Phishing-Angriffe werden professioneller und klassische Anmeldeverfahren geraten zunehmend an ihre Grenzen. Microsoft reagiert darauf und richtet Microsoft Entra ID stärker auf phishing-resistente Authentifizierung aus. Passkeys spielen dabei eine zentrale Rolle.
Eine E-Mail mit einem Link zu einem vermeintlichen Microsoft-Dokument, einer Rechnung, einer OneDrive-Freigabe oder einer Aufforderung zur erneuten Anmeldung: Dahinter kann sich eine täuschend echt nachgebaute Microsoft-Anmeldeseite befinden.
Für Anwender wird es zunehmend schwieriger, echte und gefälschte Anmeldeseiten zuverlässig voneinander zu unterscheiden. Deshalb sollte moderne IT-Sicherheit nicht ausschließlich davon abhängig sein, ob ein Mitarbeiter einen professionell gestalteten Angriff rechtzeitig erkennt.
1. Phishing wird professioneller
Phishing besteht längst nicht mehr nur aus schlecht formulierten E-Mails mit verdächtigen Anhängen. Moderne Angriffe verwenden bekannte Unternehmenslogos, professionell formulierte Nachrichten und Anmeldeseiten, die dem Microsoft-Original teilweise sehr ähnlich sehen können.
Häufig erhält ein Benutzer beispielsweise eine vermeintliche Dokumentenfreigabe, eine Aufforderung zur erneuten Microsoft-365-Anmeldung oder einen Hinweis auf ein angebliches Sicherheitsproblem.
Nach dem Anklicken erscheint eine scheinbar bekannte Microsoft-Anmeldeseite. Gibt der Benutzer dort seine Zugangsdaten ein, können diese unmittelbar beim Angreifer landen.
Die Absicherung von Microsoft-365-Benutzerkonten ist deshalb ein wichtiger Bestandteil moderner Unternehmens-IT.
Im Rahmen meiner Microsoft-365-Beratung und Betreuung unterstütze ich Unternehmen bei der Einrichtung, Administration und Absicherung ihrer Microsoft-365-Umgebung.
2. Aktueller Vorfall – und wie man sich schützt
Wie real diese Gefahr inzwischen ist, zeigte kürzlich ein konkreter Phishing-Vorfall aus der Praxis. In einer betreuten Microsoft-365-Umgebung wurde ein Benutzer mit einer professionell gestalteten Phishing-Nachricht konfrontiert.
Die Nachricht führte zu einer vermeintlichen Microsoft-Anmeldung. Der Vorfall wird hier bewusst anonymisiert – konkrete Unternehmens-, Benutzer- oder Kundendaten werden selbstverständlich nicht veröffentlicht.
Der Fall zeigt jedoch ein grundsätzliches Problem: Auch aufmerksame Anwender können bei professionell gestalteten Phishing-Angriffen getäuscht werden.
Wichtig: Eine Microsoft-Anmeldeseite sollte niemals allein danach beurteilt werden, ob sie optisch seriös aussieht. Entscheidend sind unter anderem die tatsächliche Internetadresse, der Kontext der Anmeldung und die verwendete Authentifizierungsmethode.
Wie können sich Anwender schützen?
- Unerwartete Anmeldeaufforderungen grundsätzlich kritisch prüfen.
- Links in verdächtigen E-Mails nicht ungeprüft öffnen.
- Microsoft 365 im Zweifel direkt über die bekannte Adresse im Browser öffnen.
- SMS-, MFA- oder Einmalcodes niemals an andere Personen weitergeben.
- Ungewöhnliche Microsoft-Authenticator-Anfragen nicht einfach bestätigen.
- Bei Unsicherheit die zuständige IT kontaktieren.
- Verdächtige Nachrichten möglichst frühzeitig melden.
Neben der Sensibilisierung der Mitarbeiter ist jedoch eine zweite Schutzebene entscheidend: Die verwendete Authentifizierung sollte selbst möglichst phishing-resistent sein.
Genau hier kommen Passkeys ins Spiel.
