Wenn der Anmeldecode per SMS kommt, betrifft Sie das

Microsoft stellt die zweite Stufe der Anmeldung an Microsoft 365 um. Der Bestätigungscode, der bisher per SMS aufs Handy oder per Anruf ankommt, fällt weg — und Microsoft wartet dafür nicht auf eine Entscheidung des Kunden, sondern greift selbst in die Einstellungen der Microsoft-365-Umgebung ein. Der erste Termin ist der 1. September 2026, der endgültige Schnitt folgt am 1. Februar 2027.

Für einen Betrieb ohne eigene IT-Abteilung ist das weniger eine Sicherheitsmeldung als eine Betriebsfrage. Ohne Vorlauf heißt es: Mitarbeitende sehen ab September Aufforderungen, die ihnen niemand angekündigt hat, und im Februar 2027 kommen einzelne ohne Vorbereitung gar nicht mehr in ihr Postfach. Beides lässt sich mit überschaubarem Aufwand vermeiden, wenn man vorher weiß, was an welchem Datum geschieht.

Auf einen Blick

  • 1. September 2026: Alle Nutzer, die in der Konfiguration für SMS- oder Anruf-Codes freigeschaltet sind, werden von Microsoft automatisch auch für Passkeys freigeschaltet. Beim nächsten Anmelden mit zweiter Stufe erscheint die Aufforderung, einen Passkey einzurichten — sie lässt sich zunächst beliebig oft aufschieben.
  • 1. Februar 2027: Die von Microsoft bereitgestellten SMS- und Anruf-Codes stehen für die Mehr-Faktor-Anmeldung nicht mehr zur Verfügung. Wer keine andere zweite Stufe hinterlegt hat, muss beim Anmelden einen Passkey einrichten — diese Aufforderung lässt sich nicht mehr wegklicken.
  • Für das Verhalten ab dem 1. Februar 2027 nennt Microsoft keine Abwahl; es gelte für alle Mandanten.
  • Für das Fenster vom 1. September 2026 bis zum 1. Februar 2027 gibt es dagegen eine befristete Abwahl, mit der sich die automatische Freischaltung und die Registrierungsaufforderungen aufschieben lassen, solange die Umstellung im Betrieb läuft.
  • Wer Telefonie als zweite Stufe wirklich braucht, kann über den Microsoft Security Store einen eigenen Anbieter für SMS und Anrufe einbinden. Das ist ein kostenpflichtiger Zusatz, abgerechnet pro Nachricht, mit Preisen je Anbieter und Region.
  • Die Ankündigung betrifft ausschließlich die von Microsoft bereitgestellten SMS- und Anruf-Codes. Bereits eingerichtete Passkeys, Windows Hello for Business und FIDO2-Sicherheitsschlüssel bleiben.

Was ein Passkey ist — ohne Fachjargon

Ein Passkey ist ein Anmeldeschlüssel, der auf Ihrem Gerät liegt: im Passwortspeicher des Telefons oder Rechners, in der Microsoft-Authenticator-App, in Windows selbst oder auf einem kleinen Sicherheitsschlüssel zum Anstecken. Statt einen Code abzutippen, bestätigen Sie die Anmeldung mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Der wichtige Unterschied zum SMS-Code liegt darin, was ein Angreifer damit anfangen kann. Ein Code aus einer SMS lässt sich am Telefon erfragen, weiterleiten oder auf einer nachgebauten Anmeldeseite eingeben — er ist eine kurze Zeichenfolge und weiß nicht, wem sie gerade genannt wird. Ein Passkey wird bei der Anmeldung nicht übertragen — der geheime Teil bleibt im Passwortspeicher beziehungsweise auf dem Sicherheitsschlüssel — und er ist fest an die echte Anmeldeadresse gebunden. Auf einer gefälschten Seite passiert damit schlicht nichts. Genau das ist der Grund für die Umstellung.

Microsoft unterstützt dabei zwei Bauformen: synchronisierte Passkeys, die über den Passwortspeicher der Plattform auf mehreren Geräten derselben Person liegen, und gerätegebundene Passkeys — der Passkey in der Microsoft-Authenticator-App, der Passkey unter Windows oder ein FIDO2-Sicherheitsschlüssel als Steckmodul.

Was am 1. September 2026 tatsächlich passiert

Zwei Dinge, beide durch Microsoft ausgelöst, nicht durch Sie.

Passkeys werden in Ihrer Umgebung freigeschaltet. Wer in der Richtlinie für Authentifizierungsmethoden oder in den älteren MFA-Einstellungen für SMS oder Anruf freigeschaltet ist, wird zusätzlich für Passkeys freigeschaltet. Das ist eine Änderung an der Konfiguration Ihres Mandanten, die Microsoft selbst vornimmt.

