Microsoft 365 MFA: Warum Unternehmen jetzt auf sichere Anmeldemethoden umsteigen sollten

Microsoft 365 ist in vielen Unternehmen längst ein zentraler Bestandteil der täglichen Arbeit. E-Mail, Kalender, Teams, SharePoint und OneDrive enthalten geschäftskritische Informationen und sind häufig von praktisch überall erreichbar.

Genau deshalb reicht ein Benutzername mit Passwort heute nicht mehr aus. Wird ein Kennwort durch Phishing, Malware oder Wiederverwendung kompromittiert, kann ein Angreifer damit auf E-Mails, Dateien und weitere Cloud-Dienste zugreifen.

Microsoft setzt deshalb zunehmend auf mehrstufige und phishingresistente Authentifizierung. Unternehmen sollten nicht nur prüfen, ob Multifaktor-Authentifizierung aktiviert ist, sondern auch, welche Authentifizierungsmethoden tatsächlich verwendet werden.

Was bedeutet MFA bei Microsoft 365?

Multifaktor-Authentifizierung bedeutet, dass für eine Anmeldung mehr als ein einzelner Nachweis erforderlich ist.

Typischerweise werden unterschiedliche Faktoren kombiniert:

• etwas, das der Benutzer weiß – beispielsweise ein Passwort
• etwas, das der Benutzer besitzt – beispielsweise ein registriertes Smartphone oder einen Sicherheitsschlüssel
• etwas, das der Benutzer ist – beispielsweise biometrische Merkmale

Für Microsoft 365 erfolgt die Identitätsprüfung über Microsoft Entra ID. Dadurch können Anmeldungen für Exchange Online, Teams, SharePoint, OneDrive und weitere Dienste zentral abgesichert werden.

Microsoft gibt an, dass MFA einen sehr großen Teil identitätsbasierter Angriffe verhindern kann. Entscheidend ist jedoch, dass die eingesetzte Methode auch gegen moderne Phishing-Techniken ausreichend geschützt ist.

Nicht jede MFA-Methode bietet den gleichen Schutz

Der Begriff MFA allein sagt noch wenig darüber aus, wie widerstandsfähig eine Anmeldung tatsächlich ist.

Ein per SMS versendeter Code ist beispielsweise ein zusätzlicher Faktor und damit grundsätzlich besser als ein Passwort allein. Trotzdem können SMS-Codes durch Phishing, Social Engineering oder Angriffe auf Mobilfunkkonten kompromittiert werden.

Auch klassische Einmalcodes oder einfache Push-Bestätigungen können angegriffen werden, wenn Benutzer dazu gebracht werden, eine gefälschte Anmeldung zu bestätigen.

Microsoft empfiehlt deshalb zunehmend phishingresistente Authentifizierungsmethoden.

Welche Anmeldemethoden gelten als phishingresistent?

Zu den von Microsoft empfohlenen phishingresistenten Methoden gehören unter anderem:

• Windows Hello for Business
• Passkeys auf Basis von FIDO2
• FIDO2-Sicherheitsschlüssel
• Passkeys in Microsoft Authenticator
• zertifikatbasierte Authentifizierung

Bei diesen Verfahren wird nicht einfach ein Passwort oder Einmalcode übertragen, den ein Angreifer über eine gefälschte Webseite abfangen kann.

Passkeys verwenden kryptografische Schlüssel und sind an das Gerät oder einen sicheren Credential Store gebunden. Dadurch können sie nicht auf dieselbe Weise wie klassische Kennwörter abgegriffen und auf einer anderen Webseite wiederverwendet werden.

Microsoft macht Passkeys seit September 2026 deutlich wichtiger

Seit dem 1. September 2026 werden Benutzer, die bisher SMS oder Sprachanruf als Authentifizierungsmethode verwenden, von Microsoft zunehmend zur Registrierung eines Passkeys geführt.

Damit bereitet Microsoft den schrittweisen Ausstieg aus der eigenen SMS- und Voice-Authentifizierung vor.

Nach aktueller Microsoft-Planung wird die von Microsoft bereitgestellte SMS- und Voice-Authentifizierung ab dem 1. Februar 2027 für die meisten Benutzer eingestellt. Für globale Administratoren und bestimmte externe Benutzer gilt eine spätere Frist bis zum 1. Juli 2027.

Unternehmen, die heute noch stark auf SMS-basierte MFA setzen, sollten deshalb frühzeitig prüfen, welche Benutzer betroffen sind und auf welche Authentifizierungsmethode sie wechseln sollen.

