Die Sicherheitsstrategie von Microsoft nimmt Kurs auf den nächsten Meilenstein: Ab Herbst 2025 wird die Multifaktorauthentifizierung (MFA) verpflichtend für alle Azure Active Directory-Nutzer. Unternehmen müssen sich auf neue Richtlinien einstellen – doch die Vorteile für die Cloud-Sicherheit überwiegen deutlich.
Mehr Sicherheit durch Verbindlichkeit: Microsofts MFA-Offensive
Bereits im Jahr 2019 kündigte Microsoft eine langfristige Strategie zur Verbesserung der Cloud-Sicherheit an. Ein zentraler Bestandteil ist die konsequente Einführung der Multifaktorauthentifizierung bei Microsoft Azure, einer der weltweit führenden Cloud-Plattformen. Nachdem MFA über Jahre hinweg als „empfohlene Sicherheitsmaßnahme“ galt, geht Microsoft nun einen Schritt weiter und erklärt MFA in Phase 2 seiner Sicherheitsrichtlinien zur verbindlichen Voraussetzung für alle Azure Active Directory (AAD)-Nutzer.
Ziel ist es, die Zahl erfolgreicher Account-Übernahmen durch kompromittierte Zugangsdaten drastisch zu reduzieren. Laut Angaben von Microsoft blockiert MFA über 99,2 % aller automatisierten Angriffe auf Konten mit gestohlenen Identitäten (Quelle: Microsoft Security Blog, 2023).
Warum setzt Microsoft nun auf Verpflichtung?
Der wachsende Druck durch Cyberkriminalität, der Siegeszug der Hybridarbeit und die zunehmende Cloud-Migration machen starke Authentifizierungsverfahren unerlässlich. Passwörter allein gelten längst als unzureichender Schutz. Eine aktuelle Studie von Verizon belegt, dass 74 % aller Sicherheitsvorfälle durch menschliches Versagen oder gestohlene Zugangsdaten verursacht werden (Verizon Data Breach Investigations Report, 2024).
Insbesondere bei Azure Active Directory, das zentrale Rollen für unternehmensweite Authentifizierungs- und Autorisierungsprozesse spielt, können kompromittierte Zugangsdaten dramatische Folgen haben – vom Datenverlust bis zum Produktionsstillstand. Die Einführung einer verpflichtenden MFA-Politik in Azure AD ist daher eine längst überfällige Konsequenz der Sicherheitslage.
Wer ist betroffen – und wann?
Laut Microsoft betrifft die neue Richtlinie ab dem 1. November 2025 alle Nutzer von Microsoft Azure, die sich über Azure Active Directory authentifizieren. Bereits seit September 2024 wird ein gestaffelter Rollout vorbereitet, bei dem Administratoren über das Microsoft 365 Admin Center benachrichtigt werden. Die Änderungen betreffen sowohl Business- als auch Education- und Government-Tenants. Azure AD Premium Lizenzen (P1/P2) bieten zusätzliche Funktionen wie bedingten Zugriff, um MFA-Richtlinien differenziert umzusetzen.
Spezifische Ausnahmen sind nur für automatisierte Dienste und unternehmensinterne Maschinenkonten vorgesehen, wobei hierfür spezielle Service-Prinzipale mit eingeschränkten Berechtigungen erforderlich sind.
Wie funktioniert die MFA-Einführung technisch?
Die Umstellung erfolgt über eine globale Richtlinie („Security Defaults“) oder benutzerdefinierte Zugriffsrichtlinien („Conditional Access“) in Microsoft Entra, dem Nachfolger von Azure Active Directory. Microsoft empfiehlt Unternehmen, bereits jetzt schrittweise alle Benutzer auf Azure MFA, Microsoft Authenticator oder alternative FIDO2-basierte Hardware-Token umzustellen.
Admin-Konten und privilegierte Rollen sind besonders betroffen: Diese Konten werden ab Juli 2025 standardmäßig blockiert, wenn keine MFA aktiviert ist. Der Zugriff ist dann nur nach erfolgreicher Authentifizierung mit mindestens zwei Faktoren möglich.
Vorteile für Unternehmen und IT-Sicherheitsverantwortliche
Die verpflichtende Einführung von MFA bringt tiefgreifende Verbesserungen:
- Reduktion von Account-Kompromittierungen: Laut Microsoft-Daten werden bis zu 99 % der Angriffe auf Benutzerkonten durch MFA verhindert.
