Darum geht es

Sprachanrufe und Einmalcodes per E-Mail gelten als schwache Methoden: Anrufe lassen sich umleiten, und ein E-Mail-Code hilft wenig, wenn das Postfach selbst angegriffen wird. Mitarbeitende nutzen den E-Mail-Code für die Kennwortzurücksetzung, Gäste zur Anmeldung. Moderne Methoden wie die Authenticator App oder Passkeys sind deutlich sicherer und für Mitarbeitende ebenso einfach.

Was passieren kann

Angreifer können schwache Methoden etwa über Rufumleitung oder ein bereits übernommenes Postfach aushebeln und so die MFA oder die Kennwortzurücksetzung missbrauchen.

Schritt für Schritt

Prüfen Sie unter Authentifizierungsmethoden > Benutzerregistrierungsdetails, wer nur Sprachanruf als Methode hat, und lassen Sie diese Personen vorher die Authenticator App einrichten.
Klären Sie, ob Gäste den E-Mail-Einmalcode zur Anmeldung nutzen. Microsoft empfiehlt ihn für Gäste ohne eigenes Microsoft-Konto; solange er für externe Benutzer eingeschaltet ist, lässt sich die Methode nicht abschalten. Auditspiegel lässt den Code für Gäste gelten, nicht aber für Mitarbeitende: Ist er unter „Aktivieren und Ziel“ für „Alle Benutzer“ oder für Gruppen mit Mitgliedern freigegeben, können diese ihr Kennwort per E-Mail-Code zurücksetzen. Gäste, die sich per E-Mail-Code anmelden, kommen nach dem Abschalten nicht mehr herein, bis Sie ihren Einlösestatus zurücksetzen.
Öffnen Sie Entra ID > Authentifizierungsmethoden > Richtlinien > Sprachanruf und setzen Sie „Aktivieren“ auf „Aus“.
Brauchen Gäste den Einmalcode nicht: Öffnen Sie „E-Mail-Einmalkennung“, setzen Sie auf der Registerkarte „Konfigurieren“ die Option für externe Benutzer auf „Nein“, stellen Sie dann „Aktivieren“ auf „Aus“ und speichern Sie. Brauchen Gäste ihn: Legen Sie eine Sicherheitsgruppe ohne Mitglieder an und wählen Sie unter „Aktivieren und Ziel“ statt „Alle Benutzer“ nur diese Gruppe. Dann setzt niemand aus Ihrem Team sein Kennwort per E-Mail-Code zurück, und Gäste melden sich weiter an.
Prüfen Sie, dass die Self-Service-Kennwortzurücksetzung weiterhin mit den verbleibenden Methoden funktioniert.

Hier finden Sie die Einstellung

Microsoft Entra Admin Center (entra.microsoft.com)
Entra ID
Authentifizierungsmethoden
Richtlinien

So prüfen Sie es selbst

Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:

Sprachanruf ist deaktiviert, der E-Mail-Einmalcode höchstens für Gäste eingeschaltet

So prüft Auditspiegel es

Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.

Für Ihre IT: per PowerShell prüfen und beheben

Prüfen

Microsoft Graph PowerShellnur lesend

Connect-MgGraph -Scopes Policy.Read.AuthenticationMethod,GroupMember.Read.All,AuditLog.Read.All(Get-MgPolicyAuthenticationMethodPolicy).AuthenticationMethodConfigurations | Where-Object Id -in 'Voice','Email' | Format-Table Id,State,@{n='Gaeste';e={$_.AdditionalProperties.allowExternalIdToUseEmailOtp}},@{n='Ziel';e={$_.AdditionalProperties.includeTargets.id -join ', '}},@{n='Ausgenommen';e={$_.AdditionalProperties.excludeTargets.id -join ', '}}Get-MgGroupTransitiveMemberAsUser -GroupId '<Gruppen-ID aus Ziel>' -All | Measure-Object | Select-Object Count

Erwartet: Voice: State = disabled. Email: State = disabled, oder der Code ist nur für Gäste an: Ziel nennt nicht all_users, sondern nur Gruppen mit Count = 0 (Gaeste = enabled oder default).

Beheben

Ändert Ihren Tenant.Risiko mittelRolle: Authentifizierungsrichtlinienadministrator

Schaltet den Sprachanruf als Anmeldemethode ab. Konten, die nur eine Telefonnummer als zweiten Faktor haben, können sich danach nicht mehr mit MFA anmelden. Lassen Sie diese Personen vorher Microsoft Authenticator oder einen Passkey einrichten. Danach mit dem Prüfbefehl kontrollieren.

Vorher prüfen: wer oder was von der Änderung betroffen ist.

Microsoft Graph PowerShellnur lesend

Connect-MgGraph -Scopes Policy.Read.AuthenticationMethod,GroupMember.Read.All,AuditLog.Read.AllGet-MgReportAuthenticationMethodUserRegistrationDetail -All | Where-Object { $_.MethodsRegistered -contains 'mobilePhone' -or $_.MethodsRegistered -contains 'officePhone' -or $_.MethodsRegistered -contains 'alternateMobilePhone' } | Format-Table UserPrincipalName,MethodsRegistered

Microsoft Graph PowerShellÄnderung

Connect-MgGraph -Scopes Policy.ReadWrite.AuthenticationMethodUpdate-MgPolicyAuthenticationMethodPolicyAuthenticationMethodConfiguration -AuthenticationMethodConfigurationId Voice -BodyParameter @{ '@odata.type' = '#microsoft.graph.voiceAuthenticationMethodConfiguration'; state = 'disabled' }

Rückgängig machen

Microsoft Graph PowerShellÄnderung

Connect-MgGraph -Scopes Policy.ReadWrite.AuthenticationMethodUpdate-MgPolicyAuthenticationMethodPolicyAuthenticationMethodConfiguration -AuthenticationMethodConfigurationId Voice -BodyParameter @{ '@odata.type' = '#microsoft.graph.voiceAuthenticationMethodConfiguration'; state = 'enabled' }

Auditspiegel selbst ändert nichts in Ihrem Tenant. Führen Sie Änderungen nur nach Prüfung durch Ihre IT aus.

Bezüge

SCuBA-Baselines der CISA: MS.AAD.3.5v2: SMS, Sprachanruf und E-Mail-Einmalcode deaktivieren
BSI IT-Grundschutz-Kompendium (Edition 2023): ORP.4.A13: Geeignete Auswahl von Authentisierungsmechanismen
DSGVO Art. 32 Abs. 1: lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit

Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.

Sprachanruf abschalten, E-Mail-Einmalcode nur für Gäste