Wer in einem Microsoft-365-Tenant für die Identitätssicherheit verantwortlich ist, sollte sich den Authentifizierungsmethoden-Bericht genau ansehen. Selbst in gewachsenen Umgebungen, in denen Conditional Access und MFA längst selbstverständlich sein müssten, erlebe ich dabei regelmäßig Überraschungen. Mal haben Admins überhaupt keine starke Methode hinterlegt, mal nutzen viele Benutzer SMS als einzigen zweiten Faktor, und Passkeys oder der Authenticator kommen kaum zum Einsatz. Solche Lücken decken die aktuellen Berichte im Entra Admin Center auf. Wer tiefer einsteigen will, greift zu Graph PowerShell, das seit dem letzten Jahr einige aufschlussreiche Detaildaten liefert.

Den Authentifizierungsmethoden-Bericht finde ich im Entra Admin Center

Ausgangspunkt ist inzwischen das Entra Admin Center unter Protection → Authentifizierungsmethoden → Aktivität. Dort sehe ich sofort, wie viele Benutzer welche Methoden registriert haben. Neben den Klassikern Authenticator-App, SMS und FIDO2 tauchen dort auch passwortlose Geräte und Passkeys auf. Die Diagramme zeigen außerdem, wie sich die Zahlen in den letzten Wochen entwickelt haben. Besonders nützlich finde ich, dass der Bericht über die bloße Registrierung hinausgeht und ausweist, welche Methoden tatsächlich für MFA oder die passwortlose Anmeldung verwendet werden. Damit lässt sich gut verfolgen, wie der Rollout von Passkeys vorankommt oder ob die SMS-Nutzung im Zuge phishingresistenter MFA tatsächlich zurückgeht.

Mehr Details bietet der Bereich Benutzerregistrierungsdetails. Hier lässt sich gezielt nach einzelnen Methoden filtern, man kann sich nur Admins anzeigen lassen oder Benutzer aufspüren, die zwar registriert, aber nicht wirklich MFA-fähig sind. Die Filter sind mittlerweile recht komfortabel. Für automatisiertes Reporting oder umfangreichere Analysen eignet sich das userRegistrationDetails-Objekt der Microsoft Graph API, das sich per PowerShell exportieren lässt. Darauf komme ich gleich zurück.

Admins und kritische Konten verdienen eine eigene Auswertung

In vielen Tenants liegt das eigentliche Problem nicht bei der breiten Masse. Kritisch sind einzelne Admin-Konten, die noch immer mit veralteten oder leicht angreifbaren Methoden arbeiten. Deshalb lohnt sich hier ein genauerer Blick. Filtert man den Bericht nach administrativen Rollen, hat man schnell alle Konten beisammen, denen Authenticator-App, Passkey oder FIDO2 fehlen. Sind insgesamt noch zu wenige Methoden verteilt, passt eine Registration Campaign gut dazu.

In Projekten werde ich oft gefragt, ob sich die Details exportieren lassen, damit man mit gewohnten Werkzeugen weiterarbeiten kann. Das funktioniert mit Microsoft Graph PowerShell; nötig sind mindestens Entra ID P1 und die Rolle „Berichtsleser“ oder eine höhere. Das Cmdlet Get-MgReportAuthenticationMethodUserRegistrationDetail gibt für jeden Benutzer die wichtigsten Felder aus: registrierte Methoden, MFA-Status, Passwortlosigkeit, Admin-Flag und den Zeitstempel der letzten Änderungen. Mit folgendem Beispiel arbeite ich häufig:

# Voraussetzung: Microsoft Graph PowerShell Modul, Anmeldung mit Reporting-Rechten
Connect-MgGraph -Scopes "Reports.Read.All"
Get-MgReportAuthenticationMethodUserRegistrationDetail |
  Where-Object { $_.IsAdmin -eq $true -and $_.IsMfaCapable -eq $false } |
  Select-Object UserPrincipalName, IsAdmin, IsMfaCapable, MethodsRegistered

Auf diese Weise findet man Admins ohne MFA-Fähigkeit in kürzester Zeit. Die Ergebnisse lassen sich bei Bedarf als CSV exportieren, um gezielt nachzusteuern.