- Erfüllung regulatorischer Anforderungen: Branchenübergreifende Standards wie ISO 27001, NIS2 oder BSI Grundschutz setzen MFA zunehmend voraus.
- Mehr Vertrauen bei Kunden und Partnern: Ein robustes Zugriffsmanagement stärkt die Sicherheit der Lieferkette und das Vertrauen im digitalen Ökosystem.
MfA ist somit nicht nur ein interner Schutzmechanismus, sondern auch ein wichtiges Element in puncto Compliance, Corporate Risk Management und Cyberversicherung.
Herausforderungen bei der Umsetzung
Trotz der klaren Vorteile erfordert die verpflichtende MFA-Einführung eine saubere technische und organisatorische Planung. Viele Unternehmen stehen vor Herausforderungen wie:
- Technische Altlasten: Ältere Anwendungen oder On-Premises-Systeme unterstützen möglicherweise keine modernen Authentifizierungsprozesse.
- Anwenderakzeptanz: Besonders bei Non-IT-affinen Mitarbeitenden können neue Authentifizierungsverfahren zusätzlicher Schulung und Überzeugungsarbeit bedürfen.
- Multi-Tenant-Strukturen: In größeren Konzernen mit verteilten IT-Infrastrukturen sind konsistente Richtlinien komplex zu implementieren.
Vor allem Unternehmen mit BYOD-Strategien oder Drittanbieterzugriffen müssen sorgfältig planen, welche MFA-Methoden für welche Nutzergruppen zugelassen werden sollen.
Best Practices für eine erfolgreiche Umstellung
IT-Administratoren und Verantwortliche können die MFA-Implementierung mit folgendem Fahrplan zielgerichtet gestalten:
- Nutzerprofile analysieren: Welche Nutzer benötigen welche Zugänge? Welche mobilen Geräte oder Plattformen nutzen sie?
- Mehrstufige Einführung planen: Beginnen Sie mit privilegierten Konten und rollen Sie MFA anschließend in Wellen unter Berücksichtigung von Abhängigkeiten aus.
- Schulungen durchführen: Erklären Sie transparent, warum MFA notwendig ist. Nutzen Sie kurze Tutorials und Simulationsmeldungen.
- Fallback-Szenarien definieren: Alternativen für Benutzer ohne Smartphone oder bei Verlust definieren – z. B. Hardware-Token oder Zugangscode per E-Mail.
- Monitoring und Logging integrieren: Erfolgreiche sowie abgelehnte Anmeldeversuche protokollieren, um mögliche Risiken frühzeitig zu identifizieren.
Zudem empfiehlt es sich, die Azure Security Benchmark-Vorgaben umzusetzen und kontinuierlich über das Microsoft Secure Score Dashboard die Sicherheitslage zu monitoren.
Was passiert bei fehlender Umsetzung?
Microsoft betont, dass nach Ablauf der Übergangsfrist ab dem Stichtag (1. November 2025) keine regulären Azure-Zugriffe ohne MFA mehr möglich sein werden. Administratoren sollten daher das Activation Dashboard regelmäßig kontrollieren und prüfen, ob Restnutzer noch keine MFA aktiviert haben. Bei Missachtung riskieren Organisationen sowohl Zugriffsprobleme als auch empfindliche Sicherheitslücken.
Fazit: Proaktive Sicherheitskultur statt Reaktion
Mit Phase 2 hebt Microsoft die Sicherheitsanforderungen in der Cloud auf das nächste Level – ein Schritt, der angesichts der anhaltenden Bedrohungslage längst überfällig war. Die verpflichtende Multifaktorauthentifizierung sichert nicht nur technische Systeme, sondern stärkt auch das Sicherheitsbewusstsein in Unternehmen.
Cloud-Zugriffe ohne zusätzliche Authentifizierung gehören bald der Vergangenheit an. Die IT-Branche tut gut daran, diese Entwicklung nicht nur als lästige Pflicht, sondern als Chance zur Stärkung der eigenen Resilienz zu begreifen.
Wie erleben Sie die Umstellung auf MFA in Ihrem Unternehmen? Teilen Sie Ihre Erfahrungen, Fragen oder Best Practices mit der Community – wir freuen uns auf Ihre Rückmeldungen im Kommentarbereich oder per E-Mail!
