Microsoft stopt gefaseerd met de eigen levering van sms- en spraakcodes voor Microsoft Entra ID. Voor organisaties die deze methoden nog voor multifactorauthenticatie (MFA) gebruiken, verandert daarmee de beschikbare verificatieroute. Wanneer een getroffen gebruiker op de overgangsdatum alleen sms of spraak als MFA-methode heeft en er geen telecompartner is geconfigureerd, kan die pas verder nadat een passkey is geregistreerd. Wie sms of spraak om een aantoonbare zakelijke, wettelijke of technische reden wil blijven inzetten, moet daarvoor een ondersteunde externe telecompartner configureren.
Dit onderwerp moet niet worden verward met het uitfaseren van sms als eerste aanmeldfactor. Deze aankondiging gaat over de door Microsoft geleverde sms- en spraakbezorging voor verificatie. Bestaande instellingen, gebruikersgroepen, helpdeskprocessen en uitzonderingen verdienen daarom een eigen inventarisatie.
Wat verandert er?
Microsoft Entra ID positioneert passkeys als de standaardroute naar phishingbestendige authenticatie. Sinds 1 september 2026 worden passkeys automatisch ingeschakeld voor gebruikers die in het beleid voor verificatiemethoden sms of spraak mogen gebruiken. Ook de Registration Campaign wordt voor die groep door Microsoft beheerd ingeschakeld, zodat gebruikers naar registratie worden begeleid.
Sms en spraak verdwijnen daarmee niet onmiddellijk als methode uit ieder tenantbeleid, maar Microsoft levert de telefoonroute straks niet meer zelf. Organisaties kiezen vervolgens per doelgroep: gebruikers naar passkeys of een andere phishingbestendige methode begeleiden, of een externe telecompartner via Microsoft Security Store inzetten voor de gevallen waarin telefonische verificatie noodzakelijk blijft.
Deze datums bepalen de urgentie
- 30 oktober 2026: de configuratie voor Choose Your Own Telephony Provider wordt volgens Microsoft beschikbaar als private preview. Soprano en Telesign zijn daarin de eerste deelnemende aanbieders; aanvullende aanbieders volgen richting algemene beschikbaarheid.
- 1 februari 2027: Microsoft beëindigt de eigen sms- en spraakbezorging voor alle gebruikers, met uitzondering van Global Administrators en externe gebruikers. Interne gastgebruikers vallen wél onder deze eerste datum.
- 1 juli 2027: de uitzondering voor Global Administrators en externe gebruikers eindigt eveneens.
Als een getroffen gebruiker op de toepasselijke datum alleen sms of spraak als MFA-methode heeft en er geen telecompartner is geconfigureerd, toont Entra ID een verplichte registratie voor een passkey. De gebruiker kan pas verder nadat die registratie is afgerond. Dat is geen moment om een eerste communicatiecampagne te starten, maar het eindpunt van een vooraf geteste overgang.
Kies bewust tussen passkeys en een telecompartner
Microsoft adviseert passkeys, Windows Hello for Business of FIDO2-sleutels als phishingbestendige alternatieven. Voor de meeste medewerkers is dat de logische hoofdroute: de aanvalskans rond sms-phishing, sim-swapping en spraakfraude wordt hiermee kleiner en de organisatie blijft niet afhankelijk van een aparte sms-bezorgketen.
Een telecompartner is bedoeld voor aantoonbare uitzonderingen, bijvoorbeeld wanneer regelgeving, bereikbaarheid of een specifieke technische integratie nog telefonische verificatie vereist. De organisatie sluit de relatie met die aanbieder zelf, inclusief kosten, dekking per land, ondersteuning en eventuele afspraken over gegevensverwerking. Een externe provider is dus geen vrijblijvende schakelaar in Entra ID, maar een architectuur- en inkoopkeuze die u vooraf moet testen.
Inventariseer de getroffen gebruikers en instellingen
- Breng het huidige gebruik in kaart. Controleer in het beleid voor verificatiemethoden welke groepen sms of spraak mogen gebruiken, en neem ook eventuele legacy-MFA-instellingen mee. Microsoft levert in de uitfaseringsdocumentatie een script waarmee u kunt bepalen of er nog gebruikers in scope zijn.
- Splits de doelgroep op. Maak onderscheid tussen reguliere medewerkers, interne gasten, externe gebruikers en Global Administrators. De eerste twee groepen vallen niet onder dezelfde uitzondering als externe gebruikers en Global Administrators.
- Kies per groep een doelmethode. Leg vast welke gebruikers naar passkeys, Windows Hello for Business of FIDO2 gaan en welke uitzonderingen werkelijk een telecompartner nodig hebben.
- Voer een pilot uit. Test registratie, herstelprocedures, apparaatwissels, onboarding en servicedeskondersteuning met een representatieve groep voordat u het beleid voor de hele organisatie wijzigt.
- Communiceer met een concrete deadline. Gebruikers moeten weten waarom zij een passkey zien, op welk apparaat zij die kunnen gebruiken en waar zij hulp krijgen als registratie niet lukt.
Een tijdelijke opt-out is geen eindoplossing
Microsoft biedt tijdelijk de mogelijkheid om de automatische passkey-inschakeling en Registration Campaign uit te stellen via de Microsoft Graph-instelling passkeyDynamicMigration. Daarvoor is de machtiging Policy.ReadWrite.AuthenticationMethod nodig. Deze maatregel is alleen bedoeld om een overgang af te ronden: vanaf 1 februari 2027 verandert hij niets aan de handhaving voor de gebruikers die dan in scope zijn. Plan een tijdelijke opt-out daarom altijd met een eigenaar, migratiedatum en duidelijke afbouwstappen.
Controleer ook de reikwijdte
De beschreven tijdlijn geldt voor de openbare cloud. Azure AD B2C valt buiten deze wijziging. Voor Microsoft Entra External ID heeft Microsoft een afzonderlijke aankondiging voor een later moment aangekondigd. Neem die scheiding mee wanneer uw organisatie meerdere identiteitsplatformen of klantidentiteiten beheert.