Vorhaben besprechen

TOOLBOX · DOWNLOAD

MFA einführen,ohne sichauszusperren.

Solange ein Konto nur mit Passwort geschützt ist, genügt Angreifern ein gestohlenes Passwort. Diese Checkliste führt die Administration von Microsoft 365 und Microsoft Entra ID in acht Schritten zur Multi-Faktor-Authentifizierung für alle: Ausgangslage und Lizenz prüfen, Notfallzugriffskonten anlegen, Methoden wählen, Registrierung und Kommunikation vorbereiten, Richtlinien im Modus „Nur Bericht“ testen, Legacy-Authentifizierung blockieren, Administratoren phishingresistent absichern und das Ergebnis kontrollieren. Dazu kommen die Phasen der verpflichtenden MFA, die Microsoft für Azure und die Admin-Portale durchsetzt.

PDF herunterladen (11 Seiten)Was drinsteht

Kostenloses PDF · Checkliste

MFA in Microsoft 365 einführen: Checkliste für den Rollout ohne Aussperren

Thema
E-Mail & Microsoft 365
Format
PDF, A4
Umfang
11 Seiten
Größe
140 KB
Stand
25.10.2026
Quellen
12
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

Acht Schritte von der Ausgangslage bis zur Kontrolle, nach Microsoft Learn, CISA und BSI, mit den Phasen der verpflichtenden MFA für Azure und Admin-Portale.

  • Administration von Microsoft 365 und Microsoft Entra ID in kleinen und mittleren Unternehmen
  • IT-Dienstleister, die Mandanten ihrer Kunden einrichten und betreuen
  • IT-Leitung, die den MFA-Rollout plant und gegenüber der Geschäftsführung vertritt

10 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    Worum es geht und was verpflichtend ist

    Zwei Faktoren aus verschiedenen Kategorien, nicht jede MFA gleich stark; was das NISG 2026 vorgibt und was Microsoft durchsetzt.

  • 02

    Schritt 1: Ausgangslage und Lizenz prüfen

    Sicherheitsstandards oder Conditional Access: welcher Weg zu Ihrer Lizenz passt und welche Konten Sie vorher erfassen.

  • 03

    Schritt 2: Notfallzugriffskonten anlegen

    Vor der ersten Richtlinie: mindestens zwei Konten nur in der Cloud, mit Passkey, getrennt verwahrt und überwacht.

  • 04

    Schritt 3: Methoden wählen

    Phishingresistent, wo möglich, Microsoft Authenticator mit Zahlenabgleich als Mindeststandard, SMS und Anruf nur als Übergang.

  • 05

    Schritt 4: Registrierung vorbereiten und informieren

    Registrierung absichern, Termine ankündigen und erklären, woran echte Anfragen zu erkennen sind.

  • 06

    Schritt 5: Schrittweise einführen mit „Nur Bericht“

    Pilotgruppe, Richtlinie im Modus „Nur Bericht“, Wirkung prüfen, einschalten und in Wellen erweitern.

  • 07

    Schritt 6: Legacy-Authentifizierung blockieren

    Alte Protokolle beherrschen keine MFA und umgehen sie. Erst die Nutzung finden, dann blockieren.

  • 08

    Schritt 7: Administratoren phishingresistent absichern

    Für privilegierte Rollen die Authentifizierungsstärke „Phishingresistente MFA“: erst registrieren, dann erzwingen.

  • 09

    Verpflichtende MFA von Microsoft für Azure und Admin-Portale

    Microsoft erzwingt MFA für Admin-Portale und die Azure-Verwaltung in zwei Phasen; ausnehmen lässt sich kein Benutzerkonto.

  • 10

    Schritt 8: Kontrollieren und nachhalten

    Registrierung und Nutzung auswerten, Ausnahmen abbauen, Notfallkonten testen, typische Fehler vermeiden.

AUSZUG

Schritt 2: Notfallzugriffskonten anlegen

Notfallzugriffskonten (Break-Glass-Konten) verhindern, dass Sie sich durch eine fehlerhafte Richtlinie, einen Ausfall des Identitätsverbunds oder unerreichbare MFA-Geräte aus dem Mandanten aussperren. Die Punkte folgen Microsoft Learn, gelesen am 25. Oktober 2026.

