Microsoft verabschiedet sich von SMS-Codes für die Anmeldung und Kontowiederherstellung. Stattdessen rückt der Konzern Passkeys und verifizierte E-Mail-Adressen in den Mittelpunkt.
Warum Microsoft SMS als unsicher einstuft
Microsoft beginnt, SMS als Methode für die Anmeldung und Kontorettung bei privaten Microsoft-Konten schrittweise abzuschalten. Auf einer neuen Support-Seite begründet das Unternehmen den Schritt mit erheblichen Sicherheitsrisiken klassischer Textnachrichten.
SMS ist nicht Ende-zu-Ende-verschlüsselt, daher können Angreifer Nachrichten unterwegs abfangen und so an Einmalcodes gelangen. Besonders problematisch sind SIM-Tausch-Angriffe, bei denen Betrüger:innen die Rufnummer auf eine andere SIM-Karte umleiten lassen. In der Folge landen alle SMS-basierten Sicherheitscodes bei den Angreifer:innen, die dann nach und nach Onlinekonten übernehmen können.
Microsoft bezeichnet SMS-basierte Anmeldung inzwischen als eine der führenden Betrugsquellen. SMS sei zudem anfällig für Phishing und SIM-Tausch, heißt es in den offiziellen Aussagen. Auch wenn viele Mobilfunkanbieter mittlerweile einen SIM-Schutz anbieten, bleibt SMS als Verfahren grundsätzlich schwach.
Parallel begründet Microsoft die Umstellung mit einem übergeordneten Ziel: Die Zukunft der Anmeldung soll passwortlos, sicher und benutzerfreundlich sein. Passkeys und verifizierte E-Mail-Adressen sollen helfen, Nutzer:innen besser vor modernen Angriffen zu schützen und gleichzeitig den Zugang zu Konten zu vereinfachen.
Passkeys und verifizierte E-Mail statt SMS
Wer sich künftig bei seinem Microsoft-Konto anmelden oder es wiederherstellen will, wird von Microsoft durch den Einrichtungsprozess für eine verifizierte E-Mail-Adresse und einen Passkey geführt. Nutzer:innen müssen dafür nicht warten, sondern können Passkeys bereits jetzt über eine separate Support-Anleitung einrichten.
Ein Passkey ist an Geräte gebunden, was zunächst unpraktisch wirken kann, wenn Ihr etwa vom Rechner auf das Smartphone wechseln wollt. Um diese Hürde abzubauen, empfiehlt Microsoft die Nutzung eines Passwortmanagers, der Passkeys synchronisiert und auf allen installierten Geräten bereitstellt.
Laut Microsoft unterstützen die gängigen Passwortmanager Passkeys, darunter der Passwortmanager in Microsoft Edge, Google Passwortmanager, Apple Passwörter, 1Password, NordPass, Bitwarden und Dashlane. So lassen sich Passkeys geräteübergreifend nutzen, ohne jedes Mal neue Anmeldeinformationen anlegen zu müssen.
Alternativ können Passkeys auf einem physischen Sicherheitsschlüssel gespeichert werden, der bei Bedarf an PC oder Smartphone angeschlossen wird. Auch das Smartphone selbst kann als Speicher dienen, wobei Ihr dann einen auf dem Gerät hinterlegten Passkey beispielsweise am Computer per Scan nutzt.
Unter Windows unterstützt Windows Hello Passkeys ebenfalls. Die Anmeldung erfolgt dann in der Regel über Gesichtserkennung, Fingerabdruck, einen Sicherheitsschlüssel oder eine PIN, statt über ein klassisches Passwort oder eine SMS.
Einordnung im Vergleich zu Apple
Auch aus anderer Perspektive wird der Abschied von SMS positiv bewertet. Kommentator:innen begrüßen den Schritt und hoffen, dass weitere Unternehmen dem Beispiel folgen und Passkeys breiter einführen.
Apple setzt schon länger kaum noch auf SMS als Anmeldemethode. Zwar existiert für Apple-IDs weiterhin eine vertrauenswürdige Telefonnummer als Fallback zur Kontowiederherstellung, standardmäßig verschickt Apple Codes aber an andere eigene Geräte oder erlaubt den Einsatz von Hardware-Sicherheitsschlüsseln für iCloud.
Funktionen wie das automatische Ausfüllen und Löschen von SMS-Codes unter iOS galten bislang als pragmatische Übergangslösung. Gleichzeitig war die Richtung klar: Weg von SMS, hin zu stärkeren und komfortableren Verfahren wie Passkeys. Apple gehört bei der Umsetzung dieser passwortlosen Anmeldung zu den Vorreiter:innen.
Mit Microsofts Entscheidung verstärkt sich der Trend, SMS-Codes als veraltete und unsichere Methode abzulösen. Für Euch bedeutet das mittelfristig mehr Aufwand bei der Umstellung, aber langfristig robustere Kontosicherheit ohne klassische Passwörter.
Via: www.zdnet.com · sixcolors.com
