Warum MFA dort nicht greift, wo sie greifen müsste, in Microsoft-Umgebungen

Von Mirko Peters · 2026-04-22

Die Multi-Faktor-Authentifizierung (MFA) soll in Microsoft 365 und Azure Ihr Sicherheitsnetz sein und Angreifer aufhalten, selbst wenn sie ein Kennwort stehlen. Doch was passiert, wenn dieses Netz schlicht fehlt, obwohl es vorhanden sein müsste …

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Multi-Faktor-Authentifizierung (MFA) soll in Microsoft 365 und Azure Ihr Sicherheitsnetz sein und Angreifer aufhalten, selbst wenn sie ein Kennwort stehlen. Doch was passiert, wenn dieses Netz schlicht fehlt, obwohl es vorhanden sein müsste? „Müsste“ meint genau die kritischen Momente: riskante Anmeldungen, Anmeldungen von Administratorkonten oder Zugriffe von außerhalb Ihrer üblichen Standorte. Greift MFA hier nicht, sind Sie ganz einfach angreifbar.

Solche Lücken entstehen oft durch eine Mischung aus technischen Problemen, unübersichtlichen Richtlinieneinstellungen und sogar Umgehungen durch Endbenutzer. Manchmal liegt es an Legacy-Authentifizierungs-Apps, schwachen bedingten Zugriffsrichtlinien oder unvollständiger Benutzerabdeckung. Unabhängig von der Ursache öffnet eine fehlende MFA dort, wo sie am wichtigsten wäre, Angreifern die Tür und verursacht echte Sicherheitsprobleme.

Diese Durchsetzungslücken zu verstehen und zu schließen, ist entscheidend, um Ihre Daten abzusichern. Wenn Sie ein praxisnahes Beispiel sehen möchten, wie Angreifer diese Schwachstellen mit Token-Diebstahl und OAuth-Tricks ausnutzen, zeigt Ihnen diese Analyse des Microsoft-365-Sicherheitsvorfalls, was auf dem Spiel steht.

Wo MFA nicht auslöst, und die Ursachen

MFA ist nur so stark wie die Richtlinien und die Technik, die dahinterstehen. Frustrierend ist, dass MFA selbst dann unbemerkt ausbleiben kann, wenn Sie sicher sind, alles richtig eingerichtet zu haben, auch für kritische Benutzer oder bei riskanten Anmeldungen.

Ein häufiger Auslöser sind fehlerhaft konfigurierte bedingte Zugriffsrichtlinien. Vielleicht wird ein VIP-Benutzer aus „Komfortgründen“ ausgenommen, oder Testkonten bleiben mit weitreichenden Berechtigungen und ohne MFA-Pflicht bestehen. Solche Ausnahmen wirken bei der Einrichtung harmlos, können Ihre Verteidigung aber direkt durchlöchern. Werden Richtlinien nicht regelmäßig überprüft, entstehen unsichtbare Sicherheitslücken, vor denen kein Dashboard warnt.

Legacy-Apps sind ein weiteres heimtückisches Problem. Tools wie Exchange ActiveSync oder bestimmte Desktop-E-Mail-Clients verwenden oft veraltete Authentifizierung und umgehen so standardmäßig die moderne MFA. Diese Nicht-Browser-Apps setzen auf Basisauthentifizierung, die mit Ihrer neuen MFA-Konfiguration nicht kompatibel ist. Dadurch können Anmeldungen völlig außerhalb Ihrer Kontrolle stattfinden.

Auch das Verhalten der Benutzer darf nicht übersehen werden. Manche erstellen „App-Kennwörter“, um ältere Apps zu verbinden, und umgehen damit die MFA vollständig. Andere erteilen unbeabsichtigt OAuth-Berechtigungen an Drittanbieter-Apps, indem sie riskante Einwilligungsabfragen bestätigen. Damit erhalten Angreifer eine Hintertür, die nie eine MFA-Abfrage auslöst. Genau hier kommt Governance ins Spiel, denn Benutzer können die MFA umgehen, ohne das Risiko überhaupt zu erkennen.

