2-Faktor-Authentifizierung: Darum warnt Microsoft jetzt vor dem Code via SMS

Was geschehen ist – die Kernmeldung zur 2FA-Sicherheit

Microsoft hat eine deutliche Warnung an IT-Administratoren und Nutzer weltweit ausgesprochen. Der US-Technologiekonzern stuft die klassische Zwei-Faktor-Authentifizierung (2FA), bei der ein einmaliger Zahlencode per SMS oder Sprachanruf übermittelt wird, als zunehmend unsicher ein. Diese Methode, die über Jahre hinweg als Standard für die Absicherung von Benutzerkonten galt, verliert in den Augen des Unternehmens massiv an Vertrauenswürdigkeit. Der Grund für diesen Kurswechsel ist die rasante Entwicklung im Bereich der Künstlichen Intelligenz (KI), die es Cyberkriminellen ermöglicht, Phishing-Angriffe in einer neuen Qualität und Effizienz durchzuführen. Um den Schutz der Identitäten in einer digital vernetzten Welt zu gewährleisten, fordert Microsoft die Anwender dazu auf, zeitnah auf modernere und sicherere Verfahren umzusteigen. Insbesondere die sogenannten Passkeys werden als zukunftsfähige Alternative propagiert. Diese Entwicklung markiert einen Wendepunkt in der Sicherheitsstrategie des Konzerns, der nun konkrete Konsequenzen zieht und die Unterstützung für SMS-basierte Verfahren in seinen Diensten schrittweise beenden wird.

Die Einzelheiten der Bedrohungslage

Die von Microsoft kommunizierten Bedenken stützen sich auf eine detaillierte Beobachtung der aktuellen Bedrohungslage. Laut dem Unternehmen haben KI-gestützte Werkzeuge die Hürden für Angreifer signifikant gesenkt. Ein zentrales Problem stellt das sogenannte „SIM-Swapping“ dar. Dabei gelingt es Betrügern, die Mobilfunknummer des Opfers auf eine von ihnen kontrollierte SIM-Karte umzuleiten. Da der SMS-Code direkt an diese Nummer gesendet wird, erhalten die Angreifer Zugriff auf den zweiten Faktor und können somit die Sicherheitsbarriere mühelos überwinden. Darüber hinaus hat Microsoft einen massiven Anstieg an KI-gesteuerten Phishing-Kampagnen registriert. Diese Angriffe zielen darauf ab, Nutzer gezielt zur Herausgabe von Passwörtern und Multi-Faktor-Authentifizierungs-Codes zu verleiten. Die Statistiken zeigen hierbei eine beunruhigende Tendenz: Die Klickraten bei diesen KI-optimierten Angriffen liegen deutlich über denen klassischer Methoden aus der Vor-KI-Ära. Dies belegt, dass die Täuschungsmanöver zunehmend professioneller wirken und die Anwender im Alltag effektiver in die Irre führen. Microsoft betont in einer internen Kommunikation, dass SMS und Sprachauthentifizierung im direkten Vergleich zu modernen Verfahren wie Passkeys eine deutlich schwächere Barriere gegen Phishing, SIM-Swapping und sogenannte Replay-Angriffe bieten.

Hintergrund zur Entwicklung der Sicherheitsstandards

Die Geschichte der Zwei-Faktor-Authentifizierung mittels SMS ist eng mit dem Bedürfnis nach einer einfachen, aber effektiven zusätzlichen Sicherheitsebene verknüpft. Lange Zeit galt der Empfang eines Codes auf dem eigenen Mobiltelefon als „Goldstandard“ für die Absicherung von Logins, da davon ausgegangen wurde, dass das physische Gerät im Besitz des rechtmäßigen Nutzers bleibt. Doch die digitale Landschaft hat sich gewandelt. Die zunehmende Professionalisierung der Cyberkriminalität, die nun durch KI-Algorithmen unterstützt wird, hat die Schwachstellen dieser Infrastruktur offengelegt. Während früher manuelle Eingriffe oder aufwendige soziale Manipulationen nötig waren, um eine SIM-Karte zu kapern oder einen Nutzer zur Preisgabe eines Codes zu bewegen, erlauben automatisierte KI-Systeme heute Angriffe in großem Stil. Microsoft hat diese Entwicklung über einen längeren Zeitraum analysiert und ist zu dem Schluss gekommen, dass der Schutzstatus der SMS-Methode nicht mehr ausreicht, um den heutigen Anforderungen an eine robuste Identitätsverwaltung gerecht zu werden. Der Wechsel hin zu phishing-resistenten Methoden ist daher kein plötzlicher Entschluss, sondern eine notwendige Reaktion auf die veränderte technologische Realität, in der die Sicherheit der Identität oberste Priorität genießt.

