Darum geht es
Ein Konto ohne registrierte zweite Methode schützt im Ernstfall nur das Kennwort. Sobald MFA erzwungen wird, kann zudem der Erste, der das Kennwort kennt, eine Methode registrieren, im schlechtesten Fall ein Angreifer.
Was passieren kann
Ein erbeutetes Kennwort genügt für den Zugriff auf E-Mails und Dateien dieses Kontos.
Schritt für Schritt
Öffnen Sie unter Entra ID > Authentifizierungsmethoden den Bericht „Benutzerregistrierungsdetails“ und filtern Sie auf Benutzertyp „Mitglied“ und „Für MFA registriert: Nein“.
Bitten Sie die Betroffenen, unter aka.ms/mysecurityinfo Microsoft Authenticator oder einen Passkey einzurichten.
Aktivieren Sie die Registrierungskampagne (Authentifizierungsmethoden > Registrierungskampagne), damit Microsoft bei der Anmeldung daran erinnert.
Schützen Sie die Registrierung selbst per bedingtem Zugriff (Prüfpunkt AS-AN-021).
Deaktivieren Sie Konten, die niemand mehr nutzt, statt sie zu registrieren.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Authentifizierungsmethoden
- Benutzerregistrierungsdetails
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Jedes Mitarbeiterkonto hat mindestens eine Multifaktor-Methode registriert
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Graph: GET /v1.0/reports/authenticationMethods/userRegistrationDetails?$filter=isMfaRegistered eq false and userType eq 'member' (Entra ID P1).
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A21: Mehr-Faktor-Authentisierung
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.