In hybriden oder Multi-Cloud-Umgebungen vervielfachen sich diese Lücken. Wenn Sie nicht systematisch prüfen, wer und was MFA erzwungen bekommt, übersehen Sie womöglich kritische Schwachstellen. Nur wenn Sie die Identitäts-Dashboards über alle Plattformen hinweg auswerten, erfassen Sie Ihre tatsächliche Abdeckung. Wer versteht, wo MFA versagt, legt die Grundlage, um Kontrollen zu verschärfen und jede Anmeldung zu schützen, egal wie oder wo sie erfolgt.

Phishingresistente MFA-Methoden für sichere Authentifizierung einführen

Standard-MFA ist gut, bis Angreifer lernen, Benutzer mit Push-Müdigkeit, Phishing-Abfragen oder Token-Diebstahl zu überlisten. Deshalb lohnt sich der Wechsel zu phishingresistenter MFA, wenn Sie moderne Angriffe wirksam abwehren wollen.

Der Zahlenabgleich in Authenticator-Apps ist ein solides Upgrade. Statt eine allgemeine Push-Benachrichtigung einfach zu bestätigen, müssen Benutzer einen Code eingeben. Dadurch wird es für Angreifer nahezu unmöglich, Benutzer per Prompt Bombing zu täuschen. Microsoft und andere treiben dies stark voran und aktivieren es für neue MFA-Einrichtungen standardmäßig. Er adressiert genau die Prompt-Bombing-Tricks, die bei jüngsten prominenten Sicherheitsvorfällen eingesetzt wurden.

Physische Sicherheitsschlüssel wie YubiKey und FIDO2-Token gehen noch einen Schritt weiter. Diese Schlüssel lassen sich nicht phishen und stützen sich nicht auf gemeinsame Geheimnisse. In hochsensiblen Umgebungen oder für Administratoren und Führungskräfte kommt das einem „Lockdown-Modus“ nahe: hardwarebasierte Authentifizierung, die die meisten realen Angriffstechniken sofort blockiert.

Auf Benutzerfreundlichkeit müssen Sie dabei auch nicht verzichten. Mit modernen kennwortlosen Anmeldeoptionen und einer engen Integration in Plattformen wie Microsoft 365 und Defender lässt sich phishingresistente MFA direkt in Ihre bestehenden Arbeitsabläufe einbinden. Praxisbeispiele für die Kombination von bedingtem Zugriff mit erweitertem Bedrohungsschutz und einer benutzerfreundlichen Anmeldung finden Sie in diesem Leitfaden zu robusten M365-Sicherheitseinstellungen. Die Umstellung auf phishingresistente MFA ist kein „nice to have“ mehr, sondern wird schnell zum neuen Mindeststandard für den Schutz vor raffinierten Angreifern.

MFA ohne zusätzliche Kosten für kleine Unternehmen mit Microsoft Entra ID

Wenn Sie ein kleines Unternehmen führen, brauchen Sie weder ein großes Budget noch teure Lizenzen, um leistungsfähige MFA einzurichten. Microsoft Entra ID (früher Azure AD) bietet Sicherheitsstandards, die jedes Unternehmen mit wenigen Klicks aktivieren kann.

Aktivieren Sie die Sicherheitsstandards im Entra admin center. Damit wird MFA sofort für alle Benutzer erzwungen, ohne komplexe Richtlinien erstellen zu müssen und ohne zusätzliche Lizenzen. Das Beste daran: Diese vorkonfigurierten Einstellungen funktionieren sofort und bieten einen Basisschutz gegen die Kompromittierung von Konten. Außerdem blockieren sie standardmäßig veraltete Legacy-Authentifizierungsprotokolle.

