Neue Angriffsfläche seit der Umstellung Passkeys in Microsoft Entra ID nutzen

Seit September fordert Entra ID jedes Konto mit SMS- oder Anrufcode zur Passkey-Registrierung auf. Angreifer nutzen diesen Schritt und legen per Telefonanruf eigene Schlüssel in fremden Konten an. Mit diesen Richtlinien sichern Sie Registrierung, Überwachung und Offboarding ab.

Mit der Umstellung vom 1. September 2026 hat Microsoft die Einstellungen jedes Tenants mit SMS-Konten geändert, ohne dass Administratoren eingreifen mussten. Konten, die bisher SMS oder Anruf als zweiten Faktor nutzten, gehören seitdem zu einem Passkey-Profil, das jede Art von Passkey zulässt, auch Schlüssel aus privaten Passwortmanagern.

Die Registrierungskampagne, die Benutzer bei der Anmeldung zum Anlegen eines Passkeys auffordert, steuert jetzt der Hersteller. Jeder Benutzer darf die Aufforderung beliebig oft verschieben. Für Administratoren beginnt damit der Betrieb mit drei Aufgaben, nämlich dem Absichern neuer Schlüssel, der Wiederherstellung verlorener Zugänge und dem Bereinigen von Konten beim Austritt.

Bildergalerie

Bildergalerie mit 5 Bildern

Support-Ende Windows 10, Azure & Co

Diese Produkte mustert Microsoft 2026 aus

Microsoft beendet die SMS-Zustellung 2027

Für den Versand der Codes gelten zwei Endtermine. Ab dem 1. Februar 2027 stellt Microsoft für die meisten Konten keine SMS und keine Sprachanrufe mehr zu, für Globale Administratoren und externe Benutzer folgt der 1. Juli 2027. Interne Gastkonten fallen unter den Februartermin. Den Schritt begründet der Hersteller mit „SMS und Sprache gehören heute zu den anfälligsten Authentifizierungsmethoden und bieten deutlich schwächeren Schutz vor Phishing- und Kontokompromittierung als Passkeys“.

Ein Tenant in der Voreinstellung erlaubt damit synchronisierte Passkeys aus privaten Passwortmanagern und erreicht wegen des unbegrenzten Aufschubs trotzdem keine vollständige Abdeckung. Eigene Profile und eine selbst gesteuerte Kampagne beheben beide Folgen.

Passwortlose Authentifizierung

Passkeys statt Passwörter und Phishing

Jede Gruppe bekommt ihr eigenes Profil

Die Profile unterscheiden zwei Arten von Passkeys. Beim gerätegebundenen Passkey erzeugt ein einzelnes Gerät den privaten Schlüssel und gibt ihn nie heraus, zum Beispiel ein FIDO2-Sicherheitsschlüssel oder der Microsoft Authenticator. Beim synchronisierten Passkey verschlüsselt das Gerät den Schlüssel und legt ihn beim Passkey-Anbieter ab, zum Beispiel im iCloud-Schlüsselbund. Jedes Gerät mit Zugang zum Anbieterkonto kann ihn danach nutzen.

Ru Campbell, Microsoft MVP und Practice Lead für Microsoft Security bei Threatscape, erklärt den Ablauf. Der Anbieter lädt nur einen verschlüsselten Datenblock hoch, der Klartextschlüssel erreicht die Cloud nie. Für die Anmeldung von einem zweiten Gerät aus brauchen beide Geräte Bluetooth für die Näherungsprüfung und eine Internetverbindung.

Microsoft rät, zuerst Benutzerpersonas festzulegen, und nennt als erste Gruppe Administratoren und stark regulierte Benutzer. Administratoren und Konten mit Zugriff auf Finanz- oder Personaldaten sollten deshalb ein Profil erhalten, das nur gerätegebundene Schlüssel mit erzwungenem Nachweis zulässt. Der Nachweis, in der Dokumentation Attestation, prüft bei der Registrierung, ob der Schlüssel vom angegebenen Hersteller stammt. Synchronisierte Passkeys liefern keinen Nachweis und fallen aus einem solchen Profil heraus.

