Man verbindet sich mit Outlook über den PC eines Kollegen, bestätigt einen Kauf im Microsoft Store, und ein Bildschirm erscheint: „Geben Sie den Sicherheitscode ein, der an Ihre E-Mail-Adresse gesendet wurde.“ Ohne diesen Code ist es unmöglich, weiterzukommen. Der Microsoft-Sicherheitscode ist ein einmaliger Verifizierungsmechanismus, der vom Passwort getrennt ist und bestätigt, dass die Person hinter dem Bildschirm tatsächlich der Kontoinhaber ist.
Seine Funktion scheint einfach, aber die Situationen, in denen er Probleme verursacht, sind zahlreich: Code nie erhalten, veraltete Telefonnummer, Verwechslung mit dem Windows Hello-PIN. Das Verständnis seiner Funktionsweise verhindert, dass man im schlimmsten Moment blockiert wird.
Lesetipp : Begleitung von Unternehmern: Tipps und Lösungen zur Steigerung Ihres Geschäfts
Microsoft-Sicherheitscode und Windows Hello-PIN: zwei verschiedene Mechanismen
Die Verwirrung taucht ständig in den Foren auf. Ein Benutzer versucht, sich von einem anderen Computer aus bei Microsoft 365 anzumelden, und ihm wird ein „geheimer Code“ angefordert, woraufhin er seinen Windows Hello-PIN eingibt. Das funktioniert nicht, und das ist normal.
Der Windows Hello-PIN ist an ein bestimmtes physisches Gerät gebunden. Er entsperrt die lokale Windows-Sitzung und verlässt niemals die Maschine. Der Microsoft-Sicherheitscode hingegen ist ein temporärer Code, der per E-Mail gesendet oder von einer Authentifizierungsanwendung generiert wird. Er dient dazu, die Identität bei einer ungewöhnlichen Anmeldung oder einer sensiblen Änderung des Kontos zu bestätigen.
Auch interessant : Unsere unverzichtbaren Tipps zur Erleichterung Ihrer Jobsuche online
Konkreter gesagt, wenn man den Computer oder den Browser wechselt, erkennt Microsoft eine unbekannte Umgebung und löst den Versand eines Sicherheitscodes aus. Das Ändern des PINs auf der ursprünglichen Maschine löst nichts, da es sich um zwei unabhängige Schutzebenen handelt. Um diese Unterscheidung zu vertiefen, kann man den Microsoft-Sicherheitscode auf Digitale Naïve konsultieren, der die Fälle detailliert, in denen jeder Code-Typ zum Einsatz kommt.
Allmähliches Ende der SMS-Codes: Was Microsoft 2026-2027 ändert
Bis vor kurzem schien der Erhalt eines Codes per SMS die praktischste Methode zu sein. Microsoft hat beschlossen, mit diesem Ansatz Schluss zu machen, und der Zeitplan ist bereits festgelegt.
Microsoft Entra ID Geschäftskonten
Für Unternehmenskonten (Microsoft 365, Teams, Outlook Professional) werden die per SMS oder Sprachanruf gesendeten Codes schrittweise zugunsten von Passkeys und anderen phishingsicheren Methoden aufgegeben. Microsoft betrachtet SMS als anfällig für Abfangangriffe und SIM-Swapping.
Outlook.com und Hotmail Privatkonten
Bei persönlichen Konten hat Microsoft begonnen, die Möglichkeit zu entfernen, eine Telefonnummer als neues Verifizierungsmittel hinzuzufügen. Bereits registrierte Nummern bleiben vorerst funktionsfähig, aber es können keine neuen mehr in den Sicherheitseinstellungen hinzugefügt werden.
Diese Änderung drängt zu zwei Alternativen: der Hinzufügung einer Wiederherstellungs-E-Mail-Adresse oder der Installation der Microsoft Authenticator-App. Wenn man nur eine Telefonnummer als Verifizierungsmethode konfiguriert hat, ist jetzt der Zeitpunkt, eine zweite Methode hinzuzufügen, bevor man sich ausgesperrt sieht.
