eine vertragliche Beziehung unterhält. Als unterstützte Optionen nennt Microsoft Soprano, Telesign und Infobip. Verfügbarkeit, Länderabdeckung und Konditionen sind je Anbieter zu prüfen.
Die technische Anbindung läuft über eine Integration mit einer Azure Function im Azure-Abonnement der Organisation. Nach der Konfiguration leitet Entra die Zustellanforderung über diese Integration an den ausgewählten Anbieter weiter; der Anbieter sendet den Code oder führt den Anruf aus. Es genügt also nicht, lediglich einen anderen SMS-Dienst zu buchen.
Auch der laufende Betrieb verlagert sich teilweise: Unternehmen müssen die Azure-Ressourcen, die Verfügbarkeit der Schnittstelle, Kostenkontrollen und Betrugsschutz berücksichtigen. Neben Gebühren des Telefonieanbieters können Azure-Kosten entstehen. Microsoft empfiehlt daher einen schrittweisen Probebetrieb, solange die bisherige Zustellung noch zur Verfügung steht.
Einrichtung, beteiligte Komponenten und Anbieterangebote sind auf der offiziellen deutschen Microsoft-Learn-Seite zum eigenen Telefonieanbieter beschrieben.
Passkeys sind die bevorzugte Alternative
Microsoft richtet Entra ID seit September 2026 stärker auf Passkeys aus. Benutzer, die bisher für SMS oder Sprachanrufe aktiviert waren, werden im Rahmen der Einführung zur Passkey-Registrierung geführt. Der November-Stand sieht außerdem vor, dass Passkeys und weitere kennwortlose Verfahren schrittweise schon als erste MFA-Methode registriert werden können. Der Rollout dieser Erweiterung läuft laut Microsoft bis Februar 2027.
Passkeys verwenden kryptografische Schlüssel statt übertragbarer SMS-Codes. Je nach Verfahren liegen sie gerätegebunden auf einem Sicherheitsschlüssel oder Gerät oder werden über einen geeigneten Passkey-Anbieter synchronisiert. Für besonders privilegierte Konten können gerätegebundene Schlüssel mit festgelegten Authentifikatorregeln eine sinnvollere Wahl sein als eine breit zugelassene Synchronisierung. Welche Methode zulässig ist, bestimmt die Authentifizierungsmethodenrichtlinie des jeweiligen Mandanten.
Die deutsche Anleitung zur Aktivierung von Passkeys in Entra ID beschreibt die benötigten Profile, die Zielgruppenzuweisung und die optionalen Anforderungen an die Authentifizierungsstärke. Die Verfügbarkeit einzelner Registrierungswege sollte vor einer breiten Umstellung im eigenen Mandanten überprüft werden.
Was Administratoren vor der Umstellung prüfen sollten
Zunächst müssen die betroffenen Konten ermittelt werden. Microsoft stellt dafür in der Dokumentation ein PowerShell-Skript bereit, das Benutzer mit registrierter SMS- oder Sprachanrufmethode identifizieren hilft. Eine reine Durchsicht der Lizenzzuordnung genügt nicht, denn sie zeigt nicht zuverlässig, welche Person welche Methode tatsächlich verwendet.
- Benutzer und Kontotypen erfassen: reguläre Konten, interne Gäste, globale Administratoren und externe Benutzer nach den jeweiligen Fristen getrennt bewerten.
- Passkeys gezielt ausrollen: Authentifizierungsmethodenrichtlinien, geeignete Geräte, Registrierungsanleitungen und Wiederherstellungswege berücksichtigen.
- Telefoniebedarf eingrenzen: SMS und Anrufverfahren nur dort beibehalten, wo betriebliche oder regulatorische Anforderungen dies rechtfertigen und ein unterstützter Zustellanbieter wirtschaftlich sinnvoll ist.
- Ausfall und Wiederanmeldung testen: In einer Pilotgruppe prüfen, ob die Anmeldung auch bei Gerätewechsel, fehlender Erreichbarkeit und beim Verlust einer bisherigen Methode funktioniert.
Gerade für Administratorenkonten sollte die Umstellung nicht erst beim Wegfall des bisherigen Verfahrens erfolgen. Eine funktionsfähige zusätzliche Methode und dokumentierte Wiederherstellungsprozesse verringern das Risiko, dass eine organisatorische Änderung zum praktischen Zugangshindernis wird.
Offizielle Informationen und Einrichtung
Die verbindlichen Fristen und Benutzergruppen stehen in Microsofts deutscher Übergangsdokumentation. Für Unternehmen, die telefonbasierte Authentifizierung fortführen müssen, ist die deutsche Einrichtungs- und Anbieterübersicht der Einstieg. Wer stattdessen auf phishingsichere Anmeldungen umstellt, findet die Konfiguration in der deutschen Passkey-Dokumentation.
Es handelt sich um eine dienstseitige Änderung von Entra ID. Ein separat herunterzuladendes Softwareupdate ist für die Umstellung nicht vorgesehen; entscheidend sind die Richtlinien, registrierten Authentifizierungsmethoden und gegebenenfalls die Anbieterintegration im jeweiligen Mandanten.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten