Der September 2026 markiert einen wichtigen Schritt auf Microsofts Weg zur passwortlosen Anmeldung.
Passwortlose Authentifizierung ist nicht neu.
Microsoft legt seit Jahren die Grundlagen dafür – mit Microsoft Entra ID, Windows Hello for Business, FIDO2, Microsoft Authenticator und Conditional Access (bedingter Zugriff).
Doch die Strategie verschiebt sich nun von „passwortlos als Option“ hin zu „passwortlos als bevorzugtes Authentifizierungserlebnis“.
Und Microsoft hat für 2026 konkrete Meilensteine festgelegt.
1. September 2026: Passkeys werden für mehr Benutzer zum Standard
Das ist die zentrale Änderung, die man im Blick behalten sollte.
Ab dem 1. September 2026 aktiviert Microsoft Passkeys automatisch für Benutzer, die noch für die Authentifizierung per SMS oder Sprachanruf freigeschaltet sind.
Diese Benutzer werden außerdem aufgefordert, einen Passkey zu registrieren, wenn sie sich auf einem geeigneten Gerät mit MFA anmelden.
Microsofts Ziel ist klar:
Benutzer weg von der SMS- und Sprachanruf-Authentifizierung hin zu phishing-resistenten Authentifizierungsmethoden zu bewegen.
Es handelt sich nicht einfach um eine neue Authentifizierungsoption in Microsoft Entra ID.
Es verändert die Ausrichtung des Standard-Benutzererlebnisses.
Was genau ist ein Passkey?
Ein Passkey ist ein passwortloser Anmeldeinformationstyp auf Basis von Public-Key-Kryptografie, der Standards wie FIDO2/WebAuthn nutzt.
Anstatt ein Passwort einzugeben, das gestohlen oder per Phishing abgegriffen werden kann, authentifiziert sich der Benutzer mit einer Anmeldeinformation, die durch sein Gerät oder seinen Authentifikator geschützt ist.
Je nach Szenario kann sich der Benutzer authentifizieren über:
- Windows Hello
- Biometrie
- Geräte-PIN
- Sicherheitsschlüssel
- Einen Passkey, der auf einem unterstützten Gerät oder in einem Anmeldeinformations-Manager gespeichert ist
Der private Schlüssel bleibt durch den Authentifikator geschützt.
Das Ergebnis?
Es gibt kein Passwort, das ein Angreifer einfach abfangen und wiederverwenden könnte.
Microsofts Dokumentation vom April 2026 hebt zudem den Leistungsvorteil synchronisierter Passkeys hervor: Laut Microsoft ermöglichen sie eine deutlich schnellere Anmeldung als ein Passwort in Kombination mit herkömmlicher MFA.
Authentication Strengths: MFA ist nicht mehr einfach nur „MFA“
Dies ist ein weiterer wichtiger Teil von Microsofts Strategie.
Mit Microsoft Entra Conditional Access können Organisationen eine Authentication Strength (Authentifizierungsstärke) definieren, die festlegt, welche Authentifizierungsmethoden für den Zugriff auf eine Ressource zulässig sind.
Microsoft stellt drei integrierte Authentication Strengths bereit:
- Multi-Faktor-Authentifizierung
- Passwortlose MFA
- Phishing-resistente MFA
Die dritte ist die restriktivste und besonders relevant für hochprivilegierte Rollen.
Damit ändert sich die Frage von:
„Hat der Benutzer MFA?“
zu:
„Welche Authentifizierungsmethode hat der Benutzer verwendet?“
Eine Organisation könnte beispielsweise Folgendes verlangen:
- Standardanwendungen → Multi-Faktor-Authentifizierung
- Sensible Anwendungen → Passwortlose MFA
- Privilegierte Administratorrollen → Phishing-resistente MFA
Hier wird Conditional Access zu weit mehr als einem MFA-Schalter.
Conditional Access wird zur Richtlinien-Engine
Microsoft Entra Conditional Access kann die Authentifizierungsmethode zusammen mit weiteren Bedingungen bewerten, bevor der Zugriff gewährt wird.
Zum Beispiel:
Benutzer → Anwendung → Gerät → Standort → Risiko → Authentication Strength → Zugriffsentscheidung
Die Organisation kann sich somit von einem einfachen Modell:
Passwort + MFA = Zugriff
hin zu folgendem Modell bewegen:
Identität + Gerät + Risiko + Authentication Strength + Richtlinie = Zugriff
Microsofts Dokumentation beschreibt Authentication Strengths ausdrücklich als Conditional-Access-Steuerung, die festlegt, welche Authentifizierungsmethoden Benutzer für den Zugriff auf eine Ressource verwenden können.
