AADSTS50079 erklärt: Bedeutung und Auswirkungen in der Microsoft Cloud

Von Mirko Peters · 2026-04-20

Wenn Sie jemals versucht haben, sich bei Microsoft 365 oder Entra ID anzumelden, und plötzlich auf eine Meldung mit „AADSTS50079“ gestoßen sind, sind Sie nicht allein. Thi…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Cover: Fix Conditional Access Loopholes in Microsoft 365

Wenn Sie jemals versucht haben, sich bei Microsoft 365 oder Entra ID anzumelden, und plötzlich auf eine Meldung mit „AADSTS50079“ gestoßen sind, sind Sie nicht allein. Dieser Fehler tritt auf, wenn Ihre Anmeldung eine Multi-Faktor-Authentifizierung (MFA) erfordert, aber etwas fehlt. Meist haben Sie die MFA noch nicht eingerichtet, oder das System kann Sie nicht ordnungsgemäß zur Eingabe auffordern.

In der Microsoft Cloud sind diese AADSTS-Codes mehr als nur zufällige Zahlen. Sie zeigen genau an, warum der Zugriff blockiert wird. AADSTS50079 weist konkret darauf hin, dass der Authentifizierungsprozess abgebrochen wurde, weil Ihre Anmeldedaten allein nicht mehr ausreichen. Da viele Arbeitgeber ihre Sicherheit verschärfen, insbesondere mit Conditional Access-Richtlinien und strengeren MFA-Anforderungen, tritt dieser Fehler inzwischen überall auf.

Für Benutzer bedeutet AADSTS50079, dass sie sich erst dann anmelden können, wenn sie bestimmte Sicherheitsschritte ausführen. Für IT- und Support-Teams ist der Fehler eine der häufigsten Ursachen für Anrufe beim Helpdesk. Wer versteht, was dieser Code bedeutet und warum er auftritt, kann ihn schnell beheben und größere Probleme in Zukunft vermeiden.

Grundursachen des Fehlers AADSTS50079 in Microsoft 365 und Entra ID

Haben Sie sich schon einmal gefragt, warum diese Authentifizierungsfehler immer genau dann auftreten, wenn es am ungünstigsten ist? AADSTS50079 ist eine direkte Folge des Bestrebens, den Identitätsschutz in Plattformen wie Microsoft 365 und Entra ID zu verstärken. Diese Umgebungen stützen sich stark auf Regeln, die steuern, wer wann und wie Zugriff erhält, vor allem über Conditional Access und die Anforderung einer Multi-Faktor-Authentifizierung.

Im Kern signalisiert der Fehler AADSTS50079 eine Abweichung zwischen Ihrem Anmeldeversuch und den Sicherheitsvorgaben Ihrer Organisation. Manchmal ist die Ursache ganz einfach, dass ein Konto noch nicht für MFA registriert ist, besonders wenn Richtlinien über Nacht geändert wurden. In anderen Fällen tritt der Fehler auf, wenn Apps oder Skripte im Hintergrund ohne ausreichende Sicherheitskonfiguration zugreifen wollen und an neuen Zugriffskontrollen oder übersehenen Benutzereinstellungen scheitern.

Dieser Fehler taucht sowohl bei interaktiven Anmeldungen als auch bei Hintergrundprozessen (nicht interaktiv) auf. Da Unternehmen immer mehr Automatisierung, App-Integrationen und Remote-Arbeit bewältigen müssen, ist er zu einem häufigen Problem geworden. Wer sich tiefer mit der Sicherheitsseite beschäftigen möchte, findet in Beiträgen zu Vertrauenslücken bei Conditional Access-Richtlinien und zu wuchernden Identitätsrichtlinien in Entra ID nützliche Hinweise darauf, warum diese Fehler auftreten. Sie entstehen nicht zufällig, sondern als Ergebnis mehrschichtiger Authentifizierungsregeln und gelegentlicher Lücken bei der Vorbereitung der Benutzer.

In den folgenden Abschnitten erfahren Sie genau, wie diese Sicherheitsanforderungen den Fehler 50079 auslösen und warum Endbenutzer wie IT-Profis immer wieder darauf stoßen.

