LONDON (IT BOLTWISE) – Microsoft stoppt die SMS-basierte Verifizierung für persönliche Konten und treibt phishing-resistente Passkeys in der Identitätsarchitektur nach vorn. Parallel zeigen neue Angriffsberichte, wie KI-gestützte Kampagnen Einmalcodes und Token-Infrastrukturen zunehmend automatisiert kompromittieren. Für Unternehmen bedeutet das: Authentifizierung muss „by design“ gegen Social Engineering härter werden, und bestehende Prozesse rund um MFA, Device-Schutz und Identitätszugriff müssen beschleunigt modernisiert werden.
Microsoft zieht die Konsequenz aus einer Entwicklung, die sich seit Jahren abzeichnet: Wenn Identität als Eintrittstür dient, werden alle Schwachstellen rund um Zwei-Faktor-Authentifizierung (2FA) früher oder später zum Ziel. Besonders SMS-basierte OTPs (One-Time-Passwords) gelten Branchenberichten zufolge als reaktionsarm gegenüber modernen Angriffswellen, die sowohl Social Engineering als auch Token-Abgreifen automatisieren. Gleichzeitig wird die Diskussion durch Berichte über KI-unterstützte Angriffe verschärft, die 2FA umgehen, anstatt sie nur „zu belästigen“. Der Schritt ist daher weniger überraschend als vielmehr ein Signal, dass Phishing-Resilienz jetzt in produktiven Identitätsflüssen verankert werden muss.
Technisch betrachtet verändert Microsofts Kurs die Sicherheitsannahmen für Authentifizierungssysteme. Bei Passkeys und FIDO2 werden kryptografische Schlüsselpaare verwendet, wobei der private Schlüssel typischerweise im sicheren Container oder im Hardware-/TEE-Umfeld des Endgeräts verbleibt. Das reduziert die Angriffsfläche für klassische Verfahren, bei denen ein temporärer Code oder ein von einer App erzeugtes OTP als „Schlüsselersatz“ dient. In Microsoft Entra ID wird die Passkey-Unterstützung so erweitert, dass Nutzer auf Windows-Geräten FIDO2-Passkeys via Windows Hello verwenden können. Die Architektur zielt damit auf eine Trennung von Identitätsnachweis und übertragbaren Geheimnissen ab.
Der Sicherheitsnutzen ist jedoch nur dann real, wenn Unternehmen die Prozesskette konsequent anpassen. Denn viele Angriffe setzen nicht ausschließlich auf das Knacken kryptografischer Checks, sondern auf den menschlichen Ablauf: Phishing-„Landingpages“, Token-Abgriff und Prompt-gestützte Umwege. Berichten zufolge wurden dabei Phishing-as-a-Service-Angebote über Messenger-Kanäle professionalisiert, inklusive Echtzeit-Dashboards und vorgefertigten Social-Engineering-Vorlagen. Ein besonders heikler Punkt sind Situationen, in denen ein OAuth-Flow zwar „formal“ autorisiert wirkt, der Angreifer aber die resultierenden Berechtigungen missbräuchlich nutzt. Sicherheitsarchitektur wird damit zur End-to-End-Aufgabe: Von der Login-UX über Session-Handling bis zur Berechtigungsverwaltung.
Marktseitig nimmt der Wettbewerb um phishing-resistente Authentifizierung zu. Microsoft ist nicht allein: Apple baut mit „Stolen Device Protection“ Mechanismen aus, die bei sensiblen Operationen zusätzliche biometrische Bestätigung erzwingen und dadurch den Missbrauch gestohlener Geräte erschweren. In parallelen Schritten werden auch post-quantenfähige Bausteine in mobilen Betriebssystemen vorbereitet, während Plattformen wie Google bei der Erkennung von schädlichen Apps und betrügerischen Ladeflächen nachziehen. Sicherheitsanbieter wie Arctic Wolf beobachten dabei nicht nur einzelne Kampagnen, sondern die Skalierung von Angriffsmodi, sobald Automatisierung die Hürde für Massenphishing senkt. Experten fassen den Kern oft so zusammen: „Ohne phishing-resistente Signale wird aus jeder MFA-Strategie nur noch ein Verzögerungsmechanismus.“
Regulatorik und Datenschutz werden in diesem Kontext zu einem zweiten Drehpunkt. Passkeys und lokale Schlüsselaufbewahrung können zwar die Weitergabe von Codes oder kopierbaren Secrets reduzieren, doch die Umstellung erfordert saubere Governance: Wer darf welche Authentifizierungsfaktoren nutzen, wie werden Geräte registriert, und wie wird bei Rollenwechseln oder Kündigungen die Zugriffskette geschlossen? Hinzu kommt das Risiko von Account-Übernahmen, bei dem Angreifer oft vor allem auf Session-Hijacking, Token-Abgriffe oder unzureichende Bindings zwischen Benutzer, Gerät und Kontext setzen. Wer die Migration plant, sollte daher auch Datenschutzfragen zu Telemetrie, Geräteinformationen und Sicherheitsereignissen berücksichtigen, die für Audits benötigt werden.
Für die Zukunft ist die Richtung klar: Microsoft beendet die SMS-basierte Verifizierung für persönliche Konten und macht damit deutlich, dass „Legacy“-Faktoren unter Druck geraten. In der Praxis rückt nun die Frage in den Vordergrund, welche Authentifizierungsstrategie in heterogenen Umgebungen (Mitarbeitergeräte, Dienstkonten, externe Partner, Cloud-Apps) am schnellsten skalierbar ist. Die Umstellung auf Passkeys und FIDO2 kann dabei als technischer Sprung wirken, ersetzt aber nicht das Sicherheitsdesign drumherum: Device-Schutz, sichere Rollenmodelle, Response-Prozesse und regelmäßige Überprüfung der Konfiguration bleiben nötig. Der Ausblick fällt damit trotz aller verbesserten Kryptografie ambivalent aus: Während Abwehrmechanismen automatisierter werden, entwickeln Angreifer parallel KI-gestützte Tools weiter und nutzen neue Angriffsvektoren wie Quishing über QR-Codes oder gezielte Schwachstellen in Mobile-Ökosystemen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft beendet SMS-Authentifizierung: Passkeys werden zum Standard" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft beendet SMS-Authentifizierung: Passkeys werden zum Standard" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft beendet SMS-Authentifizierung: Passkeys werden zum Standard« bei Google Deutschland suchen, bei Bing oder Google News!