Passkeys-Pflicht: Microsoft zwingt 720.000 Kunden zur Umstellung
Veröffentlicht am: 11.08.2026 um 20:03 Uhr | Redaktion boerse-global.de
Der Technologiekonzern Microsoft hat eine tiefgreifende Änderung seiner Sicherheitsstrategie für Geschäftskunden angekündigt. Für insgesamt über 720.000 Unternehmenskunden wird der Wechsel auf den Passkeys-Standard zur verbindlichen Vorgabe. Ziel dieser Maßnahme ist es, die Abhängigkeit von herkömmlichen, zunehmend unsichereren Anmeldeverfahren zu beenden und die Identitätssicherheit in Organisationen signifikant zu stärken.
Zeitplan für die Abschaffung klassischer Authentifizierungsverfahren
Microsoft hat für den Übergang zu einer passwortlosen Infrastruktur einen konkreten Zeitplan vorgelegt. Ab dem 1. September 2026 werden Passkeys offiziell als neuer Standard für die Anmeldung geführt. In diesem Zuge wird die Unterstützung für die SMS-Authentifizierung schrittweise eingestellt; dieses Verfahren soll spätestens am 1. Februar 2027 endgültig enden.
Flankiert wird dieser Prozess durch den Rollout neuer Multi-Faktor-Authentifizierungs-Optionen (MFA). Zwischen Oktober und November 2026 plant Microsoft, Windows Hello for Business sowie macOS PSSO als eigenständige MFA-Faktoren zu etablieren. Gleichzeitig gab das Unternehmen bekannt, dass Microsoft Entra Tenant Governance ab sofort allgemein verfügbar ist, um Administratoren bei der Verwaltung dieser neuen Sicherheitsvorgaben zu unterstützen.
Marktakzeptanz und technischer Hintergrund von Passkeys
Die Umstellung erfolgt vor dem Hintergrund einer weltweit wachsenden Verbreitung kryptografischer Anmeldeverfahren. Schätzungen zufolge existieren bereits weltweit 5 Milliarden Passkeys, wobei rund 68% der Unternehmen diese Technologie bereits in ihre Prozesse integriert haben. Passkeys basieren auf dem WebAuthn-Standard und bieten im Vergleich zu Passwörtern einen höheren Schutz gegen Phishing-Angriffe.
Wer angesichts der zunehmenden Cyberrisiken seine Online-Konten effektiv absichern möchte, erfährt in diesem kostenlosen Report alles über die neue Technologie, die Passwörter überflüssig macht. Was steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll?
Trotz der Vorteile weisen Experten darauf hin, dass auch moderne Standards kontinuierlich überwacht werden müssen. Jüngste Untersuchungen beschäftigten sich etwa mit Schwachstellen in der Implementierung von WebAuthn-Prozessen. So wurde unter dem Namen „Pass-the-Passkey“ ein Szenario bekannt, bei dem Klartext-Signaturen in Windows eine Rolle spielten. Microsoft hat hierauf reagiert und bereits am 14. Juli 2026 die Sicherheitslücke CVE-2026-34348 mit einem CVSS-Score von 6.5 gepatcht.
Sicherheitsrisiken und notwendige Schutzmaßnahmen
Die Analyse der Sicherheitslücke CVE-2026-34348 verdeutlichte technische Herausforderungen bei der Protokollierung von Anmeldedaten. In Windows 11 wurden laut Berichten vollständige WebAuthn-Assertions protokolliert. Zudem fehlten bei Entra ID zeitweise Anti-Replay-Prüfungen, wie etwa eine strikte Challenge-Bindung oder Signaturzähler, was potenziell über 20 verschiedene Angriffstechniken ermöglicht hätte.
Angesichts von Millionen gehackter Konten pro Quartal wird der Schutz der eigenen Identität immer wichtiger. Dieser Gratis-Ratgeber zeigt Ihnen, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sofort einrichten und so Hackerangriffen keine Chance mehr lassen. Jetzt kostenlosen Passkey-Guide herunterladen
Ein Sicherheitsexperte wies darauf hin, dass Schlüssel für Windows Hello for Business unter bestimmten Konfigurationen ohne zusätzliche PIN oder biometrische Merkmale nutzbar gewesen seien. Zudem seien WebAuthn-Challenges in Entra ID teilweise fünf Minuten lang gültig und nicht fest an eine bestimmte Sitzung gebunden gewesen. Auch bei anderen Anbietern wurden ähnliche Risiken identifiziert; so berichteten Analysten der Forschungsgruppe Unit 42 von einer Technik namens „Pass-ta-key“, bei der Geheimnisse in den Protokolldateien des Google Password Managers in Chrome gefunden wurden, die nicht rotierbar waren.
Um diesen Risiken zu begegnen, betonen Fachleute die Notwendigkeit, zeitnah alle verfügbaren Patches zu installieren. Darüber hinaus wird Unternehmen empfohlen, einen serverseitigen Replay-Schutz zu implementieren und auf Hardware-Attestierung zu setzen, um sicherzustellen, dass nur autorisierte Endgeräte für die Authentifizierung genutzt werden können. Microsoft hat nach eigenen Angaben bereits entsprechende Maßnahmen innerhalb von Entra ID umgesetzt, um die Sicherheit der neuen Standards zu gewährleisten.
