novauth
PreiseDokumentationBlogKostenlos starten
Zurück zum Blog
BranchentrendsPasskeysSMS OTP

Microsoft hat die SMS-Authentifizierung gerade abgeschafft. Das sagen die Daten über die Zukunft

Novauth Team5 Min. Lesezeit

Am 13. Juli gab Microsoft bekannt, dass Entra ID — die Identitätsplattform hinter der Anmeldung für einen Großteil der Unternehmenssoftware — die SMS- und sprachbasierte Multi-Faktor-Authentifizierung abschafft. Nicht schrittweise auslaufen lassen. Abschaffen. Passkeys werden ab September 2026 zur Standard-Authentifizierungsmethode, und bis zum 1. Februar 2027 funktioniert die von Microsoft bereitgestellte SMS- und Sprach-MFA für die Anmeldung einfach nicht mehr. Nutzer, die sie noch verwenden, werden automatisch für Passkeys registriert; wenn SMS oder Sprache jemandes einzige MFA-Methode ist, erhalten sie eine verpflichtende Aufforderung, einen Passkey zu registrieren, bevor sie sich überhaupt anmelden können.

Das ist kein Anbieter, der Kunden sanft zu einer schöneren Option schubst. Das ist einer der größten Identitätsanbieter der Welt, der ein Abschaltdatum für eine 20 Jahre alte Authentifizierungsmethode festlegt. Wir haben uns die Daten hinter dieser Entscheidung angesehen — und es ist eine größere Geschichte als nur die Roadmap eines einzelnen Unternehmens.

Die Zahl, die Microsoft tatsächlich nannte

Microsofts Begründung war nicht abstrakt. Das Unternehmen verwies auf KI-gestützte Phishing-Kampagnen mit Klickraten von bis zu 54 %, verglichen mit rund 12 % bei klassischen Phishing-Versuchen. Phishbare Authentifizierungsfaktoren — ein Code, den man durch Täuschung vorlesen oder weiterleiten lässt, eine SMS, die man durch Social Engineering weiterleiten lässt — sind genau das, was Angreifer jetzt mit fast der 5-fachen alten Erfolgsrate überwinden. SMS-OTP fällt eindeutig in diese Kategorie: Nichts an einer Textnachricht verhindert, dass eine überzeugend gefälschte Login-Seite einfach nach dem Code fragt, den man dann einfügt.

Passkeys sind längst keine Nischenwette mehr

Die Infrastruktur, um ein solches Abschaltdatum zu untermauern, existiert bereits in echtem Maßstab. Die FIDO-Alliance-Zahlen für 2026, basierend auf einer Untersuchung unter 11.000 Verbrauchern und 1.400 Unternehmensentscheidern in zehn Ländern:

  • 5 Milliarden aktive Passkeys weltweit
  • 90 % der Verbraucher kennen Passkeys
  • 75 % der Verbraucher haben einen Passkey für mindestens ein Konto aktiviert
  • 68 % der Unternehmen haben Passkeys für die Mitarbeiteranmeldung eingeführt oder führen sie gerade ein
  • 33 % der Verbraucher berichten, im vergangenen Jahr eine Kontokompromittierung oder Datenschutzverletzung erlebt zu haben — der zugrunde liegende Schmerzpunkt, der die Akzeptanz antreibt

Das ist längst kein Early-Adopter-Terrain mehr. Es ist der Standardweg für einen erheblichen Teil der Login-Abläufe im Internet, und Microsofts Schritt macht ihn für einen großen Teil der Unternehmensidentität zum verpflichtenden Weg.

