Darum geht es
Microsoft hat die alten, getrennten Einstellungen für MFA und Self-Service-Kennwortzurücksetzung (SSPR) abgekündigt. Solange die Migration nicht abgeschlossen ist, gelten alte und neue Einstellungen parallel. Dadurch bleiben schwache Methoden wie SMS oft unbemerkt erlaubt, obwohl sie in der neuen Richtlinie bereits abgeschaltet sind.
Was passieren kann
Doppelte, unübersichtliche Regeln führen dazu, dass unsichere Anmeldemethoden aktiv bleiben. Angreifer nutzen genau solche Lücken für Kontoübernahmen.
Schritt für Schritt
Dokumentieren Sie die Altrichtlinien: Entra ID > Benutzer > „Per-user MFA“ > Diensteinstellungen sowie Entra ID > Benutzer > Kennwortzurücksetzung > Authentifizierungsmethoden.
Öffnen Sie Entra ID > Authentifizierungsmethoden > Richtlinien und starten Sie den Migrationsassistenten oder wählen Sie „Migration verwalten“ > „Migration wird ausgeführt“.
Aktivieren Sie in der neuen Richtlinie die benötigten Methoden (Microsoft Authenticator, Passkeys, ggf. Befristeter Zugriffspass). SMS und Anruf nur für eine kleine Ausnahmegruppe zulassen.
Testen Sie mit einigen Pilotkonten Anmeldung und Kennwortzurücksetzung, bevor Sie die Methoden in den Altrichtlinien abschalten.
Setzen Sie unter „Migration verwalten“ den Status auf „Migration abgeschlossen“. Ab dann gilt nur noch die neue Richtlinie (Sicherheitsfragen bleiben in SSPR).
Bei Problemen können Sie den Status jederzeit auf „Migration wird ausgeführt“ zurücksetzen.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Authentifizierungsmethoden
- Richtlinien
- „Migration verwalten“
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die MFA- und SSPR-Einstellungen sind in die zentrale Richtlinie für Authentifizierungsmethoden migriert
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: (Get-MgPolicyAuthenticationMethodPolicy).PolicyMigrationState. Erwartet wird „migrationComplete“. Graph: GET /v1.0/policies/authenticationMethodsPolicy.
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.3.4v1: Migration der Authentifizierungsmethoden abgeschlossen
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A12: Entwicklung eines Authentisierungskonzeptes für IT-Systeme und Anwendungen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.