Eine verschobene Microsoft-Änderung kann Mitarbeitende weiterhin aus ihren Konten aussperren

Irgendwo in Ihrem Unternehmen gibt es mindestens eine Person, die noch nie ihre Identität über das bloße Passwort hinaus bestätigen musste. Vergisst diese Person ihr Passwort, oder versucht ein Betrüger am Telefon, es für sie zurücksetzen zu lassen, gab es bisher immer eine Ausweichlösung: irgendeine Telefonnummer oder private E-Mail-Adresse, die zufällig im Microsoft-365-Profil hinterlegt war, egal ob jemals jemand geprüft hat, ob sie wirklich dieser Person gehört. Diese Ausweichlösung schafft Microsoft ab.

Microsoft hat die Änderung in der Message-Center-Mitteilung MC1325414 angekündigt und ursprünglich für den 7. September 2026 geplant. Ein Update dieser Mitteilung vom 4. August verschob den Rollout auf Anfang bis Mitte November 2026; laut Zeitplan beginnt die Durchsetzung am 7. November (die Überschrift der Mitteilung nennt den 9. November). An der Änderung selbst hat sich nichts geändert, beschrieben ist sie im Entra-ID-Admin-Dokument. Für ein kleines Unternehmen, das Microsoft 365 ohne eigene IT-Abteilung betreibt, entscheidet sie darüber, ob ein vergessenes Passwort in dreißig Sekunden selbst erledigt ist oder zu einem Anruf bei der Person mit dem Admin-Zugang wird.

Kurz beantwortet

Was im November tatsächlich ausfällt

Für die meisten Nutzer ändert sich nichts: Laut Microsofts eigenen Zahlen laufen bereits rund 86 Prozent der Verifizierungen bei der Passwort-Zurücksetzung über eine registrierte Authentifizierungsmethode. Für Mitarbeitende ohne registrierte Methode tut der Link zum Zurücksetzen des Passworts auf der Anmeldeseite dann nichts Sinnvolles mehr. Er fordert sie auf, eine Methode zu registrieren, was in Ordnung ist, wenn sie bereits auf einem vertrauenswürdigen Gerät angemeldet sind, aber nutzlos, wenn sie genau deshalb dort sind, weil sie sich nicht anmelden können.

Diese zweite Gruppe hat dann nur eine Option: eine Administratorin muss das Passwort manuell im Entra Admin Center zurücksetzen. In einem Fünfzig-Personen-Unternehmen mit eigener IT-Leitung ist das ein Ärgernis. In einem Zwölf-Personen-Unternehmen, in dem die "Administratorin" die Geschäftsführerin ist, die gerade beim Kunden oder im Flugzeug sitzt, bedeutet das eine Mitarbeiterin ohne Zugriff auf E-Mail, Rechnungsstellung und Teams, so lange, bis der verpasste Anruf auffällt.

Warum macht Microsoft das gerade jetzt?

Die alte Ausweichlösung war im Grunde nie wirklich "selbstständig" im sicherheitstechnischen Sinn. Eine Telefonnummer in einem Verzeichnisfeld kann falsch, veraltet oder, schlimmer noch, von jemandem geändert worden sein, der dazu eigentlich keinen Zugriff haben sollte. Sie bot außerdem Social Engineers ein Ziel: Wer einen Helpdesk oder ein automatisiertes System davon überzeugt, dass ein Stück unbestätigter Kontaktdaten als Identitätsnachweis ausreicht, kommt an ein Konto, ohne jemals das Passwort zu kennen.

In der Praxis ist der Helpdesk oft das schwächste Glied, weil dort unter Zeitdruck entschieden wird und ein freundlicher, gut vorbereiteter Anrufer schwer von einer echten Mitarbeiterin zu unterscheiden ist. Genau das passierte MGM Resorts im September 2023, als Angreifer die Grunddaten eines Mitarbeiters auf LinkedIn fanden, beim eigenen Service Desk des Unternehmens anriefen und sich innerhalb von rund zehn Minuten ein Passwort- und MFA-Reset erschwindelten. Der daraus folgende Ausfall kostete das Unternehmen in einer einzigen Woche rund 100 Millionen US-Dollar. Microsofts Änderung hält einen entschlossenen Angreifer nicht davon ab, direkt einen Helpdesk anzugreifen, schließt aber die leisere Variante desselben Tricks, bei der unbestätigte Verzeichnisdaten allein ausreichten, um eine automatisierte Identitätsprüfung zu bestehen.

Wer leise durchs Raster fällt

Die Personen, die am ehesten übersehen werden, sind selten die, an die man zuerst denkt. Langjährige Mitarbeitende, deren Konto eingerichtet wurde, bevor es Registrierungsaufforderungen überhaupt gab, sind eine häufige Lücke, ebenso Saison- oder Teilzeitkräfte, die sich einmal angemeldet, die Einrichtung weggeklickt und danach nie wieder gesehen haben. Sammelpostfächer und Servicekonten, etwa für ein allgemeines info@-Postfach oder ein Automatisierungstool, sind ein weiterer blinder Fleck, weil niemand sie als "Nutzer" betrachtet, der eine registrierte Methode braucht, bis genau so ein Konto ein zurückgesetztes Passwort benötigt.

Admin-Konten verdienen einen eigenen Blick. Wer über die Rolle Globaler Administrator oder eine andere privilegierte Entra-Rolle verfügt, unterliegt bereits einer strengeren Zwei-Methoden-Richtlinie, die Lücke dort ist also meist kleiner, aber genau bei diesem Konto wiegt ein Fehler am schwersten. Wenn Ihre Microsoft-365-Sicherheitsbewertung die Abdeckung der Authentifizierungsmethoden bisher nicht gezielt geprüft hat, ist jetzt ein guter Anlass dafür.

