Freigeben über

Planen der obligatorischen Multi-Faktor-Authentifizierung für Azure und andere Admin-Portale

  • Artikel

Bei Microsoft sind wir bestrebt, unseren Kundinnen und Kunden ein Höchstmaß an Sicherheit zu bieten. Eine der effektivsten Sicherheitsmaßnahmen, die ihnen zur Verfügung stehen, ist die Multi-Faktor-Authentifizierung (MFA). Untersuchungen von Microsoft zeigen, dass MFA mehr als 99,2 % der Angriffe auf Konten abwehren kann.

Deshalb werden wir ab 2024 eine obligatorische Multi-Faktor-Authentifizierung (MFA) für alle Azure-Anmeldeversuche durchsetzen. Weitere Hintergrundinformationen zu dieser Anforderung finden Sie in unserem Blogbeitrag. In diesem Thema wird erläutert, welche Anwendungen und Konten betroffen sind und wie die Erzwingung für Mandanten eingeführt wird, und es werden andere allgemeine Fragen und Antworten behandelt.

Es gibt keine Änderung für Benutzer, wenn Ihre Organisation bereits MFA für sie erzwingt oder sich mit stärkeren Methoden wie kennwortlos oder Passkey (FIDO2) anmeldet. Informationen zum Überprüfen, ob MFA aktiviert ist, finden Sie unter Überprüfen, ob Benutzer für obligatorische MFA eingerichtet sind.

Umfang der Durchsetzung

Der Umfang der Durchsetzung umfasst, welche Anwendungen die MFA durchsetzen wollen, wann die Durchsetzung geplant ist und für welche Konten eine MFA-Pflicht besteht.

Anwendungen

Anwendungsname App-ID Durchsetzungsphase
Azure-Portal c44b4083-3bb0-49c1-b47d-974e53cbdf3c Zweite Hälfte des Jahres 2024
Microsoft Entra Admin Center c44b4083-3bb0-49c1-b47d-974e53cbdf3c Zweite Hälfte des Jahres 2024
Microsoft Intune Admin Center c44b4083-3bb0-49c1-b47d-974e53cbdf3c Zweite Hälfte des Jahres 2024
Microsoft 365 Admin Center 00000006-0000-0ff1-ce00-000000000000 Anfang 2025
Azure-Befehlszeilenschnittstelle (Azure CLI) 04b07795-8ddb-461a-bbee-02f9e1bf7b46 Anfang 2025
Azure PowerShell 1950a258-227b-4e31-a9cf-717495945fc2 Anfang 2025
Azure Mobile App  0c1307d4-29d6-4389-a11c-5cbe7f65d7fa Anfang 2025
Tools zu Infrastructure-as-Code (IaC) Verwenden von Azure CLI- oder Azure PowerShell-IDs Anfang 2025

Konten

Alle Benutzer, die sich bei den zuvor aufgeführten Anwendungen anmelden, um einen CRUD-Vorgang (Create, Read, Update oder Delete) auszuführen, müssen MFA abschließen, wenn die Erzwingung beginnt. Benutzer müssen MFA nicht verwenden, wenn sie auf andere Anwendungen, Websites oder Dienste zugreifen, die in Azure gehostet werden. Jeder zuvor aufgeführte Anwendungs-, Website- oder Dienstbesitzer steuert die Authentifizierungsanforderungen für Benutzer.

Sobald die Durchsetzung beginnt, sind auch Notfallkonten oder Notfallzugänge erforderlich, um sich mit MFA anzumelden. Es wird empfohlen, diese Konten so zu aktualisieren, dass Passkey (FIDO2) verwendet oder zertifikatbasierte Authentifizierung für MFA konfiguriert wird. Beide Methoden erfüllen die MFA-Anforderung.

Workloadidentitäten, z. B. verwaltete Identitäten und Dienstprinzipale, sind von keiner der Phasen dieser MFA-Erzwingung betroffen. Wenn Benutzeridentitäten verwendet werden, um sich als Dienstkonto anzumelden, um die Automatisierung (einschließlich Skripts oder andere automatisierte Aufgaben) auszuführen, müssen sich diese Benutzeridentitäten nach Beginn der Erzwingung mit MFA anmelden. Benutzeridentitäten werden für die Automatisierung nicht empfohlen. Sie sollten diese Benutzeridentitäten zu Workloadidentitäten migrieren.

Migrieren von benutzerbasierten Dienstkonten zu Workloadidentitäten

Wir empfehlen Kunden, Benutzerkonten zu ermitteln, die als Dienstkonten verwendet werden, um sie zu Workloadidentitäten zu migrieren. Bei der Migration müssen häufig Skripts und Automatisierungsprozesse aktualisiert werden, um Workloadidentitäten zu verwenden.

