Wenn Microsoft SMS- und Sprachanmeldungen in Entra ID abschaltet, kann eine veraltete Anmeldung zum Geschäftsproblem werden. Unternehmen sollten deshalb nicht nur die Sicherheit ihrer Authentifizierung prüfen, sondern auch sicherstellen, dass Beschäftigte und Systeme rechtzeitig alternative, phishing-resistente Verfahren nutzen können.
Eine Sicherheitsänderung kann den Zugang zu Geschäftsprozessen beeinflussen
Microsoft fordert Administratoren von Entra ID erneut dazu auf, Benutzer auf phishing-resistente Authentifizierungsverfahren umzustellen. Hintergrund ist die angekündigte Abschaltung der SMS- und Sprachanmeldung im Februar 2027.
Für Unternehmen bedeutet das zunächst keine akute Sicherheitslücke. Es entsteht jedoch ein absehbarer Anpassungsbedarf: Wer für den Zugang zu Microsoft-Diensten weiterhin auf SMS oder Sprachanrufe angewiesen ist, muss mit Einschränkungen bei der Anmeldung rechnen, wenn keine alternative Methode eingerichtet wurde.
Entra ID steuert Zugänge zu Cloud-Diensten und Anwendungen. Fällt eine bisher genutzte Anmeldemethode weg, kann dies deshalb nicht nur einzelne Benutzer betreffen. Je nach Einsatz im Unternehmen können auch Arbeitsabläufe und der Zugriff auf geschäftlich benötigte Daten beeinflusst werden.
Passwörter und SMS bieten keinen gleichwertigen Schutz
Microsoft verweist auf phishing-resistente Verfahren. Dazu gehören insbesondere Passkeys. Diese Verfahren sollen verhindern, dass eine Anmeldung über eine gefälschte Website oder einen manipulierten Anmeldevorgang abgefangen wird.
SMS- und Sprachanmeldungen können zwar als zusätzliche Anmeldemethode dienen, gelten aber nicht als phishing-resistent. Die geplante Abkündigung ist daher zugleich eine Sicherheitsmaßnahme und eine technische Veränderung, die Unternehmen in ihre Zugangsprozesse einordnen müssen.
Entscheidend ist, dass die Umstellung nicht nur als Aufgabe der IT betrachtet wird. Wenn Mitarbeitende, externe Dienstleister oder privilegierte Benutzer unterschiedliche Anmeldewege verwenden, muss nachvollziehbar sein, welche Konten von der Änderung abhängig sind und welche Alternative jeweils vorgesehen ist.
Die größte praktische Schwachstelle ist eine unvollständige Umstellung
Ein Unternehmen kann technisch neue Verfahren freischalten und trotzdem vor einem organisatorischen Problem stehen. Dies ist etwa dann der Fall, wenn Benutzer ihre neue Methode noch nicht eingerichtet haben oder Verantwortliche nicht wissen, welche Konten weiterhin SMS oder Sprachanrufe verwenden.
Besondere Aufmerksamkeit verdienen Zugänge, die für die Administration von Entra ID oder für wichtige Geschäftsprozesse benötigt werden. Eine unterbrochene Anmeldung kann dort die Bearbeitung von Aufgaben erschweren. Das Risiko besteht nicht darin, dass jede Organisation automatisch ausfällt, sondern darin, dass Abhängigkeiten zu spät erkannt werden.
Eine sinnvolle Prüfung beginnt deshalb mit einer Bestandsaufnahme: Welche Authentifizierungsmethoden sind derzeit zugelassen oder im Einsatz? Welche Benutzer und Rollen nutzen sie? Für welche Konten müssen Passkeys oder andere phishing-resistente Verfahren eingerichtet werden?
Die Umstellung sollte vor dem Abschalttermin überprüfbar sein
Aus der Ankündigung von Microsoft lässt sich ein klarer Prüfpfad ableiten. Unternehmen sollten betroffene Benutzer identifizieren, geeignete alternative Verfahren festlegen und die Einrichtung rechtzeitig begleiten. Dabei geht es nicht nur um die technische Aktivierung, sondern auch um verständliche Informationen für die Anwender.
Außerdem sollte geprüft werden, ob die neuen Anmeldemethoden im normalen Arbeitsablauf funktionieren. Dazu gehört, den Zugang zu den tatsächlich benötigten Anwendungen und Daten zu betrachten. So lässt sich erkennen, ob einzelne Rollen, Konten oder Prozesse weiterhin von einer auslaufenden Methode abhängen.
Eine solche Vorbereitung reduziert zugleich das Risiko, dass Mitarbeitende bei Problemen auf unsichere Umgehungen ausweichen. Klare Zuständigkeiten und dokumentierte Abläufe helfen dabei, die Umstellung kontrolliert durchzuführen.
Authentifizierung ist eine Aufgabe von Technik und Organisation
Aus der Perspektive von Tulos zeigt die angekündigte Änderung einen grundsätzlichen Zusammenhang: Informationssicherheit entsteht nicht durch eine einzelne technische Einstellung. Sicherheitsmaßnahmen müssen mit Verantwortlichkeiten, verständlichen Prozessen und praktikablen Arbeitsabläufen zusammenspielen.
Ein Informationssicherheitskonzept kann dabei helfen, Authentifizierung, Zugriffsrechte und organisatorische Zuständigkeiten gemeinsam zu betrachten. Wenn Sie diese Zusammenhänge strukturiert prüfen möchten, finden Sie weitere Informationen zum Informationssicherheitskonzept von Tulos.
Die wichtigsten Fragen und Antworten
Wann stellt Microsoft SMS- und Sprachanmeldungen in Entra ID ein?
Microsoft will diese Authentifizierungsmethoden im Februar 2027 einstellen. Unternehmen sollten daher rechtzeitig prüfen, ob Benutzer oder administrative Konten noch davon abhängig sind.
Warum empfiehlt Microsoft Passkeys oder andere phishing-resistente Verfahren?
Phishing-resistente Verfahren sollen verhindern, dass Anmeldedaten über gefälschte Anmeldeseiten oder vergleichbare manipulierte Anmeldevorgänge abgegriffen werden. Microsoft nennt Passkeys als eine Möglichkeit für die Umstellung.
Welche Unternehmen müssen jetzt handeln?
Betroffen sind Unternehmen, die Entra ID nutzen und deren Benutzer oder Administratoren SMS- oder Sprachanmeldungen verwenden. Der konkrete Prüfbedarf hängt davon ab, welche Konten und Geschäftsprozesse diese Methoden einsetzen.
Quelle: Bleeping Computer