Die Multifaktor-Authentifizierung (MFA) schützt Microsoft-365-Konten zusätzlich zum Passwort. Bei der Anmeldung wird neben dem Kennwort ein weiterer Nachweis benötigt – beispielsweise über die Microsoft Authenticator App.

Gerade geschäftliche Microsoft-365-Konten sollten nicht ausschließlich durch ein Passwort geschützt werden. Wir erklären, wie MFA funktioniert, welche Möglichkeiten es gibt und worauf Sie bei der Einrichtung achten sollten.

Was ist Multifaktor-Authentifizierung?

Bei einer normalen Anmeldung mit Benutzername und Passwort genügt die Kenntnis dieser Zugangsdaten, um sich am Konto anzumelden.

Die Multifaktor-Authentifizierung ergänzt die Anmeldung um mindestens einen weiteren Faktor. Ein gestohlenes oder ausgespähtes Passwort allein reicht dadurch nicht mehr ohne Weiteres für eine erfolgreiche Anmeldung aus.

Warum ist MFA bei Microsoft 365 wichtig?

Microsoft-365-Konten können Zugriff auf geschäftliche E-Mails, Kontakte, Kalender, Dateien und weitere Unternehmensdaten ermöglichen. Ein kompromittiertes Benutzerkonto kann deshalb erhebliche Folgen haben.

Besonders kritisch sind Administratorkonten, da diese zusätzlich Änderungen an Benutzern, Einstellungen und Berechtigungen vornehmen können.

MFA reduziert das Risiko, dass ein Angreifer allein mit einem erbeuteten Passwort Zugriff auf das Konto erhält.

Welche Möglichkeiten zur MFA gibt es?

Welche Authentifizierungsmethoden in einer Microsoft-365-Umgebung zur Verfügung stehen, hängt von deren Konfiguration und den eingesetzten Microsoft-Diensten ab.

Mögliche Verfahren sind beispielsweise:

• Microsoft Authenticator App,
• Bestätigung einer Anmeldung über eine App,
• zeitbasierte Einmalcodes,
• Hardware-Sicherheitsschlüssel beziehungsweise Passkeys oder
• weitere vom Administrator zugelassene Authentifizierungsmethoden.

Nicht jede Methode bietet dasselbe Sicherheitsniveau. Welche Verfahren eingesetzt werden sollten, hängt von den Anforderungen und der Microsoft-365-Konfiguration des Unternehmens ab.

Microsoft Authenticator für MFA

Eine häufig verwendete Möglichkeit ist die Microsoft Authenticator App auf einem Smartphone. Das mobile Gerät wird dabei als zusätzlicher Faktor für die Anmeldung registriert.

Bei einer Anmeldung kann anschließend eine Bestätigung über die App erforderlich sein. Abhängig von der verwendeten Methode können auch Einmalcodes oder weitere Sicherheitsfunktionen genutzt werden.

1. Microsoft-365-Konto vorbereiten

Bevor ein Benutzer MFA einrichten kann, muss die gewünschte Authentifizierungsmethode in der Microsoft-365- beziehungsweise Microsoft-Entra-Umgebung zugelassen beziehungsweise vorgesehen sein.

In Unternehmensumgebungen sollte deshalb zunächst festgelegt werden, welche Methoden die Benutzer verwenden dürfen und wie die Anmeldung abgesichert werden soll.

2. Benutzer mit seinem Microsoft-Konto anmelden

Der Benutzer meldet sich mit seinem persönlichen Microsoft-365-Konto an. Ist die Registrierung zusätzlicher Sicherheitsinformationen erforderlich, wird er zur Einrichtung einer Authentifizierungsmethode aufgefordert.

Jeder Mitarbeiter sollte dafür sein eigenes Benutzerkonto verwenden. Wie Sie einen neuen Benutzer einrichten, erklären wir unter Microsoft 365: Benutzer anlegen und Lizenz zuweisen.

3. Microsoft Authenticator installieren

Wenn Microsoft Authenticator als Methode verwendet werden soll, installieren Sie die App auf dem vorgesehenen Smartphone.

Achten Sie darauf, die offizielle Anwendung aus dem jeweiligen App Store zu verwenden.

4. Konto mit der Authenticator App verbinden

Während der Einrichtung wird in der Regel eine Verbindung zwischen dem Microsoft-365-Konto und der Authenticator App hergestellt.

Folgen Sie den angezeigten Schritten und fügen Sie das Geschäfts- beziehungsweise Schulkonto in der App hinzu. Je nach Einrichtungsprozess wird dazu beispielsweise ein auf dem Bildschirm angezeigter QR-Code verwendet.

5. Authentifizierung testen

Microsoft überprüft während der Einrichtung, ob die konfigurierte Methode funktioniert. Führen Sie die angeforderte Bestätigung vollständig durch.

Erst wenn der Test erfolgreich abgeschlossen wurde, sollten Sie davon ausgehen, dass die zusätzliche Authentifizierung korrekt eingerichtet ist.

6. Weitere Anmeldemethode hinterlegen

Abhängig von den Vorgaben des Unternehmens kann es sinnvoll sein, mehr als eine zulässige Authentifizierungsmethode einzurichten.

Dadurch besteht eine alternative Möglichkeit zur Anmeldung, falls beispielsweise das primär verwendete Gerät nicht verfügbar ist. Welche Ersatzmethoden zulässig sind, sollte jedoch nicht dem Zufall überlassen werden, sondern Teil des Sicherheitskonzepts sein.

