Darum geht es
Früher wurde MFA in Microsoft 365 Konto für Konto eingeschaltet („Pro-Benutzer-MFA“). Diese alte Methode ist schwer zu überblicken und kollidiert mit modernen Richtlinien. Wird MFA zentral über Sicherheitsstandards oder bedingten Zugriff gesteuert, gilt sie verlässlich für alle, auch für neue Mitarbeitende.
Was passieren kann
Bei Pro-Benutzer-MFA rutschen neue oder vergessene Konten leicht ohne MFA durch. Zudem führt die Mischung mit Richtlinien zu doppelten Abfragen und Supportaufwand.
Schritt für Schritt
Stellen Sie zuerst sicher, dass MFA zentral greift: Sicherheitsstandards aktiv oder eine Richtlinie für bedingten Zugriff mit MFA für alle Benutzer im Status „Ein“.
Öffnen Sie Entra ID > Benutzer > Alle Benutzer und wählen Sie in der Befehlsleiste „Pro-Benutzer-MFA“.
Filtern Sie nach Status „Aktiviert“ bzw. „Erzwungen“ und notieren Sie die betroffenen Konten.
Setzen Sie diese Konten auf „Deaktiviert“. Die registrierten MFA-Methoden der Benutzer bleiben dabei erhalten.
Prüfen Sie mit einem umgestellten Konto, dass die Anmeldung weiterhin eine MFA-Abfrage durch die zentrale Richtlinie auslöst.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Benutzer
- Alle Benutzer
- „Pro-Benutzer-MFA“
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die veraltete Pro-Benutzer-MFA ist abgeschaltet (MFA läuft zentral über Richtlinien)
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Der Pro-Benutzer-MFA-Status ist nur über eine Beta-Schnittstelle von Microsoft Graph und nur Konto für Konto abrufbar. Wir nehmen die Prüfung auf, sobald Microsoft die Schnittstelle allgemein freigibt. Bis dahin sehen Sie den Status im Microsoft Entra Admin Center (entra.microsoft.com) unter Benutzer > Alle Benutzer > „Pro-Benutzer-MFA“.
Für Ihre IT: per PowerShell nachsehen
Graph (beta): `GET https://graph.microsoft.com/beta/users/{id}/authentication/requirements` liefert perUserMfaState; Sollwert: disabled für alle Konten.Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A16: Richtlinien für die Zugriffs- und Zugangskontrolle
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.