Security & Compliance

Temporary Access Pass (TAP)

Overview

Der Temporary Access Pass (TAP, deutsch Temporärer Zugriffspass) ist eine zeitlich begrenzte Kennung in Microsoft Entra ID, die für eine einmalige oder mehrfache Anmeldung gilt. Er löst ein Henne-Ei-Problem: Wer sich passwortlos anmelden soll, braucht für die Registrierung von Passkeys (FIDO2), Microsoft Authenticator oder Windows Hello for Business bereits eine starke Anmeldung. Der TAP liefert genau diese Anmeldung, ohne dass ein Passwort bekannt sein muss.

Einsatzszenarien sind das Onboarding neuer Mitarbeitender, die Wiederherstellung nach Verlust des Smartphones oder Sicherheitsschlüssels und das Einrichten eines neuen Entra-joined Geräts inklusive Windows Hello for Business. Seit einiger Zeit können auch interne Gäste (UserType Guest mit in Entra ID registrierten Methoden) einen TAP erhalten, externe Gäste dagegen nicht.

Abgrenzung: Der Passwort-Reset (SSPR) setzt ein Kennwort zurück, der TAP ersetzt das Kennwort nicht, sondern ergänzt es für die Registrierung starker Methoden. Multi-Faktor-Authentifizierung und Conditional Access bleiben die Schutzmechanismen, der TAP ist der Einstieg dorthin. Ein Gastzugriff über B2B-Zusammenarbeit bekommt keinen TAP aus dem Ressourcentenant, kann aber einen TAP seines Heimattenants nutzen, wenn die mandantenübergreifenden Zugriffseinstellungen MFA aus dem Heimattenant vertrauen.

How it works

Der TAP wird über die Richtlinie für Authentifizierungsmethoden gesteuert:

  1. Ein Authentication Policy Administrator aktiviert die Methode unter Entra ID > Authentifizierungsmethoden > Richtlinien > Temporary Access Pass und legt fest, für welche Benutzer und Gruppen sie gilt.
  2. In der Richtlinie stehen Mindest- und Höchstlaufzeit (jeweils 10 Minuten bis 30 Tage, Standard 1 bzw. 8 Stunden), Standardlaufzeit (Standard 1 Stunde), Einmalverwendung (Standard aus) und Länge (8 bis 48 Zeichen, Standard 8).
  3. Ein Authentication Administrator (für normale Benutzer) oder Privileged Authentication Administrator (auch für Administratoren) erstellt den TAP im Benutzerkonto unter Authentifizierungsmethoden oder per Microsoft Graph PowerShell mit New-MgUserAuthenticationTemporaryAccessPassMethod. Der Code ist nur direkt nach dem Erstellen sichtbar.
  4. Der Benutzer meldet sich unter mysignins.microsoft.com/security-info mit UPN und TAP an und registriert seine Methoden. Bei föderierten Domänen bleibt die Anmeldung in Entra ID und wird nicht an den Identitätsanbieter weitergeleitet.
  5. Pro Benutzer existiert nur ein TAP, ein neuer überschreibt den alten. Tokens aus einer TAP-Anmeldung sind auf die Laufzeit des TAP begrenzt, die Sitzungsdauer danach steuert Conditional Access, etwa über die Anmeldehäufigkeit.

Mit einem einmaligen TAP muss die Registrierung von FIDO2 oder Telefonanmeldung innerhalb von 10 Minuten abgeschlossen sein. Mit der NPS-Erweiterung und dem AD-FS-Adapter funktioniert der TAP nicht.

Benefits

  • Neue Mitarbeitende starten ohne Initialpasswort, das per Mail oder Zettel weitergegeben werden müsste.
  • Eine Anmeldung mit TAP erfüllt starke Authentifizierungsanforderungen, damit lassen sich Passkeys und Windows Hello for Business sauber registrieren.
  • Die Wiederherstellung nach Geräteverlust läuft kontrolliert über den Helpdesk, ohne MFA für den Benutzer zu deaktivieren.
  • Kurze Laufzeiten und Einmalverwendung begrenzen den Schaden, falls ein Code in falsche Hände gerät.

Practical example

Ein Medizintechnik-Hersteller mit 200 Mitarbeitenden stellt neue Notebooks per Autopilot bereit und will Passkeys als Standardanmeldung. Die IT aktiviert den TAP für die Gruppe der neuen Mitarbeitenden mit 8 Stunden Höchstlaufzeit. Am ersten Arbeitstag übergibt die Teamleitung den TAP persönlich, der Mitarbeiter richtet das Gerät ein, registriert Windows Hello for Business und einen Passkey in Microsoft Authenticator. Ein Passwort kennt er nicht, und der Helpdesk nutzt denselben Weg, wenn ein Smartphone verloren geht.

Things to keep in mind

  • Den TAP nur nach sicherer Identitätsfeststellung ausgeben, etwa persönlich oder per Videoanruf mit Ausweis: Ein Helpdesk, der auf Zuruf Codes verteilt, wird zum Ziel für Social Engineering.
  • Laufzeiten kurz halten und Einmalverwendung bevorzugen, Mehrfach-TAPs nur für längere Geräteeinrichtungen nutzen und deren Verwendung überwachen.
  • Die Erstellung von TAPs im Entra-Überwachungsprotokoll oder im SIEM alarmieren, denn ein unberechtigt erstellter TAP öffnet das Konto für die Registrierung neuer Methoden.
  • Nach einer TAP-Anmeldung per Conditional Access eine kurze Anmeldehäufigkeit erzwingen, damit die Sitzung nicht länger als nötig gilt.
  • Benutzer nach einer Wiederherstellung verlorene Methoden in den Sicherheitsinformationen entfernen lassen.

Licensing & availability

Der Temporary Access Pass ist eine Methode der Richtlinie für Authentifizierungsmethoden in Microsoft Entra ID und wird im Entra Admin Center für Benutzer und Gruppen freigeschaltet. Die empfohlene Absicherung über Conditional Access (Anmeldehäufigkeit und Sitzungssteuerung) erfordert mindestens Microsoft Entra ID P1, enthalten unter anderem in Microsoft 365 Business Premium, E3, E5, F1, F3 und EMS E3. Interne Gäste können einen TAP erhalten, externe Gäste nur aus ihrem Heimattenant. Stand: Oktober 2026.

Conclusion

Der Temporary Access Pass ist der saubere Einstieg in passwortlose Anmeldung und das Werkzeug der Wahl für Onboarding und Wiederherstellung. Entscheidend ist ein verbindlicher Prozess zur Identitätsprüfung, bevor der Helpdesk einen Code herausgibt.

Further reading

Related articles