Microsoft macht Passkeys zur Standard-Anmeldemethode

Microsoft treibt die passwortlose Anmeldung weiter konsequent voran: Ab dem 1. September 2026 werden Passkeys schrittweise zur Standard-Anmeldemethode in Microsoft Entra ID. Unternehmen sollten sich frühzeitig auf diese Änderung vorbereiten, denn sie betrifft Millionen von Benutzern, die bisher ihre Mehrfaktor-Authentifizierung (MFA) per SMS oder Sprachanruf durchführen.

Was ändert sich?

Bislang konnten Anwender zwischen verschiedenen MFA-Methoden wählen, beispielsweise:

• SMS-TAN
• Sprachanruf
• Microsoft Authenticator
• FIDO2-Sicherheitsschlüssel
• Passkeys

Ab September 2026 geht Microsoft einen weiteren Schritt Richtung passwortlose Anmeldung. Benutzer, die bisher SMS oder Telefonanruf als zweiten Faktor verwenden, werden automatisch für Passkeys freigeschaltet. Bei ihrer nächsten MFA-Anmeldung werden sie aufgefordert, einen Passkey einzurichten.

Die Einführung erfolgt schrittweise und wird über mehrere Wochen verteilt.

Was sind Passkeys?

Ein Passkey ersetzt das klassische Passwort durch ein kryptografisches Schlüsselpaar. Der private Schlüssel verbleibt sicher auf dem Gerät des Benutzers, während der öffentliche Schlüssel bei Microsoft gespeichert wird.

Die Anmeldung erfolgt anschließend beispielsweise über:

• Windows Hello
• Face ID
• Touch ID
• Fingerabdrucksensor
• PIN des Geräts
• Hardware-Sicherheitsschlüssel (FIDO2)

Dadurch muss weder ein Passwort eingegeben noch eine SMS empfangen werden.

Warum setzt Microsoft auf Passkeys?

Der wichtigste Grund ist die Sicherheit.

SMS und Telefonanrufe gelten inzwischen nur noch als eingeschränkt sicher. Angriffe wie:

• Phishing
• SIM-Swapping
• Social Engineering
• Man-in-the-Middle-Angriffe

können diese Verfahren unter Umständen umgehen.

Passkeys sind dagegen phishing-resistent. Selbst wenn ein Benutzer auf einer gefälschten Webseite landet, kann der Passkey dort nicht missbraucht werden, da er kryptografisch an die echte Website gebunden ist.

Vorteile für Unternehmen

Der Umstieg bringt nicht nur mehr Sicherheit, sondern auch Komfort.

Höhere Sicherheit

Passkeys verhindern viele typische Angriffe auf Benutzerkonten und reduzieren das Risiko kompromittierter Zugangsdaten erheblich.

Einfachere Anmeldung

Statt Codes abzutippen genügt meist ein Fingerabdruck oder ein Blick in die Kamera.

Weniger Helpdesk-Aufwand

Passwort-Resets gehören zu den häufigsten Supportfällen in Unternehmen. Mit passwortlosen Verfahren sinkt dieser Aufwand deutlich.

Bessere Benutzererfahrung

Die Anmeldung erfolgt schneller und komfortabler – sowohl am PC als auch auf mobilen Geräten.

Was sollten Administratoren jetzt tun?

Microsoft empfiehlt Unternehmen ausdrücklich, den Wechsel nicht erst mit Beginn der automatischen Einführung anzugehen.

Sinnvolle Vorbereitungsschritte sind:

• Prüfen, welche MFA-Methoden derzeit genutzt werden.
• Passkeys und FIDO2-Richtlinien in Entra ID konfigurieren.
• Pilotgruppen für die Einführung definieren.
• Benutzer frühzeitig informieren.
• Dokumentationen und Helpdesk-Prozesse anpassen.
• Alte SMS- und Telefonverfahren langfristig zurückdrängen.

Wer bereits Windows Hello for Business oder FIDO2-Schlüssel nutzt, hat einen Großteil der Vorbereitung bereits erledigt.

Fazit

Mit der Umstellung macht Microsoft deutlich, wohin die Reise geht: Passwortlose und phishing-resistente Authentifizierung wird zum neuen Standard.