Die Betrugsdaten, die das „Warum" untermauern

Sicherheitsforscher sagen schon seit einiger Zeit, dass SMS-OTP das schwache Glied ist — der Verizon Data Breach Investigations Report rät explizit von SMS-Einmalpasswörtern als MFA-Faktor ab und verweist dabei auf die SIM-Swap-Anfälligkeit. Die Betrugszahlen untermauern das — uneinheitlich, aber deutlich:

  • Der britische Cifas-Fraudscape-Bericht verzeichnete einen Anstieg unautorisierter SIM-Swaps von 289 auf fast 3.000 innerhalb eines Jahres — ein Anstieg um 1.055 %.
  • Australien verzeichnete einen Anstieg um 240 % im Jahresvergleich bei Personen, die wegen SIM-Swap- und Rufnummernportierungs-Betrug Hilfe suchten (IDCARE).
  • Daten des US-amerikanischen FBI IC3 zeigen, dass die Zahl der gemeldeten SIM-Swap-Fälle tatsächlich sinkt — von 2.026 im Jahr 2022 auf 982 im Jahr 2024 —, doch Forscher warnen, dass dies wahrscheinlich eher widerspiegelt, dass Opfer den nachgelagerten Betrug (geleerte Konten, gestohlene Kryptowährung) unter anderen Kategorien melden, statt einen tatsächlichen Rückgang der Angriffe. Das gilt besonders, da Mobilfunkanbieter zusätzliche Hürden einbauen, die Taktiken eher verschieben als beseitigen.
  • Das Abfangen über das SS7-Protokoll — der Fehler auf Netzwerkebene, der es Angreifern erlaubt, SMS-Nachrichten umzuleiten oder mitzulesen, ohne das Telefon des Opfers zu berühren — ist weiterhin ein aktiver Angriffsvektor; bei der britischen Metro Bank und mehreren deutschen Banken wurden auf diese Weise 2FA-Codes abgefangen, und Berichte über laufende Ausnutzung reißen nicht ab.

Keiner dieser Angriffe erfordert das Knacken einer Verschlüsselung oder das Erraten eines Passworts. Sie nutzen die Tatsache aus, dass eine Telefonnummer nie als sicheres Berechtigungsmerkmal konzipiert wurde — sie ist eine Routing-Adresse, die umgeleitet, per Social Engineering entwendet oder auf einer Netzwerkebene mitgelesen werden kann, die älter ist als moderne Sicherheitsannahmen.

Was das nicht löst — und warum das für die Verifizierung wichtig ist

Das geht in den Schlagzeilen „SMS ist tot" oft unter: Passkeys lösen die Anmeldung, nicht die Telefonverifizierung — und das sind zwei unterschiedliche Probleme unter demselben Label „2FA".

Ein Passkey beweist, dass du dasselbe Gerät/Konto bist, das sich zuvor registriert hat. Darin ist er hervorragend — phishing-resistent, kein Code zum Abfangen, keine SIM zum Swappen. Aber er kann nicht die Aufgabe übernehmen, für die SMS-OTP, Flash Call, WhatsApp-OTP und Telegram-OTP ursprünglich gebaut wurden: zu bestätigen, dass eine brandneue Telefonnummer einer echten, erreichbaren Person gehört — während der Registrierung, bevor überhaupt ein Konto oder Passkey existiert, gegen den man prüfen könnte. Bei der allerersten Interaktion mit deinem Produkt hat ein Passkey schlicht nichts, wogegen er authentifizieren könnte.

Die realistische Verschiebung lautet also nicht „Verifizierung verschwindet". Sie teilt sich vielmehr in zwei Aufgaben mit zwei unterschiedlichen Werkzeugen auf:

  • Anmeldung wiederkehrender Nutzer → Passkeys, zunehmend standardmäßig, genau dem Weg folgend, den Microsoft gerade vorgeschrieben hat.
  • Telefonverifizierung beim Erstkontakt → braucht weiterhin einen Live-Kanal zu einer unverifizierten Nummer, das heißt, die Wahl des Kanals — und dessen Anfälligkeit für SIM-Swap-, SS7- und AIT-Betrug — spielt weiterhin eine enorme Rolle. Das ist das ganze Argument für Flash-Call-Verifizierung gegenüber reinem SMS: Sie erbt keine der oben beschriebenen SIM-Swap- oder SS7-Anfälligkeiten, weil erst gar kein Code als Daten übertragen wird, den man abfangen könnte.

Microsoft hat gerade bewiesen, dass die Branche es ernst meint mit dem Ende von SMS als Login-Faktor. Die nächste Frage — welcher Kanal sich den Registrierungs-Moment tatsächlich verdient — ist genau der Punkt, an dem es spannend wird.

Quellen