  • Mindestens zwei Konten nur in der Cloud, mit der Domäne *.onmicrosoft.com, weder im Verbund noch aus dem lokalen Active Directory synchronisiert.
  • Rolle Globaler Administrator dauerhaft aktiv zugewiesen, in Privileged Identity Management nicht nur berechtigt.
  • Anmeldung mit Passkey (FIDO2), von Microsoft empfohlen, oder mit zertifikatbasierter Authentifizierung, wenn bereits eine PKI besteht; mit einer anderen Methode als die normalen Administratorkonten. Anmeldedaten und Geräte laufen nicht ab und fallen nicht unter eine automatische Bereinigung.
  • Keiner einzelnen Person und keinem Telefon von Mitarbeitenden zugeordnet; Schlüssel und Anmeldedaten an getrennten, sicheren, feuerfesten Orten; Nutzung nur von einer dafür vorgesehenen, sicheren Arbeitsstation.
  • Aus allen Richtlinien für bedingten Zugriff ausgeschlossen, die die Anmeldung blockieren oder einschränken, am besten über eine eigene Gruppe. Richtlinien im Modus „Nur Bericht“ blockieren nicht und brauchen keinen Ausschluss.
  • Jede Anmeldung löst eine Benachrichtigung aus; jede Nutzung wird anhand der Protokolle nachbesprochen.
  • Mindestens alle 90 Tage und nach Personalwechseln in der IT getestet: Anmeldung, Verwaltungsaufgaben, Liste der berechtigten Personen, dokumentierter Ablauf.

Der Ausschluss aus Ihren Richtlinien befreit nicht von der verpflichtenden MFA, die Microsoft für Azure und die Admin-Portale durchsetzt; sie gilt ausdrücklich auch für Notfallzugriffskonten. Passkey (FIDO2) und zertifikatbasierte Authentifizierung erfüllen sie.

Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. Microsoft Learn: Sicherheitsstandards (öffnet in neuem Tab)Richtlinien, Methoden, Vergleich mit Conditional Access; 25.10.2026
  2. Microsoft Learn: Obligatorische MFA (öffnet in neuem Tab)Phasen, Konten, ROPC, Aufschub, Bestätigung, FAQ; 25.10.2026
  3. Microsoft Learn: Notfallzugriffskonten (öffnet in neuem Tab)Erstellen, Anforderungen, bedingter Zugriff, Prüfung; 25.10.2026
  4. Microsoft Learn: MFA-Bereitstellung planen (öffnet in neuem Tab)Methoden, Registrierung, Rollout, Berichte; 25.10.2026
  5. Microsoft Learn: Übersicht Authentifizierung (öffnet in neuem Tab)Methoden, phishingresistente Methoden; 25.10.2026
  6. Microsoft Learn: MFA für alle Benutzer (öffnet in neuem Tab)Stärken, Ausschlüsse, Richtlinie, „Nur Bericht“; 25.10.2026
  7. Microsoft Learn: Legacy-Authentifizierung blockieren (öffnet in neuem Tab)Richtlinie, Nutzung in Anmeldeprotokollen; 25.10.2026
  8. CISA: Implementing Phishing-Resistant MFA (2022) (öffnet in neuem Tab)Threats to MFA, Table 1, Implementations, Areas of Focus
  9. BSI: Zwei-Faktor-Authentisierung (öffnet in neuem Tab)Faktoren, Verfahren, Empfehlungen; 25.10.2026
  10. NISG 2026, BGBl. I Nr. 94/2025 (RIS) (öffnet in neuem Tab)§§ 24–26, 32, 51; Fassung vom 25.10.2026
  11. NISV 2026, BGBl. II Nr. 290/2026, authentische Kundmachung im RIS (öffnet in neuem Tab)§§ 2, 4 bis 7 und 9, kundgemacht am 1.10.2026, gelesen am 25.10.2026
  12. Durchführungsverordnung (EU) 2024/2690, Anhang Nr. 11.6 und 11.7 (Authentifizierung) (öffnet in neuem Tab)für alle wesentlichen und wichtigen Einrichtungen anwendbar nach § 2 NISV 2026

Die Checkliste ist eine Empfehlung von TOMORIS und an die eigene Umgebung anzupassen; sie ersetzt keine Rechtsberatung. Microsoft ändert Funktionen, Bezeichnungen und Termine laufend: Maßgeblich sind die verlinkten Seiten von Microsoft Learn in der aktuellen Fassung, für NIS2-Pflichten der Gesetzestext des NISG 2026 in der geltenden Fassung. Testen Sie jede Richtlinie zuerst im Modus „Nur Bericht“.

TOOLBOX

Passend
dazu.

E-MAIL & MICROSOFT 365

Mehr zum
Thema.

Weitere kostenlose PDFs aus dem Bereich E-Mail & Microsoft 365.

Alle Downloads zu E-Mail & Microsoft 365

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads