MFA allein reicht nicht – Conditional Access für Microsoft 365 im KMU

Warum MFA allein nicht genügt

Bei MFA braucht es neben dem Passwort einen zweiten Nachweis, zum Beispiel eine Bestätigung in der App Microsoft Authenticator. Das wehrt viele Angriffe ab, aber nicht alle:

• Echtzeit-Phishing: Eine gefälschte Anmeldeseite leitet Passwort und MFA-Abfrage in Echtzeit an Microsoft weiter (Adversary-in-the-Middle). Die Person bestätigt arglos, der Angreifer übernimmt die Sitzung und ist angemeldet. Das Bundesamt für Cybersicherheit (BACS, früher NCSC) hat im Februar 2026 eine solche Phishing-Welle über SharePoint-Freigaben beschrieben, die auch die Schweiz betraf.
• Ältere Protokolle: Die sogenannte Legacy-Authentifizierung, etwa POP, IMAP oder SMTP mit Benutzername und Passwort, unterstützt keine MFA. Wer das Passwort kennt, umgeht damit den zweiten Faktor. In Exchange Online hat Microsoft die Basisauthentifizierung für die meisten Protokolle abgeschaltet; beim SMTP-Versand, etwa von Scannern, läuft die Umstellung noch.
• Anfällige Methoden: SMS, Anruf und App-Bestätigung bleiben laut Microsoft anfällig für Echtzeit-Phishing und Social Engineering. Als phishing-resistent gelten Passkeys (FIDO2), Windows Hello for Business und die zertifikatbasierte Anmeldung, weil der Nachweis an die echte Anmeldeseite gebunden ist und sich nicht weiterreichen lässt.

Sicherheitsstandards oder Conditional Access

Sicherheitsstandards (Security Defaults) sind kostenlos und lassen sich nur ein- oder ausschalten. Sie verlangen von allen die Registrierung für MFA, fordern MFA von Administratoren und bei Bedarf von allen anderen, blockieren ältere Protokolle und schützen die Azure-Verwaltung.

Conditional Access (bedingter Zugriff) arbeitet mit Wenn-dann-Regeln: Wenn jemand auf Microsoft 365 zugreift, dann muss er zum Beispiel MFA leisten oder ein verwaltetes Gerät verwenden. Dafür braucht es Microsoft Entra ID P1, das in Microsoft 365 Business Premium, E3 und E5 enthalten ist. Risikobasierte Regeln, die auf verdächtige Anmeldungen reagieren, setzen Entra ID P2 voraus. P2 ist in E5 enthalten, einzeln erhältlich und für Business Premium Teil des Zusatzpakets Microsoft Defender Suite for Business Premium.

Beides zusammen geht nicht: Wer Conditional Access einführt, schaltet die Sicherheitsstandards ab und ersetzt sie sofort durch eigene Richtlinien. Microsoft hält selbst fest, dass Sicherheitsstandards für Organisationen mit P1- oder P2-Lizenzen wahrscheinlich nicht die richtige Wahl sind.

Eine sinnvolle Grundausstattung

Microsoft empfiehlt eine Reihe von Vorlagen als Basis für alle Organisationen («Secure foundation»). Für ein KMU ergibt sich daraus etwa diese Grundausstattung:

1. MFA für alle Benutzer bei allen Anwendungen.
2. Legacy-Authentifizierung blockieren.
3. Phishing-resistente MFA für Administratoren über die Authentifizierungsstärke «Phishing-resistente MFA», etwa mit Passkeys auf einem Sicherheitsschlüssel oder in Microsoft Authenticator oder mit Windows Hello for Business. Die Methoden müssen vorher registriert sein, sonst sperren Sie sich aus.
4. Konforme Geräte verlangen: Zugriff nur von Geräten, die Intune als konform meldet. Ein gestohlenes Passwort samt MFA genügt dann nicht mehr für eine Anmeldung von einem fremden Gerät. Als Zwischenschritt dient «konformes Gerät oder MFA»; für private Smartphones sind App-Schutzrichtlinien die schlankere Lösung.
5. Optional Länder sperren, in denen Ihr Unternehmen nie tätig ist. Das ist eine Ergänzung, kein Schutzwall: Die Herkunft wird über die IP-Adresse bestimmt, und auch Angreifer nutzen VPN-Dienste.

Die Vorlagen entstehen im Modus «Nur melden» und schliessen nur die Person aus, die sie anlegt. Ergänzen Sie deshalb die Ausnahmen für Ihre Notfallkonten. Wie Geräte über Intune verwaltet werden, beschreibt unser Beitrag zu Windows Autopilot und Intune.

