Security & Compliance

Sicherheitsstandards (Security Defaults)

Allgemeine Infos

Sicherheitsstandards (Security Defaults) sind eine von Microsoft vorkonfigurierte Grundsicherung für Microsoft Entra ID. Sie schützen gegen typische Identitätsangriffe wie Password Spray, Replay-Angriffe und Phishing, kosten nichts und lassen sich nur ein- oder ausschalten. Gedacht sind sie für Organisationen ohne Entra ID P1 oder ohne Kapazität für eigene Richtlinien.

Tenants, die ab dem 22. Oktober 2019 erstellt wurden, haben die Sicherheitsstandards in der Regel aktiv. Bestehende Tenants aktiviert Microsoft nach vorheriger Benachrichtigung automatisch, wenn sie keine Conditional-Access-Richtlinien, keine Premium-Lizenzen und keine aktiv genutzten Legacy-Clients haben.

Abgrenzung: Conditional Access ist die anpassbare Alternative mit Ausnahmen, Bedingungen und Gruppen, beide schließen sich praktisch aus. Wer auf Conditional Access umsteigt, muss die Sicherheitsstandards vorher deaktivieren. Multi-Faktor-Authentifizierung ist das Verfahren, die Sicherheitsstandards sind eine feste Richtlinie, die es durchsetzt. Identity Protection ergänzt mit P2 risikobasierte Richtlinien, die Passwort-Richtlinie regelt Kennwortregeln und gehört nicht zu den Sicherheitsstandards.

Aktuelle Änderungen: Seit dem 29. Juli 2024 gibt es die frühere Schonfrist von 14 Tagen für die MFA-Registrierung nicht mehr. Neue Tenants blockieren seit dem 1. Juli 2026 standardmäßig den Device Code Flow.

Funktionsweise & Details

Ist der Schalter aktiv, erzwingt Entra ID tenantweit diese Regeln:

  1. Alle Benutzer müssen sich bei der Anmeldung für MFA registrieren, und zwar mit Benachrichtigungen der Microsoft-Authenticator-App. Danach funktionieren auch Prüfcodes aus Authenticator oder OATH-TOTP-Codes aus anderen Apps.
  2. Administratoren in 16 privilegierten Rollen (unter anderem Global, Security, Exchange, SharePoint, User, Helpdesk und Conditional Access Administrator) müssen bei jeder Anmeldung MFA durchführen.
  3. Normale Benutzer erhalten eine MFA-Abfrage, wenn Microsoft es anhand von Standort, Gerät, Rolle und Aufgabe für nötig hält.
  4. Legacy-Authentifizierung (Clients ohne moderne Authentifizierung, IMAP, SMTP, POP3, Exchange ActiveSync mit Basic Auth) wird blockiert.
  5. Der Zugriff auf Azure Resource Manager über Azure-Portal, Entra Admin Center, Azure PowerShell und Azure CLI erfordert MFA.

Synchronisierungskonten von Entra Connect und Cloud Sync sind ausgenommen, eigene Ausnahmen für Benutzer oder Gruppen gibt es nicht. Eingeschaltet wird im Entra Admin Center unter Entra ID > Übersicht > Eigenschaften > Sicherheitsstandards verwalten, mindestens mit der Rolle Conditional Access Administrator.

Vorteile & Nutzen

  • Ein Schalter bringt MFA für alle und blockiert alte Protokolle, das wehrt einen Großteil der Kontoübernahmen per gestohlenem Passwort ab.
  • Keine Lizenz nötig: Auch Tenants mit Business Basic oder Business Standard bekommen eine wirksame Grundsicherung.
  • Administratorkonten sind bei jeder Anmeldung per MFA geschützt, ohne dass jemand Richtlinien pflegen muss.
  • Microsoft passt die Regeln selbst an neue Angriffsmuster an, etwa bei der Sperre des Device Code Flow.

Praxisbeispiel

Ein Handwerksbetrieb mit 25 Mitarbeitenden nutzt Microsoft 365 Business Standard und hatte bisher keine MFA. Nach einem Phishing-Vorfall bei einem Lieferanten aktiviert der externe IT-Dienstleister die Sicherheitsstandards, widerruft vorher per Revoke-MgUserSignInSession die bestehenden Sitzungen und verteilt eine kurze Anleitung zur Authenticator-App. Ein altes Multifunktionsgerät, das per SMTP mit Basic Auth Scans verschickte, funktioniert danach nicht mehr und wird auf einen SMTP-Relay-Connector umgestellt. Beim späteren Wechsel auf Business Premium ersetzt die IT die Sicherheitsstandards durch Conditional-Access-Richtlinien.

Worauf sollte man achten?

  • Vor dem Einschalten alle Geräte und Anwendungen erfassen, die noch Legacy-Authentifizierung nutzen (Scanner, alte Mail-Clients, Skripte), sie fallen sonst sofort aus.
  • Unter den MFA-Diensteinstellungen keine Methoden deaktivieren, das kann zum Aussperren aus dem Tenant führen.
  • Mit Entra ID P1 auf Conditional Access wechseln und direkt nach dem Abschalten der Sicherheitsstandards die von Microsoft verwalteten Conditional-Access-Richtlinien aktivieren, damit keine Schutzlücke entsteht.
  • Zwei cloudbasierte Notfallzugriffskonten mit dauerhafter Global-Administrator-Rolle einrichten und sicher verwahren.
  • Benutzer vorab informieren, dass nur die Authenticator-App für die Registrierung zur Verfügung steht.

Lizenz & Verfügbarkeit

Sicherheitsstandards sind für alle Tenants kostenlos verfügbar und erfordern keine Lizenz, auch nicht mit Microsoft Entra ID Free. Die anpassbare Alternative Conditional Access erfordert mindestens Microsoft Entra ID P1, enthalten unter anderem in Microsoft 365 Business Premium, E3, E5, F1, F3 und EMS E3. Risikobasierte Richtlinien über Identity Protection erfordern Microsoft Entra ID P2, enthalten in Microsoft 365 E5 und EMS E5. Stand: Oktober 2026.

Fazit

Sicherheitsstandards sind das Minimum für jeden Tenant ohne Conditional Access und sollten dort nie abgeschaltet werden. Sobald Entra ID P1 vorhanden ist, ersetzt Du sie durch Conditional-Access-Richtlinien mit Notfallkonten und gezielten Ausnahmen.

Weiterführende Links

Verwandte Artikel