Unterstützung bei Microsoft-365-Sicherheit
Ich unterstütze Unternehmen bei der Überprüfung und Absicherung ihrer Microsoft-365-Umgebung – von Benutzerkonten und MFA über Exchange Online bis zu Entra ID und modernen Authentifizierungsmethoden.
3. Welche Schutzmaßnahmen Microsoft einführt
Microsoft richtet Microsoft Entra ID zunehmend auf phishing-resistente Authentifizierung aus. Eine zentrale Rolle spielen dabei sogenannte Passkeys.
Gleichzeitig wird die von Microsoft bereitgestellte Authentifizierung per SMS und Telefonanruf schrittweise abgelöst.
Benutzer, die derzeit für SMS- oder Telefon-Authentifizierung aktiviert sind, werden automatisch auch für Passkeys aktiviert und bei der Anmeldung verstärkt zur Registrierung aufgefordert.
Bestehende Benutzer und Authentifizierungsmethoden sollten überprüft und moderne Verfahren kontrolliert eingeführt werden.
Die von Microsoft bereitgestellte Zustellung von SMS- und Sprachcodes in Microsoft Entra ID wird beendet.
Wichtig: Microsoft schafft damit nicht automatisch sämtliche bisherigen MFA-Verfahren ab. Microsoft Authenticator und weitere sichere Methoden bleiben weiterhin relevant. Die Entwicklung geht jedoch klar in Richtung stärkerer und phishing-resistenter Authentifizierung.
Ist Ihre Microsoft-365-Umgebung darauf vorbereitet?
Unternehmen sollten bereits jetzt prüfen, welche Benutzer noch SMS oder Telefon zur Authentifizierung verwenden und wie die zukünftige Anmeldestrategie aussehen soll.
Ich unterstütze bei der Überprüfung der bestehenden Microsoft-365- und Entra-ID-Konfiguration, der Einrichtung von Passkeys und einer kontrollierten Einführung für Mitarbeiter.
4. Wie funktioniert ein Passkey technisch?
Bei einem klassischen Kennwort gibt es ein grundlegendes Problem: Der Benutzer kennt dieses Kennwort – und kann es deshalb auch versehentlich auf einer gefälschten Internetseite eingeben.
Ein Passkey funktioniert grundlegend anders. Bei seiner Registrierung wird ein kryptografisches Schlüsselpaar erzeugt.
Microsoft stellt eine kryptografische Anfrage
Der Passkey bestätigt die Anfrage
Microsoft überprüft die Signatur
Privater und öffentlicher Schlüssel
Vereinfacht dargestellt besteht ein Passkey aus einem privaten Schlüssel und einem dazugehörigen öffentlichen Schlüssel.
Der öffentliche Schlüssel wird beim jeweiligen Dienst – beispielsweise Microsoft Entra ID – hinterlegt. Der private Schlüssel verbleibt auf dem Gerät beziehungsweise beim verwendeten Passkey-Anbieter.
Bei einer Anmeldung wird der private Schlüssel selbst nicht an Microsoft übertragen. Stattdessen bestätigt der Passkey eine kryptografische Anfrage, die Microsoft mit dem hinterlegten öffentlichen Schlüssel überprüfen kann.
Warum ist das sicherer gegen Phishing?
Passkeys sind an den jeweiligen Dienst beziehungsweise die Internetadresse gebunden, für die sie eingerichtet wurden.
Wurde ein Passkey für die echte Microsoft-Anmeldung registriert, kann eine gefälschte Webseite diesen nicht einfach wie ein Kennwort oder einen SMS-Code entgegennehmen und anschließend bei Microsoft wiederverwenden.
Der entscheidende Unterschied: Ein Kennwort oder SMS-Code kann kopiert, weitergegeben oder auf einer gefälschten Webseite eingegeben werden. Der private Schlüssel eines Passkeys wird dagegen nicht auf diese Weise an die Webseite übertragen.
Was passiert mit einem Phishing-Link?
Passkeys verhindern nicht, dass eine Phishing-Mail verschickt oder ein gefälschter Link angeklickt wird. Auch eine gefälschte Webseite kann weiterhin täuschend echt aussehen.
