Eine Microsoft-Änderung diese Woche kann Ihre Mitarbeitenden aus ihren Konten aussperren
· von IDE Solutions
Kurz gesagt: Ab dem 7. September 2026 akzeptiert Microsoft 365 eine Passwort-Selbstzurücksetzung nur noch, wenn die Mitarbeiterin oder der Mitarbeiter in Microsoft Entra ID tatsächlich eine Wiederherstellungsmethode registriert hat, etwa eine Authenticator-App, eine Telefonnummer oder eine Backup-E-Mail-Adresse. Die alte Ausweichlösung, irgendeine im Verzeichnis hinterlegte Telefonnummer oder E-Mail zu verwenden, funktioniert dann nicht mehr. Rund 86 Prozent der Nutzer haben bereits eine registrierte Methode und merken nichts von der Änderung. Prüfen Sie diese Woche Ihren eigenen Tenant und registrieren Sie alle, die noch fehlen, bevor der erste ausgesperrte Mitarbeiter Sie statt der Selbstzurücksetzung anruft.
Irgendwo in Ihrem Unternehmen gibt es mindestens eine Person, die noch nie ihre Identität über das bloße Passwort hinaus bestätigen musste. Vergisst diese Person ihr Passwort, oder versucht ein Betrüger am Telefon, es für sie zurücksetzen zu lassen, gab es bisher immer eine Ausweichlösung: irgendeine Telefonnummer oder private E-Mail-Adresse, die zufällig im Microsoft-365-Profil hinterlegt war, egal ob jemals jemand geprüft hat, ob sie wirklich dieser Person gehört. Ab diesem Donnerstag fällt diese Ausweichlösung weg.
Microsoft schließt diese Lücke ab dem 7. September 2026 in jedem Microsoft-365-Tenant. Es ist eine unauffällige Änderung, versteckt in einem Entra-ID-Admin-Dokument, aber für ein kleines Unternehmen, das Microsoft 365 ohne eigene IT-Abteilung betreibt, entscheidet sie darüber, ob ein vergessenes Passwort in dreißig Sekunden selbst erledigt ist oder zu einem Anruf bei der Person mit dem Admin-Zugang wird.
Kurz beantwortet
Was ändert sich am 7. September 2026?
Die Passwort-Selbstzurücksetzung akzeptiert keine Kontaktdaten mehr, die nur als Verzeichnisfeld existieren. Sie verlangt künftig eine Methode, die der Nutzer selbst ausdrücklich registriert und bestätigt hat, etwa eine Authenticator-App, eine registrierte Telefonnummer für SMS oder Anruf, oder eine registrierte Backup-E-Mail.
Betrifft das nur größere Entra-ID-Pläne oder auch Microsoft 365 Business Basic und Standard?
Es gilt für jeden Microsoft-365-Tenant mit Entra ID, also für alle, angefangen bei Business Basic. Es gibt keine Tarifstufe, in der die alte Ausweichlösung nach dem Stichtag weiter funktioniert.
Was passiert mit Mitarbeitenden, die keine Methode registriert haben?
Sie sehen beim Versuch, ihr Passwort selbst zurückzusetzen, eine Fehlermeldung und werden aufgefordert, zunächst eine Methode zu registrieren oder eine Administratorin zu kontaktieren. Bis dahin kann nur jemand mit Admin-Zugang das Passwort manuell zurücksetzen.
Wie finde ich heraus, wer in meinem Unternehmen betroffen ist?
Im Entra Admin Center zeigt die Ansicht Authentifizierungsmethoden den Registrierungsstatus pro Nutzer. Eine fünfminütige Prüfung dort, weiter unten in diesem Artikel beschrieben, zeigt genau, wer sich vor Donnerstag noch registrieren muss.
Was an diesem Donnerstag tatsächlich ausfällt
Für die rund 86 Prozent der Nutzer, die laut Microsofts eigenen Zahlen bereits eine registrierte Authentifizierungsmethode hinterlegt haben, ändert sich nichts. Für alle anderen tut der Link zum Zurücksetzen des Passworts auf der Anmeldeseite nichts mehr Sinnvolles. Er fordert sie auf, sofort eine Methode zu registrieren, was in Ordnung ist, wenn sie bereits auf einem vertrauenswürdigen Gerät angemeldet sind, aber nutzlos, wenn sie genau deshalb dort sind, weil sie sich nicht anmelden können.
