MFA in Microsoft 365: Ein praktischer Leitfaden zur Einführung ohne Panik

MFA (Multi-Faktor-Authentifizierung) ist in den meisten Unternehmen die kostengünstigste und effektivste Sicherheitsmaßnahme. Sie stoppt die überwiegende Mehrheit der Angriffe mit gestohlenen Passwörtern. Dennoch ist sie in vielen Teams immer noch optional — weil sie als 'lästig' empfunden wird oder 'schon für das nächste Quartal geplant' ist.

Vor der Aktivierung

1. Prüfen Sie, wer aktive Konten hat (und bereinigen Sie diese)
2. Methoden festlegen: Authenticator-App als Primärmethode, SMS als Backup
3. Erstellen Sie eine kurze interne Anleitung mit Bildern
4. Kündigen Sie die Aktivierung mindestens einige Tage im Voraus an
5. Wählen Sie einen Zeitpunkt außerhalb kritischer Arbeitszeiten

Schrittweise Aktivierung

Zuerst IT und Geschäftsführung (als Pilot), dann schrittweise die restlichen Abteilungen. Mit Conditional Access-Regeln können Sie Dienstkonten und Sonderfälle ausschließen und für den Rest eine einheitliche Anforderung festlegen.

Bedingte Zugriffe, die sich am meisten lohnen

• Blockieren von Anmeldungen aus Ländern, in denen Sie keine Benutzer haben
• MFA-Anforderung für alle, außer für vertrauenswürdige Standorte (optional)
• Blockieren alter Protokolle (POP, IMAP, Basic Auth)
• Besondere Regeln für Administratorkonten

Was oft vergessen wird

• Dienstkonten (Scan-to-Mail, ERP-Integrationen) ohne MFA — zumindest bedingter Zugriff über IP
• Mobilgeräte ehemaliger Mitarbeiter bleiben registriert
• Backup für MFA-Geräte (was passiert, wenn ein Benutzer sein Telefon verliert)

Kann MFA ohne Arbeitsunterbrechung aktiviert werden?

Ja, wenn sie phasenweise und mit Vorankündigung erfolgt. Wichtig ist eine vorbereitete Ersatzmethode (z. B. SMS oder Backup-Code) und eine klare Anleitung für die Benutzer.

Ist SMS als MFA ausreichend?

Besser als nichts, aber schwächer als die App. Wir empfehlen Microsoft Authenticator als Primärmethode und SMS als Reserve.

Was passiert, wenn ein Benutzer sein Telefon verliert?

Legen Sie den Prozess vorab fest — wer das Gerät neu registriert, wie die Identität geprüft wird und wie lange es dauert. Das darf keine Improvisation sein.