Windows Hello for Business ist für viele Unternehmen eine gute Lösung

Bei Windows-Arbeitsplätzen kann Windows Hello for Business eine sehr komfortable Verbindung aus Sicherheit und Benutzerfreundlichkeit bieten.

Der Benutzer meldet sich beispielsweise mit PIN oder biometrischer Erkennung an. Die Anmeldeinformationen bleiben dabei an das jeweilige Gerät gebunden und werden nicht wie ein klassisches Passwort an den Zielserver übertragen.

Gerade in Umgebungen mit Microsoft 365, Entra ID und verwalteten Windows-Geräten lässt sich dadurch eine moderne, weitgehend kennwortlose Anmeldung realisieren.

Welche Lösung sinnvoll ist, hängt jedoch immer von vorhandenen Geräten, Benutzergruppen und der verwendeten Microsoft-365-Lizenzierung ab.

Security Defaults bieten einen sinnvollen Basisschutz

Microsoft stellt mit den sogenannten Security Defaults grundlegende Schutzmaßnahmen für Microsoft-Entra-Tenants bereit.

Dazu gehören unter anderem:

• Registrierung von MFA für Benutzer
• MFA-Anforderungen für administrative Konten
• MFA bei risikorelevanten Anmeldesituationen
• Blockierung älterer Authentifizierungsprotokolle
• Schutz privilegierter Verwaltungsaktionen

Security Defaults sind besonders für kleinere Unternehmen interessant, die noch keine umfangreichen Conditional-Access-Richtlinien einsetzen.

Microsoft weist selbst darauf hin, dass Unternehmen mit komplexeren Anforderungen und Microsoft Entra ID P1 oder P2 eher Conditional Access verwenden sollten.

Warum Legacy Authentication problematisch ist

Ein häufig unterschätztes Risiko sind ältere Anwendungen oder Protokolle, die keine moderne Authentifizierung unterstützen.

Dazu können beispielsweise ältere Mailclients oder bestimmte IMAP-, POP- oder SMTP-Szenarien gehören.

Das Problem: Solche Authentifizierungsverfahren können MFA teilweise umgehen oder unterstützen sie überhaupt nicht.

Eine Microsoft-365-Sicherheitsstrategie sollte deshalb nicht nur MFA aktivieren, sondern auch prüfen, ob im Unternehmen noch Anwendungen oder Geräte mit veralteten Authentifizierungsverfahren arbeiten.

Conditional Access ermöglicht wesentlich granularere Regeln

Größere oder sicherheitskritischere Umgebungen benötigen häufig mehr Kontrolle als Security Defaults bieten können.

Mit Conditional Access lassen sich beispielsweise Richtlinien auf Basis unterschiedlicher Bedingungen umsetzen.

Dazu können gehören:

• Benutzer oder Benutzergruppen
• verwendete Anwendung
• Gerätezustand
• Standort
• Anmelderisiko
• administrative Rolle
• erforderliche Authentifizierungsstärke

Damit lässt sich beispielsweise festlegen, dass administrative Zugriffe eine stärkere Authentifizierung benötigen als ein normaler Benutzerzugriff.

Conditional Access sollte jedoch geplant und getestet eingeführt werden. Eine falsch konfigurierte Richtlinie kann im schlimmsten Fall auch berechtigte Administratoren aussperren.

Administratorkonten benötigen besonderen Schutz

Ein kompromittiertes Benutzerkonto ist bereits problematisch. Ein kompromittiertes Global-Administrator-Konto kann dagegen die gesamte Microsoft-365-Umgebung gefährden.

Administrative Konten sollten deshalb stärker geschützt werden als normale Benutzerkonten.

Sinnvolle Maßnahmen sind beispielsweise:

• getrennte Benutzer- und Administratorkonten
• phishingresistente MFA für Administratoren
• möglichst wenig dauerhaft vergebene Administratorrechte
• Überwachung administrativer Anmeldungen
• regelmäßige Prüfung vorhandener Rollen

Ein Administrator sollte für normale E-Mail- oder Office-Arbeit nicht dauerhaft mit einem hochprivilegierten Konto arbeiten.

Notfallkonten verhindern den vollständigen Lockout

Auch eine sehr sichere Authentifizierung benötigt einen Notfallplan.

Microsoft empfiehlt für Entra ID mindestens zwei sogenannte Emergency-Access- oder Break-Glass-Konten.

Diese Konten sind ausschließlich für Situationen vorgesehen, in denen reguläre administrative Zugänge nicht mehr funktionieren.

