Microsoft-365-Anmeldung nach Rollen absichern: App, Passkey, Windows Hello oder FIDO2-Schlüssel?

Bei allen Beschäftigten ist MFA aktiviert – doch welche Verfahren werden tatsächlich verwendet? Für persönlich zugeordnete, verwaltete Windows-Geräte kann Windows Hello for Business eine sichere und alltagstaugliche Wahl sein. Passkeys auf geeigneten Geräten bieten eine weitere phishing-resistente Möglichkeit. Physische FIDO2-Sicherheitsschlüssel werden besonders interessant, wenn eine portable, vom Smartphone unabhängige Methode benötigt wird: beispielsweise für privilegierte Konten, gemeinsam genutzte Computer oder Beschäftigte ohne Diensttelefon.

Eine pauschale Lösung für alle Benutzer ist selten sinnvoll. Entscheidend sind Rolle, Schutzbedarf, Geräteumgebung, Mobilität und der geplante Wiederherstellungsweg.

Warum „MFA aktiviert“ nicht genug aussagt

MFA bedeutet zunächst, dass für eine Anmeldung mehrere Authentisierungsfaktoren eingesetzt werden. Daraus folgt jedoch nicht automatisch, dass das verwendete Verfahren gegen gefälschte Anmeldeseiten schützt.

SMS-Codes und zeitlich begrenzte Codes aus einer App können auf einer präparierten Website eingegeben und an einen Angreifer weitergegeben werden. Auch eine gewöhnliche Push-Anfrage ist nicht automatisch phishing-resistent: Benutzer können eine unerwartete oder manipulierte Anmeldung versehentlich freigeben.

FIDO- und WebAuthn-basierte Verfahren arbeiten anders. Der Berechtigungsnachweis ist an den legitimen Dienst gebunden und kann nicht einfach auf einer anderen Website verwendet werden. Microsoft ordnet Passkeys, FIDO2-Sicherheitsschlüssel und Windows Hello for Business den phishing-resistenten Methoden zu.

Dabei ist die Anzahl sichtbarer Eingaben kein zuverlässiger Sicherheitsmaßstab. Ein passwortloses Verfahren kann Besitz des Authentikators und dessen lokale Freigabe – etwa per PIN oder Biometrie – technisch miteinander verbinden, ohne dass der Benutzer nacheinander Kennwort und Einmalcode eingibt.

App, Passkey und Sicherheitsschlüssel sind nicht dasselbe

„Authenticator-App“ ist kein eindeutiges Sicherheitsmerkmal. Eine App kann einen Einmalcode erzeugen, eine Push-Freigabe anzeigen oder einen FIDO-basierten Passkey speichern. Diese Abläufe haben unterschiedliche Eigenschaften.

Passkey und FIDO2-Schlüssel sind dabei keine vollständig getrennten technischen Welten. Ein physischer Schlüssel kann ebenfalls einen FIDO-basierten Berechtigungsnachweis bereitstellen. Für Unternehmen ist häufig eine andere Unterscheidung wichtiger:

• integriert oder gerätegebunden: Der Nachweis befindet sich auf einem persönlichen Endgerät.
• portabel und separat: Der Nachweis befindet sich auf einem mitgeführten Sicherheitsschlüssel.

Diese Unterscheidung wirkt sich unmittelbar auf Gerätewechsel, gemeinsam verwendete Arbeitsplätze, private Smartphones und die Ersatzbeschaffung aus.

Welche Methode passt zu welcher Rolle?

Die folgende Matrix ist eine Orientierung, keine allgemeingültige Vorgabe. Die endgültige Auswahl hängt von der Geräteverwaltung, dem Schutzbedarf, den technischen Voraussetzungen und den im jeweiligen Microsoft-365-Mandanten verfügbaren Funktionen ab.

Nicht jeder Administrator benötigt zwingend dasselbe Schlüsselmodell, und nicht jeder Büroarbeitsplatz braucht einen physischen Schlüssel. Ein integriertes Verfahren kann auf einem persönlich zugeordneten und verwalteten Rechner praktikabler sein. Der separate Schlüssel gewinnt vor allem bei erhöhtem Schutzbedarf, häufigen Gerätewechseln, gemeinsam genutzten Computern und fehlendem Dienstsmartphone an Bedeutung.

Fünf Fragen vor der Produktauswahl

Verantwortliche sollten zunächst jede Benutzergruppe betrachten und erst danach Produkte oder konkrete Konfigurationen auswählen:

1. Was kann das Konto bewirken?

Kann es nur auf gewöhnliche Arbeitsdaten zugreifen oder auch Benutzer, Rollen, Sicherheitsregeln und weitere Systeme verändern?

1. Welche Geräte werden tatsächlich verwendet?

Persönlicher Firmenrechner, verwaltetes Smartphone, privates Telefon, gemeinsam genutzter Computer oder regelmäßig wechselnde Endgeräte?

1. Muss die Methode portabel sein?

Bei häufigen Gerätewechseln kann ein separater Authentikator geeigneter sein als eine ausschließlich an ein Endgerät gebundene Lösung.

1. Was geschieht bei Verlust oder Defekt?

Eine zweite Methode sollte möglichst vor dem Ausfall registriert sein. Microsoft empfiehlt in seiner Bereitstellungsdokumentation grundsätzlich mindestens zwei registrierte Authentisierungsmethoden.

