Am 1. September ändert Microsoft Ihre Authentifizierung. Ihr Betriebsrat weiß davon nichts.

Am 1. September 2026 legt Microsoft in jedem Entra-ID-Tenant, in dem noch Benutzer für SMS oder Sprachanruf aktiviert sind, einen Schalter um. Das sind in der Praxis die meisten. Nicht Ihr Administrator, nicht Ihr Dienstleister: Microsoft selbst. Alle Benutzer, die in der Authentication Methods Policy oder in den Legacy-MFA-Einstellungen für SMS oder Sprachanruf aktiviert sind, werden automatisch für Passkeys freigeschaltet. Gleichzeitig springt die Registration Campaign auf den Zustand Microsoft Managed und beginnt, genau diese Benutzer beim nächsten Anmelden zur Passkey-Registrierung aufzufordern.

Technisch ist das konsequent. SMS und Sprachanruf sind die schwächsten Methoden im Portfolio, anfällig für Phishing und SIM-Swapping, und Microsoft zieht hier eine Linie, die längst überfällig war. Ich halte die Richtung für richtig und sage das auch jedem Kunden.

Aber es gibt eine zweite Ebene, und die ist nicht technisch. Wer einen Betriebsrat hat, hat ab September ein Thema, das in keinem Message-Center-Post steht: Die Aufforderung zur Passkey-Registrierung erreicht auch Beschäftigte, deren einziges greifbares Gerät das private Smartphone ist. Und genau dort, an der Grenze zwischen dienstlicher Infrastruktur und privatem Gerät, entsteht der Konflikt.

Die Umstellung selbst ist ein Sicherheitsgewinn. Zum Problem wird sie dort, wo der Passkey ungesteuert auf einem privaten Gerät landet und niemand vorher mit der Arbeitnehmervertretung gesprochen hat.

Was am 1. September technisch passiert

Die Fakten aus der offiziellen Ankündigung, ohne Marketing:

• 1. September 2026: Benutzer mit aktivierter SMS- oder Voice-Methode werden automatisch für Passkeys aktiviert, und zwar in einem Profil, das alle Passkey-Typen erlaubt, einschließlich synchronisierter Passkeys in iCloud-Schlüsselbund und Google Passwortmanager. Die Registration Campaign wechselt auf Microsoft Managed und nimmt diese Benutzer in den Scope. Beim nächsten Anmelden mit MFA erscheint der Registrierungshinweis. Er lässt sich zunächst unbegrenzt oft wegklicken.
• 1. Februar 2027: Microsoft stellt die eigene Zustellung von SMS und Sprachanrufen komplett ein. Wer SMS oder Voice danach noch braucht, muss einen eigenen Telekom-Anbieter über den Microsoft Security Store anbinden.
• Nach dem 1. Februar 2027: Benutzer, deren einzige verfügbare MFA-Methode SMS oder Voice ist, bekommen eine blockierende Registrierungsaufforderung. Ohne Passkey-Registrierung keine Anmeldung mehr. Microsoft formuliert es unmissverständlich: Für dieses Verhalten gibt es kein Opt-out, es gilt für alle Tenants.

Der entscheidende Punkt für die Governance: All das passiert ohne Zutun der Administratoren. Wer nichts tut und noch Benutzer mit SMS- oder Voice-Freischaltung hat, dessen Tenant wird am 1. September umkonfiguriert. Das ist keine Empfehlung und kein Feature-Preview, sondern eine Änderung an einer produktiven Richtlinie durch den Hersteller.

Warum daraus ein Betriebsratsthema wird

In vielen Unternehmen nutzen ausgerechnet die Beschäftigten SMS-MFA, die kein Dienst-Smartphone haben: Produktion, Logistik, Pflege, Filialen, Teilzeitkräfte. Die Telefonnummer im Tenant ist häufig die private. Wenn die Registration Campaign diese Personen ab September zur Passkey-Registrierung auffordert, bietet das Betriebssystem als bequemsten Weg den eigenen Passwortmanager an: iCloud-Schlüsselbund auf dem privaten iPhone, Google Passwortmanager auf dem privaten Android-Gerät.

Damit liegt ein dienstliches Anmelde-Credential in einem privaten Apple- oder Google-Konto, synchronisiert über private Geräte, außerhalb jeder Unternehmensverwaltung. Ohne Regelung entsteht ein faktisches BYOD-Szenario, das nie jemand beschlossen hat. Genau solche Konstellationen sind der Stoff, aus dem Einigungsstellenverfahren gemacht sind, und zwar unabhängig davon, wie sinnvoll die Technologie dahinter ist.

Die Klarstellung zur Biometrie: Was das Gerät nie verlässt

In fast jedem Gespräch mit einer Arbeitnehmervertretung fällt früh der Satz: Der Arbeitgeber will jetzt unsere Fingerabdrücke. Diese Sorge ist verständlich und technisch falsch, und es lohnt sich, das sauber auseinanderzunehmen, bevor die Diskussion entgleist.

