Microsoft weitet seine verbindlichen Anforderungen an die Multi-Faktor-Authentifizierung (MFA) für Azure aus. Ab dem 1. Oktober 2025 beginnt „Phase 2“ der MFA-Durchsetzung bei Azure. Das bedeutet, dass alle Nutzer von Azure-Ressourcen – sei es über das Webportal, Befehlszeilentools oder APIs – ihre Identität mittels MFA bestätigen müssen. Diese Änderung ist Teil der fortlaufenden Bemühungen von Microsoft, die Cloud-Sicherheit als Reaktion auf zunehmende Cyberbedrohungen zu stärken.
Wichtige Punkte
- Was ändert sich: MFA ist nun für alle Aktionen zur Verwaltung von Azure-Ressourcen erforderlich, einschließlich der Anmeldung im Portal, der CLI, von PowerShell, APIs, SDKs und Automatisierungstools.
- Wer ist betroffen: Alle menschlichen Benutzer, die Azure-Ressourcen verwalten. Dienstkonten und verwaltete Identitäten sind davon ausgenommen.
- Warum das wichtig ist: MFA verhindert über 99 % der Angriffe, bei denen Konten kompromittiert werden, und diese Einführung erhöht die Sicherheit im gesamten Azure-Ökosystem.
- Vorgehensweise: Stellen Sie sicher, dass bei allen Azure-Benutzern die MFA aktiviert ist, und aktualisieren Sie die CLI-/PowerShell-Tools auf die neuesten Versionen.
- Auswirkungen auf CSPs: Anbieter von Cloud-Lösungen sollten ihre Automatisierungsskripte überprüfen, Kunden bei der Einrichtung der MFA unterstützen und sich auf einen höheren Supportbedarf einstellen.
Was Phase 2 beinhaltet
In Phase 2 werden die MFA-Anforderungen über das Azure-Portal hinaus auf alle Methoden zur Verwaltung von Azure-Ressourcen ausgeweitet. In Phase 1, die von Ende 2024 bis Anfang 2025 umgesetzt wurde, hat Azure MFA für die Anmeldung bei Web-Verwaltungsschnittstellen wie dem Azure-Portal, dem Microsoft Entra Admin Center und dem Intune Admin Center vorgeschrieben. In Phase 2 wird MFA schrittweise für alle Vorgänge zur Azure-Ressourcenverwaltung vorgeschrieben, die über andere Kanäle durchgeführt werden. Dazu gehören die Azure-CLI, Azure PowerShell, die Azure-App für Mobilgeräte, REST-APIs, SDKs und Infrastructure-as-Code (IaC)-Tools. In der Praxis bedeutet dies: Wenn Sie oder Ihr Team Skripte oder Entwicklertools zum Bereitstellen oder Ändern von Azure-Ressourcen verwenden, werden Sie während dieser Aktionen zur MFA-Verifizierung aufgefordert. Lesezugriffe lösen möglicherweise keine MFA aus, jede Erstellung oder Änderung hingegen schon.
Microsoft wird Phase 2 nach dem Starttermin am 1. Oktober schrittweise für alle Azure-Mandanten einführen. Die Administratoren der Azure-Mandanten wurden per E-Mail und über „Azure Service Health“-Warnmeldungen benachrichtigt. Falls eine Organisation die MFA nicht bis zum Stichtag aktivieren kann, kann der globale Administrator des Mandanten über das Azure-Portal eine vorübergehende Verschiebung der Durchsetzung beantragen. Es wird jedoch weiterhin erwartet, dass alle Benutzer die Anforderungen zügig erfüllen.
Insbesondere sind Dienstkonten und automatisierte Workloads von dieser Anforderung ausgenommen. Die MFA-Pflicht gilt nur für Benutzerkonten von Menschen. Automatisierte Prozesse, die unter verwalteten Identitäten oder Dienstprinzipalen (den nicht-menschlichen Konten von Azure) laufen, müssen keine MFA durchführen. Das bedeutet, dass gut konzipierte Automatisierungen, die Dienstidentitäten verwenden, weiterhin reibungslos funktionieren sollten. Wenn jedoch eine Automatisierung derzeit die Anmeldedaten eines regulären Benutzers verwendet, wird dieser Prozess fehlschlagen, sobald die MFA durchgesetzt wird. Microsoft empfiehlt dringend, solche Skripte so zu migrieren, dass sie Dienstprinzipale oder verwaltete Identitäten verwenden, um Betriebsstörungen zu vermeiden.
Warum Microsoft die MFA durchsetzt
Microsoft führt die MFA als Pflicht ein, um die Sicherheit für Azure-Kunden deutlich zu verbessern. Untersuchungen des Unternehmens zeigen, dass die Multi-Faktor-Authentifizierung über 99 % der Angriffe auf Konten verhindern kann. Da Cyberangriffe immer häufiger und ausgefeilter werden, bietet ein einzelnes Passwort keinen ausreichenden Schutz mehr. Die Anforderung eines zusätzlichen Verifizierungsschritts bei jeder Anmeldung – beispielsweise eines Codes aus einer Authentifizierungs-App oder eines biometrischen Scans – senkt das Risiko eines unbefugten Zugriffs erheblich, selbst wenn Passwörter offengelegt oder erraten werden.