Der entscheidende Unterschied entsteht bei der Anmeldung: Der für Microsoft registrierte Passkey kann nicht einfach auf einer fremden Phishing-Domain als Microsoft-Anmeldeinformation verwendet werden.
Wo können Passkeys gespeichert werden?
Microsoft Entra ID unterstützt verschiedene Passkey-Varianten. Dazu gehören beispielsweise:
- Windows Hello beziehungsweise gerätegebundene Passkeys
- Microsoft Authenticator
- FIDO2-Hardware-Sicherheitsschlüssel
- Synchronisierte Passkeys über unterstützte Credential Provider
Welche Variante für ein Unternehmen sinnvoll ist, hängt unter anderem von Geräteverwaltung, Benutzerstruktur, Sicherheitsanforderungen und Wiederherstellungskonzept ab.
5. Fazit: Was Unternehmen jetzt tun sollten
Phishing-Angriffe werden professioneller und sind für Anwender zunehmend schwieriger zu erkennen. Die Antwort darauf sollte deshalb aus mehreren Schutzebenen bestehen: sensibilisierte Mitarbeiter, sichere E-Mail-Systeme, eine korrekt konfigurierte Microsoft-365-Umgebung und moderne Authentifizierungsverfahren.
Passkeys sind dabei ein wichtiger Schritt. Sie können verhindern, dass eine klassische Phishing-Seite einfach die für Microsoft benötigten Anmeldeinformationen abgreift und anschließend wiederverwendet.
Empfehlung für Unternehmen: Microsoft-365-Tenants sollten bereits jetzt darauf geprüft werden, welche Authentifizierungsmethoden verwendet werden, welche Benutzer noch von SMS oder Telefon abhängig sind und wie Passkeys kontrolliert eingeführt werden können.
Eine sinnvolle Einführung erfolgt schrittweise
- Bestehende Authentifizierungsmethoden analysieren
- Passkeys in Microsoft Entra ID konfigurieren
- Zunächst eine kleine Pilotgruppe verwenden
- Anmeldung und Wiederherstellung testen
- Mitarbeiter über die neue Anmeldung informieren
- Passkeys anschließend schrittweise ausrollen
- Nicht mehr benötigte beziehungsweise schwächere Verfahren kontrolliert ablösen
Unterstützung bei Microsoft 365, Entra ID und Passkeys
Sie möchten Ihre Microsoft-365-Umgebung überprüfen oder Passkeys in Ihrem Unternehmen einführen?
Als IT-Dienstleister unterstütze ich Unternehmen bei der Planung, Einrichtung und Absicherung von Microsoft 365 – von der Analyse vorhandener MFA-Einstellungen über Microsoft Entra ID und Passkeys bis zur Betreuung von Exchange Online und Benutzerkonten.
Die Einführung kann zunächst mit ausgewählten Benutzern erfolgen. Nach erfolgreichem Test werden weitere Mitarbeiter schrittweise eingebunden und bestehende Anmeldemethoden kontrolliert angepasst.
Weitere Unterstützung rund um Ihre Unternehmens-IT
Neben Microsoft 365 unterstütze ich kleine und mittelständische Unternehmen bei der Planung, Betreuung und Weiterentwicklung ihrer IT-Infrastruktur – von Servern und Netzwerken über Backup-Lösungen bis zu IT-Sicherheit und laufendem IT-Support.
Einen Überblick finden Sie unter IT-Dienstleistungen für Unternehmen . Bei Fragen können Sie auch direkt Kontakt aufnehmen .
Weiterführende Informationen
Weitere technische Informationen zur Passkey-Einführung und zur Abschaltung der von Microsoft bereitgestellten SMS- und Sprach-Authentifizierung finden Sie in der offiziellen Microsoft-Dokumentation.
Microsoft – Retirement of SMS and voice authentication
Microsoft – Passkeys (FIDO2) in Microsoft Entra ID
Stand: August 2026. Microsoft entwickelt seine Cloud- und Sicherheitsdienste kontinuierlich weiter. Technische Details und Zeitpläne können sich daher ändern.
