Übersicht der kombinierten Registrierung von Sicherheitsinformationen für Microsoft Entra

  • Artikel

Vor der kombinierten Registrierung registrierten Benutzer Authentifizierungsmethoden für die Multi-Faktor-Authentifizierung von Microsoft Entra und die Self-Service-Kennwortzurücksetzung (Self-Service Password Reset, SSPR) getrennt voneinander. Benutzer waren verwirrt, dass ähnliche Methoden für Multi-Faktor-Authentifizierung und für SSPR verwendet wurden, sie sich jedoch für beide Funktionen registrieren mussten. Mit der kombinierten Registrierung können sich Benutzer jetzt einmalig registrieren und die Vorteile von Multi-Faktor-Authentifizierung und SSPR nutzen. Sehen Sie sich dieses Video zum Aktivieren und Konfigurieren der Self-Service-Kennwortzurücksetzung in Microsoft Entra ID an.

„Mein Konto“ mit registrierten Sicherheitsinformationen für einen Benutzer

Lesen Sie vor dem Aktivieren der neuen Funktion diese an Administratoren gerichtete Dokumentation und die benutzerorientierte Dokumentation, um sich mit der Funktionalität und den Auswirkungen dieser Funktion vertraut zu machen. Ziehen Sie für Ihre Schulungen die Benutzerdokumentation heran, um Ihre Benutzer auf die neue Oberfläche vorzubereiten und so einen erfolgreichen Rollout sicherzustellen.

Die kombinierte Registrierung von Microsoft Entra ID-Sicherheitsinformationen ist für Azure US Government, jedoch nicht für Microsoft Azure (betrieben von 21Vianet) verfügbar.

Die Seiten von Mein Konto sind entsprechend den Spracheinstellungen auf dem Computer lokalisiert, der für den Zugriff auf die Seite verwendet wird. Microsoft speichert die aktuell verwendete Sprache im Browsercache, sodass nachfolgende Zugriffsversuche auf die Seiten weiterhin in der zuletzt verwendeten Sprache angezeigt werden. Wenn Sie den Cache löschen, werden die Seiten neu gerendert.

Wenn Sie eine bestimmte Sprache erzwingen möchten, können Sie am Ende der URL ?lng=<language> hinzufügen. Dabei ist <language> der Code der Sprache, in der Sie rendern möchten.

Einrichten von SSPR oder anderen Sicherheitsüberprüfungsmethoden

Verfügbare Methoden bei der kombinierten Registrierung

Die kombinierte Registrierung unterstützt die Authentifizierungsmethoden und Aktionen der folgenden Tabelle.

Methode Register Change Löschen
Microsoft Authenticator Ja (maximal 5) Nein Ja
Andere Authenticator-App Ja (maximal 5) Nein Ja
Hardwaretoken Nein Nein Ja
Phone Ja Ja Ja
Alternatives Telefon Ja Ja Ja
Büro-Telefon* Ja Ja Ja
Email Ja Ja Ja
Sicherheitsfragen Ja Keine Ja
Kennwörter Nein Ja Nein
App-Kennwörter* Ja Keine Ja
Passkey (FIDO2)* Ja Keine Ja

Hinweis

Wenn Sie Microsoft Authenticator für den kennwortlosen Authentifizierungsmodus in der Richtlinie für Authentifizierungsmethoden aktivieren, müssen Benutzer auch die kennwortlose Anmeldung in der Authenticator-App aktivieren.

Eine alternative Rufnummer kann nur im Verwaltungsmodus auf der Seite https://aka.ms/mysecurityinfo registriert werden und erfordert die Aktivierung von Sprachanrufen in der Richtlinie für Authentifizierungsmethoden.

Büro-Telefon kann nur im Unterbrechungsmodus registriert werden, wenn die Eigenschaft Geschäftliches Telefon festgelegt wurde. Eine geschäftliche Rufnummer kann von Benutzern im Verwaltungsmodusüber die Seite https://aka.ms/mysecurityinfo hinzugefügt werden, ohne dass dies erforderlich ist.

App-Kennwörter sind nur für Benutzer verfügbar, für die MFA benutzerbezogen erzwungen wird. App-Kennwörter sind für Benutzer, die über eine Richtlinie für bedingten Zugriff über die Multi-Faktor-Authentifizierung von Microsoft Entra aktiviert sind, nicht verfügbar.

Der Passkey (FIDO2) kann nur im Verwaltungsmodus unter https://aka.ms/mysecurityinfo hinzugefügt werden.

Benutzer können eine der folgenden Optionen als Standardmethode für die Multi-Faktor-Authentifizierung festlegen.

  • Microsoft Authenticator – Pushbenachrichtigungen oder kennwortlos
  • Authenticator-App oder Hardwaretoken – Code
  • Telefonanruf
  • Textnachricht

Hinweis

Virtuelle Telefonnummern werden für Sprachanrufe oder SMS-Nachrichten nicht unterstützt.

Authentifikator-Apps von Drittanbietern bieten keine Pushbenachrichtigungen. Da auch weiterhin Authentifizierungsmethoden zu Microsoft Entra ID hinzugefügt werden, werden diese bei der kombinierten Registrierung verfügbar.

Modi der kombinierten Registrierung

Zwei Modi der kombinierten Registrierung sind verfügbar: Interruptmodus und Verwaltungsmodus.

  • Beim Interruptmodus handelt es sich um eine assistentenähnliche Oberfläche, die für Benutzer angezeigt wird, wenn sie ihre Sicherheitsinformationen bei der Anmeldung registrieren oder aktualisieren.
  • Der Verwaltungsmodus ist Teil des Benutzerprofils und ermöglicht Benutzern die Verwaltung ihrer Sicherheitsinformationen.

In beiden Modi müssen Benutzer, die bereits eine Methode registriert haben, die für die Multi-Faktor-Authentifizierung von Microsoft Entra verwendet werden kann, eine mehrstufige Authentifizierung ausführen, bevor sie auf ihre Sicherheitsinformationen zugreifen können. Benutzer müssen ihre Informationen bestätigen, bevor sie ihre zuvor registrierten Methoden weiterhin verwenden können.

Interruptmodus

Bei der kombinierten Registrierung werden sowohl Richtlinien für die Multi-Faktor-Authentifizierung als auch für die Self-Service-Kennwortzurücksetzung eingehalten, wenn beide für Ihren Mandanten aktiviert sind. Über diese Richtlinien wird gesteuert, ob die Anmeldung eines Benutzers unterbrochen und dieser aufgefordert wird, die Registrierung durchzuführen, und welche Methoden für die Registrierung verfügbar sind. Wenn nur eine SSPR-Richtlinie aktiviert ist, können Benutzer die Unterbrechung der Registrierung (auf unbestimmte Zeit) überspringen und sie zu einem späteren Zeitpunkt abschließen.

Im Folgenden sind mehrere Beispielszenarien aufgeführt, in denen Benutzer möglicherweise aufgefordert werden, ihre Sicherheitsinformationen zu registrieren oder zu aktualisieren:

  • Durch Identity Protection erzwungene MFA-Registrierung: Benutzer werden bei der Anmeldung aufgefordert, die Registrierung durchzuführen. Sie registrieren MFA-Methoden (Multi-Factor Authentication) und SSPR-Methoden (sofern sie für SSPR aktiviert sind).
  • Durch benutzerspezifische Multi-Faktor-Authentifizierung erzwungene MFA-Registrierung: Benutzer werden bei der Anmeldung aufgefordert, die Registrierung durchzuführen. Sie registrieren MFA-Methoden (Multi-Factor Authentication) und SSPR-Methoden (sofern sie für SSPR aktiviert sind).
  • Durch Richtlinien für bedingten Zugriff oder andere Richtlinien erzwungene MFA-Registrierung: Benutzer werden zur Registrierung aufgefordert, wenn sie eine Ressource verwenden, die Multi-Faktor-Authentifizierung erfordert. Sie registrieren MFA-Methoden (Multi-Factor Authentication) und SSPR-Methoden (sofern sie für SSPR aktiviert sind).
  • Erzwungene SSPR-Registrierung: Benutzer werden bei der Anmeldung aufgefordert, die Registrierung durchzuführen. Sie registrieren nur SSPR-Methoden.
  • Erzwungene SSPR-Aktualisierung: Benutzer werden in einem vom Administrator festgelegten Intervall aufgefordert, ihre Sicherheitsinformationen zu überprüfen. Die Benutzer prüfen ihre Informationen und können diese bestätigen oder bei Bedarf ändern.

Wenn die Registrierung erzwungen wird, wird den Benutzern die Mindestanzahl der Methoden angezeigt (angefangen bei der sichersten bis zur am wenigsten sicheren Methode), die erforderlich sind, um den MFA- (Multi-Factor Authentication) sowie den SSPR-Richtlinien zu entsprechen. Benutzer, die die kombinierte Registrierung durchlaufen, bei der sowohl die MFA- als auch die SSPR-Registrierung erzwungen wird und die SSPR-Richtlinie zwei Methoden erfordert, müssen zuerst eine MFA-Methode als erste Methode registrieren und können eine andere MFA- oder SSPR-spezifische Methode als zweite registrierte Methode auswählen (z. B. E-Mail, Sicherheitsfragen usw.).

Betrachten Sie das folgende Beispielszenario:

  • Ein Benutzer ist für SSPR aktiviert. Die SSPR-Richtlinie erfordert zwei Methoden für das Zurücksetzen, und die Microsoft Authenticator-App sowie die E-Mail-Adresse und das Telefon müssen aktiviert sein.
  • Wenn sich der Benutzer registrieren möchte, sind zwei Methoden erforderlich:
    • Standardmäßig werden dem Benutzer die Microsoft Authenticator-App und das Telefon angezeigt.
    • Der Benutzer hat die Möglichkeit, statt der Authenticator-App oder des Telefons die E-Mail-Adresse zu registrieren.

Beim Einrichten von Microsoft Authenticator kann der Benutzer auf Ich möchte eine andere Methode einrichten klicken, um andere Authentifizierungsmethoden zu registrieren. Die Liste der verfügbaren Methoden wird durch die Richtlinie für Authentifizierungsmethoden für den Mandanten bestimmt. 

Screenshot: Auswählen einer anderen Methode beim Einrichten von Microsoft Authenticator

Im folgenden Flussdiagramm sind die Methoden beschrieben, die einem Benutzer angezeigt werden, wenn seine Anmeldung unterbrochen und er aufgefordert wird, die Registrierung durchzuführen:

Flussdiagramm für kombinierte Sicherheitsinformationen

Wenn Sie Multi-Faktor-Authentifizierung und SSPR aktiviert haben, sollten Sie die MFA-Registrierung erzwingen.

Wenn Benutzer über die SSPR-Richtlinie in regelmäßigen Abständen aufgefordert werden, ihre Sicherheitsinformationen zu überprüfen, wird die Anmeldung der Benutzer unterbrochen, und es werden alle registrierten Methoden angezeigt. Sie können die aktuellen Informationen bestätigen, wenn diese auf dem neuesten Stand sind, oder ggf. Änderungen vornehmen. Benutzer müssen die Multi-Faktor-Authentifizierung durchführen, um auf diese Seite zugreifen zu können.

Verwaltungsmodus

Benutzer*innen können auf den Verwaltungsmodus zugreifen, indem sie zu Sicherheitsinformation navigieren oder unter „Mein Konto“ die Option Sicherheitsinformation auswählen. Dort können Benutzer Methoden hinzufügen, vorhandene Methoden löschen oder ändern, die verwendete Standardmethode ändern und vieles mehr.

Wichtige Verwendungsszenarien

Ändern eines Kennworts in MySignIns

Ein Benutzer navigiert zu Sicherheitsinformation. Nach der Anmeldung können Benutzer*innen ihr Kennwort aktualisieren. Wenn sich ein*e Benutzer*in mit einem Kennwort und einer Multi-Faktor-Authentifizierungsmethode authentifiziert, kann er bzw. sie die erweiterte Benutzeroberfläche verwenden, um das Kennwort zu ändern, ohne das vorhandenes Kennwort einzugeben. Anschließend wird das aktualisierte Kennwort für den Benutzer auf der Seite „Sicherheitsinformation“ angezeigt. Authentifizierungsmethoden wie befristeter Zugriffspass (Temporary Access Pass, TAP) werden für Kennwortänderungen nur unterstützt, wenn die Benutzer*innen ihr vorhandenes Kennwort kennen.

Schützen der Registrierung von Sicherheitsinformationen mit bedingtem Zugriff

Mit Benutzeraktionen in der Richtlinie für bedingten Zugriff kann sichergestellt werden, wann und wie sich Benutzer für die Multi-Faktor-Authentifizierung von Microsoft Entra registrieren, und auch die Self-Service-Kennwortzurücksetzung ist möglich. Diese Funktionalität kann in Organisationen aktiviert werden, in denen sich Benutzer an einem zentralen Ort, z. B. einem vertrauenswürdigen Netzwerkspeicherort während des Onboardings von Personal, für Multi-Faktor-Authentifizierung und SSPR von Microsoft Entra registrieren sollen. Erfahren Sie mehr über das Konfigurieren allgemeiner Richtlinien für bedingten Zugriff zum Schützen der Registrierung von Sicherheitsinformationen.

Einrichten der Sicherheitsinformationen bei der Anmeldung

Ein Administrator hat die Registrierung erzwungen.

Ein Benutzer hat nicht alle erforderlichen Sicherheitsinformationen eingerichtet und öffnet das Microsoft Entra Admin Center. Nach der Eingabe des Benutzernamens und Kennworts wird der Benutzer aufgefordert, die Sicherheitsinformationen einzurichten. Der Benutzer führt dann die im Assistenten angezeigten Schritte zum Einrichten der erforderlichen Sicherheitsinformationen aus. Wenn es Ihre Einstellungen zulassen, kann der Benutzer auch andere Methoden als die standardmäßig angezeigten einrichten. Nach Abschluss des Assistenten überprüfen die Benutzer die eingerichteten Methoden sowie ihre Standardmethode für die Multi-Faktor-Authentifizierung. Um den Einrichtungsvorgang abzuschließen, bestätigt der Benutzer die Informationen und navigiert dann zum Microsoft Entra Admin Center.

Einrichten der Sicherheitsinformationen unter „Mein Konto“

Ein Administrator hat die Registrierung nicht erzwungen.

Ein Benutzer, der noch nicht alle erforderlichen Sicherheitsinformationen eingerichtet hat, navigiert zu https://myaccount.microsoft.com. Der Benutzer wählt im linken Bereich Sicherheitsinformation aus. Dort gibt der Benutzer das Hinzufügen einer Methode an, wählt eine der verfügbaren Methoden aus und führt die Schritte zum Einrichten dieser Methode aus. Nach Abschluss des Vorgangs wird dem Benutzer die eingerichtete Methode auf der Seite „Sicherheitsinformation“ angezeigt.

Andere Methoden nach teilweiser Registrierung einrichten

Wenn ein Benutzer die MFA- oder SSPR-Registrierung aufgrund bestehender, vom Benutzer oder Administrator durchgeführter Registrierungen von Authentifizierungsmethoden teilweise erfüllt hat, werden die Benutzer nur dann aufgefordert, zusätzliche Informationen zu registrieren, die gemäß den Richtlinieneinstellungen für Authentifizierungsmethoden zulässig sind, wenn eine Registrierung erforderlich ist. Wenn dem Benutzer mehr als eine andere Authentifizierungsmethode zur Auswahl und Registrierung zur Verfügung steht, wird bei der Registrierung die Option Ich möchte eine andere Methode einrichten angezeigt, mit der der Benutzer die gewünschte Authentifizierungsmethode einrichten kann.

