heise+ | Authentifizierung per Passkey in Entra ID anpassen und nutzen

Microsoft möchte die Authentifizierung in Entra ID phishingsicher gestalten und schickt daher die Zwei-Faktor-Authentifizierung mit SMS oder Anruf in Rente. Stattdessen sollen Passkeys Standard werden. Microsoft hat für die Umstellung einen Zeitplan veröffentlicht.

• Zwei-Faktor-Authentifizierung mit SMS oder Anruf als zweitem Faktor ist phishinganfällig. Microsoft fordert Entra-ID-Nutzer mit solchen Konten seit dem 1. September 2026 zur Umstellung auf Passkeys auf, erzwingt die Umstellung aber erst ab dem 1. Februar 2027.
• Admins, die die Umstellung bereits vorher durchführen, Passkeys auch für neu angelegte Konten zum Standard machen oder zusätzliche Sicherheitsmaßnahmen implementieren wollen, müssen selbst aktiv werden.
• Dabei müssen sie aufpassen, dass sie nicht durch zu strenge Conditional-Access-Richtlinien einzelne Anwender oder schlimmstenfalls den gesamten Tenant aussperren.
• Über einen Temporary Access Pass können sich neu angelegte Konten einmalig bei Entra ID anmelden, um einen Passkey zu erstellen.
• Es empfiehlt sich, bei der Umstellung des Tenants zunächst mit Adminkonten zu beginnen, um zu prüfen, ob der Umstellungsprozess reibungslos funktioniert. Notfallkonten sollten von der Umstellung ausgenommen bleiben.

Für diesen Artikel nutzen wir einen Test-Tenant, in dem die Methode SMS für alle Benutzer auf „Ja“ und der befristete Zugriffspass (Temporary Access Pass, TAP) auf „Nein“ steht. Solchen Konten hat Microsoft ab dem 1. September 2026 ein Passkey-Profil zugeordnet. Die Registrierungskampagne hat auf „Microsoft verwaltet“ gewechselt. Ein Anwender mit SMS als zweitem Faktor bekommt bei der nächsten Mehr-Faktor-Anmeldung die Aufforderung, einen Passkey anzulegen, darf das in der Voreinstellung aber unbegrenzt oft wegklicken. An der Abdeckung im Tenant ändert der Automatismus deshalb zunächst wenig.

Synchronisierte und gerätegebundene Passkeys

Die Verwaltung der Passkeys findet im Entra Admin Center unter „Entra ID/Authentifizierungsmethoden/Richtlinien/Hauptschlüssel (FIDO2)“ statt. Das Portal übersetzt „Passkey“ als „Hauptschlüssel“ ins Deutsche, die Dokumentation bleibt beim englischen Begriff. Seit März 2026 arbeitet die Richtlinie mit Passkey-Profilen, die je Zielgruppe festlegen, welche Schlüsseltypen zugelassen sind: Synchronisierte Passkeys liegen verschlüsselt beim Anbieter, zum Beispiel im iCloud-Schlüsselbund oder im Google Passwortmanager. Sie werden auf jedes Gerät des Anwenders synchronisiert, auch auf das private Tablet – das ist nicht immer gewollt. Gerätegebundene Passkeys verlassen das Gerät nicht, dazu zählen FIDO2-Sicherheitsschlüssel und der Passkey im Microsoft Authenticator.