Wie Conditional Access-Richtlinien und MFA zu AADSTS50079 führen

Conditional Access-Richtlinien in Azure Active Directory (heute Entra ID) funktionieren wie Türsteher im Club. Sie prüfen, ob Ihr Konto alle Zugangsregeln erfüllt, bevor Sie Zugriff auf Ihre Apps erhalten. Wenn diese Richtlinien eine Multi-Faktor-Authentifizierung verlangen, Sie sich aber noch nicht registriert haben, greift AADSTS50079 ein und stoppt den Zugriff. Das ist kein Fehler im System, sondern die Art Ihres Unternehmens sicherzustellen, dass nur Personen Zugriff erhalten, die die Regeln einhalten.

Dieser Fehler tritt nicht nur deshalb auf, weil Sie die MFA eines Tages vergessen haben einzurichten. Er erscheint meist dann, wenn eine neue Richtlinie in Kraft tritt oder verschärft wird und Ihr Konto noch nicht angepasst wurde. Selbst wenn Sie sich über eine vermeintlich „vertrauenswürdige“ App oder ein solches Gerät anmelden, greift die Richtlinie sofort ein, sobald Ihre Anmeldedaten nicht mehr den Anforderungen entsprechen. Man kann sich das als Kette vorstellen: Ist ein Glied schwach, etwa eine fehlende Registrierung, nicht synchronisierte Authentifizierungsmethoden oder eine frisch angewendete Richtlinie, erscheint AADSTS50079.

Manchmal verschlimmert eine fehlerhafte Konfiguration von Bedingten Zugriffsrichtlinien die Lage. Zu viele Ausnahmen oder unklare Gruppenzuweisungen können dazu führen, dass bestimmte Benutzer ungeschützt sind, während andere unerwartet ausgesperrt werden. Vertrauensprobleme bei Bedingten Zugriffsrichtlinien treten häufig auf, wenn Ausschlüsse und Einschlüsse nicht eindeutig definiert sind. Gleichzeitig können wuchernde Identitäten und veraltete Ausnahmen die Kontrollmechanismen schwächen und Richtlinien unberechenbar machen. Das bedeutet, dass immer mehr Benutzer aus scheinbar zufälligen Gründen von diesem Fehler betroffen sind.

Wenn Sie Benutzer betreuen oder für die Cloud-Sicherheit verantwortlich sind, ist das Zusammenspiel von Bedingten Zugriffsrichtlinien, MFA und AADSTS50079 entscheidend. Jedes Mal, wenn Sie die Zugangsregeln verschärfen, ohne Registrierung und Kommunikation entsprechend anzupassen, sollten Sie damit rechnen, dass dieser Fehler in Ihren Dashboards auftaucht.

Lücken bei der Benutzerregistrierung und Fehler bei nicht interaktiven Anmeldungen

Die andere Seite der AADSTS50079-Problematik betrifft Benutzer und Apps, die ihre Hausaufgaben nicht gemacht haben. Wenn sich ein Benutzer nicht für MFA registriert hat, werden alle Anmeldeversuche unter neuen Richtlinien blockiert. Das betrifft jedoch nicht nur Personen am Bildschirm. Automatisierte Skripte, ältere Dienstkonten und Hintergrundanwendungen scheitern ebenfalls an diesem Fehler, wenn die MFA-Registrierung erforderlich, aber nicht abgeschlossen ist.

Besonders häufig tritt dies in „nicht interaktiven“ Szenarien auf, etwa wenn ein PowerShell-Skript oder ein Drittanbieter-SaaS-Connector im Hintergrund versucht, ein Token zu aktualisieren. Ohne jemanden, der die MFA-Einrichtung abschließt oder auf Aufforderungen reagiert, schlägt die Authentifizierung mit dem Fehler 50079 („enroll“) fehl. Solche Probleme erkennen Sie, indem Sie in Ihren Sicherheits- oder Anmeldeprotokollen nach wiederholt fehlgeschlagenen Anmeldungen suchen, oft unter „Dienstprinzipal“- oder App-Identitäten, die unbemerkt geblieben sind.