Die Registrierungskampagne wird auf Passkeys gestellt. Die Registrierungskampagne ist die Einblendung, die Nutzer beim Anmelden auffordert, eine zusätzliche Methode einzurichten. Microsoft setzt sie in den von Microsoft verwalteten Zustand mit dem Ziel Passkey. Praktisch heißt das: Beim nächsten Anmelden mit zweiter Stufe erscheint ein Hinweis, doch bitte einen Passkey einzurichten.

Wichtig für die Einordnung: Im September ist das noch keine Sperre. Die Aufforderung ist standardmäßig unbegrenzt aufschiebbar — wer sie wegklickt, kann weiterarbeiten und sich weiterhin per SMS-Code anmelden. Wer in Ihrem Betrieb bereits Passkeys oder Windows Hello for Business nutzt, behält diese Methoden; Registrierungsaufforderungen können solche Nutzer allerdings trotzdem sehen, solange SMS und Anruf im Mandanten noch freigeschaltet sind.

Der eigentliche Handlungsdruck im September ist deshalb nicht technischer, sondern kommunikativer Natur. Eine unerwartete Aufforderung, ein neues Anmeldeverfahren einzurichten, sieht für viele Mitarbeitende genau wie Phishing aus. Im ungünstigen Fall wird sie ignoriert — im ungünstigeren Fall gewöhnt sich das Team daran, solche Aufforderungen zu bestätigen, und fällt später auf eine gefälschte herein.

Was am 1. Februar 2027 passiert

Ab diesem Datum stellt Microsoft die selbst bereitgestellten SMS- und Anruf-Codes für die Mehr-Faktor-Anmeldung ein. Mandanten, die keinen eigenen Anbieter für Telefonie eingebunden haben, können diese Methoden dann nicht mehr nutzen.

Für Nutzer, die SMS oder Anruf als einzige zweite Stufe hinterlegt haben, wird die Anmeldung an dieser Stelle blockierend: Sie müssen einen Passkey registrieren, bevor sie weiterkommen. Aufschieben ist nicht mehr möglich. Microsoft formuliert für dieses Verhalten ausdrücklich, dass es keine Abwahl gibt und für alle Mandanten durchgesetzt wird.

Das ist der Punkt, an dem sich fehlender Vorlauf konkret rächt. Wer am Morgen des 1. Februar 2027 vor der Aufforderung steht, muss unter Zeitdruck ein neues Verfahren einrichten — auf einem Gerät, das er möglicherweise nicht dabei hat, mit einer Biometrie, die vielleicht nie eingerichtet wurde. Wer dieselbe Umstellung im Herbst 2026 in Ruhe macht, merkt am Stichtag nichts.

Zwei Wege, die offen bleiben

Die Darstellung „SMS ist weg, Passkey ist Pflicht" wäre zu grob. Es gibt zwei belegte Auswege, und beide haben einen Preis.

Die befristete Abwahl im Fenster bis zum 1. Februar 2027

Für den Zeitraum vom 1. September 2026 bis zum 1. Februar 2027 stellt Microsoft eine Abwahl bereit, mit der sich die automatische Passkey-Freischaltung und die Registrierungskampagne aufschieben lassen. Der zugehörige Schalter wird über die Verwaltungsschnittstelle Microsoft Graph gesetzt — eine administrative Aufgabe für die Person oder den Dienstleister, der Ihren Mandanten betreut, kein Häkchen für Anwender.

Sinnvoll ist das, wenn Sie die Umstellung selbst steuern wollen: erst die Administratorkonten, dann Abteilung für Abteilung, mit eigener Ansage statt mit einer Einblendung von Microsoft. Sinnvoll ist es nicht als Aufschub ohne Plan. Ab dem 1. Februar 2027 ist der Schalter wirkungslos, und die Aufgabe steht dann unverändert an — nur ohne Zeitpuffer.

Ein eigener Anbieter für SMS und Anrufe

Betriebe, die aus regulatorischen oder betrieblichen Gründen eine Telefonie-Methode benötigen, können über den Microsoft Security Store einen eigenen Anbieter für SMS und Anrufe einbinden und diese Methode damit weiter nutzen. Informationen zu solchen Anbietern will Microsoft ab dem 18. September 2026 im Security Store bereitstellen; auswählen und einrichten lässt sich ein Anbieter laut Microsoft ab dem 30. Oktober 2026.

Dieser Weg ist kostenpflichtig und wird pro versendeter Nachricht abgerechnet. Preise und regionale Verfügbarkeit nennt Microsoft nicht pauschal — sie hängen vom jeweiligen Anbieter und der Region ab. Wer diesen Weg erwägt, muss also erst prüfen, welche Anbieter für den deutschsprachigen Raum überhaupt zur Auswahl stehen und was sie verlangen. Zum Stand dieses Artikels vom 7. August 2026 liegen dazu keine belastbaren Preisangaben vor; wir tragen an dieser Stelle keine nach, weil geschätzte Preise für eine Budgetentscheidung wertlos sind.

