Microsoft erzwingt MFA für 365-Admins – und bricht dabei alte Workflows
Wenn Sie sich kürzlich im Microsoft 365 Admin Center angemeldet haben und dabei auf eine harte Sperre gestoßen sind, die Multi-Faktor-Authentifizierung verlangt, sind Sie nicht allein – und Sie haben wahrscheinlich auch kein Memo verpasst. Für viele Admins kam die Änderung nicht mit einem großen Countdown-Timer oder einem sorgfältig gestaffelten Rollout. Sie ist einfach … passiert. An einem Tag lief noch alles wie immer. Am nächsten war der Zugriff blockiert, sofern MFA nicht aktiviert war.
Aus Sicherheitssicht ist das nicht schockierend. Aus operativer Sicht ist es Chaos – oder zumindest eine Störung –, je nachdem, wie aufgeräumt Ihre Umgebung ohnehin schon war.
Dieser Schritt ist das jüngste Beispiel für Microsofts wachsende Gewohnheit, Security Best Practices standardmäßig zu erzwingen, ob die Kunden bereit sind oder nicht. Und während die meisten IT-Profis dem Ziel zustimmen, lässt die Umsetzung wieder einmal alle hektisch Workflows flicken, die nie für plötzliche Durchsetzung ausgelegt waren.
Das fühlte sich nicht nach einem schrittweisen Rollout an
Microsoft spricht seit Jahren über verpflichtendes MFA für Admins. Es stand in Docs, Konferenz-Talks, Security-Roadmaps und leisen Warnungen, verstreut über diverse Dashboards. Aber es ist ein großer Unterschied, ob es heißt „das kommt irgendwann" oder „Sie können sich heute nicht einloggen".
Genau das hat viele Admins überrumpelt. Die Durchsetzung kam nicht als sanfte Warnung oder Banner für eine Übergangsfrist. Sie kam als fehlgeschlagener Login.
Für Betriebe, die MFA schon überall im Einsatz hatten, war das ein Nicht-Ereignis. Für alle anderen – besonders kleinere Organisationen, Legacy-Tenants oder Umgebungen, die von Skripten und Service-Accounts zusammengehalten werden – war es ein böses Erwachen.
Das Problem ist nicht, dass MFA schlecht wäre. Das Problem ist, dass reale IT-Umgebungen chaotisch sind. Und ein Teil dieses Chaos ist gerade zerbrochen.
Die Workflows, die es erwischt hat
Viele Admin-Workflows verlassen sich noch auf ältere Authentifizierungsmethoden. Nicht weil Admins Risiko lieben, sondern weil diese Workflows entstanden, als diese Methoden die einzige Option waren – und danach nie wieder überarbeitet wurden.
Hier fing es an zu knacken:
- Break-Glass-Admin-Konten, die absichtlich für den Notfallzugriff von MFA ausgenommen waren
- Service-Accounts für Automatisierung oder Monitoring, die interaktives MFA nicht unterstützen
- PowerShell-Skripte, die unbeaufsichtigt mit gespeicherten Zugangsdaten laufen
- Drittanbieter-Tools, die sich authentifizieren, als wäre es noch 2016
Wenn MFA plötzlich verpflichtend wird, degradieren solche Setups nicht sanft. Sie fallen komplett aus.
Admins fanden sich aus ihren Tenants ausgesperrt wieder, kämpften darum, den Zugriff zurückzubekommen, oder mussten unter Druck ihre Automatisierung neu bauen – der wohl schlechteste Zeitpunkt, um Sicherheit neu zu gestalten.
Microsofts Logik ist nicht falsch – nur starr
Um fair zu sein: Microsofts Argument ist wasserdicht. Admin-Konten sind hochwertige Ziele. Credential-Diebstahl ist immer noch einer der einfachsten Wege in eine Umgebung. MFA reduziert dieses Risiko drastisch. Ende der Geschichte.
Aus Microsofts Sicht ist es ein Haftungsrisiko, Admins ein Opt-out zu erlauben – selbst nur vorübergehend. Jeder kompromittierte Tenant wird zur Schlagzeile. Jeder Breach wird zum Beweis, dass optionale Sicherheit nicht funktioniert.
Also bewegt sich Microsoft von „empfohlen" zu „verpflichtend". Und sobald man es so sieht, ergibt die Richtung Sinn.
Das Problem ist, dass Microsoft Richtlinien tendenziell für idealisierte Umgebungen entwirft – solche, in denen jedes Konto modern, dokumentiert und regelmäßig überprüft ist. So arbeiten die meisten Unternehmen in der Praxis nicht.
Hier geht es genauso um Kontrolle wie um Sicherheit
Dahinter steckt ein größeres Thema, das über MFA hinausgeht. Microsoft verlagert Sicherheitsentscheidungen stetig weg von den Kunden und hinein in die Plattform selbst.
Das haben wir schon vorher gesehen:
- Legacy-Auth, langsam abgewürgt, bis sie faktisch tot ist
- Security-Defaults, überraschend aktiviert
- Conditional Access, das mit jedem Release weniger optional wird
Das ist nicht Microsoft, das böswillig handelt. Das ist Microsoft, das einfach Microsoft ist – ein Cloud-Anbieter, der auf Skalierung optimiert, nicht auf Nuancen.
Wenn Sie eine Plattform in der Größenordnung von Microsoft 365 betreiben, wird Flexibilität zum Risiko. Erzwungene Defaults werden zum sichersten Weg nach vorn, selbst wenn sie Randfälle zerstören.
Leider leben Sysadmins fast ausschließlich in Randfällen.
Das Timing ist es, was wirklich wehtut
Wäre diese Durchsetzung mit einer klaren, unausweichlichen Frist gekommen – „MFA wird ab Datum X für alle Admin-Rollen verpflichtend" –, hätten die meisten Teams gemurrt und sich vorbereitet.
Stattdessen erfuhren viele Admins davon erst, als sie nicht mehr reinkamen.
Das ist es, was den Frust befeuert. Nicht die Sicherheitsanforderung selbst, sondern die fehlende reibungslose Kommunikation. Message-Center-Posts verschwinden im Nirgendwo. Dashboard-Alerts werden zu Hintergrundrauschen. Und wer nicht obsessiv jedes Roadmap-Update verfolgt, dem rutscht etwas durch.
In der IT sind überraschende Ausfälle schlimmer als geplante. Überraschende Richtlinienänderungen stehen dem kaum nach.
Kleinere IT-Teams spüren das am stärksten
Große Unternehmen hatten meist schon überall MFA im Einsatz. Sie haben IAM-Teams, Security-Architekten und dedizierte Zeit für Aufräumprojekte.
Kleine und mittlere Organisationen haben das nicht.
In solchen Umgebungen ist der Admin womöglich gleichzeitig der Helpdesk, der Netzwerktechniker und die Person, die dem CEO den Drucker erklärt. MFA-Durchsetzung bedeutet, alles andere stehen und liegen zu lassen, um den Zugriff sofort zu reparieren.
Und wenn die Automatisierung ausfällt oder das Notfallkonto nicht mehr funktioniert, fühlt sich das Risiko gleich viel größer an.
Es gibt kein Zurück – nur ein Vorwärts
Hier die unbequeme Wahrheit: Das ist kein vorübergehender Aussetzer. Microsoft wird keinen Rückzieher machen. Wenn überhaupt, ist das eine Vorschau.
Rechnen Sie mit:
- Mehr erzwungenen Sicherheits-Baselines
- Weniger Legacy-Ausnahmen
- Mehr Momenten der Marke „das ist jetzt Pflicht"
Das Cloud-Zeitalter belohnt kein Aufschieben. Wenn etwas als „deprecated" markiert ist, lebt es bereits auf geliehener Zeit.
Admins, die solche Änderungen als Warnung statt als Ärgernis behandeln, werden es nächstes Jahr deutlich leichter haben.
Was Admins gerade tun
Im Nachgang setzen die meisten Teams auf eine Kombination aus:
- Alle Admin-Rollen und -Konten auditieren
- Legacy-Auth durch App-Registrierungen und zertifikatsbasierte Auth ersetzen
- Skripte neu bauen, um moderne Module zu nutzen
- Break-Glass-Konten mit stärkeren Kontrollen absichern, statt sie ganz ohne MFA zu lassen
Nichts davon macht Spaß. Alles davon kostet Zeit. Aber es ist in vielen Umgebungen auch überfällig.
Die Ironie ist, dass eine erzwungene Änderung oft genau das Aufräumen auslöst, das es nie auf die Roadmap geschafft hat.
Die größere Lektion dahinter
Hier geht es eigentlich gar nicht um MFA. Es geht um die Beziehung zwischen Cloud-Anbietern und den Menschen, die ihre Plattformen betreiben.
Microsoft sagt ganz klar: Sicherheit ist nicht mehr optional. Wenn Ihre Workflows damit nicht klarkommen, gelten sie als kaputt – nicht als geschützt.
Genau in diesem Denkweisen-Konflikt steckt die Reibung. Sysadmins optimieren auf Uptime und Kontinuität. Cloud-Anbieter optimieren auf Risikoreduktion im großen Maßstab. Diese Ziele überschneiden sich, aber sie decken sich nicht immer perfekt.
Und wenn sie es nicht tun, sitzt der Admin mittendrin fest und baut um 9 Uhr morgens an einem Dienstag Dinge neu auf, der eigentlich Routine hätte sein sollen.
Nervig, notwendig und unvermeidlich
Hatte Microsoft recht damit, MFA für 365-Admins zu erzwingen? Ja.
Hat es Workflows kaputtgemacht, auf die sich Leute verlassen haben? Auch ja.
Beides kann gleichzeitig wahr sein.
Dieser Schritt wird Breaches reduzieren. Er wird auch eine Welle kurzfristiger Schmerzen auslösen – besonders für Teams, die ohnehin schon überlastet waren.
Wenn es einen Silberstreif gibt, dann diesen: Die Ära von „das Sicherheitsthema fixen wir später" ist offiziell vorbei. Microsoft hat gerade dafür gesorgt.