Erhalten Ihre Mitarbeitenden bei der Anmeldung bei Microsoft 365 noch einen Code per SMS oder Anruf? Diese Möglichkeit verschwindet: Microsoft hat ein festes Datum für das Ende dieser Anmeldemethode angekündigt. Grund dafür ist, dass SMS- und Anrufcodes gegen moderne, KI-gestützte Phishing-Angriffe kaum noch Schutz bieten. In diesem Artikel zeigen wir, was sich konkret ändert, warum Microsoft diesen Schritt geht, und wie Sie Ihr Unternehmen rechtzeitig vorbereiten.

Was ändert sich bei Microsoft 365 konkret?

Microsoft rollt die Umstellung in drei Etappen aus:

Datum	Was passiert
1.09.26	Passkeys werden Standard-Anmeldemethode in Microsoft Entra ID. Nutzer, die noch SMS oder Anruf verwenden, werden aktiv zur Einrichtung eines Passkeys aufgefordert.
30.10.26	Administratoren können optional einen Drittanbieter-Telekomdienst für SMS/Anruf konfigurieren, falls dafür ein betrieblicher oder regulatorischer Bedarf besteht.
1.02.27	Microsoft stellt den eigenen SMS- und Anruf-Versand vollständig ein – verbindlich für alle Tenants, ohne Ausnahme.

Ab dem 1. Februar 2027 gilt: Wer als einzige Anmeldemethode noch SMS oder Anruf hinterlegt hat, kann sich nicht mehr anmelden, bis ein Passkey eingerichtet ist. Wichtig zu wissen: Diese Frist betrifft nur die von Microsoft selbst bereitgestellte SMS-/Anruf-Zustellung. Wer aus betrieblichen Gründen weiterhin SMS benötigt, kann bis Ende Oktober 2026 einen eigenen Telekomanbieter dafür konfigurieren.

Nicht betroffen ist die Microsoft Authenticator App: Die Bestätigung von MFA-Anfragen per Push-Benachrichtigung oder Einmalcode (TOTP) bleibt weiterhin eine verfügbare Anmeldemethode. Trotzdem empfehlen wir gerade im geschäftlichen Bereich grundsätzlich phishing-resistente Methoden wie Passkeys statt TOTP. Der Grund: Bei TOTP-Codes besteht weiterhin ein Restrisiko durch Echtzeit-Phishing, während ein Passkey fest an die jeweilige Domain gebunden ist und auf einer gefälschten Seite schlicht nicht funktioniert.

Warum stuft Microsoft SMS und Anrufe als unsicher ein?

Ein SMS-Code ist im Grunde ein Passwort auf Zeit – und genau wie ein Passwort kann er abgefangen werden. Beim sogenannten SIM-Swapping übernehmen Angreifer die Telefonnummer eines Opfers und empfangen die Codes selbst. Bei Echtzeit-Phishing leiten gefälschte Anmeldeseiten den Code direkt an die Angreifer weiter, noch während die Nutzerin ihn eintippt. Microsoft betont, dass solche Angriffe durch KI-Tools inzwischen automatisiert und in grossem Massstab durchführbar sind.

Passkeys funktionieren anders: Der private Schlüssel verlässt nie das Gerät und ist fest an die jeweilige Domain gebunden. Eine gefälschte Anmeldeseite kann damit schlicht nichts anfangen – selbst wenn ein Mitarbeiter versehentlich darauf klickt. Wie Passkeys und FIDO2-Sicherheitsschlüssel im Detail funktionieren und wann welche Variante sinnvoll ist, erklären wir ausführlich in unserem Artikel Passkeys überlegt einsetzen.

Was bedeutet das für Ihr Unternehmen?

Nehmen wir ein 15-köpfiges Architekturbüro, das für Microsoft 365 bisher durchgehend auf SMS-Codes setzt. Ohne Vorbereitung würden ab September 2026 laufend Aufforderungen zur Passkey-Einrichtung erscheinen – oft im ungünstigsten Moment, mitten im Arbeitsalltag. Wird das Thema stattdessen jetzt aktiv angegangen, lässt sich die Umstellung strukturiert und ohne Zeitdruck planen.

Diese Schritte helfen beim Einstieg:

1. Bestandsaufnahme: Prüfen Sie im Microsoft Entra Admin Center, welche Konten aktuell SMS oder Anruf als Anmeldemethode nutzen.
2. Priorisieren: Beginnen Sie mit Administrator- und anderen kritischen Konten – hier empfehlen wir FIDO2-Sicherheitsschlüssel.
3. Breite Einführung: Richten Sie auch für die übrigen Mitarbeitenden FIDO2-Sicherheitsschlüssel ein. Nur falls dies nicht gewünscht ist, nutzen Sie alternativ 2FA über die Microsoft Authenticator App.
4. Termin im Kopf behalten: Spätestens bis Februar 2027 sollte kein Konto mehr ausschliesslich auf SMS oder Anruf angewiesen sein.

Häufig gestellte Fragen zur SMS-Abschaltung bei Microsoft 365

Müssen wir sofort handeln?

Nicht von heute auf morgen, aber zeitnah. Ab September 2026 beginnt Microsoft bereits, Nutzende aktiv zur Passkey-Einrichtung aufzufordern. Wer die Umstellung vorher plant, vermeidet unnötige Unterbrechungen im Arbeitsalltag.

Was passiert mit Mitarbeitenden, die bis Februar 2027 nichts ändern?

Sie werden beim Anmeldeversuch blockiert, bis ein Passkey oder eine andere unterstützte Methode eingerichtet ist. Es gibt keine Übergangsfrist oder Ausnahme für einzelne Tenants.

Sind Passkeys auch für kleine Teams sinnvoll, nicht nur für grosse Unternehmen?

Ja. Die Einrichtung dauert nicht sehr lange und gerade kleinere Teams profitieren davon, dass Konten nicht mehr über eine SIM-Karte angreifbar sind.

Fazit: Jetzt planen statt im Februar 2027 überrascht werden

Microsoft setzt ein klares Enddatum für SMS- und Anruf-Login bei Microsoft 365: Ab Februar 2027 funktioniert diese Methode nicht mehr. Wer jetzt eine Bestandsaufnahme macht und Passkeys beziehungsweise FIDO2-Schlüssel strukturiert einführt, ist rechtzeitig vorbereitet – ohne Zeitdruck kurz vor der Deadline.

Möchten Sie wissen, wie Ihr Microsoft-365-Tenant von dieser Umstellung betroffen ist und wie Sie Passkeys bei sich einführen? Vereinbaren Sie ein unverbindliches Erstgespräch – wir prüfen gemeinsam Ihren aktuellen Stand und unterstützen Sie bei der Einrichtung.