In vielen Tenants, die ich in den letzten Monaten betreut habe, ist die Multi-Faktor-Authentifizierung längst eingeführt. Trotzdem tauchen in den Berichten immer noch viel zu viele Nutzer auf, die sich per SMS-Code oder sogar per Sprachanruf anmelden. Wer sich ernsthaft mit Angriffen auf Identitäten beschäftigt, weiß, dass diese Verfahren keine Zukunft haben. An dieser Stelle hilft die Registrierungskampagne in Entra ID. Ihr findet sie im Admin Center unter Schutz → Authentifizierungsmethoden → Registrierungskampagne, und seit 2023 steht sie endlich auch kleinen Umgebungen zur Verfügung.

Die Registrierungskampagne holt die Einrichtung des Authenticators direkt bei der Anmeldung nach

Ihr größter Vorteil liegt darin, dass sie Nutzer behutsam, aber beharrlich zu sichereren Methoden wie Microsoft Authenticator führt, ohne sie gleich auszusperren. Niemand muss mehr per Mail oder Teams-Nachricht daran erinnert werden, „bitte noch MFA einzurichten“. Wer den Authenticator noch nicht eingerichtet hat, bekommt das Setup einfach bei der nächsten Anmeldung angeboten. Die Kampagne greift jedes Mal, wenn das System feststellt, dass noch keine sichere Methode hinterlegt ist. Praktischerweise dürfen die Nutzer die Einrichtung mehrmals „snoozen“, also aufschieben, und wie oft das geht, legt ihr selbst fest. So kann jeder den Authenticator in Ruhe einrichten. Gleichzeitig bestimmt ihr einen festen Zeitpunkt, ab dem die Registrierung Pflicht wird. Erfreulich ist außerdem, dass die Funktion in allen Entra-ID-Mandanten zur Verfügung steht und keinen Premium-Plan voraussetzt.

Im Alltag gibt es allerdings auch Stolpersteine, weil SMS und Sprachanruf häufig noch als Methoden zugelassen sind. Die Registrierungskampagne kann aber nur so viel bewirken, wie die zugrunde liegende Authentifizierungsmethodenrichtlinie zulässt. Deshalb sollte man die alten Methoden nach und nach deaktivieren und den Umstieg damit erzwingen. SMS schalte ich erst ab, wenn laut Berichten mehr als 90 % der Nutzer den Authenticator registriert haben. Den aktuellen Stand findet ihr unter Authentifizierungsmethoden → Benutzerregistrierungsdetails und Aktivitäten.

Mit System-preferred MFA entscheidet Microsoft über die sicherste Methode

Im MFA-Bereich hat sich noch etwas Wichtiges getan: Mit der sogenannten „System-preferred MFA“ legt Microsoft die bevorzugten Methoden selbst fest. Haben Nutzer mehrere Methoden eingerichtet, bekommen sie bei der Anmeldung zuerst die sicherste davon angeboten. Damit sinkt das Risiko, dass sich jemand weiter per SMS authentifiziert, obwohl der Authenticator längst eingerichtet ist. Die Einzelheiten beschreibt Microsoft in seinem offiziellen Leitfaden (System-preferred MFA).

Am meisten bringt diese Änderung, wenn die Registrierungskampagne bereits gelaufen ist und ein Großteil der Nutzer den Authenticator verwendet. In einigen Kundenprojekten sind die SMS-Anmeldungen tatsächlich erst nach dieser Umstellung spürbar zurückgegangen. Schaut euch die System-preferred MFA daher im Admin Center unter Authentifizierungsmethoden an und aktiviert sie gegebenenfalls.

Die kombinierte Registrierung erledigt MFA und SSPR in einem Durchgang

Viele kennen noch die alte Einrichtung: zuerst MFA, danach Self-Service Password Reset (SSPR), jeweils mit einem eigenen Registrierungsablauf. Das gehört inzwischen der Vergangenheit an. Mit der kombinierten Registrierung richten Nutzer im Zuge der Registrierungskampagne beides auf einmal ein. Das geht schneller und sorgt für weniger Unklarheiten, was sich direkt an der Zahl der Supportanfragen bemerkbar macht.

