Microsofts Übergang weg von SMS-Authentifizierung und -Wiederherstellung
Nachdem Microsoft angekündigt hat, bis 2025 für neue Konten auf passwortlose Anmeldungen umzustellen, wurden nun Pläne bekannt gegeben, die SMS-basierte Authentifizierung und Wiederherstellung für persönliche Konten auslaufen zu lassen. Inhaber von persönlichen Konten müssen sich auf alternative Methoden für die Anmeldung und Kontowiederherstellung verlassen.
Unklarer Zeitplan für den SMS-Ausstieg
Microsoft hat kein endgültiges Datum für die Abschaffung der SMS-Funktionalität angegeben. Benutzer müssen möglicherweise eine Backup-E-Mail verifizieren, bevor SMS vollständig aus dem Wiederherstellungsprozess entfernt wird. Da kein konkreter Zeitrahmen veröffentlicht wurde, liegt der Schwerpunkt für Benutzer darauf, sicherzustellen, dass Ersatzmethoden wie Passkeys oder die Wiederherstellung per E-Mail vor dem Ende der SMS-Funktionalität einsatzbereit sind.
Sicherheitsgetriebene Richtlinienänderung
Microsoft betont, dass dieser Übergang eine Sicherheitsverbesserung darstellt und erklärte, dass „SMS-basierte Authentifizierung mittlerweile eine führende Quelle für Betrug ist.“ Dieser Schritt stellt mehr als ein routinemäßiges Update der Anmeldeverfahren dar—er signalisiert eine umfassendere Richtlinienänderung, die darauf abzielt, Schwachstellen im Zusammenhang mit der SMS-Authentifizierung zu reduzieren.
Passkeys als primärer Ersatz
Im Rahmen dieses neuen Ansatzes werden Passkeys als Hauptalternative zu SMS positioniert. Passkeys nutzen Biometrie oder eine Geräte-PIN, wodurch die Notwendigkeit für sechsstellige Codes, die über Mobilfunknetze gesendet werden, entfällt. Diese Methode speichert einen Schlüssel auf dem Gerät des Benutzers und einen passenden Schlüssel beim Dienst, was sie erheblich widerstandsfähiger gegen Phishing-Angriffe macht als SMS-Codes.
Leitfaden für den Übergang zu passwortlosen Anmeldungen
Die umfassendere Anleitung von Microsoft für passwortlose Anmeldungen umfasst Methoden wie Windows Hello, physische Sicherheitsschlüssel und E-Mail-Verifizierung. Während SMS abgeschafft wird, bleibt die verifizierte E-Mail ein wesentlicher Bestandteil des Kontowiederherstellungsprozesses. Der routinemäßige Zugriff wird voraussichtlich auf Passkeys auf vertrauenswürdigen Geräten umgestellt, aber Szenarien wie Gerätesperren, Hardwareänderungen oder verlorene Anmeldeinformationen erfordern weiterhin separate Wiederherstellungsprüfungen. Dieser zweistufige Ansatz geht über ein einfaches Login-Update hinaus, da er die Backup-Mechanismen, auf die sich Benutzer verlassen, grundlegend verändert.
Herausforderungen bei der Wiederherstellung ohne SMS
Die Abschaffung von SMS als Wiederherstellungsoption könnte die Kontowiederherstellung schwieriger machen als die täglichen Anmeldeaufgaben. Benutzer, die die Einführung von Passkeys oder die Aktualisierung ihrer Wiederherstellungs-E-Mail verzögern, könnten bei Sperrungen strengeren Eigentumsüberprüfungen ausgesetzt sein. Das Fehlen eines festen Zeitplans für die SMS-Abschaltung gibt den Benutzern die Möglichkeit, sich durch das Hinzufügen eines Passkeys, das Testen der E-Mail-Wiederherstellung und die Sicherstellung der Kompatibilität älterer Geräte und Software mit den aktualisierten Anmeldemethoden vorzubereiten.
Kompatibilitätsprobleme mit älteren Systemen
Microsoft erkennt an, dass ältere Systeme und Anwendungen möglicherweise weiterhin herkömmliche Passwörter erfordern. Beispiele hierfür sind Xbox 360, Office 2010 oder älter, POP- und IMAP-Mail sowie bestimmte Remote-Desktop- oder Kommandozeilen-Szenarien. Die Umstellung von Verbraucher-Konten weg von SMS-Authentifizierung ist in der Theorie einfacher als in der Praxis, da ältere Geräte und Software Kompatibilitätsprobleme schaffen.
Diese veralteten Systeme dienen oft als versteckte Abhängigkeiten, und Wiederherstellungsprobleme können erst dann offensichtlich werden, wenn Benutzer auf Probleme stoßen. Beispielsweise sind POP- und IMAP-Mail-Verbindungen dafür bekannt, in Heimnetzwerken jahrelang zu bestehen. Ebenso können veraltete Office-Installationen oder Spielekonsolen weiterhin auf ältere Authentifizierungsmethoden angewiesen sein.
Besondere Überlegungen für Power-User
Einige fortgeschrittene Anwendungsfälle, wie Anmeldungen in virtuellen Maschinen, könnten unter einem reinen Passkey-Framework weiterhin unbequem sein. Power-User sollten diese Randfälle mit Vorsicht angehen, auch wenn sie nicht der Hauptfokus von Microsofts Richtlinienänderung sind.
Vom Anreiz zur Verpflichtung
Microsoft hat zunächst passwortlose Anmeldungen als Standard für neue Konten bis 2025 gefördert. Jetzt geht das Unternehmen dazu über, diesen Ansatz durch die vollständige Abschaffung der SMS-Authentifizierung durchzusetzen. Dieser Übergang unterstreicht einen Wandel von der Förderung passwortloser Optionen hin zu deren Durchsetzung als Teil der Kontosicherheitsstrategie.
Zukünftige Auswirkungen
Während Microsoft im März 2026 phishing-resistente Windows-Anmeldungen eingeführt hat, haben diese Verbesserungen nicht alle Randfälle in Bezug auf ältere Workflows, gemischte Geräteumgebungen oder Legacy-Software, die traditionelle Authentifizierungsmethoden erwarten, abgedeckt. Für Benutzer, die weiterhin auf ältere Workflows mit Microsoft-Konten angewiesen sind, bleibt das endgültige Abschaltdatum für SMS-basierte Wiederherstellung und Anmeldung ein kritischer Meilenstein, den sie im Auge behalten sollten.