Benutzerdefinierte Authentication Strengths werden granularer
Microsoft gibt Administratoren außerdem mehr Kontrolle darüber, welche Anmeldeinformationen eine Richtlinie genau erfüllen können.
Im Juni 2026 hat Microsoft erweiterte Optionen für benutzerdefinierte Authentication Strengths dokumentiert.
So können Organisationen beispielsweise Passkeys (FIDO2) anhand einer Authenticator Attestation GUID (AAGUID) einschränken.
Eine Organisation kann damit eine Richtlinie definieren, die einen Passkey von einem zugelassenen Sicherheitsschlüssel-Hersteller oder einem bestimmten Authentifikator verlangt.
Das ist besonders relevant für:
- Privilegierte Administratoren
- Hochwertige Anwendungen
- Sensible Daten
- Regulierte Umgebungen
- Identitäten mit hohem Risiko
Passwortlos bedeutet daher nicht:
„Jede passwortlose Methode zulassen.“
Es kann bedeuten:
„Nur die Authentifizierungsmethoden zulassen, die unsere Sicherheitsanforderungen erfüllen.“
Was sollten Organisationen jetzt tun?
Microsofts Ausrichtung gibt Organisationen eine klare Roadmap vor.
1. Benutzer identifizieren, die noch auf SMS und Sprachanruf setzen
Genau verstehen, wer noch veraltete Authentifizierungsmethoden nutzt.
2. Passkeys aktivieren und testen
Mit einer kontrollierten Gruppe beginnen, bevor die Bereitstellung ausgeweitet wird.
3. Richtlinie für Authentifizierungsmethoden überprüfen
Festlegen, welche Authentifizierungsmethoden verfügbar bleiben und welche schrittweise abgeschafft werden sollen.
4. Conditional Access überprüfen
Über generische MFA-Anforderungen hinausgehen und Authentication Strengths bewerten.
5. Privilegierte Identitäten schützen
Microsoft empfiehlt phishing-resistente MFA für hochprivilegierte Rollen.
6. Registrierung und Wiederherstellung überprüfen
Bei der Einführung passwortloser Anmeldung geht es nicht nur um die Anmeldung selbst.
Organisationen müssen auch die Prozesse absichern, mit denen Authentifizierungsmethoden registriert, ersetzt und wiederhergestellt werden.
7. Vor der Durchsetzung testen
Kontrollierte Bereitstellungen und geeignete Conditional-Access-Tests durchführen, bevor Richtlinien breit angewendet werden.
Die Microsoft-Identitäts-Roadmap
Die Entwicklung lässt sich in drei Phasen zusammenfassen:
- Gestern: Passwort → MFA
- Heute: Passwort / Passwortlos → Conditional Access → Authentication Strength → Risikobasierter Zugriff
- Morgen: Passkeys / Windows Hello / FIDO2 → Phishing-resistente Authentifizierung → Conditional Access → Identität + Gerät + Risiko → Zero-Trust-Zugriff
Der entscheidende Punkt: Microsoft ersetzt Passwörter nicht einfach durch Passkeys.
Microsoft verändert, wie Identität bewertet wird, bevor Zugriff gewährt wird.
Das Fazit für IT-Verantwortliche
Die Frage lautet nicht mehr:
„Sollen wir passwortlose Authentifizierung einführen?“
Die relevantere Frage lautet:
„Welche Benutzer, Anwendungen und privilegierten Identitäten sollten zuerst auf phishing-resistente Authentifizierung umgestellt werden – und wie setzen wir dies über Microsoft Entra Conditional Access durch?“
Da der 1. September 2026 bereits einen bedeutenden Übergang zu Passkeys markiert und der 1. Februar 2027 mit dem Ende der von Microsoft bereitgestellten SMS- und Sprachanruf-Zustellung näher rückt, sollten Organisationen, die noch stark auf herkömmliche Authentifizierungsmethoden setzen, jetzt mit der Planung ihrer Migration beginnen.
Passwortlos ist im Microsoft-Ökosystem keine reine Zukunftsvision mehr.
Es wird zur Standardausrichtung von Microsoft Entra ID.
Ist Ihre Organisation bereit für den Umstieg auf passwortlose Anmeldung?
Der Umstieg auf passwortlose Authentifizierung erfordert mehr als nur die Aktivierung von Passkeys.
Er beginnt damit, Ihre aktuelle Identitätsumgebung zu verstehen, veraltete Authentifizierungsmethoden zu identifizieren, Ihre Microsoft Entra Conditional-Access-Richtlinien zu überprüfen und die richtigen Authentication Strengths für Ihre Benutzer und privilegierten Identitäten festzulegen.
Consultim-IT unterstützt Sie dabei, Ihre Microsoft-Identitätsumgebung zu bewerten und eine sichere Roadmap hin zu passwortloser und phishing-resistenter Authentifizierung zu erstellen.