Lösungsschritte für AADSTS50079: Lösungen für Benutzer und Administratoren

Die gute Nachricht: AADSTS50079 muss weder für Sie noch für Ihre Benutzer Tage voller Ausfallzeiten oder endloser Frustration bedeuten. Der schnellste Weg zur Lösung besteht darin, zu verstehen, dass es je nach Situation unterschiedliche Vorgehensweisen gibt – je nachdem, ob Sie als Endbenutzer vor einer Sperre stehen oder als Administrator dafür sorgen, dass der Zugang offen und sicher bleibt.

Für alltägliche Benutzer kommt es vor allem darauf an, die Registrierung für die Multi-Factor Authentication abzuschließen. Meist müssen Sie dafür nur den Anweisungen folgen, um Ihre Authenticator-App einzurichten, Benachrichtigungen zu bestätigen oder Ihr Telefon zu registrieren. Hürden wie Gerätprobleme oder Verzögerungen bei der E-Mail-Zustellung können jedoch für Verwirrung sorgen. Eine klare und freundliche Anleitung hilft deshalb erheblich, alle schnell wieder online zu bringen.

Administratoren verfügen dagegen über ein umfangreicheres Instrumentarium. Neben dem Zurücksetzen von Konten und der Unterstützung bei der MFA-Registrierung sind Administratoren dafür verantwortlich, das Design der Bedingten Zugriffsrichtlinien zu überprüfen, fehlerhaft angewendete Regeln zu korrigieren und sicherzustellen, dass die Registrierungsanforderungen zum Workflow Ihres Unternehmens passen. Bei Automatisierungen und Apps lohnt es sich häufig, von benutzerbasierten Anmeldungen abzurücken und stattdessen verwaltete Identitäten oder zertifikatbasierte Authentifizierung als zuverlässigere Alternativen zu prüfen. Wenn Ihnen das bekannt vorkommt, beteiligen Sie sich an den Diskussionen zur Governance Bedingter Zugriffsrichtlinien in Entra ID, um strategischere Ansätze kennenzulernen.

In den folgenden ausführlichen Anleitungen finden Sie benutzerfreundliche Schritte zur Fehlerbehebung sowie Strategien für Administratoren, um diese Fehler langfristig zu beseitigen. So vermeiden Sie, dasselbe Problem immer wieder neu lösen zu müssen.

Schritt-für-Schritt-Lösung für Endbenutzer zur Behebung von AADSTS50079

Schließen Sie Ihre Registrierung für die Multi-Factor Authentication ab.

Wenn Sie den Fehler 50079 sehen, erhalten Sie häufig eine Anleitung oder einen Link. Klicken Sie darauf, um den MFA-Registrierungsprozess zu starten.
In der Regel bedeutet das, die Microsoft Authenticator-App auf Ihrem Telefon zu installieren, Ihre Mobilnummer zu registrieren oder beides.

Folgen Sie dem Vorgang zur Geräteregistrierung.

Laden Sie die Microsoft Authenticator-App aus dem App Store herunter, falls Sie sie noch nicht installiert haben.
Melden Sie sich mit Ihrem Geschäfts- oder Schulkonto an und scannen Sie den QR-Code auf der Registrierungsseite.
Wenn der QR-Code-Scan fehlschlägt, geben Sie den Code manuell ein.

Bestätigen Sie die erste Sicherheitsaufforderung.

Möglicherweise erhalten Sie eine Benachrichtigung oder einen SMS-Code. Ignorieren Sie diese nicht, sonst wird der Vorgang nicht abgeschlossen.
Wenn auf Ihrem Gerät nichts angezeigt wird, prüfen Sie, ob Benachrichtigungen erlaubt sind und eine Internetverbindung besteht.

Bestätigen Sie die erfolgreiche Registrierung und melden Sie sich erneut an.

Sobald die Einrichtung abgeschlossen ist, erhalten Sie häufig eine Meldung wie „Erfolgreich registriert“. Kehren Sie dann zu Ihrer App oder Ihrem Portal zurück und melden Sie sich erneut an.
Wenn bei der Anmeldung eine MFA-Abfrage erscheint, bestätigen Sie sie auf Ihrem registrierten Gerät. Damit ist bestätigt, dass die Einrichtung korrekt ist.

Häufige Probleme beheben

Wenn Push-Benachrichtigungen nicht ankommen, prüfen Sie die Internetverbindung des Geräts, die Benachrichtigungseinstellungen und ob das richtige Konto angemeldet ist.
Sie kommen nicht weiter? Entfernen Sie Ihr Konto in der Authenticator-App und fügen Sie es erneut hinzu. Alternativ wenden Sie sich an die IT, um einen Reset oder Hilfe bei Gerätproblemen zu erhalten.
Wenn Sie SMS verwendet haben, aber Ihre Rufnummer geändert haben, informieren Sie Ihren Administrator. Er kann Ihre Authentifizierungsmethoden zurücksetzen, sodass Sie neu starten können.

Die meisten Benutzer schließen die MFA-Einrichtung in wenigen Minuten ab. Falls Probleme auftreten, ist nicht gleich Panik angesagt. Häufige Lösungen sind ein Neustart des Geräts, eine Neuinstallation der App oder die Anforderung eines Zurücksetzens durch den Administrator. Ob Windows, Mac oder mobiles Gerät: Entscheidend ist, dass Ihre MFA-Methode registriert und verifiziert ist.

Administrative Maßnahmen für die Verwaltung von bedingtem Zugriff und MFA-Konformität

Aktive Richtlinien für bedingten Zugriff überprüfen

Öffnen Sie das Entra ID Admin Center (ehemals Azure AD) und prüfen Sie, welche Richtlinien MFA erfordern und für wen.
Achten Sie auf Richtlinien, die für „Alle Benutzer“ oder bestimmte Gruppen gelten. Diese können unbeabsichtigt Dienstkonten erfassen oder Automatisierungen unterbrechen.

MFA-Registrierung der Benutzer prüfen

Verwenden Sie die Azure AD-Berichte, um festzustellen, welche Konten die MFA noch nicht abgeschlossen haben. Erwägen Sie, Erinnerungen zu senden oder die Registrierung bei der Anmeldung zu erzwingen.
Prüfen Sie bei wiederkehrenden Fehlern, ob Legacy-Authentifizierung oder ausgeschlossene Konten angepasst werden müssen.

Passen Sie bei Bedarf die Zielgruppen und Ausnahmen der Richtlinien an.

Wenn Automatisierungen oder Dienstprinzipale mit AADSTS50079 fehlschlagen, sollten Sie bekannte Dienstkonten über Ausnahmen in den Richtlinien für bedingten Zugriff ausschließen. Besser ist es jedoch, sie auf verwaltete Identitäten oder zertifikatbasierte Authentifizierung umzustellen.
Halten Sie Gruppenmitgliedschaften sauber, damit Richtlinien nur für die vorgesehenen Benutzer gelten.

Benutzer bei MFA-Zurücksetzung und Wiederherstellung unterstützen

Stellen Sie klare Anleitungen für Benutzer bereit, die sich wegen eines Geräteverlusts oder technischer Probleme nicht registrieren können. Setzen Sie bei Bedarf deren Authentifizierungsmethoden zurück.
Pflegen Sie Dokumentation oder häufige Fragen, um wiederholte Supportanfragen zu vermeiden.

Richtlinien wirksam halten und mit dem Wachstum anpassen

Prüfen Sie regelmäßig die Auswirkungen der Richtlinien anhand der Azure-Anmeldeprotokolle und passen Sie die Einstellungen an, um unerwartete 50079-Fehler zu minimieren.
Weitere Informationen zur Absicherung des bedingten Zugriffs finden Sie in den detaillierten Best Practices für die Verwaltung von Richtlinienausnahmen und Gerätekonformität.

Power Platform-Connectors und Citizen Development absichern

Stellen Sie in Power Automate und ähnlichen Tools sicher, dass Connectors registriert sind und eine sichere Authentifizierung verwenden, nicht nur direkte E-Mail-Adresse und Kennwort.
Wenn Sie Fachanwender unterstützen, die Microsoft 365 einbinden, finden Sie zusätzliche Hinweise in den Ressourcen zur Governance der Power Platform-Sicherheit.