Was Microsoft bereits vorgibt

In berechtigten Tenants, also Microsoft-365-Umgebungen, legt Microsoft von Microsoft verwaltete Richtlinien an, zuerst im Modus «Nur melden». Je nach Lizenz gehören dazu MFA für Administratoren in den Admin-Portalen, MFA für alle Benutzer sowie das Blockieren von Legacy-Authentifizierung und Gerätecode-Flow, einer Anmeldeart für Geräte mit eingeschränkter Eingabe, die Angreifer häufig missbrauchen. Bleiben die Richtlinien im Testmodus, schaltet Microsoft sie frühestens nach 30 Tagen ein und kündigt das zwei Wochen vorher an. Sie können Personen ausschliessen und die Richtlinien ein- oder ausschalten, aber nicht umbenennen oder löschen.

Unabhängig davon verlangt Microsoft MFA für die Verwaltung: seit Oktober 2024 schrittweise für das Azure-Portal, das Microsoft Entra Admin Center und das Intune Admin Center, seit Februar 2025 für das Microsoft 365 Admin Center und seit Oktober 2025 auch für Änderungen über Azure CLI, Azure PowerShell und weitere Werkzeuge. Ein Opt-out gibt es nicht, auch Notfallkonten sind betroffen. Beides deckt einen Teil der Grundausstattung ab, ersetzt aber keine eigene Planung.

Notfallzugang, Testmodus und Protokolle

• Notfallkonten: Richten Sie nach den Empfehlungen von Microsoft mindestens zwei reine Cloud-Konten mit der Rolle Globaler Administrator ein, die keiner Person zugeordnet sind. Sichern Sie sie mit einer phishing-resistenten Methode wie einem FIDO2-Sicherheitsschlüssel, die sich von den normalen Admin-Konten unterscheidet, nehmen Sie sie von blockierenden Richtlinien aus, lassen Sie sich bei jeder Anmeldung benachrichtigen und testen Sie sie mindestens alle 90 Tage.
• Testmodus «Nur melden»: Jede neue Richtlinie läuft zuerst in diesem Modus. Sie wird ausgewertet, aber nicht durchgesetzt, und die Anmeldeprotokolle zeigen, wen sie blockiert hätte. Richtlinien für konforme Geräte können dabei auf macOS, iOS und Android eine Zertifikatsabfrage auslösen; schliessen Sie diese Plattformen im Test aus.
• Anmeldeprotokolle: Mit Entra ID P1 oder P2 bewahrt Microsoft sie 30 Tage auf, ohne Premium-Lizenz sieben Tage. Wer länger zurückblicken will, leitet sie weiter, etwa an Azure Monitor. Filtern Sie vor dem Blockieren nach «Client-App», um noch genutzte ältere Protokolle zu finden.

Mitarbeitende rechtzeitig informieren

Kündigen Sie Änderungen früh an: was sich ändert, ab wann, was die Mitarbeitenden tun müssen und wen sie bei Problemen erreichen. Lassen Sie alle ihre Methoden registrieren, bevor eine Richtlinie greift; Microsoft stellt dafür Kommunikationsvorlagen bereit. Erklären Sie auch das Warum, etwa anhand der erwähnten SharePoint-Welle.

Ein Beispiel: Eine Treuhandfirma mit zwölf Mitarbeitenden kündigt die Umstellung zwei Wochen vorher an, lässt alle ihre Methoden registrieren und schaltet die Richtlinien zuerst für eine kleine Pilotgruppe ein. Sind die Protokolle unauffällig, folgen alle anderen.

So gehen Sie vor

1. Prüfen Sie die Ausgangslage: Lizenzen, Sicherheitsstandards, bestehende und von Microsoft verwaltete Richtlinien sowie MFA pro Benutzer, die Microsoft nicht mehr empfiehlt.
2. Richten Sie zwei Notfallkonten mit FIDO2-Sicherheitsschlüsseln ein.
3. Suchen Sie in den Anmeldeprotokollen nach älteren Protokollen und stellen Sie betroffene Geräte und Dienste um.
4. Lassen Sie alle Mitarbeitenden ihre Methoden registrieren, Administratoren zusätzlich Passkeys oder Windows Hello for Business.
5. Legen Sie die Grundausstattung im Modus «Nur melden» an und beobachten Sie die Wirkung ein bis zwei Wochen.
6. Informieren Sie die Mitarbeitenden und schalten Sie die Richtlinien schrittweise ein, beginnend mit einer Pilotgruppe.
7. Prüfen Sie regelmässig Ausnahmen, Anmeldeprotokolle und Notfallkonten.

Wir planen und setzen Conditional Access für KMU um, abgestimmt auf Ihre Lizenzen, Geräte und Abläufe. Mehr dazu erfahren Sie auf unseren Seiten IT-Sicherheit und Moderner Arbeitsplatz. Für eine erste Einschätzung Ihrer Ausgangslage kontaktieren Sie uns.