LONDON (IT BOLTWISE) – Microsoft kündigt eine weitreichende Umstellung auf passwortlose Authentifizierung an: Ab dem 1. September 2026 soll der Passkey in Microsoft Entra ID zum Standard werden. Gleichzeitig stellt der Konzern ältere SMS- und Sprachverfahren bis zum 1. Februar 2027 ab. Hintergrund ist eine neue Welle von KI-gestütztem Phishing, die in Kampagnen bereits Klickraten von bis zu 54 Prozent erreicht. Für Unternehmen bedeutet das vor allem: Identitäts- und Zugriffsprozesse müssen jetzt auditierbar und passkey-fähig gemacht werden.
Microsofts Sicherheitsstrategie für Unternehmen verlagert sich spürbar von reaktiven Maßnahmen hin zu einer restriktiveren Authentifizierung: Ab dem 1. September 2026 soll der Passkey in Microsoft Entra ID zur Standardmethode werden. Der Anlass ist eine Entwicklung, die schon in den letzten Monaten deutlich an Tempo gewonnen hat. Sicherheitsforscher und auch das FBI beschreiben KI-gestützte Phishing-Kampagnen, die sich nicht mehr mit “nur” schlechten Webseiten zufriedengeben, sondern Anmeldungen in Echtzeit imitieren. Die Botschaft dahinter ist klar: Wenn Angreifer Passwörter über Social Engineering erlangen, bleibt das Abwehrkonzept häufig zu spät. Passkeys sollen dieses Zeitfenster verkleinern.
Technisch betrachtet basiert die Idee der passwortlosen Anmeldung auf kryptografischen Nachweisen statt auf Geheimnissen, die in Form von Passwörtern weitergereicht werden. Für Unternehmen heißt das konkret: Entra ID muss WebAuthn- und FIDO2-Workflows unterstützen, damit ein Gerät oder ein Hardware-Authenticator als verifizierbarer Schlüsselersatz fungiert. Microsoft adressiert dabei auch den OAuth-Umweg, der in vielen realen Angriffsszenarien der Dreh- und Angelpunkt ist. In der Praxis versuchen Phishing-as-a-Service-Plattformen, über den OAuth-2.0-Geräteautorisierungsfluss Legitimität zu simulieren. Genau hier setzt das Upgrade an: Wenn der Angriffsvektor auf Authentifizierungsartefakte verlagert wird, die nicht als Einmal-Text erbeutet werden können, wird das klassische “Prompting” weniger wirksam.
Marktseitig ist die Lage ohnehin angespannt: Okta berichtet von einer Gruppe namens Pink, die sich als offizieller Microsoft-Support ausgibt und die Einrichtung von Passkeys vortäuscht. Der Kern der Masche ist nicht das eigentliche Passkey-Konzept, sondern das Erstellen tückisch echter Anmeldeseiten. Dafür werden panelgesteuerte Phishing-Kits genutzt, die Logos und Branding der betroffenen Organisation übernehmen können. Hinzu kommt, dass betrügerische Infrastruktur gezielt vorbereitet wird, etwa durch registrierte Domains wie assignpasskey.com und deploypasskey.com. Wettbewerber und Identitätsanbieter sehen deshalb weniger “Passkey ist automatisch sicher” als vielmehr: Die Einrichtungskette, das Messaging und der Nutzerfluss müssen genauso gehärtet werden wie die eigentliche kryptografische Anmeldung.
Dass Phishing nicht nur als Einzelfall, sondern als industrialisiertes Produkt skaliert, zeigen die vom FBI beschriebenen Phishing-as-a-Service-Plattformen. Besonders im Fokus steht Kali365, das den OAuth-2.0-Geräteautorisierungsfluss missbraucht und damit selbst die Zwei-Faktor-Authentifizierung aushebeln kann. Das senkt die Einstiegshürde für Angreifer massiv: KI-generierte Codes, automatisierte Kampagnen-Tools und Echtzeit-Dashboards sorgen dafür, dass Angriffe nicht erst nach dem ersten Fehlschlag iterativ angepasst werden. Während Analysten bereits für 2025 einen “Rekord” von 72 Minuten als Zeit bis zum Datendiebstahl nennen, gelingt vielen Kampagnen heute ein schnellerer Zugriff. Dazu passt, dass KI-Integration die Kosten pro Kampagne um rund 95 Prozent senkt und im Mittel Schäden von 4,88 Millionen Euro verursacht werden.