Für Unternehmen ist dies eine gute Gelegenheit, ihre Identitätssicherheit zu modernisieren und gleichzeitig den Anmeldekomfort für Mitarbeiter zu verbessern. Wer frühzeitig auf Passkeys umstellt, vermeidet spätere Umstellungshektik und profitiert sofort von einem deutlich höheren Sicherheitsniveau.

Die klassische Kombination aus Passwort und SMS-TAN dürfte damit in den kommenden Jahren endgültig aus den meisten Unternehmensumgebungen verschwinden.

Word - Standort deaktivert Popup ist wieder da!

Viele Unternehmen deaktivieren die Windows-Standortdienste bewusst per Gruppenrichtlinie oder Sicherheitsrichtlinie. Umso irritierender ist es, wenn Microsoft Word beim Öffnen oder ersten AutoSpeichern von Dokumenten plötzlich die Meldung anzeigt:

Der Standort ist in den Systemeinstellungen deaktiviert.

Besonders ärgerlich: Die Meldung erscheint immer wieder, obwohl sie bereits geschlossen wurde. Nach einigen Office-Versionen war das Problem lange verschwunden, taucht jedoch in neueren Microsoft-365-Builds vereinzelt erneut auf.

Wann tritt das Problem auf?

In unseren Tests zeigte sich das Verhalten unter folgenden Bedingungen:

• Microsoft 365 Apps for Enterprise
• Monthly Enterprise Channel
• OneDrive for Business oder SharePoint Online
• AutoSpeichern aktiviert
• Windows-Standortdienste per Unternehmensrichtlinie deaktiviert

Lokale Word-Dokumente sind in der Regel nicht betroffen. Die Meldung erscheint typischerweise beim ersten AutoSpeichern oder beim Zugriff auf cloudbasierte Dokumente.

Ursache

Microsoft hat das Problem bereits in der Vergangenheit dokumentiert. Hintergrund ist eine Abfrage der Standortfunktion innerhalb der von Office verwendeten WebView2-Komponente.

Obwohl die Standortdienste absichtlich deaktiviert wurden, versucht Word bzw. eine zugehörige Cloud-Komponente auf die Geolokalisierungsfunktion zuzugreifen. Das führt zur wiederkehrenden Meldung.

Die funktionierende Lösung

Anstatt die Windows-Standortdienste zu aktivieren, kann die Geolokalisierung innerhalb von WebView2 per Richtlinie explizit blockiert werden.

Dazu genügt folgender Registry-Befehl:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Edge\WebView2" /v DefaultGeolocationSetting /t REG_DWORD /d 2 /f

Anschließend sollten die Richtlinien aktualisiert werden:

gpupdate /force

Danach Word vollständig schließen und erneut starten.

Bedeutung des Registry-Werts

Der Eintrag DefaultGeolocationSetting steuert die Geolokalisierung für WebView2-Anwendungen:

Wert	Bedeutung
1	Geolokalisierung erlauben
2	Geolokalisierung blockieren
3	Benutzer entscheidet

Für Unternehmensumgebungen mit deaktivierten Standortdiensten empfiehlt sich der Wert 2.

Kontrolle der Einstellung

Ob die Richtlinie korrekt gesetzt wurde, lässt sich mit folgendem Befehl prüfen:

reg query "HKLM\SOFTWARE\Policies\Microsoft\Edge\WebView2" /v DefaultGeolocationSetting

Die Ausgabe sollte enthalten:

DefaultGeolocationSetting    REG_DWORD    0x2

Empfehlung für Administratoren

Wer die Einstellung zentral verwalten möchte, sollte den Registry-Wert nicht manuell verteilen, sondern per:

• Gruppenrichtlinie (GPO)
• Microsoft Intune
• Endpoint Manager

ausrollen.

Dadurch wird sichergestellt, dass die Einstellung auf allen Clients konsistent angewendet wird.

Fazit

Wenn Word bei OneDrive-for-Business- oder SharePoint-Dokumenten ständig meldet, dass der Standort in den Systemeinstellungen deaktiviert sei, obwohl dies bewusst per Sicherheitsrichtlinie so vorgesehen ist, muss nicht der Standortdienst aktiviert werden.

