Darum geht es
SMS-Codes waren lange der Standard für den zweiten Faktor, gelten heute aber als schwach. Über SIM-Tausch beim Mobilfunkanbieter oder abgefangene Nachrichten können Angreifer den Code erhalten. Die Authenticator App oder Passkeys bieten deutlich mehr Schutz.
Was passieren kann
Mit einem SIM-Tausch erhält ein Angreifer die SMS-Codes und kann so trotz MFA ein Konto übernehmen.
Schritt für Schritt
Ermitteln Sie unter Authentifizierungsmethoden > Benutzerregistrierungsdetails, wer ausschließlich SMS registriert hat.
Begleiten Sie diese Personen bei der Einrichtung der Authenticator App oder eines Passkeys und geben Sie eine Frist vor.
Öffnen Sie Entra ID > Authentifizierungsmethoden > Richtlinien > SMS und setzen Sie „Aktivieren“ auf „Aus“; speichern Sie.
Prüfen Sie, dass die Self-Service-Kennwortzurücksetzung weiterhin mit anderen Methoden funktioniert.
Testen Sie mit einem Pilotkonto, dass SMS bei der Anmeldung nicht mehr angeboten wird.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Authentifizierungsmethoden
- Richtlinien
- SMS
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die Anmeldemethode SMS ist deaktiviert
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: `(Get-MgPolicyAuthenticationMethodPolicy).AuthenticationMethodConfigurations | ? Id -eq 'Sms' | ft Id,State`. Sollwert: disabled.
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.3.5v2: SMS, Sprachanruf und E-Mail-Einmalcode deaktivieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A13: Geeignete Auswahl von Authentisierungsmechanismen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.