Lesen Sie Überprüfen, ob Benutzer für obligatorische MFA eingerichtet sind, um alle Benutzerkonten zu identifizieren, einschließlich Benutzerkonten, die als Dienstkonten verwendet werden, die sich bei den Anwendungen anmelden.

Weitere Informationen zum Migrieren von benutzerbasierten Dienstkonten zu Workloadidentitäten für die Authentifizierung mit diesen Anwendungen finden Sie unter:

Einige Kunden wenden Richtlinien für bedingten Zugriff auf benutzerbasierte Dienstkonten an. Sie können die benutzerbasierte Lizenz zurückfordern und eine Workloadidentitäten-Lizenz hinzufügen, um bedingten Zugriff auf Workloadidentitäten anzuwenden.

Implementierung

Diese Anforderung für die MFA bei der Anmeldung wird für Administratorportale implementiert. Microsoft Entra ID-Anmeldeprotokolle zeigen sie als Quelle der MFA-Anforderung an.

Obligatorische MFA für Administratorportale ist nicht konfigurierbar. Sie wird separat von allen Zugriffsrichtlinien implementiert, die Sie in Ihrem Mandanten konfiguriert haben.

Wenn Ihre Organisation z. B. die Sicherheitsstandards von Microsoft beibehalten hat und Sie derzeit Sicherheitsstandardeinstellungen aktiviert haben, sehen Ihre Benutzer keine Änderungen, da MFA bereits für die Azure-Verwaltung erforderlich ist. Wenn Ihr Mandant Richtlinien für den bedingten Zugriff in Microsoft Entra verwendet und Sie bereits über eine Richtlinie für bedingten Zugriff verfügen, über die sich Benutzer mit MFA bei Azure anmelden, wird keine Änderung angezeigt. Ebenso werden alle restriktiven Richtlinien für den bedingten Zugriff, die auf Azure abzielen und eine stärkere Authentifizierung erfordern, wie Phishing-sichere MFA, weiterhin durchgesetzt. Benutzer sehen keine Änderungen.

Durchsetzungsphasen

Die Durchsetzung der MFA wird in zwei Phasen durchgeführt:

  • Phase 1: Ab der zweiten Hälfte des Jahres 2024 wird MFA erforderlich sein, um sich beim Azure-Portal, beim Microsoft Entra Admin Center und beim Microsoft Intune Admin Center anzumelden. Die Durchsetzung wird schrittweise für alle Mandanten weltweit eingeführt. Diese Phase wirkt sich nicht auf andere Azure-Clients wie Azure CLI, Azure PowerShell, mobile Azure-App oder IaC-Tools aus. 

  • Phase 2: Ab Anfang 2025 beginnt die schrittweise MFA-Durchsetzung für die Anmeldung bei Azure CLI, Azure PowerShell, Azure Mobile App und IaC-Tools. Einige Kundinnen und Kunden verwenden möglicherweise ein Benutzerkonto in Microsoft Entra ID als Dienstkonto. Es wird empfohlen, diese benutzerbasierten Dienstkonten auf sichere cloudbasierte Dienstkonten mit Workloadidentitäten umzustellen.

Benachrichtigungskanäle

Microsoft benachrichtigt alle globalen Microsoft Entra-Administrierenden über die folgenden Kanäle:

  • E-Mail: Globale Administratoren, die eine E-Mail-Adresse konfiguriert haben, werden per E-Mail über die bevorstehende MFA-Durchsetzung und die erforderlichen Aktionen informiert.

  • Dienststatusbenachrichtigung: Globale Administratoren erhalten eine Dienststatusbenachrichtigung über das Azure-Portal mit der Nachverfolgungs-ID 4V20-VX0. Diese Benachrichtigung enthält die gleichen Informationen wie die E-Mail. Global Administrierende können sich auch anmelden, um Benachrichtigungen über den Zustand des Dienstes per E-Mail zu erhalten.

  • Portalbenachrichtigung: Bei der Anmeldung wird eine Benachrichtigung im Azure-Portal, im Microsoft Entra Admin Center und im Microsoft Intune Admin Center angezeigt. Die Portalbenachrichtigung verweist auf dieses Thema, um weitere Informationen zur obligatorischen MFA-Durchsetzung zu erhalten.

  • Microsoft 365-Nachrichtencenter: Eine Nachricht wird im Microsoft 365-Nachrichtencenter mit der Nachrichten-ID angezeigt: MC862873. Diese Nachricht enthält dieselben Informationen wie die E-Mail- und Dienststatusbenachrichtigung.