Das Setzen der WebView2-Richtlinie DefaultGeolocationSetting=2 beseitigt die Meldung zuverlässig und entspricht gleichzeitig den Sicherheitsvorgaben vieler Unternehmen.

Für Administratoren ist dies derzeit die sauberste Lösung, um die störenden Standortabfragen in Microsoft 365 zu unterbinden.

Fehlermeldung Standortdienste in Word behoben

Viele Microsoft-365-Nutzer kennen das Problem: Beim Öffnen und Auto-Speichern einer Word-Datei aus SharePoint oder OneDrive for Business erschien plötzlich ein störendes Popup – insbesondere dann, wenn die Standortdienste im Betriebssystem deaktiviert waren.

Die gute Nachricht: Microsoft hat das Problem nun auch im Monthly Enterprise Channel und im aktuellen Kanal behoben.

Das Problem

Beim Öffnen von Dokumenten aus der Cloud (SharePoint / OneDrive for Business) zeigte Word ein wiederkehrendes Hinweis- oder Fehlermeldungsfenster an, sofern die Windows-Standortdienste deaktiviert waren.

Das Verhalten war dabei besonders irritierend, weil kein offensichtlicher funktionaler Zusammenhang zwischen Dokumentenöffnung und Standortdaten bestand, das Popup den Arbeitsfluss unterbrach und die Meldung auch in sicherheitsbewussten Umgebungen auftrat, in denen Standortdienste bewusst deaktiviert sind.

Gerade in Unternehmensumgebungen mit restriktiven Datenschutz- oder Hardening-Vorgaben sorgte das regelmäßig für Support-Tickets.

Die Lösung

Mit folgender Version ist das Problem behoben:

Microsoft® Outlook® für Microsoft 365 MSO (Version 2512 Build 16.0.19530.20226) 64 Bit

Ab dieser Build-Version tritt das Popup nach aktuellem Stand nicht mehr auf – auch dann nicht, wenn die Standortdienste weiterhin deaktiviert sind.

Die Korrektur ist inzwischen im Monthly Enterprise Channel ausgerollt.

Technischer Hintergrund (Einordnung)

Microsoft 365 Apps greifen bei Cloud-Dokumenten auf verschiedene Kontextinformationen zu. Offenbar führte eine interne Abfrage im Zusammenhang mit Cloud- oder Compliance-Funktionen dazu, dass bei deaktivierten Standortdiensten eine Meldung ausgelöst wurde – obwohl für das eigentliche Öffnen der Datei keine Standortinformationen erforderlich waren.

Mit dem aktuellen Build wurde dieses Verhalten korrigiert.

Was Administratoren jetzt tun sollten

Administratoren sollten prüfen, ob betroffene Clients mindestens auf Version 2512 (Build 16.0.19530.20226) aktualisiert wurden. Falls das Problem weiterhin auftritt, empfiehlt es sich, den Updatekanal zu kontrollieren (Monthly Enterprise Channel), Office-Updates manuell anzustoßen und den Versionsstand unter „Datei → Konto → Info zu Word“ zu überprüfen.

In gehärteten Umgebungen müssen Standortdienste somit nicht wieder aktiviert werden, um das Popup zu vermeiden.

Fazit

Ein kleines, aber nerviges Problem ist endlich behoben. Besonders für Unternehmen mit restriktiven Datenschutz- oder Security-Vorgaben ist das eine willkommene Verbesserung. Wer von der Meldung betroffen war, sollte jetzt den Versionsstand prüfen – und kann sich voraussichtlich vom Popup verabschieden.

Kritische Office-Sicherheitslücke geschlossen

Microsoft hat kürzlich eine kritische #Sicherheitslücke in Microsoft Office und Microsoft 365 Apps bekannt gemacht und bereits Notfall-Updates bereitgestellt, da die Schwachstelle aktiv ausgenutzt wird. Betroffen sind viele gängige Office-Versionen, darunter auch Microsoft-365-Pläne für Unternehmen.

🧠 Was ist CVE-2026-21509?

Die Schwachstelle mit der Kennung CVE-2026-21509 ist eine sogenannte Zero-Day-Lücke in Microsoft Office. Sie ermöglicht es Angreifern, zentrale Sicherheitsmechanismen von Office zu umgehen.

