Microsoft-Passkeys: Angreifer nutzen die Registrierung für eigene Schlüssel

Wie security-insider.de in einem Bericht vom 20. Oktober 2026 darlegt, hat Microsoft zum 1. September 2026 eine weitreichende Umstellung vorgenommen. Der Softwarekonzern überführte alle Tenants, in denen Konten mit Authentifizierung per SMS oder Telefonanruf hinterlegt sind, in ein Passkey-Profil.

Dieses Profil erlaubt grundsätzlich jede Art von Passkey, sodass auch kryptografische Schlüssel aus privaten Passwortmanagern eingesetzt werden können. Während der Hersteller die Registrierungskampagne selbst steuert, können Benutzer den Vorgang beliebig oft aufschieben.

Feste Fristen für das Ende von SMS und Sprachanrufen

Der Schritt ist Teil eines schrittweisen Abschieds von telekommunikationsbasierten Anmeldeverfahren. Microsoft beendet die Zustellung von Bestätigungscodes über diese Kanäle nach einem festen Zeitplan. Für die meisten Benutzerkonten endet die SMS- und Sprachanruf-Zustellung am 1. Februar 2027.

Für ausgewählte Zugriffsgruppen gelten längere Übergangsfristen. Bei Globalen Administratoren sowie externen Benutzern wird die Zustellung per SMS und Sprachanruf erst am 1. Juli 2027 eingestellt. Bis zu diesen Stichtagen müssen Organisationen ihre Authentifizierungsverfahren anpassen, um Anmeldeunterbrechungen zu vermeiden.

Angesichts der Umstellung bei großen IT-Diensten wird deutlich, dass Passwörter und SMS-Codes zunehmend ausgedient haben. Ein kostenloser Report zeigt, wie Sie die moderne Passkey-Technologie jetzt bei Microsoft, WhatsApp oder Amazon einrichten und Ihre Konten optimal absichern. Was steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll?

Vorgaben für Registrierungskampagne und Temporary Access Pass

Für die Ausgestaltung der Registrierungskampagne existieren feste Vorgaben. Der konfigurierbare Aufschub beträgt 0 bis 14 Tage. Um eine dauerhafte Umgehung zu verhindern, greift ein verbindlicher Schwellenwert: Nach dem dritten Aufschub durch den Benutzer wird die Registrierung verpflichtend und muss unmittelbar bei der nächsten Anmeldung mit Multifaktor-Authentifizierung (MFA) durchgeführt werden.

Für die Ersteinrichtung und Bereitstellung kommt zudem der Temporary Access Pass zum Einsatz. Microsoft hat dessen Standardlaufzeit auf 1 Stunde festgelegt. Administratoren können diesen Rahmen anpassen, wobei Zeitfenster zwischen 10 und 43.200 Minuten – was 30 Tagen entspricht – zulässig sind. Die Länge des Passes muss zwischen 8 und 48 Zeichen liegen. Die Option für eine Einmalnutzung ist in der Standardkonfiguration auf False voreingestellt.

Wer sich mit der neuen Ära der passwortlosen Anmeldung befasst, profitiert von einer Methode, die das Einloggen per Fingerabdruck oder Gesichtserkennung kinderleicht macht. Erfahren Sie in diesem gratis Ratgeber, wie Sie den täglichen Passwort-Stress beenden und Hackern künftig keine Chance mehr lassen. Nie wieder Passwörter merken: Hier kostenlosen Passkey-Report sichern

Voraussetzungen für Berichte und Überwachung per API

Um den Fortschritt der Registrierungen innerhalb einer Umgebung nachzuvollziehen, stellt Microsoft administrative Werkzeuge bereit. Der Zugriff auf den entsprechenden Nutzungsbericht setzt Lizenzen für Entra ID P1 oder Entra ID P2 voraus. Die dort enthaltenen Daten werden vom Hersteller meist binnen 36 Stunden aktualisiert.

Für eine automatisierte Abfrage steht die Graph-API zur Verfügung. Über den Endpunkt GET /reports/authenticationMethods/userRegistrationDetails lassen sich die Registrierungsdetails der Benutzer abrufen. Für diesen API-Zugriff ist im System mindestens die Berechtigung AuditLog.Read.All erforderlich.