Die Fünf-Minuten-Prüfung für den eigenen Tenant

Für eine Bestandsaufnahme brauchen Sie keinen Berater. Im Microsoft Entra Admin Center listet unter Authentifizierungsmethoden der Bericht „Details zur Benutzerregistrierung“ jeden Nutzer samt registrierter Methoden und SSPR-Status auf. Filtern Sie nach nicht registrierten Nutzern, und Sie haben Ihre Liste.

Drei Dinge lohnen sich mit dieser Liste:

Erstens, stellen Sie sicher, dass nicht registrierte Nutzer tatsächlich aufgefordert werden. Microsofts eigene Registrierungskampagne fordert Nutzer nur dann auf, wenn Ihre SSPR-Einstellungen die Registrierung bei der Anmeldung verlangen; prüfen Sie also diese Einstellung, und aktivieren Sie gegebenenfalls die eingebaute Registrierungskampagne in der Richtlinie für Authentifizierungsmethoden, die nicht registrierte Nutzer bei der nächsten Anmeldung automatisch zur Einrichtung auffordert, ganz ohne Zusatzsoftware. Zweitens, begleiten Sie Admin-Konten und Sammelpostfächer persönlich durch die Registrierung, denn die erfasst eine generische Aufforderung nicht zuverlässig. Drittens, halten Sie, auch informell, fest, wer im Notfall für eine manuelle Zurücksetzung erreichbar ist, sobald die Ausweichlösung wegfällt. Ist das eine einzige Person, die einen Tag lang nicht erreichbar ist, ist das unabhängig von dieser konkreten Änderung eine Lücke, die es wert ist, geschlossen zu werden.

Was das Nichtstun tatsächlich kostet

Legen Sie eine grobe Zahl fest, und das Argument für diese fünf Minuten wird schnell offensichtlich. Ein ausgesperrter Mitarbeiter kann keine E-Mails öffnen, an keinem Teams-Anruf teilnehmen und in vielen kleinen Unternehmen keine Rechnung stellen oder Bestellung bearbeiten, bis jemand mit Admin-Rechten es bemerkt und handelt. Ist diese Person die Geschäftsführerin und passiert die Aussperrung an einem Tag auf Reisen oder beim Kunden, kann ein einzelnes Konto Stunden, manchmal einen vollen Arbeitstag, unerreichbar bleiben, zum jeweiligen Stundensatz dieser Mitarbeiterin.

Multiplizieren Sie das mit der Anzahl der Personen auf Ihrer Liste, die noch keine Methode registriert haben, und mit der Tatsache, dass das kein einmaliges Ereignis, sondern ein dauerhafter Zustand ist, bis ihn jemand behebt, und der Fünf-Minuten-Registrierungsbericht wirkt schnell wie eine der besseren Zeitinvestitionen dieses Monats. Er nimmt außerdem eine wiederkehrende Unterbrechung von der Person, die derzeit inoffiziell den IT-Support übernimmt, die diese Anrufe sonst auf unbestimmte Zeit entgegennehmen würde.

Was nach dem Umschalten passiert

Für die meisten kleinen Unternehmen ist das eine einmalige Aufräumaktion, keine dauerhafte Belastung. Sobald alle aktiven Nutzer eine registrierte Methode haben, werden neue Mitarbeitende bei der ersten Anmeldung automatisch dazu aufgefordert, und das ganze Thema wird wieder unsichtbar, genau so, wie sich Identitätsinfrastruktur die meiste Zeit anfühlen sollte. Die Unternehmen, die davon überrascht werden, sind die, die zum ersten Mal davon hören, wenn jemand sein Passwort nicht mehr selbst zurücksetzen kann, wenn also aus einer Fünf-Minuten-Admin-Aufgabe leise ein Supportanruf von jemandem geworden ist, der nicht mehr an das eigene Postfach kommt.

Es ist auch ein guter Zeitpunkt zu prüfen, ob Ihre gesamte Cloud-Verwaltung neben dieser noch weitere Lücken bei der Identität aufweist, denn Authentifizierungsrichtlinien sammeln über Jahre mit Personalwechseln und Ad-hoc-Änderungen gerne kleine Unstimmigkeiten an.

Ein weiterer Nebeneffekt lohnt einen Blick: Wenn Sie ohnehin gerade jedes Konto durchgehen, ist das auch der richtige Moment, veraltete oder doppelte Konten zu bereinigen, ehemalige Mitarbeitende endgültig zu deaktivieren und zu prüfen, ob die Zwei-Faktor-Pflicht wirklich für alle gilt und nicht nur für die, die sie sich freiwillig eingerichtet haben. Diese Aufräumarbeit fällt sonst leicht hinten runter, weil sie nie dringend wirkt, bis genau der falsche Moment zeigt, dass sie es doch gewesen wäre.

Nichts davon erfordert neue Software oder eine Lizenzänderung. Alles hier Beschriebene ist bereits in jedem Microsoft-365-Tarif enthalten, von Business Basic bis zu den Enterprise-Stufen, und jeder Schritt läuft im Entra Admin Center, auf den Sie bereits Zugriff haben. Die einzigen Kosten sind, sich die fünf Minuten überhaupt zu nehmen, genau der Teil, den kleine Unternehmen ohne eigene IT-Person gerne übersehen, einfach weil niemand ihn im Kalender eingetragen hat.