Phishingresistente Authentifizierung

Warum Phishing an FIDO2 und Passkeys scheitert

Angreifer täuschen den IT-Support vor

Die Näherungsprüfung schützt die Anmeldung, Angreifer richten sich gegen die Registrierung. Okta Threat Intelligence geht auf die Gruppe O-UNC-066 ein, bei Palo Alto Networks Unit 42 als CL-CRI-1147 geführt, die seit April 2026 eine Leak-Seite für erbeutete Daten mit dem Namen Pink betreibt. Ihre Mitglieder rufen Beschäftigte an, geben sich als IT-Support aus und leiten sie auf ein Phishing-Kit, das die Passkey-Registrierung von Microsoft nachbildet. Während das Opfer eine gefälschte Wiederherstellungsphrase abschreibt, registriert der Angreifer seinen eigenen Passkey im Konto.

Der fremde Schlüssel bleibt nach jeder Kennwortrücksetzung gültig. Gegen dieses Muster hilft eine Richtlinie in Conditional Access auf die Benutzeraktion „Sicherheitsinformationen registrieren“. Seit dem 6. Juli 2026 greift eine solcheRichtlinie auch bei der Registrierung von Windows Hello for Business und macOS Platform SSO.

Zugunsten des Kim-Regimes

Nordkorea-Cybergruppe bestiehlt IT-Fachleute auf Jobsuche

Conditional Access schützt die Registrierung

Als Gewährungssteuerung für die Registrierung nennt Microsoft eine Authentifizierungsstärke, vertrauenswürdige Standorte oder eine bestimmte MFA-Methode. Organisationen haben die Registrierung bisher zusätzlich über die Gerätekonformität abgesichert. Die Richtlinie sollte zuerst im Modus „Nur Bericht“ laufen und erst nach der Auswertung auf „Ein“ wechseln. Verlangt sie ein konformes Gerät, scheitert ein Angreifer mit erbeutetem Kennwort an seinem nicht verwalteten Rechner.

Neue Beschäftigte ohne konformes Gerät erhalten einen Temporary Access Pass (TAP), einen zeitlich begrenzten Code für ein einzelnes Konto. Der TAP erfüllt in Conditional Access die Anforderung an eine Mehrfaktor-Anmeldung und erlaubt die Registrierung von jedem Gerät und jedem Standort. Vor der Ausgabe empfiehlt sich eine Prüfung der Identität des Empfängers über einen zweiten Kanal, zum Beispiel über den Vorgesetzten.

Die TAP-Richtlinie sieht als Standardlaufzeit eine Stunde vor, zulässig sind 10 bis 43.200 Minuten, also 30 Tage, bei einer Länge von 8 bis 48 Zeichen. Die Einmalnutzung steht in der Voreinstellung auf „False“, einzelne Pässe lassen sich dann einmalig oder mehrfach ausstellen. Für die breite Belegschaft ist ein einmaliger Pass mit einer Stunde Laufzeit ratsam. Ein abgefangener Code verliert dann mit der ersten Anmeldung seinen Wert.

Ein neues Administratorkonto unter einer Richtlinie mit phishing-resistenter MFA kann ohne vorhandenen Passkey keinen ersten Passkey anlegen. Brian Reid, Microsoft 365 Subject Matter Expert bei C7 Solutions, nennt das einen „Catch-22“ und rät zu einem mehrfach nutzbaren TAP, der im Normalfall mindestens zweimal gebraucht wird. Der Pass für das Administratorkonto sollte eine kurze Laufzeit bekommen.