Eine reibungslose Einführung ist wichtig. Informieren Sie Ihre Benutzer im Voraus, damit niemand von neuen Anmeldeaufforderungen überrascht wird. Unterstützen Sie Personen, die mit MFA oder Authenticator-Apps weniger vertraut sind. Testen Sie die Konfiguration nach Möglichkeit zuerst mit einer Pilotgruppe, um sicherzugehen, dass es bei wichtigen Geschäftsanwendungen oder Dienstkonten keine bösen Überraschungen gibt.

Entscheidend ist, sich nicht auf „einrichten und vergessen“ zu verlassen. Überprüfen Sie regelmäßig, wer den Sicherheitsstandards unterliegt, und suchen Sie nach Konten, die durchrutschen könnten. Wenn Sie später granularere Steuerungsmöglichkeiten benötigen, sollten Sie bedingten Zugriff schrittweise einführen. Beginnen Sie jedoch einfach und sicher. Für einen sicheren Einführungsplan und Ansätze, um unsichtbare Lücken zu schließen, behandelt dieser praktische Leitfaden zu bedingtem Zugriff die typischen Fallstricke und Strategien, die Sie kennen sollten.

MFA für Unternehmen: Bewährte Methoden für die Durchsetzung von Richtlinien und die Minderung von Risiken

1. MFA konsequent anwenden – ohne Ausnahmen aus Bequemlichkeit. Stellen Sie sicher, dass alle Benutzerkonten (nicht nur Administratoren) von MFA-Richtlinien erfasst werden, auch Konten für Zeitarbeitskräfte, externe Dienstleister und Führungskräfte. Ausnahmen sollten selten sein, immer zeitlich begrenzt und klar geschäftlich begründet.
2. Dienst- und nicht-menschliche Konten mit modernen Lösungen absichern. Herkömmliche Dienstkonten können große MFA-Lücken sein. Modernisieren Sie sie mit Werkzeugen wie Entra Workload Identities für verwaltete Authentifizierung, die Lebenszyklusverwaltung und Nachvollziehbarkeit ermöglichen. Mehr zu diesem Ansatz finden Sie in dieser Analyse zum Risiko nicht-menschlicher Identitäten.
3. Benutzer mit der richtigen Schulung und Unterstützung einbinden. Helfen Sie Benutzern bei der Einrichtung von Authenticator-Apps oder physischen Token und erklären Sie, warum MFA wichtig ist. Bieten Sie während der Einführung Unterstützung durch den Helpdesk an, besonders für Benutzer, die mit neuen MFA-Abfragen wie dem Zahlenabgleich nicht vertraut sind.
4. Auf MFA-Umgehungsversuche und ungewöhnliche Anmeldungen achten. Richten Sie Warnmeldungen und Protokolle ein, die erkennen, wenn MFA in erwarteten Hochrisikoszenarien fehlt oder wenn Legacy-Protokolle durchrutschen. Automatisieren Sie die Reaktion auf Vorfälle, wo immer möglich, etwa durch das Zurücksetzen von Kennwörtern oder das Anfordern einer zusätzlichen MFA-Prüfung bei riskanten Anmeldungen.
5. MFA-Abdeckung und Richtlinienkonformität regelmäßig prüfen. Gehen Sie nicht davon aus, dass die Abdeckung bereits feststeht. Nutzen Sie Identitäts-Dashboards und Berichte, sowohl in Microsoft 365 als auch über andere Plattformen hinweg, falls Sie eine Multi-Cloud-Umgebung betreiben. Übersetzen Sie die Ergebnisse in klare Berichte, damit IT und Führungsebene sehen, wo Risiken bestehen. Wirksame Governance geht über Schaltflächen und Schalter hinaus. Für einen tieferen Einblick lesen Sie diese Erkenntnisse aus M365-Governance-Fehlern.

Wenn Sie dieser Checkliste folgen, verringern Sie das Risiko erheblich, dass Angreifer die MFA umgehen, egal wie raffiniert die Methode ist. Konsequenz, klare Richtlinien und regelmäßige Überprüfungen halten den Schutz stark und die Sicherheitslücken geschlossen.