LONDON (IT BOLTWISE) – Microsoft schreibt Passkeys als Standard für den Zugriff auf Unternehmensdienste vor: Betroffen sind über 720.000 Geschäftskunden. Ab 1. September 2026 sollen Passkeys die Anmeldung als neuer Standard ablösen, während die SMS-Authentifizierung schrittweise endet und spätestens am 1. Februar 2027 ausläuft. Parallel rollt der Konzern neue MFA-Faktoren mit Windows Hello for Business sowie macOS PSSO zwischen Oktober und November 2026 aus. Technisch rückt dabei auch die Absicherung von WebAuthn-Prozessen in den Fokus, nachdem Sicherheitslücken in Implementierungen gepatcht wurden.
Microsoft stellt die Weichen für eine passwortlose Geschäftswelt und geht dabei deutlich weiter als viele Organisationen, die Passkeys bisher als Option statt als Vorgabe betrachten. Laut der Ankündigung betrifft die Umstellung insgesamt „über 720.000“ Unternehmenskunden, die künftig auf den Passkeys-Standard gesetzt werden sollen. Damit verschiebt der Konzern den Schwerpunkt in der Identitäts- und Zugriffsverwaltung weg von klassischen, stärker phishinganfälligen Anmeldewegen hin zu kryptografisch abgesicherten Verfahren. Für IT-Abteilungen ist das nicht nur eine Policy-Frage, sondern eine Umsetzung auf mehreren Ebenen: Frontend-Zugriff, Identity Provider, Geräteberechtigungen und das Zusammenspiel von Multi-Faktor-Authentifizierung (MFA) mit Endpunkten.
Der konkrete Zeitplan zeigt, dass Microsoft die Umstellung als strukturiertes Migrationsprogramm plant und nicht als „Upgrade, wenn es passt“. Ab dem 1. September 2026 sollen Passkeys offiziell als neuer Standard für die Anmeldung geführt werden. Im selben Zuge stellt Microsoft die Unterstützung für SMS-Authentifizierung schrittweise ein; das Verfahren soll spätestens am 1. Februar 2027 endgültig enden. Parallel dazu sollen zwischen Oktober und November 2026 neue MFA-Optionen etabliert werden: Windows Hello for Business sowie macOS PSSO werden dabei als eigenständige MFA-Faktoren positioniert. Ergänzend kündigt Microsoft mit Microsoft Entra Tenant Governance eine Funktionalität an, die ab sofort allgemein verfügbar sein soll, um Administratoren bei der Verwaltung dieser neuen Sicherheitsvorgaben zu unterstützen.
Passkeys selbst basieren auf dem WebAuthn-Standard und bringen gegenüber Passwörtern vor allem deshalb Sicherheitsvorteile, weil sie sich deutlich robuster gegen Phishing-Angriffe darstellen. In der Ankündigung ordnet Microsoft die Marktdynamik mit Zahlen ein: Schätzungen zufolge existieren weltweit bereits 5 Milliarden Passkeys, und rund 68% der Unternehmen hätten die Technologie in ihre Prozesse integriert. Für die Praxis ist diese Verbreitung zweischneidig. Einerseits erleichtert sie die Migration, weil es weniger „grüne Wiese“ bei der Infrastruktur gibt. Andererseits kann eine hohe Anzahl an bereits erzeugten Passkeys auch bedeuten, dass Unternehmen nun stärker auf Konsistenz, Rollback-Strategien und Betriebsmonitoring achten müssen, sobald Passkeys nicht mehr optional sind, sondern als verbindlicher Standard durchgesetzt werden.
Technisch rückt mit der Passkeys-Pflicht auch die Frage nach der Qualität der Implementierung in den Vordergrund. Hintergrund ist, dass WebAuthn-Prozesse zwar einen standardisierten Kern haben, aber in realen Systemen je nach Plattform und Konfiguration unterschiedliche Angriffsmöglichkeiten eröffnen können. In diesem Kontext wird in der Mitteilung das „Pass-the-Passkey“-Szenario beschrieben, bei dem in Windows Klartext-Signaturen eine Rolle spielten. Microsoft habe darauf reagiert und am 14. Juli 2026 die Sicherheitslücke CVE-2026-34348 mit einem CVSS-Score von 6.5 gepatcht. Solche konkreten CVE-Referenzen sind für Entscheidungsträger wichtig, weil sie den Übergang von „allgemeinen Sicherheitsversprechen“ hin zu überprüfbaren Maßnahmen markieren: Patchstand, betroffene Komponenten und die Frage, welche Authentifizierungsflüsse tatsächlich abgesichert werden.