Microsoft empfiehlt dafür rein cloudbasierte Konten, die nicht von einer lokalen Active-Directory-Synchronisierung oder einem externen Identitätsanbieter abhängig sind.

Als Authentifizierungsmethoden werden für solche Konten insbesondere phishingresistente Verfahren wie FIDO2-Passkeys oder zertifikatbasierte Authentifizierung empfohlen.

Notfallkonten sollten nicht im täglichen Betrieb verwendet und ihre Nutzung überwacht werden.

MFA muss zur Organisation passen

Eine technisch sichere Lösung bringt wenig, wenn sie von den Benutzern nicht verstanden oder im täglichen Betrieb ständig umgangen wird.

Vor einer Umstellung sollten deshalb unterschiedliche Benutzergruppen betrachtet werden.

Ein Mitarbeiter mit festem Windows-Arbeitsplatz hat andere Anforderungen als ein Mitarbeiter mit gemeinsam genutztem Gerät, ein Außendienstmitarbeiter oder ein Administrator.

Eine sinnvolle Einführung umfasst deshalb:

• Bestandsaufnahme der aktuellen Authentifizierungsmethoden
• Definition geeigneter Zielmethoden
• Pilotgruppe
• Benutzerinformation
• Registrierung neuer Authentifizierungsmethoden
• Test der Notfallzugänge
• schrittweise Abschaltung alter Methoden

MFA ersetzt keine vollständige IT-Sicherheitsstrategie

Auch eine phishingresistente Anmeldung schützt nicht vor jeder Gefahr.

Microsoft-365-Sicherheit sollte deshalb gemeinsam mit weiteren Maßnahmen betrachtet werden:

• saubere Benutzer- und Rechteverwaltung
• regelmäßige Updates
• Endpoint-Schutz
• Backup wichtiger Cloud-Daten
• Monitoring von Anmeldungen
• Schutz administrativer Konten
• Schulung der Benutzer

Weitere Informationen zu einer sinnvollen Absicherung finden Sie unter IT-Sicherheit & Backup.

Auch Microsoft 365 benötigt ein Backup-Konzept

MFA reduziert das Risiko eines kompromittierten Kontos erheblich. Sie ersetzt jedoch keine Datensicherung.

Dateien können weiterhin versehentlich gelöscht, durch Benutzer verändert oder durch kompromittierte Konten manipuliert werden.

Warum integrierte Wiederherstellungsfunktionen nicht mit einem unabhängigen Backup gleichzusetzen sind, erklären wir im Beitrag Microsoft 365 Backup: Warum Papierkorb und Versionierung nicht reichen.

Microsoft 365 sollte als Teil der gesamten Unternehmens-IT betrachtet werden

Identität, Endgeräte, E-Mail, Cloud-Speicher und lokale Infrastruktur hängen heute immer stärker zusammen.

Deshalb sollte Microsoft 365 nicht isoliert eingerichtet werden. Benutzerkonten, Geräteverwaltung, Backup, Netzwerk und lokale Server sollten Teil eines gemeinsamen Sicherheits- und Betriebskonzepts sein.

Unter Microsoft 365 & Cloud finden Unternehmen weitere Informationen zu Planung, Einrichtung und Betreuung ihrer Microsoft-365-Umgebung.

Fazit: Jetzt ist der richtige Zeitpunkt, die Anmeldemethoden zu überprüfen

Microsoft verschiebt die Authentifizierung zunehmend weg von klassischen Passwörtern, SMS-Codes und anderen phishinganfälligen Verfahren hin zu Passkeys und weiteren phishingresistenten Methoden.

Unternehmen sollten deshalb nicht warten, bis bestehende Authentifizierungsmethoden deaktiviert werden.

Eine saubere Umstellung beginnt mit einer Bestandsaufnahme: Welche Benutzer verwenden welche Methode? Welche Geräte stehen zur Verfügung? Welche administrativen Konten existieren? Und was passiert, wenn ein regulärer Zugang nicht mehr funktioniert?

Wer MFA, Passkeys, Notfallzugänge und Conditional Access strukturiert plant, erhöht nicht nur die Sicherheit seiner Microsoft-365-Umgebung, sondern reduziert auch das Risiko, bei zukünftigen Änderungen unter Zeitdruck reagieren zu müssen.

---

Quellen: Microsoft Learn – „Security defaults in Microsoft Entra ID“, „Microsoft Entra authentication overview“, „Passkeys by default and retirement of Microsoft-provided SMS and voice authentication“ sowie „Manage emergency access accounts in Microsoft Entra ID“.