Nach der Erzwingung wird ein Banner in der Microsoft Entra-Multi-Faktor-Authentifizierung angezeigt:

Screenshot eines Banners in der Microsoft Entra-Multi-Faktor-Authentifizierung, das zeigt, dass obligatorische MFA erzwungen wird.

Externe Authentifizierungsmethoden und Identitätsanbieter

Die Unterstützung externer MFA-Lösungen ist in der Vorschau mit externen Authentifizierungsmethoden und kann zur Erfüllung der MFA-Anforderung verwendet werden. Die Vorschau der benutzerdefinierten Steuerelemente für den älteren bedingten Zugriff erfüllt die MFA-Anforderung nicht. Sie sollten zur Vorschau der externen Authentifizierungsmethoden migrieren, um eine externe Lösung mit Microsoft Entra ID zu verwenden. 

Wenn Sie einen Verbundidentitätsanbieter (Federated Identity Provider, IdP) wie Active Directory-Verbunddienste (AD FS) verwenden und Ihr MFA-Anbieter direkt in diesen Verbund-IdP integriert ist, muss der Verbund-IdP so konfiguriert werden, dass er einen MFA-Anspruch sendet.

Anfordern von mehr Zeit für die Vorbereitung der Durchsetzung

Wir verstehen, dass einige Kundinnen und Kunden möglicherweise mehr Zeit benötigen, um sich auf diese MFA-Anforderung vorzubereiten. Microsoft ermöglicht es Kunden mit komplexen Umgebungen oder technischen Hindernissen, die Durchsetzung für ihre Mandanten bis zum 15. März 2025 zu verschieben.

Zwischen dem 15. August 2024 und dem 15. Oktober 2024 können globale Administrierende das Azure-Portal aufrufen, um das Startdatum der Durchsetzung für ihren Mandanten auf den 15. März 2025 zu verschieben. Global Administrierende müssen über erweiterten Zugriff verfügen, bevor sie das Startdatum der MFA-Durchsetzung auf dieser Seite verschieben können.

Globale Administratoren müssen diese Aktion für jeden Mandanten ausführen, in dem sie den Starttermin der Erzwingung verschieben möchten.

Durch die Verschiebung des Beginns der Durchsetzung gehen Sie ein zusätzliches Risiko ein, da Konten, die auf Microsoft-Dienste wie das Azure-Portal zugreifen, äußerst wertvolle Ziele für Bedrohungsakteure darstellen. Wir empfehlen allen Mandanten, MFA jetzt einzurichten, um Cloudressourcen zu sichern. 

Häufig gestellte Fragen

Frage: Wenn der Mandant nur zum Testen verwendet wird, ist MFA erforderlich?

Antwort: Ja, jeder Azure-Mandant erfordert MFA, es gibt keine Ausnahmen.

Frage: Wie wirkt sich diese Anforderung auf das Microsoft 365 Admin Center aus?

Antwort: Die obligatorische MFA wird Anfang 2025 im Microsoft 365 Admin Center eingeführt. Erfahren Sie mehr über die obligatorische MFA-Anforderung für das Microsoft 365 Admin Center im Blogbeitrag Ankündigung der obligatorischen Multi-Faktor-Authentifizierung für das Microsoft 365 Admin Center.

Frage: Ist MFA für alle Benutzer oder nur für Administratoren obligatorisch?

Antwort: Alle Benutzer, die sich bei einer der zuvor aufgeführten Anwendungen anmelden, müssen MFA abschließen, unabhängig von Administratorrollen, die für sie aktiviert oder berechtigt sind, oder von Benutzerausschlüssen, die für sie aktiviert sind.

Frage: Muss ich MFA abschließen, wenn ich die Option Angemeldet bleiben auswähle?

Antwort: Ja, auch wenn Sie Angemeldet bleiben auswählen, müssen Sie MFA abschließen, bevor Sie sich bei diesen Anwendungen anmelden können.

Frage: Gilt die Durchsetzung für B2B-Gastkonten?

Antwort: Ja, MFA muss entweder vom Partnerressourcenmandanten oder dem Privaten Mandanten des Benutzers eingehalten werden, wenn er ordnungsgemäß eingerichtet ist, um MFA-Ansprüche mithilfe des mandantenübergreifenden Zugriffs an den Ressourcenmandanten zu senden.

Frage: Wie können wir uns daran halten, wenn wir MFA mithilfe eines anderen Identitätsanbieters oder einer anderen MFA-Lösung durchsetzen, und wir nicht mit Microsoft Entra MFA durchsetzen?