Konkret wird eine Schwäche in der Verarbeitung bestimmter COM- bzw. OLE-Objekte ausgenutzt. Öffnet ein Benutzer eine speziell manipulierte Office-Datei, können Schutzfunktionen umgangen werden, die eigentlich vor Schadcode schützen sollen.

Kurz gesagt: Das bloße Öffnen eines präparierten Dokuments kann ausreichen, um ein System zu kompromittieren.

📌 Welche Produkte sind betroffen?

Nach aktuellem Stand sind unter anderem folgende Produkte betroffen:

• Microsoft 365 Apps for Enterprise und Business
• Microsoft Office 2016
• Microsoft Office 2019
• Office 2021
• Office 2024
• Office LTSC 2021 und LTSC 2024

Auch wenn Microsoft bei einigen Versionen serverseitige Schutzmaßnahmen aktiviert, gilt: Nicht aktualisierte Office-Installationen stellen ein Sicherheitsrisiko dar.

⚠️ Warum ist diese Sicherheitslücke besonders kritisch?

CVE-2026-21509 wird mit einem hohen Schweregrad (CVSS ca. 7,8) eingestuft und ist besonders gefährlich, weil sie bereits in realen Angriffen eingesetzt wird.

Das Risiko ergibt sich vor allem aus folgenden Punkten:

• Geringe Angriffs­komplexität: Social Engineering und eine manipulierte Datei genügen
• Keine Administratorrechte erforderlich
• Office-typische Dateiformate wirken auf Nutzer oft vertrauenswürdig
• Schutzmechanismen wie die geschützte Ansicht können umgangen werden

Gerade in Unternehmen, in denen täglich Office-Dokumente per E-Mail ausgetauscht werden, ist das Angriffspotenzial entsprechend hoch.

🛠️ Was sollten Unternehmen jetzt tun?

Updates umgehend einspielen

Microsoft hat außerplanmäßige Sicherheitsupdates veröffentlicht:

• Für Microsoft 365 Apps sowie Office 2021 und Office 2024 werden Schutzmaßnahmen teilweise serverseitig aktiviert. Ein Neustart der Office-Anwendungen ist dennoch erforderlich, damit der Schutz greift.
• Für Office 2016 und Office 2019 stehen klassische Sicherheitsupdates zur Installation bereit.

Empfehlung:
Überprüfen Sie zeitnah alle Office-Installationen im Unternehmen und stellen Sie sicher, dass die aktuellen Builds aktiv sind.

Temporäre Schutzmaßnahmen nutzen (falls nötig)

Falls Updates nicht sofort ausgerollt werden können, beschreibt Microsoft zusätzliche Übergangsmaßnahmen, etwa das Setzen sogenannter Kill-Bits in der Windows-Registry, um anfällige Komponenten zu blockieren.

Wichtig:
Diese Maßnahmen sind kein Ersatz für ein Sicherheitsupdate und sollten nur kontrolliert, dokumentiert und mit entsprechender Erfahrung umgesetzt werden.

Mitarbeitende sensibilisieren

Da der Angriff über manipulierte Office-Dateien erfolgt, bleibt der Faktor Mensch entscheidend:

• Keine unerwarteten Anhänge öffnen
• Vorsicht bei E-Mails mit Zeitdruck oder ungewöhnlichen Aufforderungen
• Verdächtige Dokumente an die IT melden
• E-Mail-Filter, Sandboxing und Microsoft Defender optimal konfigurieren

🔍 Fazit

CVE-2026-21509 zeigt erneut, wie attraktiv Office-Anwendungen für Angreifer sind. Die Kombination aus weit verbreiteter Software, einfacher Ausnutzung und aktiven Angriffen macht schnelles Handeln zwingend erforderlich.

Unsere Empfehlung für Unternehmen mit Microsoft-365- oder Office-Einsatz:

• Sicherheitsupdates priorisiert ausrollen
• Office-Anwendungen nach Updates neu starten
• Übergangsmaßnahmen nur kontrolliert einsetzen
• Mitarbeitende regelmäßig sensibilisieren