Diese zweite Gruppe hat dann nur eine Option: eine Administratorin muss das Passwort manuell im Entra Admin Center zurücksetzen. In einem Fünfzig-Personen-Unternehmen mit eigener IT-Leitung ist das ein Ärgernis. In einem Zwölf-Personen-Unternehmen, in dem die "Administratorin" die Geschäftsführerin ist, die gerade beim Kunden oder im Flugzeug sitzt, bedeutet das eine Mitarbeiterin ohne Zugriff auf E-Mail, Rechnungsstellung und Teams, so lange, bis der verpasste Anruf auffällt.
Warum macht Microsoft das gerade jetzt?
Die alte Ausweichlösung war im Grunde nie wirklich "selbstständig" im sicherheitstechnischen Sinn. Eine Telefonnummer in einem Verzeichnisfeld kann falsch, veraltet oder, schlimmer noch, von jemandem geändert worden sein, der dazu eigentlich keinen Zugriff haben sollte. Sie bot außerdem Social Engineers ein Ziel: Wer einen Helpdesk oder ein automatisiertes System davon überzeugt, dass ein Stück unbestätigter Kontaktdaten als Identitätsnachweis ausreicht, kommt an ein Konto, ohne jemals das Passwort zu kennen.
In der Praxis ist der Helpdesk oft das schwächste Glied, weil dort unter Zeitdruck entschieden wird und ein freundlicher, gut vorbereiteter Anrufer schwer von einer echten Mitarbeiterin zu unterscheiden ist. Genau das passierte MGM Resorts im September 2023, als Angreifer die Grunddaten eines Mitarbeiters auf LinkedIn fanden, beim eigenen Service Desk des Unternehmens anriefen und sich innerhalb von rund zehn Minuten ein Passwort- und MFA-Reset erschwindelten. Der daraus folgende Ausfall kostete das Unternehmen in einer einzigen Woche rund 100 Millionen US-Dollar. Microsofts Änderung hält einen entschlossenen Angreifer nicht davon ab, direkt einen Helpdesk anzugreifen, schließt aber die leisere Variante desselben Tricks, bei der unbestätigte Verzeichnisdaten allein ausreichten, um eine automatisierte Identitätsprüfung zu bestehen.
Wer leise durchs Raster fällt
Die Personen, die am ehesten übersehen werden, sind selten die, an die man zuerst denkt. Langjährige Mitarbeitende, deren Konto eingerichtet wurde, bevor es Registrierungsaufforderungen überhaupt gab, sind eine häufige Lücke, ebenso Saison- oder Teilzeitkräfte, die sich einmal angemeldet, die Einrichtung weggeklickt und danach nie wieder gesehen haben. Sammelpostfächer und Servicekonten, etwa für ein allgemeines info@-Postfach oder ein Automatisierungstool, sind ein weiterer blinder Fleck, weil niemand sie als "Nutzer" betrachtet, der eine registrierte Methode braucht, bis genau so ein Konto ein zurückgesetztes Passwort benötigt.
Admin-Konten verdienen einen eigenen Blick. Wer über die Rolle Globaler Administrator oder eine andere privilegierte Entra-Rolle verfügt, unterliegt bereits einer strengeren Zwei-Methoden-Richtlinie, die Lücke dort ist also meist kleiner, aber genau bei diesem Konto wiegt ein Fehler am schwersten. Wenn Ihre Microsoft-365-Sicherheitsbewertung die Abdeckung der Authentifizierungsmethoden bisher nicht gezielt geprüft hat, ist diese Woche ein guter Anlass dafür.
Die Fünf-Minuten-Prüfung für den eigenen Tenant
Für eine Bestandsaufnahme brauchen Sie keinen Berater. Im Microsoft Entra Admin Center listet unter Identität, Benutzer, dann Authentifizierungsmethoden die Ansicht der Registrierungsdetails jeden Nutzer samt registrierter Methoden und SSPR-Status auf. Sortieren Sie nach "nicht registriert", und Sie haben Ihre Liste.
Drei Dinge lohnen sich vor Donnerstag:
Erstens, aktivieren Sie die eingebaute Registrierungskampagne in der Richtlinie für Authentifizierungsmethoden, die nicht registrierte Nutzer bei der nächsten Anmeldung automatisch zur Einrichtung auffordert, ganz ohne Zusatzsoftware. Zweitens, begleiten Sie Admin-Konten und Sammelpostfächer persönlich durch die Registrierung, denn die erfasst eine generische Aufforderung nicht zuverlässig. Drittens, halten Sie, auch informell, fest, wer im Notfall für eine manuelle Zurücksetzung erreichbar ist, sobald die Ausweichlösung wegfällt. Ist das eine einzige Person, die einen Tag lang nicht erreichbar ist, ist das unabhängig von diesem konkreten Stichtag eine Lücke, die es wert ist, geschlossen zu werden.
