[Was und warum]
Nutzer können bald einen Passkey als ihre erste Methode der Multifaktor-Authentifizierung (MFA) registrieren. Bisher mussten Anwender zunächst eine alternative MFA-Methode wie SMS oder Telefon einrichten, bevor sie einen Passkey (FIDO2), Windows Hello for Business oder macOS Platform SSO hinzufügen konnten. Dieser zusätzliche Schritt führte dazu, dass Nutzer auf schwächere Methoden zurückgriffen und den Wechsel zu phishing-resistentem Anmelden verlangsamten. Jetzt können Nutzer, die bisher nur ein Passwort nutzen, direkt einen Passkey einrichten, was die Einführung starker Authentifizierung von Anfang an erleichtert. Im Rahmen dieser Änderung wird außerdem das passwortlose Anmelden mit der Authenticator-App als erste registrierte MFA-Methode ermöglicht.
[Bereitstellungszeitplan]
Dieses Feature wird phasenweise ausgerollt:
Phase 1: Unterstützung für synchronisierte Passkeys, Microsoft Entra Passkeys unter Windows und FIDO2-Sicherheitsschlüssel.
Allgemeine Verfügbarkeit (weltweit, GCC): Beginn Mitte Oktober 2026, Abschluss geplant bis Mitte November 2026.
Phase 2: Unterstützung für Windows Hello for Business, macOS Platform SSO, Authenticator-App-Passkey und passwortloses Anmelden mit der Authenticator-App.
Allgemeine Verfügbarkeit (weltweit, GCC): Beginn Anfang Januar 2027, Abschluss geplant bis Ende Februar 2027.
[Auswirkungen auf Ihre Organisation]
Wer ist betroffen
- Nutzer, die noch keine MFA-Methode registriert haben
- Identity- und Sicherheitsadministratoren, die für Onboarding und Registrierungsrichtlinien der Authentifizierung verantwortlich sind
Plattformen und Dienste
- Microsoft Entra ID
- Passkeys (FIDO2)
- Windows Hello for Business
- macOS Platform SSO
- Microsoft Authenticator passwortloses Anmelden
Was wird passieren
- Passwort-only-Nutzer können Passkeys oder passwortloses Anmelden als erste MFA-Methode registrieren.
- Nutzer müssen nicht mehr erst eine Methode wie SMS oder Telefon registrieren, bevor sie einen Passkey (FIDO2), Windows Hello for Business, macOS Platform SSO oder passwortloses Anmelden mit Authenticator registrieren.
- Organisationen können eine geringere Registrierungsbarriere und eine gesteigerte Nutzung phishing-resistenter Authentifizierungsmethoden erwarten.
[Erforderliche Maßnahmen und Empfehlungen]
Für diese Änderung sind keine Maßnahmen erforderlich.
Wir empfehlen Administratoren:
- Überprüfung der Conditional Access-Richtlinien, die die Registrierung von Sicherheitsinformationen betreffen.
- Prüfung, ob MFA bei der Registrierung von Sicherheitsinformationen erforderlich sein sollte, falls Ihre Organisation eine zusätzliche Verifizierung verlangt.
- Überprüfung der Onboarding- und Registrierungsanleitungen, damit Nutzer wissen, dass sie einen Passkey als bevorzugte erste Methode einrichten sollen.
Mehr erfahren
- (Wird näher am Rollout aktualisiert) Register a synced passkey (FIDO2) | Authentication | Microsoft Entra ID | Microsoft Learn
[Compliance-Aspekte]
Wird die Änderung über eine Administratorsteuerung geregelt? Ja. Administratoren können steuern, welche Authentifizierungsmethoden Nutzer über bestehende Microsoft Entra-Authentifizierungsmethoden-Richtlinien und Conditional Access-Richtlinien registrieren dürfen.
Beeinflusst die Änderung Zugriffs- oder Authentifizierungskontrollen? Ja. Das Update ändert, wie Nutzer MFA-Methoden registrieren, indem berechtigten Nutzern erlaubt wird, unterstützte Passkeys oder passwortlose Authentifizierungsmethoden als erste MFA-Methode zu registrieren.
Können Administratoren das Feature über bestehende Microsoft Entra-Steuerungen verwalten? Ja. Administratoren behalten die Kontrolle über das Feature durch Microsoft Entra-Authentifizierungsmethoden-Richtlinien und Conditional Access-Konfigurationen.