Die Beteiligten und ihre Rollen

Die Ankündigung betrifft eine breite Palette an Akteuren innerhalb des Microsoft-Ökosystems. Im Zentrum stehen die IT-Administratoren, die für die Sicherheit der Unternehmensnetzwerke verantwortlich sind und nun dazu aufgefordert werden, die Authentifizierungsmethoden ihrer Nutzer umzustellen. Betroffen sind insbesondere Anwender von „Entra ID“, dem cloudbasierten Identitäts- und Zugriffsmanagementdienst von Microsoft. Dieser Dienst ist das Rückgrat für den Zugriff auf essenzielle Plattformen wie Microsoft 365, Azure und diverse externe Anwendungen. Durch die Steuerung der Anmeldeprozesse hat Microsoft hier eine direkte Handhabe, um Sicherheitsstandards durchzusetzen. Neben den Unternehmenskunden sind auch Privatnutzer mit persönlichen Microsoft-Konten von der Problematik betroffen, da auch sie Ziel der genannten Phishing-Kampagnen sind. Microsoft selbst tritt hierbei als Sicherheitsinstanz auf, die den technologischen Wandel anführt, indem sie den Support für veraltete Verfahren einstellt und die Nutzer zur Migration auf sicherere Standards zwingt.

Einordnung der Microsoft-Strategie

Einzuordnen ist das Vorgehen von Microsoft als konsequente Abkehr von veralteten Sicherheitskonzepten zugunsten einer „Zero-Trust“-Architektur. Den Berichten zufolge ist die SMS-Authentifizierung schlichtweg nicht mehr zeitgemäß, da sie auf einem Übertragungsweg basiert, der außerhalb der direkten Kontrolle des Unternehmens liegt – nämlich dem Mobilfunknetz. Die Entscheidung, den Zugriff für Entra-ID-Nutzer ab dem 1. Februar 2027 vollständig zu unterbinden, unterstreicht die Ernsthaftigkeit der Lage. Es handelt sich hierbei nicht um eine bloße Empfehlung, sondern um eine erzwungene Sicherheitsmaßnahme. Fachleute bewerten diesen Schritt als überfällig, da die Anfälligkeit der SMS für Abfangmanöver seit langem bekannt ist. Dass Microsoft nun den Zeitplan für Unternehmen festlegt, zeigt, dass der Konzern die Verantwortung für die Sicherheit seiner Identitätsplattform aktiv wahrnimmt. Die Umstellung auf phishing-resistente Methoden ist nach Einschätzung des Unternehmens die einzige Möglichkeit, um den steigenden Anforderungen an den Schutz vor Identitätsdiebstahl in einer Ära, in der KI-Tools die Angriffsvektoren massiv erweitern, gerecht zu werden.

Offene Fragen und verbleibende Lücken

Obwohl Microsoft klare Ansagen für die Entra-ID-Nutzer gemacht hat, bleiben einige Aspekte der Umstellung unbeantwortet. Der Quelltext lässt beispielsweise offen, welche konkreten technischen Schritte für die Migration auf Passkeys in komplexen Unternehmensumgebungen erforderlich sind und ob es Ausnahmeregelungen für spezielle Nutzergruppen geben wird, die technisch bedingt auf SMS angewiesen sein könnten. Zudem ist der Zeitplan für Privatnutzer noch völlig unklar. Während für Geschäftskunden der 1. Februar 2027 als Stichtag feststeht, hat Microsoft für die Millionen von privaten Microsoft-Konten noch keinen verbindlichen Termin genannt, ab dem die SMS-Authentifizierung abgeschaltet wird. Auch bleibt unklar, wie genau Microsoft die Nutzer in der Übergangsphase unterstützen will, um sicherzustellen, dass niemand bei der Umstellung den Zugriff auf sein Konto verliert. Diese Lücken in der Kommunikation lassen Raum für Spekulationen über die praktische Umsetzung und die Herausforderungen, die insbesondere weniger technikaffine Anwender bei diesem Wechsel erwarten könnten.

Wie es weitergeht – der Zeitplan

Für Unternehmen und IT-Verantwortliche ist der 1. Februar 2027 das entscheidende Datum. Ab diesem Tag wird der Zugriff auf Konten via Entra ID durch SMS- oder Sprachauthentifizierung technisch nicht mehr möglich sein. Das bedeutet, dass bis zu diesem Stichtag alle betroffenen Systeme und Benutzerkonten auf sicherere Authentifizierungsmethoden umgestellt sein müssen. Microsoft hat angekündigt, dass ähnliche Änderungen auch für die privaten Microsoft-Konten geplant sind, hat jedoch hierfür noch keinen konkreten Zeitrahmen veröffentlicht. In den kommenden Monaten ist daher mit weiteren Informationen und Anleitungen seitens Microsoft zu rechnen, wie die Migration auf phishing-resistente Verfahren, insbesondere Passkeys, reibungslos vollzogen werden kann. Die IT-Abteilungen sind nun gefordert, ihre Sicherheitsrichtlinien anzupassen und die Umstellung proaktiv zu planen, um einen reibungslosen Übergang zu gewährleisten und Sicherheitslücken zu vermeiden, die durch ein zu langes Festhalten an der SMS-Authentifizierung entstehen könnten.