Darum geht es
Multifaktor-Anmeldung schützt nur Konten, für die eine zweite Methode tatsächlich eingerichtet ist, etwa die Authenticator-App. Liegt die Registrierungsquote unter 95 %, gibt es noch Konten, die im Ernstfall nur durch ein Passwort geschützt sind oder bei der ersten Abfrage von einem Angreifer registriert werden könnten.
Was passieren kann
Nicht registrierte Konten sind ein offenes Einfallstor: Wer das Passwort kennt, kann dort seine eigene MFA-Methode hinterlegen und das Konto dauerhaft übernehmen.
Das Ziel
Mindestens 95 % aller Benutzer haben eine Multifaktor-Methode registriert.
Schritt für Schritt
Öffnen Sie Entra ID > Authentifizierungsmethoden > Benutzerregistrierungsdetails und filtern Sie auf „Nicht für MFA registriert“.
Klären Sie für jedes Konto: aktive Person, Funktions- oder Altkonto? Deaktivieren Sie nicht mehr benötigte Konten oder blockieren Sie deren Anmeldung.
Bitten Sie die übrigen Personen per Mail mit Anleitung, die Authenticator App unter mysignins.microsoft.com/security-info einzurichten.
Aktivieren Sie unter Authentifizierungsmethoden die „Registrierungskampagne“, damit Microsoft fehlende Registrierungen bei der Anmeldung einfordert.
Geben Sie neuen Mitarbeitenden einen befristeten Zugriffspass (Temporary Access Pass) für die sichere Ersteinrichtung.
Prüfen Sie den Bericht nach zwei Wochen erneut.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Authentifizierungsmethoden
- Benutzerregistrierungsdetails
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Mindestens 95 % aller Benutzer haben eine Multifaktor-Methode registriert
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: `Get-MgReportAuthenticationMethodUserRegistrationDetail -All -Filter 'isMfaRegistered eq false' | ft UserPrincipalName,UserType`
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A21: Mehr-Faktor-Authentisierung
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.