Microsoft macht aus Passkeys eine betriebliche Frist. Ab dem 1. September 2026 sollen Passkeys für Benutzer mit aktivierter SMS- oder Sprachanruf-Authentifizierung automatisch eingeschaltet und durch Registrierungsaufforderungen begleitet werden. Am 1. Februar 2027 folgt die Ablösung der nativen SMS- und Sprachverfahren. Die richtige Reaktion ist keine allgemeine Rundmail, sondern ein Bestand der Personen, Richtlinien und Wiederherstellungswege, die noch davon abhängen.

Bedeutung für den Betrieb

Das erste Risiko liegt in der Annahme, dass Berechtigung bereits Einsatzbereitschaft bedeutet. Ein Benutzer kann für Passkeys freigeschaltet sein und trotzdem kein kompatibles Gerät, keinen zulässigen Registrierungsweg oder ausreichende Unterstützung besitzen. Gäste, gemeinsam genutzte Geräte, Frontline-Rollen, Administratoren und Bereiche mit eingeschränkter Mobilgerätenutzung benötigen eine eigene Behandlung. Registrierungskampagnen sollten mit überschaubaren Gruppen beginnen.

Smartphone mit sichtbarem Sperrbildschirm in einer Hand
Passkeys verändern die Anmeldung am Gerät; der Rollout muss Gerätebesitz und Registrierung gemeinsam berücksichtigen.

Die Migration verändert auch die Wiederherstellung. Teams müssen testen, wie Benutzer nach Geräteverlust wieder Zugriff erhalten, wie ein Temporary Access Pass ausgegeben wird, wie SSPR reagiert und welche Notfallkonten bewusst außerhalb normaler Kampagnen bleiben. Ein stärkerer Primärfaktor hilft wenig, wenn die Wiederherstellung unbemerkt auf eine ungepflegte Telefonnummer oder eine vom Service Desk nicht verlässlich prüfbare Identität zurückfällt.

Ein sinnvoller Rollout beginnt mit Anmelde- und Methodenberichten, ordnet verbleibende SMS- und Sprachnutzer Geschäftsverantwortlichen zu und pilotiert Passkeys zunächst mit Support und Security. Gemessen werden Registrierungsquote, fehlgeschlagene Aufforderungen, Wiederherstellungsfälle und Ausnahmen. Microsofts vorübergehende Opt-out-Möglichkeit verschafft Zeit für begründete Sonderfälle, ersetzt aber keine Migration.

Zwei Personen bestätigen einen Vorgang über ein Mobilgerät
Starke Authentifizierung bleibt nur belastbar, wenn auch Identitätsprüfung und Wiederherstellung eindeutig funktionieren.

Praktische Konsequenz

Die praktische Konsequenz: Der 1. September ist der Beginn sichtbarer Änderungen und nicht das Projektende. Entra-Teams müssen vorher wissen, wer aufgefordert wird, wie die Registrierung funktioniert, was bei Fehlern geschieht und wer die Wiederherstellung verantwortet. Passkeys werden erst dann belastbar, wenn der Migrationsablauf genauso durchdacht ist wie die neue Methode.