In vielen Tenants, die ich betreue, stand die Frist für die MFA- und SSPR-Migration monatelang nur als freundlicher Hinweis im Entra Admin Center. Inzwischen wird es ernst, denn am 30. September 2025 ist endgültig Schluss mit den alten MFA-Einstellungen und SSPR-Richtlinien. Danach legt allein die moderne Authentication Methods Policy fest, mit welchen Methoden sich Nutzer anmelden und ihr Passwort zurücksetzen dürfen. Wer bisher nicht umgestellt hat, hat für Tests und eine saubere Migration kaum noch Zeit.

Das Admin Center zeigt den Migrationsstatus auf einen Blick

Wie weit die Migration ist, lässt sich im Microsoft Entra Admin Center schnell prüfen. Unter Schutz → Authentifizierungsmethoden → Richtlinien → Migration verwalten steht eindeutig, in welchem Zustand sich der Tenant befindet: Vor der Migration, Migration läuft oder Migration abgeschlossen. Für diesen Blick braucht man mindestens die Rolle „Authentication Policy Administrator“ oder „Global Administrator“. Erstaunlich oft finde ich noch den Status vor der Migration vor. Spätestens jetzt ist das ein Problem, weil die alten Einstellungen nach Fristende einfach ignoriert werden. Auch beim Zwischenstatus sollte man genau hinsehen, denn eine halbfertige Migration wirkt sich nicht immer so aus, wie man es erwartet. Wie die Zustände zusammenhängen, erklärt Microsoft in seiner offiziellen Übersicht recht verständlich: Authentifizierungsmethoden – Übersicht.

flowchart TD
    PreMigration["Vor Migration"] --> MigrationInProgress["Migration läuft"]
    MigrationInProgress --> MigrationComplete["Migration abgeschlossen"]
    MigrationComplete --> OnlyNewPolicy["Nur neue Richtlinie aktiv"]

Abbildung: Schritte und Auswirkungen der MFA- und SSPR-Migration in Entra ID

Alte und neue Einstellungen unterscheiden sich stärker als gedacht

Die klassische MFA-Konfiguration („alte Serviceeinstellungen“) und die SSPR-Optionen hat man früher oft getrennt gepflegt. Die neue Authentication Methods Policy führt beides zusammen, und genau da erleben viele Admins ihre Überraschungen. Heikel ist vor allem, dass die neue Richtlinie nicht von selbst alle bisherigen Methoden übernimmt. Wer etwa Authenticator-App und SMS parallel genutzt, für MFA und SSPR aber unterschiedlich eingerichtet hatte, muss diese Konfiguration jetzt ausdrücklich nachbauen. Am besten nimmt man sich die Microsoft-Dokumentation zur Verwaltung von Authentifizierungsmethoden vor und vergleicht die eigenen Einstellungen Punkt für Punkt. Bevor man an der neuen Policy etwas verändert, sollte man die alten Werte festhalten, sei es per Screenshot oder als Notiz.

Mein Tipp aus Projekten: Legt alle gewünschten Methoden samt Zielgruppen in der neuen Policy zunächst als „aktiv, aber nicht erzwingen“ an. Testet dann mit kleinen Pilotgruppen, bevor ihr für alle umstellt.

Mit diesem Ablauf gelingt die Umstellung ohne Stress

In meinen Projekten hat sich diese Reihenfolge als am wenigsten nervenaufreibend erwiesen:

  • Im Entra Admin Center den aktuellen Migrationsstatus prüfen
  • Alte MFA- und SSPR-Einstellungen mit der neuen Richtlinie abgleichen
  • Die neue Authentication Methods Policy für die relevanten Methoden und Gruppen aktivieren
  • Mit einer Pilotgruppe auf „erzwingen“ testen und Erfahrungen sammeln
  • Die Registrierungskampagne für alle Nutzer aktivieren (siehe diesen Beitrag im Blog)

Gerade die Registrierungskampagne zahlt sich aus, weil sie die Nutzer gezielt auffordert, ihre Methoden (neu) zu registrieren. Damit verschwinden Altlasten aus früheren Konfigurationen, und nach der Migration landen spürbar weniger Tickets beim Support.

Ohne Umstellung fallen nach der Frist ganze Methoden weg

Ist die Frist abgelaufen, ignoriert Entra ID sämtliche alten Service- und SSPR-Einstellungen. Maßgeblich ist dann nur noch, was in der neuen Authentication Methods Policy steht. Jede Methode, die dort nicht ausdrücklich freigegeben ist, können Nutzer nicht mehr verwenden. Ich habe es schon erlebt, dass nach Fristende auf einmal niemand mehr SMS als zweiten Faktor nutzen konnte, weil diese Methode in der neuen Policy schlicht fehlte. Ebenso kann SSPR für einzelne Gruppen ausfallen, sobald für sie keine passende Methode mehr erlaubt ist. In hybriden Umgebungen mit Microsoft Entra Connect trifft es unter Umständen auch On-Premises-Nutzer, deren Abläufe zum Zurücksetzen des Kennworts auf bestimmte Methoden gebaut waren.

In den letzten Wochen zählt ein kontrollierter Rollout

Wer das Thema bislang aufgeschoben hat, sollte es jetzt angehen. Für die neue Steuerung sind die Konzepte zur Verwaltung von Authentifizierungsmethoden die wichtigste Quelle, dazu mein Erfahrungsbericht aus der ersten Migrationswelle im Januar 2024 (zum Beitrag im Blog). Prüft also den Status, gleicht die Methoden ab und führt die neue Policy schrittweise ein. Dann funktioniert die Anmeldung weiterhin zuverlässig, und an der Support-Hotline bleibt es ruhig.