Phishing-resistente MFA-Verfahren

Das ist die Zukunft der Multifaktor-Authentifizierung

Eine Authentifizierungsstärke sichert Adminrollen ab

Für Administratorkonten folgt auf die geschützte Registrierung eine eigene Anmelderichtlinie. Eine Authentifizierungsstärke legt in Conditional Access fest, welche Kombinationen von Methoden eine Anmeldung erfüllen. Conditional Access setzt Entra ID P1 voraus. Die integrierte Stärke „Phishing-resistente MFA“ lässt Windows Hello for Business oder Plattform-Anmeldeinformationen, FIDO2-Sicherheitsschlüssel und die zertifikatbasierte Mehrfaktor-Authentifizierung zu. Die erste Richtlinie verlangt diese Stärke für die Verzeichnisrollen der Administratoren. Notfallkonten bleiben ausgenommen und erhalten je einen eigenen FIDO2-Sicherheitsschlüssel im Tresor.

Eric Woodruff, Microsoft MVP und Chief Identity Architect bei Semperis, beschreibt im Threatscape-Video „Rolling Out Passkeys in Entra [Without Breaking Stuff]“ das Einschalten als technisch leicht, den Rollout dagegen als fast so zeitaufwendig wie ein großes MFA-Projekt. Sein Team hat ein Portal für Endanwender mit Antworten auf Biometrie-Fragen eingerichtet. Anwendungen ohne moderne Anmeldung stehen als Ausnahme im Risikoregister, ihre Anmeldungen bleiben per KQL in Microsoft Sentinel sichtbar.

Campbell nennt im Video „5 Microsoft Entra Passkey Mistakes to Avoid [2026 Guide]“ die Verwechslung von Aktivieren und Erzwingen als ersten von fünf Fehlern. Die Aktivierung gelingt laut Campbell ohne Premium-Lizenz. Erst die Authentifizierungsstärke sperrt für diese Konten den Rückfall auf einen SMS- oder E-Mail-Code, über den Angreifer laut Microsoft Passkeys umgehen.

Die Kampagne verlangt nach drei Aufschüben die Einrichtung

Die Registrierungskampagne fordert Benutzer bei der Anmeldung zur Einrichtung einer Methode auf. Früher warb sie nur für Push-Benachrichtigungen im Authenticator, inzwischen deckt sie Passkeys ab, erklärt Campbell. Laut Savill bewirbt eine Kampagne immer nur eine Methode, also den Authenticator oder Passkeys.

Im von Microsoft verwalteten Zustand legt der Hersteller Methode und Aufschub selbst fest, der Administrator bestimmt nur die Ein- und Ausschlussgruppen. Im Zustand "Aktiviert" setzt er zusätzlich Zielmethode und Aufschubdauer zwischen 0 und 14 Tagen. Mit „Anzahl der Aufschübe begrenzen“ verlangt Entra ID nach dem dritten Aufschub die Registrierung bei der nächsten MFA-Anmeldung.

Nutzer schützen, Angriffe anzeigen, Richtlinien erstellen

Microsoft Entra ID Protection in der Praxis

Das Sicherheitsteam wertet Protokolle aus

Den Stand der Umstellung zeigt der Bericht unter „Entra ID“ und „Authentifizierungsmethoden“, dann „Aktivität“ mit den Bereichen „Registrierung“ und „Nutzung“. Die Nutzungsdaten setzen Entra ID P1 oder P2 voraus, für die meisten Benutzer aktualisiert sich der Bericht innerhalb von 36 Stunden. Für die automatische Auswertung liefert die Graph-API über GET /reports/authenticationMethods/userRegistrationDetails die Registrierungsdetails je Benutzer, mit mindestens der Berechtigung „AuditLog.Read.All“. Aus den Eigenschaften „isAdmin“, „isPasswordlessCapable“ und „methodsRegistered“ ergibt sich, welche Administratoren noch ohne kennwortlose Methode arbeiten.

Eine Neuregistrierung ist ein normaler Vorgang. Verdächtig wird sie nach einer riskanten Anmeldung kurz davor, von einem unbekannten Gerät, aus einer ungewohnten Region oder von einer auffälligen IP-Adresse. Das Sicherheitsteam sollte dazu Überwachungs- und Anmeldeprotokolle verknüpfen. Okta rät zu einer Benachrichtigung bei jeder Änderung an den Anmeldemethoden eines Kontos.

Authentifizierungsbarotmeter der FIDO Alliance

Verbraucher haben keine Lust auf Passwörter

Administratoren entfernen verlorene Schlüssel per Graph

Beim gerätegebundenen Passkey weiß das Unternehmen, auf welchem Gerät der Schlüssel liegt. Nach dem Verlust des Telefons legt der Benutzer einen neuen Passkey an, beschreibt Savill. Vorher sollte der Administrator den verlorenen Schlüssel aus dem Konto löschen, per Graph-API mit „DELETE /users/{id}/authentication/fido2Methods/{id}“. Als Anwendung braucht die Anfrage die Berechtigung „UserAuthMethod-Passkey.ReadWrite.All“, bei delegiertem Zugriff „UserAuthMethod-Passkey.ReadWrite“ und eine Rolle wie Authentifizierungsadministrator.

Beim Austritt eines Beschäftigten und beim Verdacht auf einen fremden Schlüssel folgt auf das Löschen der Aufruf POST „/users/{id}/revokeSignInSessions“. Bis alle Token widerrufen sind, können einige Minuten vergehen. Hat ein Benutzer alle Methoden verloren, greift die Kontowiederherstellung mit einer Identitätsprüfung durch einen Drittanbieter. Ein Helpdesk, der auf Zuruf einen TAP ausstellt, umgeht diese Prüfung.

Einen Sonderfall auf dem Client beschreibt Michael Grafnetter, Principal Security Researcher bei SpecterOps, im Papier „Pass-the-Passkey“ vom Juli 2026. Windows 11 schrieb vollständige WebAuthn-Antworten in das für jeden lokalen Benutzer lesbare Protokoll „Microsoft-Windows-WebAuthN/Operational“. Entra ID nahm solche Antworten ein zweites Mal an. Seit den Updates vom 14.07.2026 zu CVE-2026-34348 kürzt Windows die Signatur im Protokoll auf 6 Byte. Der Patchstand der Windows-Clients gehört damit in die Überwachung.

Windows Update Orchestration Platform

Microsofts neue Infrastruktur für einheitliche Updates unter Windows

Ein Änderungsverfahren schützt die Methodenrichtlinie

Die AAGUID ist die Modellkennung eines Passkey-Anbieters. Entfernt ein Administrator eine AAGUID aus der erlaubten Liste, können sich Benutzer mit diesem Modell nicht mehr anmelden, die Einschränkung greift also auch nach der Registrierung. Jede Änderung an der Liste sollte zuerst an einer Testgruppe laufen und danach das Änderungsverfahren durchlaufen.

Für Passkeys im Authenticator verlangt Microsoft mindestens die Rolle Authentifizierungsrichtlinienadministrator. Die Rolle gehört in Privileged Identity Management mit zeitlicher Begrenzung, da ein Konto mit dieser Rolle über die Methodenrichtlinie bestimmt, welche Schlüssel im Tenant gelten.

Microsoft Authenticator leitet Token an Angreifer weiter

Kritische Authenticator-Lücke er­mög­licht Kontoübernahme ohne Exploit

Der Helpdesk prüft jeden Anrufer

Nach der Umstellung liegt der größte Aufwand beim Helpdesk, der vor jedem TAP die Identität des Anrufers prüfen sollte. Eine interne Regel, nach der der IT-Support nie von sich aus zur Registrierung eines Passkeys anruft, gibt jedem Beschäftigten ein Prüfkriterium gegen Anrufe wie in der Okta-Kampagne. Den zweiten Aufwand erzeugen Registrierungen, die niemand angestoßen hat und die das Sicherheitsteam einzeln klären sollte. Die Rechteausweitung auf dem Endgerät begrenzt Administrator Protection in Windows 11 25H2.

Ganzheitlicher Ansatz statt Klein-Klein

Identitätsbasierte Angriffe effizient abwehren

(ID:50991956)