LONDON (IT BOLTWISE) – Microsoft zieht die Schrauben bei Identity-Absicherung deutlich an: Conditional Access greift ab 13. Juli 2026 auch bei Windows Hello for Business und macOS Platform SSO. Parallel wird die MFA für Azure bereits seit 1. Juli 2026 verpflichtend, während Angreifer über OAuth-Client-ID-Spoofing Massenzugriffe vorbereiten. Für Unternehmen heißt das: Registrierungs- und Anmeldeprozesse müssen jetzt zentral steuerbar sein, sonst entstehen neue Angriffsflächen. Und zusätzlich verschiebt Microsoft den Markt Richtung Passkeys als Standard, inklusive Zeitplan für die Abschaltung von SMS-basierter MFA.
Microsoft setzt seine Identitätsstrategie mit einem klaren Sicherheits- und Governance-Schritt fort: Conditional Access in der Microsoft-Identitätsplattform Entra ID gilt ab dem 13. Juli 2026 auch für die Registrierung biometrischer Anmeldeverfahren. Konkret betrifft das die Einrichtung von Windows Hello for Business sowie den macOS Platform SSO. Bisher konnten Administratoren diese heiklen Registrierungsvorgänge nicht vollständig über zentrale Richtlinien steuern, wodurch in der Praxis Lücken in der Absicherung entstanden. Für deutsche Unternehmen ist das ein relevantes Signal, weil Identity-Prozesse zunehmend ein bevorzugtes Ziel für Angreifer werden, die nicht nur Logins, sondern die Vertrauensbasis selbst kompromittieren wollen.
Technisch betrachtet verschiebt die Erweiterung den Kontrollpunkt in Richtung „Enrollment“: Nicht erst der spätere Login wird reguliert, sondern auch die Bedingungen, unter denen ein Gerät oder ein Nutzer ein passwortloses bzw. biometrisches Verfahren registriert. Genau hier entstehen realistische Umgehungswege, etwa wenn Registrierungsvorgänge weniger stark protokolliert oder durch andere Policies abgedeckt sind als der eigentliche Zugriff. Microsofts zeitlicher Rahmen fügt sich zudem in eine weitere Verschärfung ein: Seit dem 1. Juli 2026 ist die Multi-Faktor-Authentifizierung (MFA) für Azure verbindlich. Für Fachbereiche und Security-Teams bedeutet das, dass sie ihre Richtlinien und Rollout-Pläne nicht mehr nur nach „Login-Szenarien“, sondern nach der gesamten Authentifizierungskette ausrichten müssen.
Während Microsoft die Zugriffskontrollen erweitert, berichten Sicherheitsforscher über Angriffsmethoden, die genau diese Lücken nutzen können. Im Kern geht es um OAuth-Client-ID-Spoofing: Angreifer verwenden gefälschte Client-IDs, um Konten in Entra ID zu enumerieren, ohne dass ein erfolgreicher Anmeldevorgang in den Sicherheitslogs auftaucht. In der Logik ist das besonders tückisch, weil die typischen Indikatoren für kompromittierte Zugriffe fehlen können; oft bleibt das Anwendungsfeld in Protokollen leer. Zwei groß angelegte Kampagnen werden mit der Technik in Verbindung gebracht: UNK_pyreq2323 seit dem 14. Januar 2026 mit über 700.000 gefälschten IDs auf rund eine Million Nutzer, sowie UNK_OutFlareAZ seit Dezember 2025 mit 3,7 Millionen gefälschten IDs gegen mehr als zwei Millionen Nutzer.
Im Markt erhöht das den Druck, Identity als durchgängiges Sicherheitsmodell zu betrachten, nicht als Sammlung einzelner Einstellungen. Microsoft ist hier nicht allein: Wettbewerber wie Okta und Google fokussieren ebenfalls stark auf Enrollment-, Geräte- und Session-Policies, um Angriffe über Kontextwechsel zu erschweren. In Analysen zur IAM-Sicherheitslage wird häufig betont, dass die nächsten Wellen weniger von klassischen Passwortdiebstählen als von Manipulationen rund um Authentifizierungs-„Rahmenbedingungen“ geprägt sind. Für Unternehmen heißt das konkret: Conditional-Access-Regeln müssen mit Telemetrie, Gerätestatus, Risiko-/Signalanbindung und Awareness-Trainings zusammenwirken. Außerdem wird die Fähigkeit wichtig, Phishing-Umwege schnell zu erkennen, bevor Nutzer Prozesse zur Registrierung oder zu „passwortlosen“ Schritten anstoßen.
