Wie Sie einen Benutzer aus der Microsoft 365 MFA-Schleife befreien

Von Mirko Peters · 2026-04-22

In einer Microsoft 365 Multi-Faktor-Authentifizierung (MFA)-Schleife festzuhängen, ist kein Kavaliersdelikt. Das Problem tritt auf, wenn Sie immer wieder zur Authentifizierung aufgefordert werden, Ihr Konto aber nie erreichen. Wenn Sie gerade Ihr Kennwort zurückgesetzt, das Gerät gewechselt oder Ihre Authentifizierungseinrichtung geändert haben, könnten Sie dieses Problem direkt zu spüren bekommen

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

In einer Microsoft 365 Multi-Faktor-Authentifizierung (MFA)-Schleife festzuhängen, ist kein Kavaliersdelikt. Das Problem tritt auf, wenn Sie immer wieder zur Authentifizierung aufgefordert werden, Ihr Konto aber nie erreichen. Wenn Sie gerade Ihr Kennwort zurückgesetzt, das Gerät gewechselt oder Ihre Authentifizierungseinrichtung geändert haben, könnten Sie dieses Problem direkt zu spüren bekommen.

Dieser Leitfaden zeigt Benutzern und Administratoren klare Wege, um den Auslöser der Schleife zu erkennen, die Ursache einzugrenzen und mit praxisnahen Lösungen aus der Schleife auszubrechen. Außerdem behandeln wir schwierige Situationen auf verschiedenen Geräten und geben Tipps, wie Sie künftigen Problemen vorbeugen. Ob endlose Autorisierungsabfragen oder ein vollständig gesperrt wirkendes Konto: Mit diesen Schritten kommen Sie wieder in Ihr Konto und bleiben sicher.

Microsoft 365-Hänger und das MFA-Schleifenproblem erkennen

Zunächst die wichtigste Frage: Woran erkennen Sie, dass Sie in einer MFA-Schleife feststecken? Typischerweise sieht das so aus: Sie geben Ihr Kennwort ein, werden dann nach einem Code aus Ihrer Authenticator-App oder einer anderen Methode gefragt, und nachdem Sie ihn eingegeben haben, landen Sie direkt wieder bei der Anmeldung oder der MFA-Abfrage. Egal, wie oft Sie es versuchen, Sie drehen sich immer wieder im Kreis.

Ausgelöst werden kann dieses Problem durch verschiedene Ursachen. Vielleicht haben Sie das Gerät gewechselt oder das Kennwort zurückgesetzt, wodurch alte Authentifizierungstoken zurückbleiben. Manchmal läuft eine MFA-Methode ab oder verliert die Synchronisierung. In anderen Fällen versetzt Sie ein Browser-Cache oder ein Fehler in einer App in eine Endlosschleife. Wenn Sie diese Symptome früh erkennen, können Sie besser beurteilen, ob es sich um einen einmaligen Fehler handelt oder ob eine umfassendere Korrektur nötig ist.

MFA-Schleife über Klicks im Admin Center diagnostizieren

Administratoren, jetzt sind Sie gefragt. Das Microsoft 365 Admin Center ist Ihre Diagnosezentrale für festhängende Benutzer. Über die Navigation im Admin Center können Sie Probleme mit Benutzerkonten in den Anmeldeprotokollen erkennen. Suchen Sie nach fehlgeschlagenen Authentifizierungsversuchen oder wiederholten MFA-Abfragen. Diese Muster sind eindeutige Hinweise auf eine Schleife.

Prüfen Sie, ob die Authentifizierungsmethoden des betroffenen Benutzers veraltet oder falsch konfiguriert sind. Manchmal sind alte App-Registrierungen oder fehlerhafte Browsersitzungen die Ursache. Ein Blick in die Überwachungsprotokolle zeigt Ihnen, was das System versucht und woran es immer wieder scheitert. Denken Sie außerdem daran, dass falsch angewendete Richtlinien für bedingten Zugriff zusätzliche Abfragen auslösen können. Ausführliche Strategien zur Bereinigung wuchernder Richtlinien für bedingten Zugriff finden Sie in dieser Podcastfolge über Entra ID und bedingten Zugriff, die die Identitätsrisiken in Azure ausführlich behandelt.

Schritt für Schritt: Microsoft Authenticator-App und andere Authentifizierungsmethoden zurücksetzen

Das Zurücksetzen Ihrer Microsoft Authenticator-App und anderer MFA-Methoden kann die endlose Schleife oft beenden und Sie wieder arbeitsfähig machen. Wenn Sie vermuten, dass Ihre Authenticator-Einrichtung veraltet, verloren gegangen oder nicht mehr passend ist – etwa weil Sie gerade das Telefon gewechselt haben oder die App keinen gültigen Code mehr erzeugt –, sollten Sie in der Regel von vorne beginnen.

