In vielen Tenants, die ich mir anschaue, verteilen sich die Einstellungen für MFA und Self-Service Password Reset (SSPR) noch immer auf die alten, getrennten Policies. Vor allem in gewachsenen Umgebungen entsteht dabei schnell ein Flickenteppich an Authentifizierungsmethoden. Eingerichtet wurde das meist vor Jahren, seitdem haben sich Anforderungen und Funktionen aber deutlich weiterentwickelt. Microsoft hat angekündigt, die alten MFA- und SSPR-Policies zum 30. September 2024 endgültig außer Betrieb zu nehmen, und lässt Administratoren damit kaum noch eine Wahl. Die neue Richtlinie „Authentifizierungsmethoden“ in Entra ID soll endlich für Ordnung sorgen. Damit der Wechsel ohne Stolpersteine gelingt, lohnt sich ein genauer Blick auf den Ablauf.

Die Authentifizierungsmethoden-Policy wird zum neuen Standard

Mit der konsolidierten Authentifizierungsmethoden-Policy fällt die Trennung zwischen MFA- und SSPR-Methoden weg. Alle zugelassenen Verfahren lassen sich nun an einer Stelle verwalten und gezielt einzelnen Gruppen zuweisen – vom Microsoft Authenticator (inklusive Nummernabgleich) über OATH-Tokens bis zu klassischen Methoden wie SMS und Sprachanruf. Wer bisher mit den alten Portalen gearbeitet hat, findet die neue Steuerung in Entra ID unter „Schutz“ → „Authentifizierungsmethoden“. Dort ist deutlich mehr möglich als früher. Methoden lassen sich gruppenbasiert zuweisen und schwache Verfahren feiner abschalten, auch die Übersicht ist spürbar besser geworden. Hintergründe liefert unter anderem die Dokumentation von Microsoft.

Für die Praxis heißt das allerdings auch, dass man bestehende Einstellungen prüfen und migrieren muss. Microsoft hat dafür einen eigenen Migrationsprozess vorgesehen. Im Bereich „Migration“ zeigt der Tenant für jede Methode an, in welchem Stadium sie sich gerade befindet: Pre-migration, Migration in progress oder Migration complete. Als vollständig abgelöst gelten die Legacy-Policies erst, wenn alle Methoden migriert sind.

Jede Methode durchläuft drei Migrationszustände

Häufig ist unklar, wie weit „die Migration“ eigentlich schon ist. Microsoft unterscheidet dabei für jede Methode drei klar definierte Zustände:

flowchart TD
  pre["Pre-migration"] --> progress["Migration in progress"]
  progress --> complete["Migration complete"]

Abbildung: So durchlaufen die einzelnen Authentifizierungsmethoden in Entra ID die Migration

Im Status „Pre-migration“ gelten weiterhin die alten Einstellungen aus den getrennten Portalen für SSPR und MFA. Steht eine Methode auf „Migration in progress“, greifen bereits die Regeln der neuen Authentifizierungsmethoden-Policy, die alten Einstellungen bleiben aber sichtbar. In dieser Phase lässt sich gut testen, und man hat zugleich einen Fallback. Außer Kraft sind die alten Policies erst im Zustand „Migration complete“. Vor allem in größeren Umgebungen rate ich dazu, die Methoden einzeln zu migrieren, weil unerwünschte Nebeneffekte dann früh auffallen.

Vier Methoden sind in der Regel von der Migration betroffen

Meist geht es bei der Migration um diese Methoden:

  • Microsoft Authenticator (mit oder ohne Nummernabgleich)
  • SMS
  • Sprachanruf
  • OATH-Hardwaretoken

Oft stelle ich fest, dass SMS und Sprachanruf aus Kompatibilitätsgründen noch immer erlaubt sind, obwohl Microsoft diese als „schwach“ eingestuften Methoden schon länger zurückdrängt. Seit Mitte 2023 ist Number Matching im Microsoft Authenticator verpflichtend, außerdem gibt es die Option für „system-preferred MFA“ (Details bei Microsoft). Spätestens jetzt sollte man ernsthaft prüfen, ob SMS und Voice wirklich noch gebraucht werden. Mit der neuen Policy lassen sich diese Methoden deutlich einfacher für einzelne Gruppen oder Benutzer ausschließen.

Mein Tipp: Vor der Migration sollte man die aktuelle Methodenkonfiguration vollständig sichern. Am zuverlässigsten gelingt das per PowerShell, etwa mit Get-MsolUser oder dem Entra-Modul. Sonderfälle lassen sich dann auch später noch nachvollziehen.

Gruppenbasierte Zuweisungen erleichtern den schrittweisen Rollout

Für viele Unternehmen ist das gruppenbasierte Targeting der größte Fortschritt. Früher ließen sich MFA-Methoden nur tenantweit oder sehr grob steuern. Heute kann man einzelne Methoden wie den Microsoft Authenticator gezielt für Pilotgruppen oder besonders schützenswerte Benutzer aktivieren oder testweise deaktivieren. Das macht den Rollout deutlich flexibler. Neue Verfahren wie die passwortlose Anmeldung lassen sich so schrittweise einführen, ohne dass man gleich alle Legacy-Methoden abschalten muss.

Die Zuweisungen an Gruppen legt man bequem im Portal an. Auslesen lassen sie sich aber auch per PowerShell:

Get-MgPolicyAuthenticationMethodPolicy -PolicyId default | Select-Object -ExpandProperty AuthenticationMethodConfigurations

Schwache Methoden gehören auf einen Abschaltplan

Wer sich die aktuelle Konfiguration ansieht, sollte spätestens jetzt einen Fahrplan erarbeiten, wie die schwachen Methoden nach und nach verschwinden. Microsoft selbst empfiehlt, SMS und Voice als primäre MFA-Methoden so bald wie möglich zu deaktivieren. Die systemeigene Präferenz für sichere MFA-Methoden wird gerade ausgerollt und sorgt künftig ohnehin dafür, dass stärkere Verfahren wie der Authenticator automatisch bevorzugt werden. Weitere Details finden sich in dieser Übersicht.

In vielen Projekten habe ich erlebt, dass ausgerechnet die Kommunikation mit den Anwendern unterschätzt wird. Wer sich jahrelang bequem per SMS verifiziert hat, braucht eine klare Ansage und eine Anleitung für den Umstieg auf den Authenticator. Genauso wichtig ist eine Erklärung, warum sich der Wechsel lohnt.

Die Migration gehört fest auf die IT-Roadmap 2024

Bis die Legacy-Policies abgeschaltet werden, bleiben zwar noch ein paar Monate. Wer jetzt anfängt, erspart sich trotzdem Stress und böse Überraschungen im Herbst. Die neue Authentifizierungsmethoden-Policy in Entra ID ist längst kein optionales Extra mehr, sondern Pflicht, und sie bringt bei Übersicht und Sicherheit einen deutlichen Fortschritt. Wer ohnehin gerade Windows LAPS mit Intune oder ähnliche Endpoint-Projekte ausrollt, kann das Thema gleich mit erledigen. Davon haben alle etwas, denn der Wildwuchs bei den Methoden nimmt ab, die Zuständigkeiten werden klarer und die IT behält mehr Kontrolle. Für mich gehört die Migration deshalb fest auf die IT-Roadmap 2024.