SMS und Voice fallen als MFA-Methode weg | Wen trifft es in Ihrem Tenant?

Graph-Module installieren → Skript lesend ausführen → Scope und Kampagne prüfen → CSV der betroffenen Benutzer

Microsoft stellt die eigene Zustellung von MFA-Codes per SMS und Telefonanruf ein. Wer sich bisher so verifiziert, muss auf eine andere Methode wechseln, in aller Regel auf Passkeys.

Warum überhaupt

SMS und Anruf waren als zweiter Faktor nie sicher. Eine SMS lässt sich abfangen, und beim SIM-Swapping holt sich ein Angreifer die Nummer auf das eigene Gerät. Mit den derzeit laufenden Phishing-Kampagnen ist das dringlicher geworden. Ein Passkey ist dagegen phishing-resistent, weil es kein Geheimnis gibt, das man erfragen oder abfangen könnte.

Die Termine

• Ab 1. August lässt sich ein zeitweiliges Aussetzen beantragen, allerdings nur über die Graph-API und nicht über die Oberfläche. Es gilt nur für das Fenster bis Februar und hält die Abschaltung nicht auf.
• Ab 1. September rollt Microsoft Passkeys schrittweise als Standardanmeldung aus, Tenant für Tenant.
• Ab 30. Oktober lässt sich ein eigener Telekommunikationsanbieter einrichten, falls SMS aus regulatorischen Gründen bleiben muss.
• Anfang Februar 2027 endet die Zustellung endgültig, auch für das Zurücksetzen von Passwörtern im Selbstbedienungsverfahren.

Zum letzten Datum gibt es eine Unstimmigkeit. Das Auswertungsskript nennt den 28. Januar, die Ankündigung den 1. Februar. Für die Planung macht das keinen Unterschied, wer bis Mitte Januar fertig ist, liegt in jedem Fall richtig.

Betroffene Benutzer ermitteln

Microsoft stellt dafür ein PowerShell-Skript bereit, im Repository microsoft/entra-sms-voice-usage-analyzer. Es liest die Richtlinie für Authentifizierungsmethoden aus und ändert nichts.

1. Die drei benötigten Microsoft-Graph-Module installieren.
2. Das Skript Get-SmsVoicePolicyUsage.ps1 aus dem Repository herunterladen.
3. PowerShell im Download-Ordner öffnen und das Skript ausführen.
4. Am Anmeldefenster mit einem Konto anmelden, das Graph-Anfragen bestätigen darf. Benötigt werden nur die Leseberechtigungen für Richtlinien und Gruppen.
5. Beim ersten Lauf die Leserechte im Zustimmungsfenster bestätigen.

Zurück kommen der Zustand der Registrierungskampagne, ob SMS und Anruf überhaupt aktiviert sind, welche Benutzer oder Gruppen im Geltungsbereich liegen, und eine CSV-Datei mit den betroffenen Konten.

Der Punkt, an dem sich die meisten täuschen

Im Geltungsbereich zu liegen heißt nicht, dass jemand tatsächlich eine Nummer hinterlegt hat oder die Methode benutzt. Es heißt nur, dass er sie benutzen dürfte. Steht die Richtlinie auf alle Benutzer, ist der gesamte Betrieb betroffen.

Und es hilft auch nicht, dass jemand längst den Authenticator oder Windows Hello verwendet. Wer im Geltungsbereich liegt, wird in die Kampagne gezogen und zum Passkey gedrängt, unabhängig davon, was er sonst registriert hat.

Wer wirklich ausgesperrt wird

Ab Februar fällt SMS und Anruf schlicht als Option weg. Wer eine andere funktionierende Methode hat, arbeitet normal weiter. Vor der Wand steht nur, wer SMS oder Anruf als einzige Methode registriert hat. Diese Konten sind es, die Sie rechtzeitig umziehen wollen.

Der ruhigere Weg ist ohnehin, nicht auf den September zu warten, sondern die betroffenen Benutzer vorher umzustellen oder aus dem Geltungsbereich zu nehmen. Dann greift die Kampagne bei Ihnen gar nicht erst und das Aussetzen erübrigt sich.

Selbstprüfung

1. Was bedeutet es, im Geltungsbereich der Richtlinie zu liegen, und was bedeutet es nicht?
2. Warum schützt ein bereits eingerichteter Authenticator nicht vor der Kampagne?
3. Welche Benutzergruppe verliert im Februar tatsächlich den Zugang?