MFA in Microsoft 365 einführen: der 30-Tage-Plan für KMU
Microsoft meldet, dass MFA über 99 % der Account-Übernahmen verhindert. Trotzdem scheitert die Einführung oft am Widerstand der Belegschaft. Dieser 30-Tage-Plan rollt MFA ohne Betriebsstörung aus.
Bünyamin Pollin
Geschäftsführung & Technische Leitung
Inhalt
Ein Passwort allein schützt 2026 kein Microsoft-365-Konto mehr. Phishing, Credential-Stuffing und geleakte Passwort-Datenbanken reichen, um reine Passwort-Anmeldungen zu übernehmen. MFA verhindert laut Microsoft über 99 % dieser Account-Übernahmen. Wenn KMU MFA trotzdem aufschieben, liegt es selten an der Technik. Meist fürchtet man Widerstand in der Belegschaft.
Der Plan deckt beides ab, die Technik und die Einweisung der Mitarbeitenden. Er läuft über vier Wochen mit je einem Meilenstein, statt alles an einem Montagmorgen umzustellen.
Woche 1: Bestandsaufnahme
Vor der Aktivierung klären Sie, welche Konten existieren, welche Anwendungen noch klassische Authentifizierung nutzen und wer in die Pilotgruppe gehört.
- Konten-Inventar: aktive Nutzer, geteilte Postfächer, Dienstkonten, externe Gäste. Dienstkonten brauchen oft eine Sonderbehandlung.
- Legacy-Authentifizierung aufspüren: POP3, IMAP, SMTP-Basic und alte Outlook-Versionen umgehen MFA. Der Anmeldebericht in Entra ID zeigt, wer noch Legacy-Auth nutzt.
- Pilotgruppe festlegen: 5 bis 10 Personen aus IT und Geschäftsführung, die Probleme melden, statt sie zu erleiden.
Legacy-Authentifizierung ist das größte Risiko
Solange klassische Protokolle aktiv sind, kann ein Angreifer MFA komplett umgehen. Ob der Rollout am Ende wirkt, hängt deshalb an der Bestandsaufnahme in Woche 1.
Woche 2: Pilot mit der Authenticator-App
Die Pilotgruppe aktiviert MFA als Erste. Empfohlene Methode ist die Microsoft-Authenticator-App mit Push-Bestätigung oder Nummernabgleich. Sie ist sicherer als SMS, die für SIM-Swap-Angriffe anfällig ist. Steuern Sie die Aktivierung über Conditional Access. Die alte per-Nutzer-MFA-Einstellung lassen Sie aus.
Conditional-Access-Richtlinie für die Pilotgruppe
Eine Richtlinie, die MFA für die Pilot-Sicherheitsgruppe verlangt. Zunächst im Report-Only-Modus testen, dann scharf schalten.
Authenticator-App als Standard
In den Authentifizierungsmethoden die App priorisieren, SMS nur als Fallback. FIDO2-Hardware-Token für privilegierte Konten vorbereiten.
Erfahrungen sammeln
Was hat geklappt, wo gab es Reibung? Die Antworten formen die Anleitung für den breiten Rollout.
Woche 3: Rollout Abteilung für Abteilung
Jetzt geht MFA in die Breite, gestaffelt: eine Abteilung pro Tag oder pro zwei Tage, jeweils mit einer einseitigen Anleitung und einem Ansprechpartner für die ersten Stunden. Die Staffelung verhindert, dass am Stichtag die halbe Firma gleichzeitig anruft.
- Einseitige Anleitung mit Screenshots: App installieren, Konto hinzufügen, erste Anmeldung.
- Ansprechpartner pro Abteilung für die ersten zwei Stunden nach Freischaltung.
- Geteilte Postfächer und Dienstkonten gesondert behandeln. Hier braucht es oft App-Passwörter oder eine Umstellung auf moderne Authentifizierung.
Woche 4: Durchsetzung und Legacy-Auth-Block
Im letzten Schritt wird MFA verbindlich und die Hintertür geschlossen. Ohne den Block der Legacy-Authentifizierung bleibt der Schutz löchrig. Gleichzeitig brauchen Sie ein abgesichertes Notfall-Konto, damit ein MFA-Ausfall nicht den kompletten Tenant aussperrt.
MFA für alle verbindlich
Die Conditional-Access-Richtlinie auf alle Nutzer ausweiten. Sign-In-Risk-basierte Regeln ergänzen, wenn die Lizenz es erlaubt.
Legacy-Authentifizierung blockieren
Eine Conditional-Access-Richtlinie, die klassische Auth-Protokolle generell ablehnt. Vorher den Anmeldebericht prüfen, damit keine legitime Anwendung abgeschnitten wird.
Break-Glass-Konto absichern
Mindestens ein Notfall-Konto mit langem, sicher hinterlegtem Passwort und FIDO2-Token, von Risiko-Richtlinien ausgenommen und überwacht. Es rettet den Zugang, wenn MFA-Infrastruktur ausfällt.
Nach 30 Tagen
MFA ist für alle aktiv, Legacy-Auth blockiert, ein Break-Glass-Konto abgesichert und die Belegschaft eingearbeitet. Kaum eine andere Sicherheitsmaßnahme in Microsoft 365 bringt so viel Schutz für so wenig Aufwand.
Quellen
Häufige Fragen
Sollen wir SMS oder die Authenticator-App für MFA nutzen?
Die Authenticator-App ist sicherer. SMS-Codes lassen sich über SIM-Swap-Angriffe abfangen, bei denen ein Angreifer Ihre Rufnummer übernimmt. Nutzen Sie die App mit Nummernabgleich als Standard und SMS nur als Notfall-Fallback. Für Admin-Konten sind FIDO2-Hardware-Token die sicherste Wahl.
Was passiert, wenn ein Mitarbeiter sein Smartphone verliert?
Mit einem geplanten Setup ist das unkritisch: Der Helpdesk setzt die MFA-Methode zurück, der Nutzer registriert ein neues Gerät. Voraussetzung ist eine zweite hinterlegte Methode oder ein klarer Reset-Prozess. Deshalb gehört der Verlust-Fall in die Anleitung von Woche 3.
Brauchen wir eine teure Lizenz für Conditional Access?
Conditional Access ist in Microsoft 365 Business Premium und in Entra ID P1 enthalten. Reine Business-Basic- oder Standard-Lizenzen bieten nur die einfachere Security-Defaults-Variante. Für einen kontrollierten, gestaffelten Rollout mit Legacy-Auth-Block ist Business Premium der praktische Mindeststandard.
Weitere Anleitungen
Umsetzung durch Visgenix
MFA-Rollout ohne internen Aufwand
Visgenix führt MFA und Conditional Access als Standard im Managed-Microsoft-365-365°-Paket ein, mit Legacy-Auth-Block, Break-Glass-Konto und Mitarbeiter-Einweisung. Die Zugriffe laufen über GDAP und sind auditierbar.