Darum geht es
Sprachanrufe und Einmalcodes per E-Mail gelten als schwache zweite Faktoren: Anrufe lassen sich umleiten, und ein E-Mail-Code hilft wenig, wenn das Postfach selbst angegriffen wird. Moderne Methoden wie die Authenticator App oder Passkeys sind deutlich sicherer und für Mitarbeitende ebenso einfach.
Was passieren kann
Angreifer können schwache Methoden etwa über Rufumleitung oder ein bereits übernommenes Postfach aushebeln und so die MFA umgehen.
Schritt für Schritt
Prüfen Sie unter Authentifizierungsmethoden > Benutzerregistrierungsdetails, wer nur Sprachanruf als Methode hat, und lassen Sie diese Personen vorher die Authenticator App einrichten.
Klären Sie, ob Gäste den E-Mail-Einmalcode zur Anmeldung nutzen; planen Sie die Auswirkung auf Gastzugriffe vor dem Abschalten ein.
Öffnen Sie Entra ID > Authentifizierungsmethoden > Richtlinien > Sprachanruf und setzen Sie „Aktivieren“ auf „Aus“.
Wiederholen Sie das für „E-Mail-Einmalkennung“ und speichern Sie.
Prüfen Sie, dass die Self-Service-Kennwortzurücksetzung weiterhin mit den verbleibenden Methoden funktioniert.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Authentifizierungsmethoden
- Richtlinien
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die schwachen Methoden Sprachanruf und E-Mail-Einmalcode sind deaktiviert
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: `(Get-MgPolicyAuthenticationMethodPolicy).AuthenticationMethodConfigurations | ? Id -in 'Voice','Email' | ft Id,State`. Sollwert: disabled.
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.3.5v2: SMS, Sprachanruf und E-Mail-Einmalcode deaktivieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A13: Geeignete Auswahl von Authentisierungsmechanismen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.