Ein Passkey ist ein kryptografisches Schlüsselpaar nach dem FIDO2/WebAuthn-Standard. Der private Schlüssel liegt im Sicherheitschip des Geräts oder im Credential-Store des Plattformanbieters. Fingerabdruck oder Gesichtserkennung dienen ausschließlich dazu, diesen Schlüssel lokal auf dem Gerät freizugeben. Es ist derselbe Mechanismus, mit dem das Telefon entsperrt wird.

Biometrische Daten verlassen das Gerät nicht. Sie werden weder an Microsoft noch an den Arbeitgeber noch an irgendeinen Server übertragen. Der Anmeldedienst sieht nur eine kryptografisch signierte Bestätigung, niemals das biometrische Merkmal. Auch bei synchronisierten Passkeys wird der Schlüssel synchronisiert, nie die Biometrie. Wer keine Biometrie nutzen will, gibt den Passkey stattdessen mit der Geräte-PIN frei.

Das Argument, der Arbeitgeber verarbeite künftig biometrische Daten nach Art. 9 DSGVO, trägt deshalb nicht: Der Arbeitgeber bekommt diese Daten schlicht nie zu sehen. Wer diese Klarstellung früh und verständlich platziert, räumt den größten emotionalen Einwand ab, bevor er sich festsetzt.

Drei Punkte, in denen der Betriebsrat sachlich recht hat

Die Biometrie-Sorge ist unbegründet. Diese drei Einwände sind es nicht, und wer sie vom Tisch wischt, verliert das Verfahren später zu Recht.

1. Die Umstellung ist mitbestimmungsrelevant

Ob § 87 Abs. 1 Nr. 6 BetrVG hier greift, ist keine ausgemachte Sache: Die Norm setzt voraus, dass die technische Einrichtung zur Überwachung von Verhalten oder Leistung geeignet ist, und die geänderte MFA-Methode überwacht für sich genommen nichts — das Anmelde-Logging existierte vorher schon und ändert sich durch die Umstellung nicht. Trotzdem spricht viel dafür, dass die Umstellung mitbestimmungsrelevant ist, und der belastbarere Anker liegt ohnehin daneben: bei der Frage, ob Beschäftigte private Geräte für dienstliche Zwecke einsetzen sollen — ein Thema der betrieblichen Ordnung, das ohne Beteiligung nicht sauber zu regeln ist. Dass Microsoft den Schalter umlegt und nicht die eigene IT, ändert daran nichts: Verantwortlich für das, was im Tenant passiert, bleibt der Arbeitgeber. Ein automatischer Rollout des Herstellers ersetzt keine Beteiligung. Wer den Betriebsrat erst informiert, wenn die ersten Registrierungsaufforderungen auf den Bildschirmen erscheinen, hat den Prozess bereits verloren.

2. Niemand muss sein privates Gerät zur Verfügung stellen

Arbeitsmittel stellt der Arbeitgeber. Es gibt keine Pflicht der Beschäftigten, private Hardware für dienstliche Zwecke einzusetzen, und eine Authentifizierungslösung, die faktisch nur über das private Smartphone funktioniert, verlagert genau diese Pflicht stillschweigend auf die Belegschaft. Der Standard-Rollout unterscheidet nicht zwischen Dienst- und Privatgerät. Ohne bewusste Steuerung, etwa die Einschränkung auf gerätegebundene Passkeys oder ausgegebene FIDO2-Hardware-Keys, ist der Einwand berechtigt.

3. Ab Februar 2027 wird aus dem Hinweis ein Zwang

Solange sich die Aufforderung wegklicken lässt, ist sie ein Ärgernis. Ab dem 1. Februar 2027 ist die Registrierung für Benutzer, deren einzige MFA-Methode SMS oder Voice war, blockierend: kein Passkey, keine Anmeldung, kein Zugriff auf die Arbeit. Beschäftigte ohne Dienstgerät stehen dann vor der Wahl, ihr Privatgerät einzusetzen oder nicht mehr arbeiten zu können. Diese Situation darf ein Unternehmen nicht durch Untätigkeit entstehen lassen. Sie ist absehbar, terminiert und damit planbar.