1. Wer darf eine Wiederherstellung freigeben?

Eine Rücksetzung benötigt eine nachvollziehbare Identitätsprüfung. Sonst kann ein leicht manipulierbarer Supportprozess das stärkere Anmeldeverfahren entwerten.

Kontowiederherstellung ist Teil des Sicherheitskonzepts

Die Einführung ist nicht abgeschlossen, sobald die erste Anmeldung funktioniert. Der Wiederherstellungsweg muss unter anderem folgende Fälle abdecken:

• Smartphone verloren oder zurückgesetzt
• Notebook defekt oder ausgetauscht
• FIDO2-Schlüssel verloren
• PIN oder lokale Freigabe nicht mehr verfügbar
• keine zweite Methode registriert
• möglicher Diebstahl eines Authentikators
• Ende eines externen Auftrags
• Ausscheiden eines Beschäftigten

Für jede Benutzergruppe sollten mindestens diese Fragen beantwortet sein:

• Welche zweite Methode ist vorgeschrieben?
• Wer prüft bei einer Rücksetzung die Identität?
• Welche Nachweise sind zulässig?
• Wer darf eine neue Methode freigeben?
• Wie werden verlorene Authentikatoren aus dem Konto entfernt?
• Wie werden Ausgabe und Ersatz physischer Schlüssel dokumentiert?
• Wie wird eine dauerhafte Rückstufung auf SMS vermieden?
• Wie werden registrierte Methoden beim Ausscheiden geprüft und entfernt?

Als fachliche Leitlinie gilt: Der Ersatzweg muss verfügbar sein, ohne das Schutzniveau des Hauptverfahrens unnötig zu unterlaufen. Das ist eine organisatorische Sicherheitsempfehlung, keine wörtliche Microsoft-Vorgabe.

Einführung in sechs kontrollierten Schritten

1. Bestand erfassen

• Benutzergruppen und privilegierte Rollen aufnehmen
• registrierte und tatsächlich genutzte Methoden feststellen
• persönliche, private und gemeinsam genutzte Geräte unterscheiden
• Konten mit erhöhtem Schutzbedarf kennzeichnen
• technische und organisatorische Ausnahmen dokumentieren

2. Zielverfahren festlegen

• pro Benutzergruppe eine primäre Methode bestimmen
• mindestens einen vorbereiteten Ersatzweg definieren
• Nutzung privater Smartphones ausdrücklich regeln
• Anforderungen an physische Schlüssel und deren Aufbewahrung festlegen
• Verlust, Defekt und Gerätewechsel dokumentieren

3. Unterschiedliche Alltagssituationen pilotieren

Die Pilotgruppe sollte Büroarbeitsplätze, mobiles Arbeiten, gemeinsam genutzte Computer, Administratoren und Beschäftigte ohne Dienstsmartphone umfassen. Neben erfolgreichen Anmeldungen sollten auch Gerätewechsel, simulierter Verlust, Registrierung und Wiederherstellung getestet werden.

4. Support vorbereiten

• verständliche Registrierungsanleitungen erstellen
• Verantwortlichkeiten für Identitätsprüfung und Rücksetzung benennen
• Ersatzschlüssel oder andere kontrollierte Wege bereithalten
• typische Fehler und Abbruchpunkte dokumentieren
• Eskalationsweg bei verlorenem Authentikator festlegen

5. Gestaffelt ausrollen

Zunächst können besonders schützenswerte Konten und klar abgegrenzte Gruppen umgestellt werden. Ausnahmen sollten begründet und befristet sein. Schwächere Methoden lassen sich kontrolliert reduzieren, sobald belastbare Ersatzwege bestehen.

6. Tatsächliche Nutzung kontrollieren

Nach dem Rollout ist zu prüfen, welche Methoden wirklich registriert und verwendet werden. Unvollständige Registrierungen, verlorene Authentikatoren sowie Änderungen nach Gerätewechseln und Personalabgängen müssen nachverfolgt werden.

Was dieser Beitrag bewusst nicht festlegt

Lizenzmodelle, unterstützte Browser, Betriebssystemversionen, Schlüsselmodelle und Microsoft-Entra-Funktionen können sich unterscheiden oder ändern. Auch konkrete Conditional-Access-Richtlinien, Branchenvorgaben und die Kompatibilität mit Fachanwendungen müssen in der vorhandenen Umgebung geprüft werden. Dieser Beitrag ersetzt daher weder die aktuelle Herstellerdokumentation noch eine mandantenspezifische technische Planung.

Wenn intern Zeit oder Erfahrung für Bestandsaufnahme, Methodenauswahl und kontrollierte Einführung fehlen, kann ein IT-Dienstleister die technische und organisatorische Planung begleiten. netzmal beschreibt im Bereich IT-Sicherheit und Cyberabwehr unter anderem die Auswahl, Einrichtung und Einführung geeigneter MFA-Verfahren sowie die ergänzende Prüfung von Rollen und Berechtigungen.

Fazit

Für gewöhnliche Büroarbeitsplätze kann ein integriertes phishing-resistentes Verfahren den besten Ausgleich zwischen Schutz und Alltagstauglichkeit bieten. Physische FIDO2-Schlüssel werden besonders relevant, wenn Konten privilegiert sind, Geräte häufig wechseln, Computer gemeinsam genutzt werden oder kein geeignetes persönliches Mobilgerät vorausgesetzt werden kann.

Unabhängig von der primären Methode entscheidet der vorbereitete Wiederherstellungsweg darüber, ob das Konzept auch bei Verlust, Defekt und Personalwechsel sicher funktioniert.