Warum SMS-Textnachrichten als MFA für Microsoft 365 nicht mehr sicher sind

Von Mirko Peters · 2026-10-26

Erfahren Sie, warum die Multi-Faktor-Authentifizierung per SMS Mandanten in Microsoft 365 anfällig für SIM-Swapping und Phishing macht und was Sie stattdessen einsetzen sollten.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Multi-Faktor-Authentifizierung per SMS ist seit Langem der Standard-Zweitfaktor für IT-Administratoren und Endbenutzer gleichermaßen. Doch da sie auf das veraltete Telekommunikationsnetz angewiesen ist, ist sie gegenüber modernen Cyberangriffen wie SIM-Swapping und gezieltem Phishing gefährlich verwundbar.

Das Wichtigste in Kürze

• Die Multi-Faktor-Authentifizierung per SMS stützt sich auf das öffentliche Telefonnetz und ist daher anfällig für Abfangen und SIM-Swapping.
• Untersuchungen von Google und Verizon zeigen, dass Textcodes bei gezielten Phishing-Angriffen deutlich häufiger versagen als moderne Push-Benachrichtigungen oder Passkeys.
• Die Sicherheitsberichte zu Datenschutzverletzungen von Verizon empfehlen ausdrücklich, SMS-Codes zur Anmeldebestätigung nicht mehr zu verwenden.
• Der Wechsel weg von SMS erfordert die Planung paralleler Verifizierungsmethoden, um eine Überlastung des Helpdesks und dauerhafte Kontosperrungen zu verhindern.

Die Scheinsicherheit von SMS-Codes

Wenn Organisationen die Multi-Faktor-Authentifizierung zum ersten Mal einführen, wirken Textnachrichten oft wie ein Erfolg. Sie werden praktisch überall unterstützt, erfordern keine Softwareinstallation und funktionieren auf nahezu jedem Mobilgerät. Aus Sicht der Sicherheitsarchitektur verstößt SMS jedoch gegen eine grundlegende Regel robuster Identitätsprüfung: Der Übertragungsweg ist grundsätzlich fehlerhaft.

Eine SMS läuft über das herkömmliche Telekommunikationsnetz, bis sie Ihr Mobiltelefon erreicht. Da diese Infrastruktur vor Jahrzehnten mit sehr geringem Fokus auf Sicherheit entwickelt wurde, lässt sie sich abfangen, umleiten oder manipulieren. Kriminelle nutzen diese Schwachstelle regelmäßig über eine Methode namens SIM-Swapping aus. Indem sie Mitarbeiter des Mobilfunk-Supports mit Social Engineering täuschen, können Angreifer Ihre Telefonnummer auf eine SIM-Karte in ihrem eigenen Smartphone übertragen. Sobald die Übertragung abgeschlossen ist, landet jeder Authentifizierungscode für Ihr Konto direkt beim Angreifer.

Was die Forschung über Multi-Faktor-Authentifizierung per Textnachricht aussagt

Sicherheitsdaten zeigen ein ernüchterndes Bild der Wirksamkeit von SMS-Verifizierung. Textbasierte Codes bieten zwar einen ausreichenden Schutz gegen automatisierte Credential-Stuffing-Angriffe mit geringem Aufwand, doch ihre Wirksamkeit sinkt erheblich, sobald echte menschliche Angreifer beteiligt sind.

Grundlegende Sicherheitsstudien von Google haben gezeigt, dass SMS-Codes etwa 96 Prozent der massenhaften Phishing-Versuche blockieren, ihre Wirksamkeit gegen gezielte Kampagnen jedoch deutlich abnimmt. Wenn ein Angreifer sich auf eine bestimmte Person oder Organisation konzentriert, bieten Textcodes keinen zuverlässigen Schutz mehr. Daher empfehlen wichtige Cybersicherheits-Frameworks und jährliche Analysen von Sicherheitsvorfällen – darunter Berichte von Verizon – inzwischen ausdrücklich, Textnachrichten und Sprachanrufe zur Anmeldebestätigung ganz auszusteuern.

Adversary-in-the-Middle-Angriffe

Die grundlegende Schwäche jedes eingegebenen Codes besteht darin, dass er umgeleitet werden kann. Bei einem Adversary-in-the-Middle-Angriff stellt ein Angreifer eine raffiniert gestaltete, pixelgenaue Kopie einer Microsoft 365-Anmeldeseite bereit. Wenn Sie Ihr Kennwort und Ihren SMS-Code in dieses gefälschte Portal eingeben, leitet der Proxy Ihre Anmeldedaten sofort an den echten Dienst weiter. Das System gewährt den Zugriff, und der Angreifer erbeutet ein aktives Sitzungstoken. So umgeht er Ihre Schutzmaßnahmen vollständig, obwohl Sie einen gültigen Code eingegeben haben.

Vom SMS-Code zu modernen Alternativen

Der Wechsel weg von Textnachrichten setzt voraus, die Hierarchie der verfügbaren zweiten Faktoren zu verstehen. Um Ihre Microsoft 365-Umgebung wirklich zu schützen, müssen Organisationen ihre Benutzer auf Methoden umstellen, die wiederverwendbare Geheimnisse und Abhängigkeiten vom Telefonnetz eliminieren.