Der regulatorische Kontext in Europa verstärkt diese Notwendigkeit zusätzlich. Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, und die Registrierungsfrist beim Bundesamt für Sicherheit in der Informationstechnik (BSI) lief am 6. März 2026 aus. Parallel signalisiert die Europäische Kommission eine konsequente Durchsetzung: Mehrere Mitgliedsstaaten wurden vor den Europäischen Gerichtshof gezogen, weil sie NIS2-Fristen für die nationale Umsetzung verpasst hatten, verbunden mit Forderungen nach Sanktionen. Auch wenn diese Entwicklung nicht direkt Entra ID betrifft, steigt der Erwartungsdruck an „nachweisbare Sicherheitsmaßnahmen“ in Organisationen. Identity-Regeln werden damit zunehmend Teil von Audit- und Compliance-Diskussionen, etwa wenn sich zeigen muss, wie MFA, Zugriffskontrollen und Geräte-/Anmeldeprozesse operational abgesichert sind.
Für die nächsten Monate liefert Microsoft außerdem einen klaren Fahrplan Richtung Passkeys. Ab dem 1. September 2026 sollen Passkeys in Entra ID zur Standard-Authentifizierungsmethode werden: Bei MFA-Anmeldevorgängen werden Nutzer dann aufgefordert, Passkeys zu registrieren. Das ist ein strategischer Schritt, weil Passkeys die Angriffsfläche von physischen Passwortabgriffen und klassischen Credential-Stuffing-Szenarien reduzieren können. Gleichzeitig verschiebt sich der Fokus der Verteidigung: Angreifer setzen stärker auf Social Engineering und auf Phishing-Workflows, die Nutzer zur Registrierung kompromittierter Passkeys bewegen. Besonders relevant ist hier eine als O-UNC-066 beschriebene Gruppe, die mit Vishing und Phishing-Kits Nutzer zur Registrierung angreiferkontrollierter Passkeys zu bewegen versucht; seit April 2026 soll zudem eine eigene Datenleak-Seite betrieben werden.
Neben der Einführung gilt auch ein geplanter Abschaltfahrplan für alte MFA-Mechanismen. Microsoft kündigt an, die eigene SMS- und sprachbasierte Authentifizierung langfristig abzuschaffen: Als Termin ist der 1. Februar 2027 genannt. Wer dann weiterhin telefonbasierte MFA braucht, soll auf Drittanbieter über den Microsoft Security Store zurückgreifen; eine temporäre Opt-out-Option bleibt bis zum Stichtag verfügbar. Aus Enterprise-Sicht ist das mehr als eine Policy-Änderung: Es betrifft Kosten (Drittanbieter), Betriebsprozesse (Berechtigungen, Provisionierung) und Notfallkonzepte (z. B. für Nutzer ohne stabile Geräte- oder Authenticator-Konfiguration). Technisch wird die Umstellung außerdem davon abhängen, wie sauber Geräte- und Benutzerregistrierungen orchestriert sind – und genau dafür erweitert Microsoft die Conditional-Access-Steuerung jetzt im Enrollment-Kontext.
Für die Praxis ergibt sich daraus eine klare Prioritätenliste bis in den Herbst: Erstens sollten Security-Teams die neuen Conditional-Access-Regeln für Windows Hello for Business und macOS Platform SSO in Pilotumgebungen testen, inklusive Logging- und Reporting-Anforderungen. Zweitens müssen Identity-Administratoren prüfen, wie OAuth- und Anwendungsprotokolle auf Client-ID-Spoofing reagieren und ob eigene Detektionsregeln vorhandene Lücken schließen. Drittens braucht es ein Rollout-Konzept für Passkeys, das Nutzeranleitungen, Helpdesk-Prozesse und Risiko-Kommunikation umfasst – denn „passwortlos“ eliminiert nicht die Notwendigkeit von Security-Awareness. Wenn Microsoft die Richtung beibehält, werden spätere Angriffe stärker auf Enrollment und Session-Trust zielen, sodass Unternehmen ihre Governance und ihre Kontrollen entlang der gesamten Authentifizierungskette weiter verdichten sollten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Entra ID erweitert Conditional Access: Passkeys & gefälschte IDs im Fokus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Entra ID erweitert Conditional Access: Passkeys & gefälschte IDs im Fokus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Entra ID erweitert Conditional Access: Passkeys & gefälschte IDs im Fokus« bei Google Deutschland suchen, bei Bing oder Google News!