Security & Compliance

Multi-Faktor-Authentifizierung (MFA)

Allgemeine Infos

Multi-Faktor-Authentifizierung (MFA) verlangt bei der Anmeldung mindestens zwei Nachweise aus unterschiedlichen Kategorien: Wissen (Kennwort, PIN), Besitz (Smartphone, Sicherheitsschlüssel) und Merkmal (Fingerabdruck, Gesicht). Ein gestohlenes Kennwort allein reicht dann nicht mehr. Microsoft gibt an, dass MFA mehr als 99,2 % der Kontokompromittierungen verhindert.

In Microsoft Entra ID lässt sich MFA über Security Defaults (kostenlos, feste Regeln), über Conditional Access (ab P1, empfohlen) oder über die ältere Aktivierung pro Benutzer erzwingen. Die Aktivierung pro Benutzer empfiehlt Microsoft nicht mehr und überführt betroffene Tenants mit einer Microsoft-verwalteten Conditional-Access-Richtlinie. Die Verwaltung von Methoden in den alten MFA- und SSPR-Richtlinien ist seit dem 30. September 2025 nicht mehr möglich, zuständig ist die Richtlinie für Authentifizierungsmethoden.

Verpflichtende MFA für Admin-Portale: Phase 1 gilt seit Oktober 2024 für Azure-Portal, Entra und Intune Admin Center und seit Februar 2025 für das Microsoft 365 Admin Center. Phase 2 läuft seit 1. Oktober 2025 für Azure CLI, Azure PowerShell, Azure-App, IaC-Werkzeuge und REST-Schreibzugriffe, Tenants konnten bis 1. Juli 2026 aufschieben.

Funktionsweise & Details

MFA in Entra ID setzt sich aus Methoden, Registrierung und Durchsetzung zusammen:

  1. Methoden: Microsoft Authenticator mit Zahlenabgleich, Passkeys (FIDO2, gerätegebunden z. B. auf Sicherheitsschlüsseln oder in Authenticator, oder synchronisiert), Windows Hello for Business, zertifikatbasierte Authentifizierung, OATH-Token sowie SMS und Anruf als schwächste Varianten.
  2. Die Richtlinie für Authentifizierungsmethoden legt fest, welche Methoden für welche Gruppen erlaubt sind. Die Registrierung erfolgt über die kombinierte Sicherheitsinformationsregistrierung, für die Erstregistrierung eignet sich ein befristeter Zugriffspass (Temporary Access Pass).
  3. Conditional Access bestimmt, wann MFA gefordert wird. Mit Authentifizierungsstärken verlangst Du gezielt phishingresistente Methoden, etwa für Admins.
  4. Workload Identities (Service Principals, Managed Identities) sind von der Admin-Portal-Pflicht ausgenommen, Benutzerkonten als Dienstkonten nicht.
  5. Externe MFA-Anbieter werden über External MFA angebunden, die alten benutzerdefinierten Steuerelemente erfüllen die Pflicht nicht.

Vorteile & Nutzen

  • Gestohlene oder erratene Kennwörter reichen für eine Anmeldung nicht mehr aus, was Password-Spray- und Phishing-Angriffe stark entschärft
  • Phishingresistente Verfahren wie Passkeys schützen zusätzlich gegen Adversary-in-the-Middle-Angriffe auf Sitzungen
  • Erfüllt Vorgaben aus NIS2-Umsetzung, ISO 27001 und den Fragebögen der Cyberversicherer
  • Passwortlose Methoden sind für Benutzer oft schneller als Kennwort plus Code

Praxisbeispiel

Ein Druckmaschinen-Hersteller mit 120 Mitarbeitenden stellt von MFA pro Benutzer auf Conditional Access um. Alle Benutzer melden sich mit Authenticator und Zahlenabgleich an, Admins mit FIDO2-Sicherheitsschlüsseln über eine Authentifizierungsstärke. Zwei Automatisierungskonten, die Azure-PowerShell-Skripte mit Benutzername und Kennwort ausführten, werden durch Managed Identities ersetzt, bevor Phase 2 im Tenant greift.

Worauf sollte man achten?

  • SMS und Anruf nur als Rückfall erlauben und mittelfristig deaktivieren, weil sie für SIM-Swapping und Phishing anfällig sind
  • Benutzerkonten, die Skripte gegen Azure oder Admin-Portale ausführen, auf Workload Identities umstellen
  • Zwei Notfallkonten mit Passkey (FIDO2) oder Zertifikat absichern und deren Anmeldungen überwachen
  • MFA pro Benutzer und Conditional Access nicht parallel betreiben, die Mischung führt zu unerwarteten Abfragen
  • Für die Einführung befristete Zugriffspässe, Schulung und einen Registrierungszeitraum mit Helpdesk-Unterstützung einplanen

Lizenz & Verfügbarkeit

MFA mit Microsoft Authenticator über Security Defaults ist in Entra ID Free enthalten. Conditional Access mit MFA erfordert Entra ID P1 (z. B. Business Premium, Microsoft 365 E3), risikobasierte MFA Entra ID P2 (z. B. Microsoft 365 E5). SMS-MFA für Gäste ist ein kostenpflichtiges External-ID-Add-on. Stand: Oktober 2026.

Fazit

MFA ist die wirksamste Einzelmaßnahme zum Schutz von Konten. Setze sie flächendeckend über Conditional Access um und bevorzuge für Admins und Schlüsselpersonen phishingresistente Verfahren.

Weiterführende Links

Verwandte Artikel