Authenticator-Apps und Zahlenabgleich

Authenticator-Apps sind ein enormer Fortschritt gegenüber SMS. Indem sie zeitbasierte Einmalkennwörter lokal auf dem Gerät erzeugen, umgehen sie das Telefonnetz vollständig. Wenn Unternehmenslösungen wie die Microsoft Authenticator-App verwendet werden, neutralisieren Funktionen wie der Zahlenabgleich außerdem Prompt-Bombing-Angriffe. Benutzer müssen auf ihren Anmeldebildschirm schauen, eine zufällig generierte Zahl ablesen und in ihre mobile App eingeben. So stellen sie sicher, dass sie einen Anmeldeversuch bewusst genehmigen, den sie selbst gestartet haben.

Phishing-resistente Passkeys und Sicherheitsschlüssel

Der Goldstandard der modernen Authentifizierung sind phishing-resistente Hardware-Schlüssel oder Plattform-Passkeys. Diese Verfahren beruhen auf Public-Key-Kryptografie. Ihr Gerät besitzt einen privaten kryptografischen Schlüssel, der die Hardware nie verlässt. Bei der Anmeldung stellt die Website eine kryptografische Aufgabe, die Ihr Gerät signiert. Eine gefälschte Phishing-Seite kann diese Signatur nicht fälschen, und Adversary-in-the-Middle-Angriffe werden dadurch vollständig wirkungslos. Laut eigenen Messwerten von Microsoft sind Passkey-Anmeldungen deutlich schneller als herkömmliche Kennwörter plus Standard-MFA-Abfragen. Das zeigt, dass mehr Sicherheit nicht auf Kosten der Benutzerfreundlichkeit gehen muss.

Die Umstellung in Ihrer Organisation steuern

Die Durchsetzung einer Richtlinie, die SMS-Authentifizierung verbietet, kann auf Widerstand stoßen, wenn sie nicht sorgfältig umgesetzt wird. IT-Administratoren müssen die Einführung strategisch planen. Beginnen Sie mit Konten mit hohem Risiko, etwa globalen Administratoren, Mitarbeitenden in der Finanzabteilung und Benutzern mit Zugriff auf kritische Infrastrukturportale. Stellen Sie Benutzern mindestens zwei gültige Verifizierungsmethoden sowie klare, getestete Wiederherstellungswege zur Verfügung. So vermeiden Sie, dass berechtigte Benutzer ausgesperrt werden, wenn ein Telefon verloren geht oder ausgetauscht wird.

Fazit und nächste Schritte

Jede Form der Multi-Faktor-Authentifizierung ist zweifellos besser als ein alleiniges Kennwort. Wer jedoch an SMS-Codes festhält, setzt moderne Cloud-Umgebungen vermeidbaren Risiken aus. Der Umstieg auf Authenticator-Apps mit Zahlenabgleich oder vollständig phishing-resistente Passkeys verwandelt Ihre Sicherheitslage von einer fragilen Bremsschwelle in eine widerstandsfähige Verteidigung.

Wenn Sie tiefer in die Mechanismen des Identitätsschutzes, der Cloud-Sicherheitskonfigurationen und moderner Authentifizierungsstrategien einsteigen möchten, schauen Sie sich unbedingt die passende Diskussion in unserem Podcast an. Hören Sie sich die vollständige Episode an und begleiten Sie uns, während wir alles aufschlüsseln, was Sie zur Absicherung Ihrer Microsoft 365- und Azure-Umgebungen benötigen.

Häufige Fragen

Warum gilt SMS als schwache Methode für die Multi-Faktor-Authentifizierung?

SMS-Codes werden über das Mobilfunknetz übertragen und nicht über einen verschlüsselten App-Kanal. Dadurch sind sie anfällig für SIM-Swapping-Angriffe, bei denen Kriminelle Mobilfunkanbieter dazu bringen, Ihre Rufnummer auf ein Gerät zu übertragen, das sie kontrollieren.

Kann ein Administrator in Microsoft 365 die SMS-Authentifizierung deaktivieren?

Ja. Microsoft 365-Administratoren können mit den Richtlinien für Authentifizierungsmethoden in Entra ID die Optionen für SMS und Sprachanrufe einschränken oder deaktivieren. So drängen sie Benutzer zu sichereren Optionen wie der Microsoft Authenticator-App oder FIDO2-Schlüsseln.

Wie verhindert der Zahlenabgleich in Authenticator-Apps Phishing?

Beim Zahlenabgleich muss der Benutzer eine bestimmte Zahl, die auf dem Anmeldebildschirm angezeigt wird, in seine Authenticator-App eingeben. Dadurch lässt sich verhindern, dass Benutzer bei Prompt Fatigue oder Adversary-in-the-Middle-Angriffen blind auf „Genehmigen“ tippen.

Was ist die beste Alternative zu SMS-Codes für Unternehmensbenutzer?

FIDO2-Sicherheitsschlüssel und moderne Passkeys bieten das höchste Schutzniveau, da sie vollständig phishingresistent sind und auf Public-Key-Kryptografie statt auf wiederverwendbaren Codes basieren.