Der Vorgang beginnt mit dem Aufruf Ihrer Sicherheitsinformationen im Microsoft 365-Konto, oft über ein zweites Gerät oder über einen IT-Administrator, falls Sie ausgesperrt sind. Dort können Sie alte Methoden entfernen, neue Authenticator-Apps hinzufügen und die Einstellungen für SMS oder die Backup-E-Mail-Adresse aktualisieren. Gehen Sie jeden Schritt in den Kontosicherheitseinstellungen sorgfältig durch, damit die neue Methode eine hängende oder abgelaufene Konfiguration ersetzt.

Wenn das Problem nach einem Gerätewechsel aufgetreten ist, müssen Sie die alte Authenticator-App abmelden, bevor Sie eine neue einrichten. In manchen Fällen müssen auch OATH-Token oder andere Authentifizierungsgeräte von Drittanbietern zurückgesetzt werden, um veraltete Anmeldeinformationen zu entfernen. Leeren Sie nach Änderungen an den MFA-Methoden außerdem den Browser-Cache oder den App-Cache. Manchmal halten Webbrowser oder sogar Office-Desktop-Apps an den alten Daten fest, und ein Leeren dieser Caches verschafft Ihnen einen sauberen Neustart für die Anmeldung.

Wenn ein Administrator Ihnen hilft, kann er ein Zurücksetzen anstoßen oder vorübergehend eine alternative Überprüfung wie SMS oder E-Mail aktivieren. Diese Flexibilität bringt Sie wieder hinein, während Sie Ihre primäre Authentifizierungsmethode reparieren oder zurücksetzen. Eine sorgfältige Nacharbeit stellt sicher, dass keine defekten Verbindungen zwischen Ihrem Konto und den Authentifizierungstools zurückbleiben, die es schützen sollen.

Fehlerbehebung bei Microsoft 365-Hängern zur Wiederherstellung von Administratorkonten

1. Einen anderen Administrator finden:
2. Wenn Ihr Hauptadministratorkonto gesperrt ist, wenden Sie sich an einen anderen zugewiesenen Administrator in Ihrem Microsoft 365-Mandanten. Dessen Zugriff kann genutzt werden, um die MFA für betroffene Benutzer zurückzusetzen oder bei Bedarf sogar eine temporäre Umgehung zu gewähren.
3. Self-Service-Kontowiederherstellung nutzen:
4. Wenn kein aktiver Administrator verfügbar ist, prüfen Sie, ob die Self-Service-Wiederherstellungsoptionen (bei der Ersteinrichtung bereitgestellt) aktiviert sind. Benutzer können ihre Authentifizierung oder ihr Kennwort manchmal selbst zurücksetzen, indem sie ihre Identität über hinterlegte Ersatzkontakte bestätigen.
5. Break-Glass-Notfallkonten aktivieren:
6. Jede Organisation sollte ein „Break-Glass“-Konto vorhalten, das von MFA und Conditional Access ausgenommen ist. Dieses Konto kann sich anmelden, wenn alles andere versagt, und die Authentifizierungsmethoden für ausgesperrte Benutzer und Administratoren zurücksetzen.
7. Administrative Rollenzuweisungen prüfen:
8. Überprüfen Sie alle Benutzer, denen administrative Rollen zugewiesen sind. Identifizieren Sie diejenigen mit den richtigen Berechtigungen und kontaktieren Sie sie. Das ist entscheidend für die Geschäftskontinuität und passt zu den Identitätsrisikokontrollen, die in diesem Podcast zu Entra ID und Conditional Access behandelt werden.
9. Wiederherstellungsoptionen dokumentieren und aktualisieren:
10. Führen Sie eine interne Übersicht über alternative Kontaktmethoden und Notfallprozeduren und aktualisieren Sie diese, sobald sich Teammitglieder oder Rollen ändern. So stellen Sie sicher, dass niemand vollständig ausgesperrt wird, insbesondere bei einem großflächigen MFA-Ausfall.

