MFA in Microsoft 365 aktivieren: Security Defaults, Conditional Access und der richtige Rollout

Wer MFA in Microsoft 365 aktivieren will, steht meist vor zwei Wegen: dem schnellen Basisschutz über die Sicherheitsstandards oder dem feiner steuerbaren bedingten Zugriff. Beide Wege führen zum selben Ziel: Nutzer melden sich künftig nicht mehr nur mit Passwort an, sondern bestätigen zusätzlich einen zweiten Faktor. Für kleine und mittlere Unternehmen mit 10 bis 100 Mitarbeitenden lohnt sich ein klarer Blick auf beide Varianten, bevor die Einführung im laufenden Betrieb angestoßen wird. Eine schlecht kommunizierte MFA-Pflicht sorgt erfahrungsgemäß für die meisten Rückfragen beim Helpdesk.

Security Defaults: der schnelle Einstieg

Die Sicherheitsstandards (Security Defaults) sind eine von Microsoft vorkonfigurierte Grundabsicherung für den gesamten Tenant. Sie lassen sich zentral aktivieren und erzwingen unter anderem die Registrierung und Nutzung von Multi-Faktor-Authentifizierung für alle Benutzer, blockieren veraltete Authentifizierungsprotokolle und verlangen bei riskanten Anmeldungen zusätzliche Bestätigungen. Der große Vorteil: Es ist keine gesonderte Lizenz nötig, und die Aktivierung ist mit überschaubarem Aufwand möglich. Der Nachteil liegt in der fehlenden Granularität: Die Regeln gelten pauschal für alle Konten, Ausnahmen für einzelne Gruppen, Standorte oder Anwendungsfälle lassen sich damit nicht abbilden. Für Unternehmen ohne eigene komplexe Richtlinienlandschaft ist das trotzdem ein solider, pragmatischer Einstieg, um MFA in Microsoft 365 zu aktivieren, ohne sich zunächst mit Richtlinienlogik auseinandersetzen zu müssen.

Conditional Access: mehr Kontrolle, mehr Aufwand

Conditional Access (bedingter Zugriff) erlaubt es, Bedingungen und Ausnahmen gezielt zu definieren: MFA nur bei Anmeldung von unbekannten Geräten, aus bestimmten Ländern, bei bestimmten Anwendungen oder für bestimmte Benutzergruppen. Auch Vorgaben wie „nur von verwalteten Geräten“ oder das Blockieren von Anmeldungen aus Regionen, in denen das Unternehmen nicht tätig ist, lassen sich hier abbilden. Dieser Detailgrad hat allerdings eine Lizenzvoraussetzung: Conditional Access benötigt Microsoft Entra ID P1 oder eine höherwertige Lizenz, die diese Funktion einschließt (etwa in bestimmten Microsoft 365 Business- oder Enterprise-Paketen enthalten sein kann). Welche Lizenz im eigenen Tenant bereits vorhanden ist beziehungsweise sich am wirtschaftlichsten ergänzen lässt, sollte vorab geprüft werden. Wer bereits mit Security Defaults arbeitet und später granularer steuern möchte, wechselt in der Regel schrittweise zu Conditional-Access-Richtlinien, statt beides parallel zu betreiben. Sinnvoll ist es, sich pro Tenant für eines der beiden Modelle zu entscheiden.

Rollout-Plan: MFA stufenweise einführen

Statt MFA für alle Mitarbeitenden an einem Tag scharfzuschalten, empfiehlt sich ein gestufter Rollout:

1. Aktuellen Lizenzstand und vorhandene Richtlinien im Tenant prüfen, um zu entscheiden, ob Security Defaults oder Conditional Access der passende Startpunkt ist.
2. Testgruppe festlegen, typischerweise das IT-Team oder eine kleine Gruppe erfahrener Anwender, und dort die Konfiguration im Microsoft 365 Admin Center beziehungsweise Microsoft Entra Admin Center vornehmen.
3. In der Testphase Anmeldeverhalten, genutzte Apps (insbesondere ältere Software mit Legacy-Authentifizierung) und eventuelle Fehlermeldungen beobachten.
4. Zweite-Faktor-Methode für die Testgruppe registrieren und den Ablauf einmal komplett durchspielen, bevor er auf weitere Nutzer ausgeweitet wird.
5. Rollout in weiteren, überschaubaren Wellen fortsetzen, etwa nach Abteilung oder Standort, statt den gesamten Tenant auf einmal umzustellen.
6. Support-Kapazität für die jeweilige Rollout-Woche einplanen, da in den ersten Tagen nach jeder Welle erfahrungsgemäß die meisten Rückfragen zur Registrierung auftreten.
7. Nach vollständigem Rollout kontrollieren, ob tatsächlich alle aktiven Konten erfasst sind, und Dienstkonten beziehungsweise Ausnahmen gesondert dokumentieren.