Wer ist überhaupt betroffen? Die Bestandsaufnahme per KQL

Bevor über Lösungen gesprochen wird, braucht es Zahlen. Wer streamt seine Entra-Sign-in-Logs nach Log Analytics oder Sentinel, sieht mit dieser Abfrage, wer SMS oder Sprachanruf in den letzten 30 Tagen tatsächlich benutzt hat:

SigninLogs
| where TimeGenerated > ago(30d)
| mv-expand AuthStep = todynamic(AuthenticationDetails)
| extend Methode = tostring(AuthStep.authenticationMethod)
| where Methode has_any ("Text message", "SMS", "Phone call", "Voice")
| summarize
    Anmeldungen = count(),
    ZuletztGenutzt = max(TimeGenerated),
    Methoden = make_set(Methode)
    by UserPrincipalName
| order by Anmeldungen desc

Zwei Hinweise zur Einordnung. Erstens: Die automatische Aktivierung am 1. September trifft alle Benutzer, die für SMS oder Voice freigeschaltet sind, nicht nur die aktiven Nutzer. Die KQL-Abfrage zeigt die tatsächliche Nutzung und damit die Personen, bei denen die Umstellung im Alltag spürbar wird. Zweitens: Für die vollständige Scope-Analyse stellt Microsoft ein offizielles PowerShell-Skript bereit, das die Richtlinien-Freischaltung auswertet. Beide Sichten zusammen ergeben die Liste, mit der man in das Gespräch mit dem Betriebsrat gehen kann: so viele Betroffene, davon so viele ohne Dienstgerät.

Die Opt-out-API: Zeit kaufen, nicht das Problem lösen

Seit dem 1. August ist ein temporäres Opt-out dokumentiert. Wer die automatische Passkey-Aktivierung und die Registration Campaign aufschieben will, etwa weil die Betriebsvereinbarung noch verhandelt wird, setzt per Microsoft Graph eine Eigenschaft in der Authentication Methods Policy (benötigt die Berechtigung Policy.ReadWrite.AuthenticationMethod):

PATCH https://graph.microsoft.com/beta/policies/authenticationmethodspolicy
Content-Type: application/json

{
  "optOutSettings": {
    "passkeyDynamicMigration": true
  }
}

Damit ist der Tenant von der automatischen Aktivierung im September ausgenommen. Aber das Opt-out ist ausdrücklich temporär: Es wirkt nur bis zum 1. Februar 2027, danach gelten Migration und Durchsetzung für alle Tenants. Die API verschafft ein Verhandlungsfenster von fünf Monaten. Wer sie setzt und die Zeit nicht nutzt, steht im Februar vor demselben Problem, nur ohne Vorlauf.

Was jetzt zu tun ist

Die Reihenfolge, die ich Unternehmen mit Arbeitnehmervertretung empfehle:

• Betroffene beziffern. KQL-Abfrage plus PowerShell-Skript, aufgeteilt nach Beschäftigten mit und ohne Dienstgerät. Ohne diese Zahlen ist jedes Gespräch spekulativ.
• Betriebsrat proaktiv informieren. Jetzt, nicht im September. Mit der Biometrie-Klarstellung, den Terminen und der ehrlichen Benennung der offenen Punkte. Wer die Änderung selbst vorstellt, führt die Diskussion. Wer sie erklären muss, nachdem sie aufgefallen ist, verteidigt sich.
• Gerätefrage lösen, bevor sie sich selbst löst. Für Beschäftigte ohne Dienst-Smartphone sind FIDO2-Hardware-Keys die sauberste Antwort: Der Arbeitgeber stellt das Arbeitsmittel, der Passkey ist gerätegebunden, kein privates Konto involviert. Wer synchronisierte Passkeys nicht zulassen will, schränkt das Passkey-Profil entsprechend ein.
• Bewusst entscheiden, ob das Opt-out nötig ist. Wer Rollout und Kommunikation bis September schafft, braucht es nicht. Wer eine Betriebsvereinbarung verhandeln muss, setzt es und terminiert die Verhandlung auf das Fenster bis Februar.
• Kommunikation vor Registrierung. Die Aufforderung darf niemanden überraschen. Kurze, verständliche Anleitung pro Gerätetyp, klare Aussage zur Biometrie, klare Ansprechstelle.

Fazit

Microsoft erzwingt mit dieser Umstellung etwas, das sicherheitlich richtig ist, und nimmt dabei billigend in Kauf, dass die organisatorische Arbeit bei den Kunden liegen bleibt. Die Technik ist der einfache Teil: Passkeys sind SMS in jeder Hinsicht überlegen. Der anspruchsvolle Teil ist die Ordnung der Gerätefrage und die Beteiligung derer, die die Interessen der Beschäftigten vertreten. Beides ist bis zum 1. September zu schaffen, wenn man jetzt anfängt. Und für alle anderen gibt es genau eine gute Nachricht: Die Opt-out-API kauft fünf Monate. Mehr aber auch nicht.

Hinweis: Dieser Artikel gibt technische und organisatorische Erfahrungen wieder und ist keine Rechtsberatung. Für die arbeitsrechtliche Bewertung im Einzelfall sprechen Sie mit Ihrer Fachanwältin oder Ihrem Fachanwalt für Arbeitsrecht.