Pragmatischer Tipp: Wer die SMS-Nutzung dauerhaft senken und Passkeys voranbringen möchte, sollte die Nutzungsdiagramme im Bericht regelmäßig prüfen und für einzelne Benutzergruppen gezielte Erinnerungskampagnen starten. Anpassbare Registration Campaigns leisten dabei gute Dienste.

Monatliche Exporte machen den Umstieg von SMS auf Passkeys messbar

Stellt man strategisch auf phishingresistente Methoden um, will man den Fortschritt regelmäßig messen. Für einen ersten Eindruck genügen die Standarddiagramme im Entra Admin Center. Für genauere Vergleiche über längere Zeiträume empfehle ich aber einen monatlichen Export per PowerShell oder Graph API. Damit kann ich zum Beispiel auswerten, wie verbreitet Passkeys in einzelnen Abteilungen oder unter allen Admins sind. Wer zusätzlich zu den Portalberichten automatisiert auswerten will, hat hier eine verlässliche Datenquelle. Gebraucht wird das etwa für monatliche Security-Reports oder für die Dokumentation gegenüber dem Betriebsrat.

Das folgende Diagramm zeigt, wie die einzelnen Datenquellen zusammenhängen:

flowchart TD
    EntraAdminCenter["Entra Admin Center"] --> BerichtUebersicht["Bericht Aktivität"]
    EntraAdminCenter --> BenutzerDetails["Benutzerregistrierungsdetails"]
    BerichtUebersicht --> Trends["Diagramme Methoden-Nutzung"]
    BenutzerDetails --> Filter["Filter Admin/MFA/Passkey"]
    PowerShell["Graph PowerShell"] --> Export["userRegistrationDetails Export"]
    Export --> Weiterverarbeitung["CSV/Analyse intern"]

Abbildung: Datenquellen und Auswertungswege für den Authentifizierungsmethoden-Bericht

Lizenz und Protokollierung schränken den Funktionsumfang ein

Den vollen Funktionsumfang gibt es nur mit Entra ID P1 oder P2. Das betrifft vor allem den Export und die detaillierten Filter. Manche Metriken und die Übersicht „Nutzungsstatistiken“ fehlen bei reinen Microsoft-365-Standard- oder -Business-Lizenzen ganz. Außerdem muss für alle Berichte die Funktion für Nutzungsberichte aktiviert sein, sonst sucht man vergeblich nach aktuellen Zahlen.

Für sehr feingliedrige Auswertungen lassen sich die Daten mit weiteren Quellen verknüpfen, etwa mit den Anmeldeprotokollen in Log Analytics. So misst man die tatsächlich verwendeten Methoden statt nur der Registrierungen. Nötig ist das allerdings selten. Für die meisten Governance-Fragen kommt man mit den Bordmitteln und den Graph-Exporten gut aus.

Erst regelmäßige Auswertungen schaffen echte Transparenz

Eine einmalige Auswertung hilft bei der nächsten ISO-Prüfung. Spürbar besser wird die Lage aber erst durch regelmäßige Kontrollen und gezielte Kampagnen, das beobachte ich immer wieder. Der Authentifizierungsmethoden-Bericht ist dafür Gold wert, denn Veränderungen lassen sich direkt nachvollziehen, ob sie nun von neuen Registration Campaigns oder vom Abschalten alter Methoden herrühren. Wer die Zahlen griffbereit hat, erleichtert sich und dem Security-Team die Arbeit und kann Management oder Betriebsrat jederzeit den aktuellen Stand belegen. Bei mir gehören die Berichte inzwischen fest zum monatlichen Review. Spätestens beim Umstieg von SMS auf Passkeys zeigt sich dort, wie viel noch zu tun ist.