Die Analyse zu CVE-2026-34348 verdeutlicht außerdem, wie eng Passkey-Sicherheit mit Protokollierung und Replay-Schutz verknüpft ist. Laut Berichten seien in Windows 11 vollständige WebAuthn-Assertions protokolliert worden. Zusätzlich wird als kritischer Punkt genannt, dass Entra ID zeitweise keine hinreichend strikten Anti-Replay-Prüfungen umgesetzt habe, etwa durch eine strikte Challenge-Bindung oder über Signaturzähler. Wenn Challenges nicht korrekt an Sitzungen gebunden sind oder Signaturzähler nicht zuverlässig zur Erkennung von Wiederholungsversuchen herangezogen werden, entsteht ein Angriffsraum, der sich – je nach Umgebung – potenziell über sehr viele Techniken ausnutzen lässt. Für Unternehmen bedeutet das: Es reicht nicht, „Passkeys aktiviert“ zu melden; notwendig sind auch die entsprechenden Schutzmechanismen in den Serverkomponenten und die korrekte Konfiguration der Identity Provider.
Aus Sicht von Security-Teams ergibt sich daraus eine klare Prioritätenliste, ohne dass dabei gleich jede einzelne Komponente komplett neu gebaut werden muss. Die Mitteilung verweist darauf, dass Fachleute Unternehmen insbesondere dazu raten, zeitnah alle verfügbaren Patches zu installieren. Darüber hinaus wird empfohlen, serverseitigen Replay-Schutz umzusetzen und auf Hardware-Attestierung zu setzen, damit nur autorisierte Endgeräte für die Authentifizierung genutzt werden können. Microsoft gibt an, bereits Maßnahmen innerhalb von Entra ID implementiert zu haben, um die Sicherheit der neuen Standards zu gewährleisten. Ergänzend ordnet die Meldung Risiken auch außerhalb des Microsoft-Ökosystems ein: So ist von einer Technik namens „Pass-ta-key“ die Rede, bei der Geheimnisse in Protokolldateien eines Google Password Managers in Chrome gefunden worden seien, die nicht rotierbar waren – ein Hinweis darauf, dass auch Passkey-nahe Systeme in der Praxis von Nebenwirkungen wie Logging, Speicherung und nicht sauber rotierbaren Artefakten betroffen sein können.
Für IT-Entscheider steht damit weniger die Frage „Passkeys ja oder nein?“ im Raum, sondern „Wie steuern wir die Migration ohne Betriebsrisiko?“. Wenn Microsoft Passkeys ab September 2026 als Standard setzt und die SMS-Authentifizierung bis Februar 2027 beendet, müssen Unternehmen ihre Identitätsprozesse rechtzeitig auditieren: Welche Apps und Administratorportale nutzen weiterhin SMS als Fallback, welche Geräte-Modelle sind betroffen, und wie wird mit Benutzern umgegangen, deren Passkey-Enrollment noch nicht vollständig abgeschlossen ist? Auch die geplanten MFA-Faktoren spielen hinein: Windows Hello for Business und macOS PSSO sind eigenständige Bausteine, deren Verfügbarkeit, Gerätestatus und Enrollment-Status in der Praxis eine Rolle bei der User Experience und bei der Durchsetzung von Sicherheitszielen haben. Wer diese Faktoren sauber in den Betrieb integriert, reduziert nicht nur den Angriff über Phishing, sondern verbessert häufig auch die Konsistenz bei der Zugriffskontrolle über verschiedene Endgeräte hinweg.
Für die Markt- und Branchenwirkung lässt sich daraus ein deutlicher Trend ableiten: Passkeys werden zunehmend von einem technologischen Zukunftsthema zu einer operativen Standardisierung. Microsofts Zeitplan setzt dabei eine klare Taktung, die andere Anbieter und auch große Unternehmen in ihrer eigenen Roadmap voraussichtlich neu justieren wird. Gleichzeitig bleibt es bei einer realistischen Sicherheitsbotschaft: Moderne Standards funktionieren nur so gut, wie Implementierung, Konfiguration und Patchdisziplin im Alltag wirklich umgesetzt werden. Gerade weil WebAuthn-Prozesse in der Praxis variieren können und Sicherheitslücken wie CVE-2026-34348 die Bedeutung korrekter Protokoll- und Schutzlogik unterstreichen, sollten Unternehmen die Umstellung als Sicherheitsprogramm mit messbaren Betriebskennzahlen begreifen – nicht als einmalige Einstellung in einem Admin-Portal.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft macht Passkeys für 720.000 Geschäftskunden verbindlich" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft macht Passkeys für 720.000 Geschäftskunden verbindlich" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft macht Passkeys für 720.000 Geschäftskunden verbindlich« bei Google Deutschland suchen, bei Bing oder Google News!