MFA-Schleifen vermeiden, indem Sie Conditional Access in Azure AD konfigurieren

1. MFA-Richtlinien gezielt einsetzen:
2. Stellen Sie sicher, dass nicht jede einzelne Anmeldung eine MFA auslöst. Beschränken Sie die MFA auf sensible Apps, Benutzer mit hohem Risiko oder externe Anmeldungen, um wiederholte Abfragen und das Risiko von Schleifen zu verringern.
3. Break-Glass-Konten ausschließen:
4. Halten Sie mindestens ein Notfall-Administratorkonto bereit, das von strikten Conditional-Access-Richtlinien und der MFA ausgenommen ist. So wird das Risiko vollständiger Aussperrungen minimiert, falls eine Sicherheitsrichtlinie aus dem Ruder läuft.
5. Risikobasierten Zugriff einrichten:
6. Nutzen Sie die Risikoerkennung und dynamischen Richtlinien von Azure AD, um zusätzliche Überprüfungen nur bei Bedarf anzufordern, etwa wenn eine Anmeldung verdächtig erscheint.
7. Geräteregistrierungen und Compliance verwalten:
8. Stellen Sie sicher, dass auf Microsoft 365 zugreifende Geräte ordnungsgemäß registriert und konform sind. Das hilft, Schleifen zu vermeiden, die durch falsch erkannte Endpunkte oder veraltete Token entstehen.
9. Conditional Access prüfen und laufend anpassen:
10. Überprüfen Sie die Conditional-Access-Protokolle regelmäßig. Für detaillierte Einblicke in Vertrauensprobleme bei Conditional Access und Verbesserungen des Richtliniendesigns lesen Sie diesen ausführlichen Leitfaden: Improving Microsoft Conditional Access Policies. Außerdem ist es entscheidend, den Wildwuchs bei Identitätsrichtlinien unter Kontrolle zu halten, wie hier beschrieben: Reducing Identity Debt in Azure.

MFA-Schleifen auf Apple-, Android- und Windows-Geräten beheben

• Fixes für macOS/iOS:
• Melden Sie sich auf Apple-Geräten in der Authenticator-App ab und anschließend wieder an. Wenn Safari oder der Schlüsselbund wiederholt Abfragen auslösen, leeren Sie den Safari-Cache und deaktivieren Sie die Schlüsselbund-Synchronisierung für Microsoft 365. Fügen Sie Ihr Konto anschließend in der Authenticator-App erneut hinzu und aktivieren Sie den Schlüsselbund wieder, sobald die Schleife unterbrochen ist.
• Android-spezifische Schritte:
• Prüfen Sie unter Android, ob es Konflikte mit Google Smart Lock oder anderen Autofill-Funktionen bzw. Kennwort-Managern gibt. Stellen Sie sicher, dass die Microsoft Authenticator-App und die Microsoft-Apps auf dem neuesten Stand sind. Bleiben die Probleme bestehen, löschen Sie die App-Daten von Authenticator und Browser und registrieren Sie Ihr Gerät anschließend erneut.
• Fehlerbehebung unter Windows:
• Wenn unter Windows eine Schleife auftritt, öffnen Sie die „Anmeldeinformationsverwaltung“ und entfernen Sie gespeicherte Windows-Anmeldeinformationen, die mit Microsoft 365 zusammenhängen. Löschen Sie Browser-Cookies und temporäre Dateien. Manchmal lassen sich tiefer liegende Cache-Konflikte beheben, indem Sie die Authenticator-App oder das Office-Paket deinstallieren und neu installieren.
• Synchronisierungsprobleme über mehrere Geräte:
• Wenn sich Abfragen auf mehreren Geräten wiederholen, melden Sie sich überall ab und setzen Sie die Sitzungen zurück. Veraltete Browsersitzungen oder zwischengespeicherte SSO-Token können die Ursache sein. Entfernen Sie diese daher, bevor Sie die Anmeldung erneut versuchen.
• Konflikte mit Drittanbieter-Apps und Erweiterungen:
• Deaktivieren Sie Browsererweiterungen für die Kennwortverwaltung oder Werbeblocker, da sie die MFA-Abläufe stören können. Testen Sie als Alternative einen anderen Browser oder den privaten bzw. Inkognitomodus.

Neueste Beiträge, Kategorien und RSS-Feed für laufenden Microsoft 365-Support

• Neueste Beiträge ansehen:
• Bleiben Sie mit den neuesten Blogbeiträgen auf dem Laufenden über neue Korrekturen und aktuelle Probleme bei der Microsoft 365-Authentifizierung. Dazu gehören kurze Tipps, Praxisberichte und Fallstudien.
• Kategorien durchsuchen:
• Nutzen Sie die Blogkategorien für gezielte Vertiefungen zu Authentifizierung, Sicherheit, der Verwaltung von Azure AD und der Fehlerbehebung bei MFA, einschließlich Leitfäden für die Wartung in den Jahren 2024/2025.
• RSS-Feed nutzen:
• Abonnieren Sie den RSS-Feed der Website, um sofort über neue Beiträge zu Microsoft 365, bewährten Sicherheitsverfahren und Branchentrends im Bereich Authentifizierung informiert zu werden.
• Archive und Beitragsnavigation erkunden:
• Stöbern Sie in den Blogarchiven nach älteren Anleitungen zur Fehlerbehebung und Erkenntnissen, die auch heute noch gelten, besonders bei kniffligen und ungewöhnlichen MFA-Problemen.