Seine Verifizierungsmethoden konfigurieren, um den Zugang nie zu verlieren
Das eigentliche Problem mit dem Microsoft-Sicherheitscode ist nicht technischer Natur: Es ist das Vergessen der Vorbereitung. Man konfiguriert sein Konto einmal, vergisst, welche Wiederherstellungs-E-Mail-Adresse man angegeben hat, und Monate später steht man vor einer Wand.
Hier sind die Verifizierungsmethoden, die man über den Sicherheits-Tab des Microsoft-Kontos kombinieren kann:
- Eine sekundäre E-Mail-Adresse (nicht unbedingt die eigene, ein vertrauenswürdiger Bekannter kann im Notfall helfen, solange man Zugriff darauf hat)
- Die Microsoft Authenticator-App, die temporäre Codes generiert, ohne vom Mobilfunknetz abhängig zu sein
- Physische Sicherheitsschlüssel (FIDO2), die über USB angeschlossen oder per Bluetooth verbunden sind, für die am stärksten exponierten Profile
Microsoft erlaubt bis zu zehn verschiedene Verifizierungsmethoden für dasselbe Konto. In der Praxis genügen zwei unabhängige Methoden, um die meisten Blockierungsszenarien abzudecken. Der klassische Fehler ist, nur eine Methode zu behalten, die mit einem Telefon verbunden ist, das man schließlich wechselt oder verliert.
Microsoft-Verifizierungscode nicht erhalten: die konkreten Ursachen
Man hat den Code angefordert, wartet, nichts kommt an. Bevor man in Panik gerät, beseitigen einige schnelle Überprüfungen die Mehrheit der Fälle:
- Der Code landet im Spam- oder Junk-Ordner der Wiederherstellungs-E-Mail (das ist die häufigste Ursache)
- Die im Konto angegebene Wiederherstellungs-E-Mail-Adresse ist nicht mehr zugänglich oder enthält einen nie korrigierten Tippfehler
- Die Empfangszeit variiert je nach E-Mail-Anbieter: die Rückmeldungen variieren diesbezüglich, aber eine Wartezeit von einigen Minuten ist normal
- Wenn der Code per SMS gesendet wird, kann eine Betreiberfilterung oder eine Nummernänderung den Empfang blockieren
Wenn keine dieser Möglichkeiten das Problem löst, bietet Microsoft ein Formular zur Kontowiederherstellung an, das verlangt, die Identität auf andere Weise nachzuweisen (z. B. durch Objekte aus aktuellen Nachrichten, häufige Kontakte, Abrechnungsinformationen). Dieses Verfahren dauert lange und führt nicht immer zum Erfolg.
Microsoft-Passkeys: die Methode, die die Codes ersetzt
Die Passkeys (Zugangsschlüssel) repräsentieren die Richtung, die Microsoft für seine persönlichen und geschäftlichen Konten eingeschlagen hat. Das Prinzip: Anstatt einen Code zum Eingeben zu erhalten, bestätigt man die Verbindung per Fingerabdruck, Gesichtserkennung oder PIN des Geräts.
Die Passkey wird niemals per E-Mail oder SMS übertragen, was die Risiken einer Abfangung ausschließt. Sie wird lokal auf dem Gerät gespeichert und über den Passwortmanager des Systems synchronisiert (iCloud Keychain, Google Password Manager, Windows Hello).
Für die Geschäftskonten Entra ID plant Microsoft, die Passkeys als Standardmethode verpflichtend zu machen. Die IT-Administratoren müssen ihre Sicherheitsrichtlinien entsprechend anpassen, insbesondere für Mitarbeiter, die gemeinsam genutzte Geräte oder Arbeitsplätze ohne biometrischen Sensor verwenden.
Der Microsoft-Sicherheitscode verschwindet nicht von heute auf morgen, aber seine Rolle wird schrittweise reduziert. Jetzt seine Verifizierungsmethoden zu aktualisieren, indem man mindestens eine Authentifizierungs-App oder eine Passkey hinzufügt, bleibt die zuverlässigste Möglichkeit, eine Kontosperrung in den kommenden Monaten zu vermeiden.