Für die meisten kleinen Betriebe dürfte dieser Aufwand größer sein als die Umstellung auf Passkeys. Er lohnt sich dort, wo eine Bestätigung per Telefon tatsächlich gefordert ist — nicht als Weg, um die Umstellung zu umgehen.

Was Sie bis zum 1. September 2026 tun sollten

  • Feststellen, wer überhaupt betroffen ist. Entscheidend ist nicht, wer im Alltag SMS-Codes bekommt, sondern wer in der Konfiguration dafür freigeschaltet ist — das sind oft mehr Konten als erwartet, weil die Freischaltung aus früheren Einrichtungen stehen bleibt. Microsoft stellt ein Auswertungsskript bereit, das die Nutzung von SMS und Anruf im eigenen Mandanten sichtbar macht; dafür genügt eine lesende Berechtigung, etwa Global Reader, Security Reader oder Authentication Policy Administrator. Wer die Verwaltung an einen Dienstleister abgegeben hat, fragt dort nach dieser Liste.
  • Die zweite Stufe freiwillig umstellen, statt sie umgestellt zu bekommen. Eine bewährte Reihenfolge: Administrator- und Geschäftsführungskonten zuerst, dann Buchhaltung und Personal, danach der Rest. So sammeln Sie die Stolpersteine an wenigen Konten ein und nicht an allen gleichzeitig.
  • Mitarbeitende vorab informieren, in einem Satz. Wer weiß, dass ab September eine Aufforderung zum Einrichten eines Passkeys kommt und dass sie echt ist, klickt sie nicht reflexhaft weg — und erkennt umgekehrt eine gefälschte leichter. Diese eine Nachricht ist der wirksamste Teil der Vorbereitung.
  • Für Konten ohne passkey-fähiges Gerät früh eine Lösung festlegen. Diensthandys ohne Biometrie, gemeinsam genutzte Konten in Werkstatt oder Lager, Rechner ohne Windows Hello: Hier ist ein FIDO2-Sicherheitsschlüssel zum Anstecken meist der einfachere Weg als eine App. Diese Fälle brauchen Beschaffungszeit — sie sind der Grund, die Bestandsaufnahme jetzt zu machen und nicht im Januar 2027.
  • Wenn Sie mehr Zeit brauchen, die befristete Abwahl bewusst setzen — mit Enddatum im Kalender. Der 1. Februar 2027 gehört als Termin in die Planung, nicht in die Erinnerung.

Was diese Ankündigung nicht bedeutet

Microsoft spricht hier ausschließlich von den von Microsoft bereitgestellten SMS- und Anruf-Codes. Wer als zweite Stufe die Bestätigung in einer Authenticator-App, Windows Hello for Business, einen FIDO2-Schlüssel oder einen bereits eingerichteten Passkey nutzt, verliert diese Methode nicht. Aus dieser Umstellung lässt sich also kein allgemeines Ende der App-basierten Bestätigung ableiten.

Und noch eine Einordnung, die in der Aufregung oft untergeht: Die Mehr-Faktor-Anmeldung selbst wird nicht schwächer, sondern verbindlicher. Wer bisher gezögert hat, weil SMS-Codes im Alltag lästig waren, bekommt mit Passkeys ein Verfahren, das für Mitarbeitende meist bequemer ist als das Abtippen von Ziffern — ein Fingerabdruck statt einer Wartezeit auf eine Nachricht, die im Funkloch nicht ankommt.

Fazit

Der 1. September 2026 ist kein Stichtag, an dem etwas ausfällt — aber der Tag, an dem Microsoft ohne Ihr Zutun an der Konfiguration dreht und Ihre Mitarbeitenden das merken. Der 1. Februar 2027 ist der Tag, an dem es ernst wird, und für ihn nennt Microsoft keinen Ausweg außer einem eigenen, kostenpflichtigen Anbieter für SMS und Anrufe.

Zwischen diesen beiden Daten liegen fünf Monate, in denen eine geordnete Umstellung möglich ist. Der Aufwand dafür ist in einem kleinen Betrieb überschaubar: einmal nachsehen, wer betroffen ist, eine kurze Ansage an das Team, Passkeys in einer sinnvollen Reihenfolge einrichten, und für die Sonderfälle Sicherheitsschlüssel beschaffen. Wer das im Herbst 2026 erledigt, merkt am 1. Februar 2027 nichts.

Wenn Sie nicht sicher sind, welche Konten in Ihrer Microsoft-365-Umgebung für SMS oder Anruf freigeschaltet sind und welche Reihenfolge für Ihren Betrieb sinnvoll ist, sehen wir uns das gemeinsam an — von der Bestandsaufnahme über die Ansage an das Team bis zu den Geräten, die einen eigenen Weg brauchen.