Administratoren, die klare Kommunikation, saubere Richtlinien und den gezielten Einsatz moderner Authentifizierung kombinieren, verhindern meist, dass AADSTS50079 zum täglichen Ärgernis wird.

AADSTS50079 im Vergleich mit anderen häufigen AADSTS-Fehlern

AADSTS50079 (Benutzer bzw. Dienst muss MFA-Registrierung abschließen)

Dieser Fehler tritt auf, wenn eine Anmeldung blockiert wird, weil ein Konto die Multi-Faktor-Authentifizierung abschließen muss, der Benutzer dies aber noch nicht getan hat.
Tritt besonders häufig nach Änderungen an MFA-Richtlinien oder beim Onboarding von Benutzern mit strengeren Sicherheitsanforderungen auf.

AADSTS500212 (Benutzerkonto gesperrt oder deaktiviert)

Dieser Code zeigt an, dass das Benutzerkonto gesperrt, deaktiviert oder für die Anmeldung blockiert ist. MFA ist in der Regel nicht die Ursache. Wahrscheinlicher hat eine Administratoraktion oder eine Risikorichtlinie die Blockierung ausgelöst.

AADSTS530032 (Bedingter Zugriff – durch Richtlinie blockiert)

Dieser Fehler bedeutet, dass der Zugriff durch den bedingten Zugriff verweigert wird, meist aufgrund einer riskanten Anmeldeerkennung, Versuchen mit Legacy-Authentifizierung oder Konformitätsrichtlinien.
Die Lösung besteht darin, zu prüfen, welche Richtlinie für bedingten Zugriff ausgelöst wurde und warum.

AADSTS50173 (Kennwort abgelaufen, Änderung erforderlich)

Diese Meldung erscheint, wenn das Kennwort eines Benutzers abgelaufen ist oder laut Verzeichnisrichtlinie geändert werden muss. Sie hat nichts mit MFA zu tun. Zum Beheben setzen Sie das Kennwort zurück.

AADSTS530004 (Anforderung an die Authentifizierungsstärke nicht erfüllt)

Dieser Code erscheint, wenn eine Richtlinie für bedingten Zugriff eine stärkere Authentifizierung verlangt, als der Benutzer bereitgestellt hat. Um diesen Fehler zu umgehen, müssen Sie die MFA verstärken oder eine konforme Methode verwenden.

Wenn Sie diese Codes nebeneinander betrachten, lässt sich die Fehlersuche deutlich eingrenzen. Hängt der Fehler mit der MFA-Einrichtung zusammen, ist AADSTS50079 die wahrscheinliche Ursache. Bei vollständigen Sperren, abgelaufenen Kennwörtern oder Problemen mit der „Kennwortstärke“ liefern Ihnen die anderen Codes die besten Hinweise für eine schnelle Lösung.

Richtlinien in Entra ID so gestalten, dass AADSTS50079 verhindert wird

Vorbeugung ist immer besser, als nach einem Dienstausfall hektisch Korrekturen einzuspielen. Damit AADSTS50079 gar nicht erst zum Problem wird, sollten Sie von Beginn an Conditional Access- und Authentifizierungsrichtlinien entwerfen, die zu den Anforderungen Ihrer Mitarbeitenden und Ihrer Automatisierungen passen. Das bedeutet nicht einfach, „MFA überall zu erzwingen“. Sie müssen wissen, welche Benutzer, Apps und Netzwerke tatsächlich zusätzliche Schritte benötigen, und vertrauenswürdige Standorte oder Dienste, auf die es ankommt, ohne Reibungsverluste zuverlässig anbinden.

Moderne Entra ID-Umgebungen erlauben es, Richtlinien auf Basis benannter Standorte (vertrauenswürdige IP-Adressen), der Gerätekonformität und der Risikobewertung festzulegen. Die besten Umgebungen überwachen die Anmeldeaktivitäten kontinuierlich und nutzen diese Erkenntnisse, um Lücken zu schließen, bevor frustrierte Benutzer die Support-Hotlines überlasten. Ansätze wie das Lebenszyklusmanagement für Conditional Access und die Best Practices für vertrauenswürdige Richtlinien helfen Ihrer Organisation, der Identitätsschuld voraus zu bleiben. Gemeint sind die kleinen Ausnahmen und veralteten Einstellungen, die später zu deutlich größeren Problemen werden.