Weil sich Menübezeichnungen und Klickpfade in den Microsoft-Admin-Centern immer wieder ändern, lohnt sich bei der Umsetzung der Verweis auf das jeweils aktuelle Microsoft-365-Admin-Center statt einer starren Klick-für-Klick-Anleitung. Wer die Konfiguration nicht selbst übernehmen möchte oder zusätzliche Sicherheit beim Vorgehen sucht, findet im Bereich Microsoft 365 Administration Unterstützung bei Einrichtung und laufender Pflege des Tenants.

Nutzer rechtzeitig informieren

Die technische Aktivierung ist der leichtere Teil. Der Erfolg der Einführung hängt maßgeblich davon ab, wie gut die Belegschaft vorbereitet ist. Nutzer sollten vorab wissen, wann die Umstellung erfolgt, welche Methode zur Registrierung erwartet wird und an wen sie sich bei Problemen wenden können. Als zweiten Faktor empfiehlt sich grundsätzlich eine Authenticator-App, da sie ohne Mobilfunkempfang funktioniert und gegenüber SMS-Codes als robuster gilt. SMS kann als schwächere, aber im Einzelfall praktikable Alternative dienen, etwa für Nutzer ohne dienstliches Smartphone. Eine kurze schriftliche Anleitung zur Registrierung sowie ein fester Ansprechpartner in der ersten Rollout-Woche reduzieren die Zahl der Support-Tickets spürbar. Weiterführende Hintergründe zum Zusammenspiel von MFA und einem umfassenderen Zero-Trust-Ansatz für KMU finden sich im Beitrag Multi-Faktor-Authentifizierung & Zero Trust.

Vom zweiten Faktor zu Passkeys

MFA ist ein wesentlicher, aber nicht der letzte Schritt hin zu sicherer Anmeldung. Als konsequente Weiterentwicklung setzen immer mehr Organisationen auf Passkeys beziehungsweise passwortlose Anmeldung, bei der das Passwort als Angriffsfläche vollständig entfällt und stattdessen kryptografische Schlüssel auf Gerät oder Sicherheitsschlüssel zum Einsatz kommen. Wer MFA im Tenant etabliert hat, schafft damit zugleich die organisatorische und technische Grundlage, um in einem zweiten Schritt schrittweise auf Passkeys umzusteigen.

Häufige Fragen

Brauchen wir für MFA zwingend eine zusätzliche Lizenz?

Nein, nicht für den Einstieg. Die Sicherheitsstandards stehen ohne zusätzliche Lizenzkosten zur Verfügung und erzwingen MFA bereits für den gesamten Tenant. Erst wer granulare Ausnahmen und bedingungsabhängige Richtlinien über Conditional Access abbilden möchte, benötigt Microsoft Entra ID P1 oder eine entsprechende höherwertige Lizenz.

Was passiert mit älteren Anwendungen, die keine moderne Authentifizierung unterstützen?

Anwendungen mit sogenannter Legacy-Authentifizierung können nach Aktivierung der Sicherheitsstandards oder entsprechender Conditional-Access-Richtlinien den Dienst verweigern, da diese Protokolle keinen zweiten Faktor unterstützen. Solche Fälle sollten in der Testphase identifiziert und vor dem breiten Rollout geklärt werden, etwa durch Umstellung auf moderne Authentifizierung oder eine dokumentierte, eng begrenzte Ausnahme.

Wie lange dauert die Einführung von MFA in einem mittelständischen Unternehmen?

Das hängt von Größe und Vorbereitung ab. Bei guter Kommunikation und einem gestuften Rollout wie oben beschrieben lässt sich die Umstellung in einem Unternehmen mit 10 bis 100 Mitarbeitenden in der Regel über wenige Wochen hinweg geordnet abschließen, inklusive Testphase, Nutzerkommunikation und Support-Puffer für Rückfragen.

Wer die Einführung von MFA in Microsoft 365 nicht allein stemmen möchte oder Unterstützung bei der Wahl zwischen Sicherheitsstandards und Conditional Access sucht, kann über die Seite Kontakt ein unverbindliches Gespräch vereinbaren.