Was das Nichtstun tatsächlich kostet
Legen Sie eine grobe Zahl fest, und das Argument für fünf Minuten diese Woche wird schnell offensichtlich. Ein ausgesperrter Mitarbeiter kann keine E-Mails öffnen, an keinem Teams-Anruf teilnehmen und in vielen kleinen Unternehmen keine Rechnung stellen oder Bestellung bearbeiten, bis jemand mit Admin-Rechten es bemerkt und handelt. Ist diese Person die Geschäftsführerin und passiert die Aussperrung an einem Tag auf Reisen oder beim Kunden, kann ein einzelnes Konto Stunden, manchmal einen vollen Arbeitstag, unerreichbar bleiben, zum jeweiligen Stundensatz dieser Mitarbeiterin.
Multiplizieren Sie das mit der Anzahl der Personen auf Ihrer Liste, die noch keine Methode registriert haben, und mit der Tatsache, dass das kein einmaliges Ereignis, sondern ein dauerhafter Zustand ist, bis ihn jemand behebt, und der Fünf-Minuten-Registrierungsbericht wirkt schnell wie eine der besseren Zeitinvestitionen dieses Monats. Er nimmt außerdem eine wiederkehrende Unterbrechung von der Person, die derzeit inoffiziell den IT-Support übernimmt, die diese Anrufe sonst auf unbestimmte Zeit entgegennehmen würde.
Was nach dem Umschalten passiert
Für die meisten kleinen Unternehmen ist das eine einmalige Aufräumaktion, keine dauerhafte Belastung. Sobald alle aktiven Nutzer eine registrierte Methode haben, werden neue Mitarbeitende bei der ersten Anmeldung automatisch dazu aufgefordert, und das ganze Thema wird wieder unsichtbar, genau so, wie sich Identitätsinfrastruktur die meiste Zeit anfühlen sollte. Die Unternehmen, die davon überrascht werden, sind die, die erst nach dem 7. September davon lesen statt davor, wenn aus einer Fünf-Minuten-Admin-Aufgabe leise ein Supportanruf von jemandem geworden ist, der nicht mehr an das eigene Postfach kommt.
Es ist auch ein guter Zeitpunkt zu prüfen, ob Ihre gesamte Cloud-Verwaltung neben dieser noch weitere Lücken bei der Identität aufweist, denn Authentifizierungsrichtlinien sammeln über Jahre mit Personalwechseln und Ad-hoc-Änderungen gerne kleine Unstimmigkeiten an.
Ein weiterer Nebeneffekt lohnt einen Blick: Wenn Sie ohnehin gerade jedes Konto durchgehen, ist das auch der richtige Moment, veraltete oder doppelte Konten zu bereinigen, ehemalige Mitarbeitende endgültig zu deaktivieren und zu prüfen, ob die Zwei-Faktor-Pflicht wirklich für alle gilt und nicht nur für die, die sie sich freiwillig eingerichtet haben. Diese Aufräumarbeit fällt sonst leicht hinten runter, weil sie nie dringend wirkt, bis genau der falsche Moment zeigt, dass sie es doch gewesen wäre.
Nichts davon erfordert neue Software oder eine Lizenzänderung. Alles hier Beschriebene ist bereits in jedem Microsoft-365-Tarif enthalten, von Business Basic bis zu den Enterprise-Stufen, und jeder Schritt läuft im Entra Admin Center, auf den Sie bereits Zugriff haben. Die einzigen Kosten sind, die fünf Minuten vor dem Stichtag statt danach zu investieren, genau der Teil, den kleine Unternehmen ohne eigene IT-Person gerne übersehen, einfach weil niemand ihn im Kalender eingetragen hat.
Wir prüfen jedes Konto, bevor Microsofts Stichtag es für Sie tut
Wir erstellen den Registrierungsbericht für Ihren Tenant, registrieren Admin-Konten und Sammelpostfächer selbst und aktivieren die Registrierungskampagne, damit neue und bestehende Mitarbeitende künftig automatisch daran erinnert werden.
Zeigt die Prüfung weitere Lücken bei Identität und Zugriff, nehmen wir das gleich mit in dasselbe Gespräch, statt es in sechs Monaten als eigenes Projekt liegen zu lassen.