In den folgenden Abschnitten erfahren Sie genau, wie Sie vertrauenswürdige Netzwerke einrichten, die CA-Einstellungen konfigurieren und die Überwachung der Anmeldungen nutzen, damit Zugänglichkeit nicht zulasten der Sicherheit geht. Wenn Sie frühzeitig darauf achten, wird AADSTS50079 zu einer seltenen Störung statt eines alltäglichen Notfalls.

Bedingten Zugriff und vertrauenswürdige IP-Adressen konfigurieren

Benannte Standorte definieren:
Richten Sie in Azure AD IP-Adressbereiche für bekannte Unternehmensstandorte oder VPNs ein. Über diese Standorte lässt sich nahtloser Zugriff ermöglichen, ohne jeden Benutzer zur MFA aufzufordern.
Inklusive statt exklusiver Richtlinien anwenden:
Gestalten Sie Conditional Access-Regeln so, dass sie standardmäßig alle Benutzer abdecken, und erlauben Sie nur zeitlich begrenzte Ausnahmen statt weitreichender Ausschlüsse. So verringern Sie Lücken und unerwartete Aussperrungen. Ausführliche Hinweise finden Sie in dieser Ressource zur Inklusivität von Richtlinien.
MFA nur für die riskantesten Anmeldungen verlangen:
Statt MFA bei jeder Anmeldung zu erzwingen, sollten Sie sie für Benutzer außerhalb vertrauenswürdiger Standorte oder für Anmeldungen verlangen, die von der Risikoerkennung markiert wurden (z. B. ungewohnte Standorte oder verdächtiges Verhalten).
Testen, überwachen und feinabstimmen:
Testen Sie Ihre CA-Regeln vor dem vollständigen Rollout mit kleinen Gruppen und überwachen Sie anschließend die Anmeldemuster, um unbeabsichtigte Sperren oder Spitzen bei Fehler 50079 zu erkennen. Passen Sie die Regeln bei Bedarf an, um das richtige Gleichgewicht zu finden.

Ein intelligent gesteuerter Conditional Access-Zugriff sorgt dafür, dass die meisten Benutzer unnötige MFA-Abfragen vermeiden, und verhindert, dass AADSTS50079 die alltägliche Arbeit in vertrauenswürdigen Umgebungen stört.

Anmeldeaktivitäten für Fehler 50079 prüfen und überwachen

Azure AD-Anmeldeprotokolle prüfen:
Öffnen Sie das Azure-Portal, rufen Sie die Azure AD-Anmeldeprotokolle auf und filtern Sie nach „Status: Fehler“ und dem Fehlercode „50079“. So sehen Sie die betroffenen Benutzer, Dienstkonten und Apps der letzten Zeit.
Muster über einen Zeitraum untersuchen:
Achten Sie auf Spitzen bei den 50079-Fehlern nach neuen Richtlinien-Rollouts oder Änderungen im Verzeichnis. Daraus können sich Schulungsbedarf, Lücken beim Onboarding oder Fehler in Automatisierungen ergeben.
Mit Richtliniendaten für Conditional Access korrelieren:
Jeder Eintrag im Anmeldeprotokoll zeigt, welche CA-Richtlinie den Zugriff verweigert hat. Prüfen Sie die Registerkarte „Bedingter Zugriff“, um die Durchsetzung der Regeln nachzuvollziehen und bei Bedarf anzupassen.
Auditwerkzeuge für tiefere Erkenntnisse nutzen:
Für komplexere Korrelationen oder Compliance-Anforderungen können Sie Microsoft Purview Audit nutzen, um Benutzeraktivitäten nachzuverfolgen und mit Anmeldefehlern abzugleichen. So finden Sie Ursachen, die über reine Anmeldeprobleme hinausgehen.

Kontinuierliche Überwachung macht Fehlerspitzen und Benutzerprobleme zu Frühwarnsignalen. So können Sie Richtlinien nachjustieren, bevor aus kleinen Problemen große Störungen werden.