Auch regulatorisch und datenschutzrechtlich verschiebt sich die Diskussion, obwohl der Auslöser technisch ist. Wenn Unternehmen weniger Passwörter verwalten müssen, sinkt der Bedarf an sensiblen Geheimnissen in Benutzer-Workflows; gleichzeitig steigt die Bedeutung sicherer Identitäts- und Geräteprozesse, etwa bei Recovery-Mechanismen und dem Umgang mit verlorenen Authenticatoren. In der Praxis sollten Datenschutz- und Compliance-Teams daher prüfen, welche Ereignisdaten beim Authentifizierungsprozess in Logs landen, wie lange sie gespeichert werden und ob sie personenbezogene Profile unterstützen. Der Übergang zu Passkeys ist dabei nicht nur eine Sicherheitsmaßnahme, sondern auch ein Governance-Thema: Wer verwaltet Schlüsselersatz, wer genehmigt Ausnahmen und wie wird verhindert, dass Phishing weiterhin über “Setup-Phishing” ansetzt.
Microsoft zieht die Reißeleine weiter: SMS- und Sprach-Authentifizierung werden zum 1. Februar 2027 eingestellt. Nutzer, die noch darauf angewiesen sind, müssen während einer Übergangsfrist auf Passkeys umsteigen; eine Opt-out-Option soll es nicht geben. Zusätzlich sollen ab dem 30. Oktober 2026 Drittanbieter-Lösungen zur Telekommunikation über den Microsoft Security Store verfügbar sein. Das ist ein Hinweis darauf, dass die Plattform-Ökonomie rund um Authentifizierung und Sicherheitsintegrationen enger geschnürt wird, statt sie dem Wildwuchs einzelner Tools zu überlassen. Für die Zukunft bedeutet das: Unternehmen, die jetzt FIDO2- und WebAuthn-Standards einführen und ihre Identitätsdatenflüsse verhaltensbasiert überwachen, reduzieren nicht nur Phishing-Risiken, sondern erhöhen auch die betriebliche Skalierbarkeit im Betrieb.
Ein wichtiger zusätzlicher Kontext ist die beobachtete Zunahme der Phishing-Aktivitäten: Sicherheitsforscher nennen einen Anstieg um 1.380 Prozent zwischen Ende 2025 und Anfang 2026. Gleichzeitig liefern die in der Szene gefundenen Kits ein Bild der Angriffslogik. Jalisco generiert in Echtzeit OAuth-Codes und umgeht damit ein 15-Minuten-Zeitfenster, während OmegaLord Telefonnummern stiehlt, um MFA-Sitzungen zu kapern. Der technologische Trend ist dabei weniger “eine neue Schwachstelle”, sondern ein besser getaktetes Missbrauchsdesign. Für Entwickler und IT-Teams heißt das: Passkeys sollten nicht als isoliertes Feature betrachtet werden, sondern als Teil eines umfassenden Sicherheitsmodells mit sauberer Gerätebindung, nachvollziehbaren Berechtigungsflüssen und konsequenter Schulung gegen manipulative Dialoge.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Passkey-Pflicht ab September: Microsoft verschärft Schutz gegen KI-Phishing in Entra ID" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Passkey-Pflicht ab September: Microsoft verschärft Schutz gegen KI-Phishing in Entra ID" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Passkey-Pflicht ab September: Microsoft verschärft Schutz gegen KI-Phishing in Entra ID« bei Google Deutschland suchen, bei Bing oder Google News!