Antwort: Die Identitätsanbieterlösung muss ordnungsgemäß konfiguriert werden, um den Anspruch "multipleauthn" an Microsoft Entra ID zu senden. Weitere Informationen finden Sie unter Referenz für externe Methodenanbieter für die mehrstufige Microsoft Entra-Authentifizierung (Vorschau).

Frage: Wird sich Phase 1 oder Phase 2 der obligatorischen MFA auf meine Fähigkeit auswirken, mit Microsoft Entra Connect oder Microsoft Entra Cloud Sync zu synchronisieren?

Antwort: Nein. Das Synchronisierungsdienstkonto ist nicht von der obligatorischen MFA-Anforderung betroffen. Für die Anmeldung benötigen nur die zuvor aufgeführten Anwendungen MFA.

Frage: Kann ich mich dagegen entscheiden?

Es gibt keine Möglichkeit, sich dagegen zu entscheiden. Diese Sicherheitsmaßnahme ist für die gesamte Sicherheit der Azure-Plattform von entscheidender Bedeutung und wird von allen Cloud-Anbietern übernommen. Siehe zum Beispiel „Secure by Design“: AWS zur Verbesserung der MFA-Anforderungen im Jahr 2024.

Eine Option zum Verschieben des Startdatums der Durchsetzung ist für Kunden verfügbar. Zwischen dem 15. August 2024 und dem 15. Oktober 2024 können globale Administrierende das Azure-Portal aufrufen, um das Startdatum der Durchsetzung für ihren Mandanten auf den 15. März 2025 zu verschieben. Globale Administratoren müssen erhöhten Zugriff haben, bevor sie das Startdatum der MFA-Erzwingung auf dieser Seite verschieben. Sie müssen diese Aktion für jeden Mandanten ausführen, der verschoben werden muss.

Frage: Kann ich MFA testen, bevor Azure die Richtlinie durchsetzt, um sicherzustellen, dass nichts unterbrochen wird?

Antwort: Ja, Sie können seine MFA über den manuellen Einrichtungsprozess für MFA testen. Wir empfehlen Ihnen, dies einzurichten und zu testen. Wenn Sie den bedingten Zugriff verwenden, um MFA durchzusetzen, können Sie Vorlagen für bedingten Zugriff verwenden, um Ihre Richtlinie zu testen. Weitere Informationen finden Sie unter Multi-Faktor-Authentifizierung für Administratoren anfordern, die auf Microsoft-Verwaltungsportale zugreifen. Wenn Sie eine kostenlose Edition von Microsoft Entra ID ausführen, können Sie Sicherheitsstandards aktivieren.

Frage: Was passiert, wenn ich MFA bereits aktiviert habe?

Antwort: Kunden, die bereits MFA für ihre Benutzer erzwingen, die auf die zuvor aufgeführten Anwendungen zugreifen, werden keine Änderungen angezeigt. Wenn Sie nur MFA für eine Teilmenge von Benutzern benötigen, müssen alle Benutzer, die MFA noch nicht verwenden, jetzt MFA verwenden, wenn sie sich bei den Anwendungen anmelden.

Frage: Wie kann ich die MFA-Aktivität in Microsoft Entra ID überprüfen?

Antwort: Verwenden Sie den Microsoft Entra-Anmeldebericht, um zu erfahren, wann ein Benutzer aufgefordert wird, sich mit MFA anzumelden. Weitere Informationen finden Sie unter: Details zu Anmeldeereignissen für Microsoft Entra Multi-Faktor-Authentifizierung.

Frage: Was geschieht, wenn ich ein Notfall-Szenario habe?

Antwort: Wir empfehlen, diese Konten auf Passkey (FIDO2) umzustellen oder eine zertifikatsbasierte Authentifizierung für MFA zu konfigurieren. Beide Methoden erfüllen die MFA-Anforderung.

Frage: Was geschieht, wenn ich keine E-Mail zur Aktivierung der MFA erhalte, bevor sie durchgesetzt wird und dann gesperrt werde. Wie kann ich dies lösen? 

Antwort: Benutzer sollten nicht gesperrt werden, aber sie erhalten möglicherweise eine Meldung, die sie auffordert, MFA zu aktivieren, sobald die Erzwingung für ihren Mandanten gestartet wurde. Wenn der Benutzer gesperrt ist, gibt es möglicherweise andere Probleme. Weitere Informationen finden Sie unter Konto wurde gesperrt. 

Zugehöriger Inhalt

Lesen Sie die folgenden Themen, um mehr über die Konfiguration und Bereitstellung von MFA zu erfahren: