SMS-Authentifizierung vor dem Aus: Was die MFA-Umstellung für KMU bedeutet

Microsoft entfernt die Anmeldung per SMS-Code schrittweise aus Entra ID – der Identitätsverwaltung hinter Microsoft 365. Für Unternehmen, die Mitarbeitern seit Jahren einen Einmalcode per Textnachricht zur Anmeldung schicken, ist das mehr als eine technische Randnotiz: Wer jetzt nicht handelt, steht plötzlich ohne funktionierende Multi-Faktor-Authentifizierung da. Für KMU, die MFA ohnehin oft nur widerwillig eingeführt haben, ist der Zeitpunkt gut, um gleich auf eine deutlich sicherere Methode umzusteigen.

Warum SMS als zweiter Faktor abgeschafft wird

SMS-basierte Einmalcodes galten lange als einfacher Einstieg in die Multi-Faktor-Authentifizierung, weil jedes Mobiltelefon sie ohne zusätzliche App empfangen kann. Genau diese Einfachheit ist inzwischen ihr größtes Sicherheitsproblem.

SIM-Swapping als Hauptrisiko

Bei einem SIM-Swap überredet oder besticht ein Angreifer den Mobilfunkanbieter, die Rufnummer des Opfers auf eine neue SIM-Karte zu übertragen. Ab diesem Moment landen alle SMS-Codes beim Angreifer, nicht beim eigentlichen Nutzer. Für Kriminelle ist das ein bekannter, mehrfach dokumentierter Weg, um Konten mit hohen Berechtigungen zu übernehmen – gerade wenn ein Administrator-Konto per SMS abgesichert ist.

Abfangen über Signalisierungsprotokolle und Phishing

Zusätzlich lassen sich SMS-Nachrichten über Schwachstellen im SS7-Protokoll des Mobilfunknetzes abfangen, und moderne Phishing-Kits fragen den SMS-Code einfach in Echtzeit über eine gefälschte Login-Seite ab und leiten ihn sofort an den echten Dienst weiter. Der zweite Faktor schützt in diesem Fall nicht mehr vor dem eigentlichen Angriff.

Microsoft zieht daraus die Konsequenz und markiert SMS als Anmeldeoption in Entra ID als veraltet. Unternehmen sollen stattdessen auf App-basierte oder hardwaregestützte Verfahren setzen, die gegen genau diese Angriffe deutlich widerstandsfähiger sind.

Was das für KMU in der Praxis bedeutet

Viele kleine und mittlere Unternehmen haben MFA vor Jahren mit SMS eingeführt, weil es ohne Schulungsaufwand funktionierte – jeder Mitarbeiter besitzt ein Handy, niemand musste eine zusätzliche App installieren. Diese Bequemlichkeit fällt jetzt weg, und ohne rechtzeitige Umstellung drohen zwei Szenarien: entweder Mitarbeiter können sich nach der Abschaltung gar nicht mehr anmelden, oder die IT-Abteilung schaltet MFA im Zweifel kurzerhand ganz ab, um den Betrieb aufrechtzuerhalten. Letzteres wäre ein deutlicher Rückschritt bei der Absicherung von Microsoft-365-Konten, die für die meisten ostdeutschen KMU heute das zentrale Einfallstor für Cyberangriffe darstellen.

Alternativen zu SMS-Codes

Authenticator-Apps mit Push-Bestätigung

Die Microsoft Authenticator App generiert zeitbasierte Codes direkt auf dem Smartphone, unabhängig vom Mobilfunknetz, und unterstützt zusätzlich Push-Benachrichtigungen mit Nummernabgleich. Der Nutzer bestätigt die Anmeldung per Tippen und gibt eine angezeigte Zahl ein – ein Verfahren, das SIM-Swapping und klassisches SMS-Abfangen wirkungslos macht.

Passkeys und FIDO2-Sicherheitsschlüssel

Deutlich stärker sind Passkeys, die auf dem FIDO2-Standard basieren und kryptografische Schlüsselpaare statt übertragbarer Codes verwenden. Ein Passkey lässt sich nicht abfangen, nicht in Echtzeit weiterleiten und nicht durch einen SIM-Swap kompromittieren, weil der private Schlüssel das Gerät nie verlässt. Für Administrator- und Geschäftsführer-Konten mit weitreichenden Berechtigungen ist das aktuell die sicherste verfügbare Option.

Hardware-Token für besonders sensible Konten

Wo Passkeys aus Kompatibilitätsgründen noch nicht überall einsetzbar sind, bieten klassische Hardware-Sicherheitsschlüssel eine vergleichbar robuste Alternative – vor allem für IT-Administratoren, Buchhaltung und Geschäftsführung, deren Konten im Fall einer Übernahme den größten Schaden anrichten würden.

Schritt für Schritt zur sicheren MFA-Umstellung

1. Bestandsaufnahme der aktuellen Anmeldemethoden

Über das Entra-ID-Admin-Center lässt sich einsehen, welche Nutzer aktuell noch SMS als Authentifizierungsmethode registriert haben. Diese Liste ist der Ausgangspunkt für die gesamte Umstellung.

2. Authenticator-App für alle Mitarbeiter verpflichtend machen

Statt SMS als Rückfalloption zu belassen, sollte die Authenticator-App als Standardverfahren vorgegeben und in einer kurzen Anleitung erklärt werden – die Einrichtung dauert pro Mitarbeiter nur wenige Minuten.

3. Passkeys für privilegierte Konten priorisieren

Geschäftsführung, IT-Administration und alle Konten mit globalen Admin-Rechten sollten vorrangig auf Passkeys oder Hardware-Token umgestellt werden, da hier ein erfolgreicher Angriff die größten Folgen hätte.

4. Registrierungsfrist setzen und SMS deaktivieren

Erst wenn alle Mitarbeiter eine funktionierende Alternative eingerichtet haben, sollte SMS als Methode in den Authentifizierungsrichtlinien von Entra ID vollständig deaktiviert werden – ein zu früher Schritt sperrt sonst einzelne Nutzer aus.

5. Conditional-Access-Richtlinien überprüfen

Im gleichen Zug lohnt sich ein Blick auf bestehende Conditional-Access-Regeln, um sicherzustellen, dass sie tatsächlich moderne Authentifizierungsmethoden voraussetzen und nicht versehentlich weiterhin schwächere Verfahren zulassen.

Rexoma unterstützt KMU in Dresden

Sie suchen Unterstützung in Dresden? Rexoma hilft KMU dabei, ihre Microsoft-365- und Entra-ID-Umgebung von SMS-basierter Authentifizierung auf sichere Authenticator-Apps und Passkeys umzustellen – inklusive Bestandsaufnahme, Mitarbeiter-Rollout und Absicherung privilegierter Konten. Als IT-Dienstleister für kleine und mittlere Unternehmen in Sachsen sorgen wir dafür, dass die Umstellung reibungslos läuft, ohne dass am Ende der Zugriff für Mitarbeiter blockiert ist.

FAQ

Warum entfernt Microsoft SMS-Codes aus Entra ID? SMS-Codes lassen sich über SIM-Swapping, Schwachstellen im Mobilfunknetz oder Echtzeit-Phishing abfangen. Microsoft stuft die Methode deshalb als unzureichend sicher ein und setzt stattdessen auf App-basierte und hardwaregestützte Verfahren.

Müssen wir sofort handeln, oder reicht auch später? Da die Abschaltung schrittweise erfolgt, sollten Unternehmen die Umstellung jetzt beginnen, statt bis zum letzten Moment zu warten. Wer erst nach der endgültigen Abschaltung reagiert, riskiert ausgesperrte Mitarbeiter und Betriebsunterbrechungen.

Ist ein Passkey wirklich sicherer als eine Authenticator-App? Ja. Ein Passkey basiert auf einem kryptografischen Schlüsselpaar, das nie das Gerät verlässt, und kann nicht wie ein App-Code in Echtzeit über eine Phishing-Seite abgefangen werden. Für Konten mit weitreichenden Berechtigungen ist er aktuell die stärkste verfügbare Option.

Was passiert mit Mitarbeitern ohne Smartphone? Für diese Fälle bieten sich Hardware-Sicherheitsschlüssel an, die unabhängig von einem Mobiltelefon funktionieren und sich einfach an einen USB-Anschluss oder per NFC nutzen lassen.

Reicht es, nur die Administrator-Konten umzustellen? Nein. Auch reguläre Mitarbeiterkonten sind ein beliebtes Angriffsziel, etwa als Ausgangspunkt für interne Phishing-Kampagnen. Eine vollständige Umstellung aller Konten ist deutlich wirksamer als eine Beschränkung auf einzelne Rollen.