Screenshot: Einrichtung einer anderen Methode.

Löschen der Sicherheitsinformationen unter „Mein Konto“

Ein Benutzer, der zuvor mindestens eine Methode eingerichtet hat, navigiert zu https://aka.ms/mysecurityinfo. Der Benutzer löscht eine der zuvor registrierten Methoden. Anschließend wird diese Methode nicht mehr auf der Seite „Sicherheitsinformation“ angezeigt.

Ändern der Standardmethode unter „Mein Konto“

Ein Benutzer, der zuvor mindestens eine Methode eingerichtet hat, die für die Multi-Faktor-Authentifizierung verwendet werden kann, geht zu https://aka.ms/mysecurityinfo. Der Benutzer ändert die aktuell verwendete Standardmethode in eine andere Standardmethode. Anschließend wird die neue Standardmethode auf der Seite „Sicherheitsinformation“ angezeigt.

Wechseln des Verzeichnisses

Eine externe Identität (z. B. ein B2B-Benutzer) muss das Verzeichnis wechseln, um die Sicherheitsregistrierungsinformationen für einen Drittanbietermandanten zu ändern. Außerdem sind Benutzer, die auf einen Ressourcenmandanten zugreifen, möglicherweise irritiert, wenn sie Änderungen in ihrem Basismandanten vornehmen, diese Änderungen aber nicht im Ressourcenmandanten angezeigt werden.

Beispielsweise legt ein Benutzer die Pushbenachrichtigung der Microsoft Authenticator-App als primäre Authentifizierungsmethode für die Anmeldung beim Basismandanten fest, hat aber auch die SMS/Text-Option eingerichtet. Dieser Benutzer hat auch die SMS/Text-Option für einen Ressourcenmandanten konfiguriert. Wenn dieser Benutzer die SMS/Text-Option als eine der Authentifizierungsoptionen für den Basismandanten entfernt, ist er vermutlich irritiert, wenn er sich beim Zugriff auf den Ressourcenmandanten mit der SMS/Text-Option authentifizieren soll.

Um im Microsoft Entra Admin Center das Verzeichnis zu wechseln, klicken Sie auf den Benutzerkontonamen in der oberen rechten Ecke und dann auf Verzeichnis wechseln.

Externe Benutzer können das Verzeichnis wechseln.

Oder Sie können einen Mandanten nach URL angeben, um auf Sicherheitsinformationen zuzugreifen.

https://mysignins.microsoft.com/security-info?tenant=<Tenant Name>

https://mysignins.microsoft.com/security-info/?tenantId=<Tenant ID>

Hinweis

Kunden, die versuchen, sich über die kombinierte Registrierung oder die Seite „Meine Anmeldungen“ zu registrieren oder Sicherheitsinformationen zu verwalten, sollten einen modernen Browser wie Microsoft Edge verwenden.

IE11 wird für die Erstellung einer Webansicht oder eines Browsers in Anwendungen nicht offiziell unterstützt, da es nicht in allen Szenarien wie erwartet funktioniert.

Anwendungen, die nicht aktualisiert wurden und weiterhin die Azure AD-Authentifizierungsbibliothek (ADAL) verwenden, die auf Legacy-Webansichten basieren, können auf ältere Versionen von IE zurückgreifen. In diesen Szenarien sehen die Benutzer eine leere Seite, wenn sie auf die Seite „Meine Anmeldungen“ weitergeleitet werden. Wechseln Sie zu einem modernen Browser, um dieses Problem zu beheben.

Nächste Schritte

Erste Informationen finden Sie unter Aktivieren der Self-Service-Kennwortzurücksetzung und Aktivieren der Multi-Faktor-Authentifizierung von Microsoft Entra.

Erfahren Sie, wie Sie die kombinierte Registrierung in Ihrem Mandanten aktivieren oder die erneute Registrierung von Authentifizierungsmethoden durch Benutzer erzwingen.

Sie können auch den Artikel Verfügbare Methoden für Multi-Faktor-Authentifizierung und SSPR von Microsoft Entra lesen.