Registrierungskampagne, Authentifizierungsmethodenrichtlinie und kombinierte Registrierung gehören für mich heute zur Grundausstattung jedes modernen Entra-ID-Tenants. Wer noch mit den alten, getrennten MFA- und SSPR-Policies arbeitet, sollte so bald wie möglich auf die neuen Richtlinien wechseln. Eine brauchbare Anleitung dafür findet ihr zum Beispiel hier: Migration zur Authentifizierungsmethodenrichtlinie.

Die Berichte zeigen, ob die Kampagne tatsächlich wirkt

Viele richten die Registrierungskampagne ein und gehen davon aus, dass sich das Thema damit erledigt hat. Das ist ein Fehler, denn in der Praxis lohnt sich ein regelmäßiger Blick auf die Zahlen im Admin Center. Unter Authentifizierungsmethoden → Benutzerregistrierungsdetails seht ihr sofort, wie viele Nutzer die gewünschten Methoden schon registriert haben. Auf dem Reiter „Aktivitäten“ lässt sich ablesen, welche Methoden tatsächlich zum Einsatz kommen. Das hilft vor allem dann, wenn ihr SMS oder Sprachanruf gezielt aus der Policy entfernen wollt. Zudem könnt ihr die Daten exportieren und den Fortschritt so dokumentieren.

Aus meiner Erfahrung lohnt es sich, anhand der Berichte die Teams oder Abteilungen herauszufiltern, in denen der Umstieg auf den Authenticator noch hakt, und sie direkt anzusprechen. Dann lassen sich Maßnahmen gezielt planen, und niemand muss alle Nutzer mit der Gießkanne anschreiben.

Wer es genauer wissen will, kann in der offiziellen Dokumentation nachlesen, wie sich die verfügbaren Methoden und ihre Nutzung im Detail auswerten lassen.

SMS und Sprachanruf verschwinden am besten in mehreren Stufen

Für viele Unternehmen ist der Abschied von SMS als MFA-Methode ein echter Kulturwandel. Deshalb gehe ich schrittweise vor:

  • Registrierungskampagne aktivieren und den Authenticator als bevorzugte Methode festlegen
  • Berichte regelmäßig auswerten und gezielt nachsteuern
  • System-preferred MFA aktivieren
  • SMS/Sprachanruf schrittweise aus der Authentifizierungsmethodenrichtlinie entfernen

Im Mittelpunkt steht dabei immer die Richtlinie für Authentifizierungsmethoden. Sie regelt, welche Methoden erlaubt sind, und entscheidet damit über das Tempo des Wechsels. Wer später auf passwortlose Verfahren wie Passkeys umsteigen möchte, sollte sich schon jetzt damit befassen (Passkeys und Authentifizierungsmethoden).

Das kurze Diagramm zeigt, wie die einzelnen Schritte ineinandergreifen:

graph TD
Nutzer["Nutzer"] --> Anmeldung["Anmeldung" ]
Anmeldung --> Kampagne["Registrierungskampagne" ]
Kampagne -->|"Authenticator fehlt"| Setup["Authenticator-Setup anbieten"]
Kampagne -->|"Snooze"| Anmeldung
Setup --> Richtlinie["Authentifizierungsmethodenrichtlinie"]
Richtlinie -->|"SMS entfernen"| Authenticator["Nur sichere Methoden erlaubt"]
Authenticator --> System["System-preferred MFA aktiv"]
System --> Anmeldung

Abbildung: Zusammenspiel von Registrierungskampagne, Richtlinie und MFA-Erfahrung

Ohne Kampagne bleibt SMS in vielen Tenants dauerhaft im Einsatz

Wo die Registrierungskampagne fehlt oder SMS zu früh abgeschaltet wird, erlebe ich regelmäßig Supportfälle und verärgerte Nutzer. Steuert man dagegen mit Augenmaß, also mit Kampagne, System-preferred MFA und einer konsequent umgestellten Richtlinie, läuft der Wechsel erstaunlich reibungslos. Wer die Berichte im Auge behält und gezielt nachbessert, hebt auch größere Umgebungen innerhalb weniger Monate auf ein deutlich höheres Sicherheitsniveau.

Wenn ihr die Authentifizierungsmethoden ohnehin gerade aufräumt, denkt daran, dass die neue Policy auch die Grundlage für künftige Passkeys und moderne Anmeldeverfahren bildet. Jetzt ist ein guter Zeitpunkt, die Migration konsequent abzuschließen und die Registrierungskampagne fest einzuplanen.