Darum geht es
Ein Passwort allein reicht heute nicht mehr: Passwörter werden erraten, abgefischt oder stammen aus Datenlecks. Mit Multifaktor-Anmeldung (MFA) braucht man zusätzlich das Smartphone oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort allein öffnet dann kein Firmenkonto mehr.
Was passieren kann
Ohne MFA genügt ein erbeutetes Passwort für die vollständige Übernahme eines Postfachs, etwa für Rechnungsbetrug, Datenabfluss oder den Versand von Phishing an Ihre Kunden.
Schritt für Schritt
Ohne Entra ID P1 (z. B. Business Basic/Standard): Öffnen Sie Entra ID > Übersicht > Eigenschaften > „Sicherheitsstandards verwalten“ und setzen Sie sie auf „Aktiviert“.
Mit Entra ID P1 (z. B. Business Premium): Legen Sie unter Bedingter Zugriff eine Richtlinie an: alle Benutzer, alle Ressourcen, Gewähren mit „MFA erforderlich“ oder Authentifizierungsstärke.
Nehmen Sie bei bedingtem Zugriff zwei Notfallkonten (Break-Glass) und das Synchronisierungskonto von Entra Connect aus und starten Sie im Modus „Nur Bericht“.
Kündigen Sie die Umstellung an und bitten Sie alle, die Microsoft Authenticator App unter mysignins.microsoft.com/security-info einzurichten.
Schalten Sie die Richtlinie nach einigen Tagen Auswertung im Anmeldeprotokoll auf „Ein“ und deaktivieren Sie dann die Sicherheitsstandards (beides gleichzeitig geht nicht).
Testen Sie mit einem normalen Konto in einem privaten Browserfenster, dass eine MFA-Abfrage erscheint.
Hier finden Sie die Einstellung
Ohne P1
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Übersicht
- Eigenschaften
- Sicherheitsstandards verwalten
oder mit P1
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Bedingter Zugriff
- Richtlinien
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Jeder Benutzer muss sich mit Multifaktor anmelden (Sicherheitsstandards oder bedingter Zugriff)
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: `Get-MgPolicyIdentitySecurityDefaultEnforcementPolicy | fl IsEnabled` sowie `Get-MgIdentityConditionalAccessPolicy | ft DisplayName,State`.
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.3.2v2 – MFA für alle Benutzer erzwingen
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A21 – Mehr-Faktor-Authentisierung
- DSGVO Art. 32 Abs. 1
- lit. b – Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.