Muss ich MFA bei jeder Anmeldung bestätigen?

Nein, nicht zwangsläufig. Wie häufig eine zusätzliche Authentifizierung erforderlich ist, hängt von verschiedenen Faktoren und den Sicherheitsrichtlinien der Microsoft-365-Umgebung ab.

Eine erneute Bestätigung kann beispielsweise bei einer neuen Anmeldung, auf einem neuen Gerät oder aufgrund einer Sicherheitsrichtlinie erforderlich werden.

Was passiert bei einem neuen Smartphone?

Wird das Smartphone ersetzt, sollte die Authentifizierungsmethode rechtzeitig auf dem neuen Gerät eingerichtet werden.

Das alte Gerät sollte erst entfernt oder zurückgesetzt werden, wenn sichergestellt ist, dass die Anmeldung über das neue Gerät beziehungsweise eine andere zulässige Methode funktioniert.

Smartphone verloren – was tun?

Bei Verlust eines für die Authentifizierung verwendeten Smartphones sollte schnell reagiert werden. Die betroffene Authentifizierungsmethode sollte überprüft und gegebenenfalls aus dem Benutzerkonto entfernt beziehungsweise neu eingerichtet werden.

Ist keine weitere Anmeldemethode verfügbar, kann Unterstützung durch einen Microsoft-365-Administrator erforderlich sein.

MFA funktioniert nicht

Wenn die Multifaktor-Authentifizierung nicht funktioniert, sollten Sie zunächst folgende Punkte prüfen:

• Ist das richtige Microsoft-365-Konto in der App eingerichtet?
• Besteht eine Internetverbindung?
• Wird die erwartete Authentifizierungsmethode angezeigt?
• Ist das verwendete Gerät noch für das Benutzerkonto registriert?
• Steht eine alternative zugelassene Anmeldemethode zur Verfügung?

Versuchen Sie nicht, eine unerwartete Anmeldeaufforderung einfach mehrfach zu bestätigen. Prüfen Sie zunächst, ob die Anmeldung tatsächlich von Ihnen ausgelöst wurde.

Unerwartete MFA-Anfrage niemals einfach bestätigen

Erhalten Sie auf Ihrem Smartphone eine Authentifizierungsanfrage, obwohl Sie sich gerade nirgendwo anmelden, sollten Sie diese nicht bestätigen.

Eine unerwartete Anfrage kann darauf hindeuten, dass eine andere Person versucht, sich mit Ihren Zugangsdaten anzumelden.

In einem solchen Fall sollte das Benutzerkonto überprüft und bei einem konkreten Verdacht das Passwort geändert beziehungsweise der zuständige Administrator informiert werden.

MFA ersetzt kein sicheres Passwort

Multifaktor-Authentifizierung ist eine zusätzliche Schutzebene und kein Ersatz für ein sicheres Passwort.

Für Microsoft-365-Konten sollten keine Passwörter verwendet werden, die gleichzeitig bei anderen Diensten eingesetzt werden. Zugangsdaten sollten außerdem niemals zwischen mehreren Mitarbeitern geteilt werden.

MFA für Administratorkonten

Administratorkonten benötigen besondere Aufmerksamkeit, da sie weitreichende Änderungen an der Microsoft-365-Umgebung ermöglichen können.

Administrative Zugänge sollten daher besonders geschützt und nur den Personen zur Verfügung gestellt werden, die diese Rechte tatsächlich benötigen.

Auch bei der Benutzeranlage sollten Administratorrechte nicht unnötig vergeben werden. Weitere Informationen finden Sie unter Microsoft 365: Benutzer anlegen und Lizenz zuweisen.

MFA und ältere E-Mail-Programme

Ältere Anwendungen oder Geräte können moderne Authentifizierungsverfahren möglicherweise nicht unterstützen. Das kann beispielsweise bei alten E-Mail-Programmen, Scannern oder anderen Geräten mit E-Mail-Funktion relevant sein.

Statt Sicherheitsmechanismen abzuschwächen, sollte geprüft werden, ob das betreffende Gerät oder die Anwendung modernisiert beziehungsweise anders angebunden werden kann.

MFA einrichten: Checkliste

• zulässige Authentifizierungsmethoden festlegen,
• Benutzer mit persönlichem Microsoft-365-Konto anmelden,
• Authenticator App beziehungsweise gewünschte Methode einrichten,
• Registrierung vollständig abschließen,
• Authentifizierung testen,
• gegebenenfalls alternative Methode hinterlegen,
• Vorgehen bei Geräteverlust festlegen und
• unerwartete MFA-Anfragen niemals ungeprüft bestätigen.

Microsoft 365 sicher betreiben

MFA ist ein wichtiger Bestandteil der Absicherung von Microsoft 365. Für eine sichere Unternehmensumgebung sollten zusätzlich Benutzerrechte, Administratorzugänge und weitere Sicherheitseinstellungen sinnvoll konfiguriert und regelmäßig überprüft werden.

Einen allgemeinen Überblick über die Plattform finden Sie unter Microsoft 365: Was ist das und was ist enthalten?.

OS Media unterstützt Selbstständige, kleine Unternehmen und Vereine bei Einrichtung, Administration und Absicherung von Microsoft 365.

Sie möchten Microsoft 365 sicher einrichten oder eine bestehende Umgebung überprüfen lassen? Über Projekt anfragen können Sie uns Ihre Anforderungen direkt beschreiben.