Durch die Einführung der MFA in Azure will Microsoft die Übernahme von Konten, Datenlecks und den Missbrauch von Cloud-Ressourcen verhindern. Die schrittweise Einführung wurde so konzipiert, dass Unternehmen Zeit haben, die MFA zu implementieren, ohne dass es zu plötzlichen Störungen kommt. In Phase 1 wurde die Sicherheit bei der Anmeldung über die grafische Verwaltung verbessert. In Phase 2 werden nun die verbleibenden Lücken geschlossen, indem der Zugriff über die Befehlszeile und programmgesteuert einbezogen wird. Für alle Arten des Zugriffs auf Azure gelten künftig dieselben strengen Authentifizierungsstandards.
Was Nutzer und Organisationen erwarten sollten
Azure-Benutzer und -Organisationen sollten sich auf strengere Anmeldeverfahren bei der Verwaltung von Cloud-Ressourcen einstellen. Nach Inkrafttreten von Phase 2 werden Versuche, Azure-Verwaltungsaufgaben ohne MFA durchzuführen, blockiert. Für jedes Benutzerkonto muss eine MFA-Methode (z. B. die Microsoft Authenticator-App, ein SMS-Code oder ein Hardware-Schlüssel) registriert und einsatzbereit sein.
Unternehmen sollten sicherstellen, dass alle ihre Azure-Administratoren und DevOps-Mitarbeiter bis Oktober die MFA in ihren Konten aktiviert haben. Dazu gehört möglicherweise die Überprüfung der MFA-Einstellungen der Benutzer sowie die Bereitstellung von Authentifizierungs-Apps oder -Schlüsseln für Mitarbeiter, die diese noch nicht nutzen. Unternehmen können mit Mitteilungen von Microsoft (E-Mails, Portalbenachrichtigungen) zum Zeitplan für die Durchsetzung sowie mit Anleitungen zur Vorbereitung rechnen. Microsoft hat Azure-Richtliniendefinitionen und Empfehlungen für Richtlinien zum bedingten Zugriff bereitgestellt, um die MFA im Vorfeld zu testen und durchzusetzen. Durch die Anwendung dieser Richtlinien im „Nur-Bericht“- oder Audit-Modus können Administratoren einschätzen, wer blockiert würde, und Probleme beheben, bevor die strenge Durchsetzung in Kraft tritt.
Auswirkungen auf Ihren Cloud-Lösungsanbieter (CSP)
Anbieter von Cloud-Lösungen (CSPs) – also Unternehmen, die Ihre Azure-Dienste verwalten – müssen dieser MFA-Vorgabe besondere Aufmerksamkeit schenken. Da CSPs häufig über Administratorrechte für zahlreiche Kundenumgebungen verfügen, wird die Durchsetzung in Phase 2 Auswirkungen auf ihren täglichen Betrieb und ihre Arbeitsabläufe im Kundenmanagement haben.
Auswirkungen auf den Betrieb: CSP-Mitarbeiter, die zur Verwaltung der Azure-Ressourcen ihrer Kunden Automatisierung und Skripte einsetzen, müssen sicherstellen, dass ihre Prozesse die MFA berücksichtigen. Viele CSPs verlangen wahrscheinlich bereits MFA von ihren Mitarbeitern (als Teil der bestehenden Sicherheitsanforderungen von Microsoft für Partner). Dennoch wird bei jeder mandantenübergreifenden Azure-Verwaltung über CLI, Skripte oder APIs ebenfalls eine MFA-Authentifizierung verlangt. Ihre CSP-Betriebsteams sollten ihre Tools und Skripte überprüfen. Wenn Automatisierungen im Kontext eines menschlichen Kontos ausgeführt werden (beispielsweise über die Anmeldedaten eines Support-Technikers), müssen diese überarbeitet werden, um Anmeldeinformationen von Dienstprinzipalen oder andere nicht-interaktive Methoden zu verwenden. Interne Runbooks müssen möglicherweise aktualisiert werden, um Schritte für die MFA bei der Ausführung bestimmter Aufgaben einzubeziehen.
Kunden-Onboarding: CSPs sollten die Einrichtung der MFA als obligatorischen Schritt für neue Azure-Kunden vorsehen. Bei der Bereitstellung Ihrer Azure-Tenancy oder Ihrer Abonnements sollten CSPs sicherstellen, dass globale Administratoren und wichtige Benutzerkonten vom ersten Tag an mit MFA konfiguriert sind. Dies kann die Einweisung in die Verwendung von Authentifizierungs-Apps oder die Bereitstellung von Anleitungen zum MFA-Registrierungsprozess in Azure umfassen. Indem sie dies bereits beim Onboarding tun, helfen CSPs ihren Kunden, spätere Unterbrechungen zu vermeiden, wenn die Durchsetzung der Phase 2 für sie in Kraft tritt.
Support-Maßnahmen: Im Supportbereich könnten CSPs mit zunehmender Durchsetzung von MFA mehr Anfragen von Kunden erhalten. Wenn diese sich nicht auf MFA vorbereitet haben, kann es zu Anmeldeproblemen oder Fehlern in der Bereitstellungspipeline kommen, und sie werden sich an ihre CSP-Partner wenden, um Hilfe zu erhalten. Die Support-Teams der CSPs sollten darauf vorbereitet sein, MFA-bezogene Probleme zu beheben, beispielsweise indem sie einen Kundenadministrator bei der Einrichtung eines MFA-Geräts anleiten oder erklären, warum ein Skript nun fehlschlägt und wie das Problem behoben werden kann (wahrscheinlich durch die Verwendung einer Dienstinstanz oder ein Update auf eine neuere Tool-Version). Proaktiv könnten CSPs Workshops veranstalten oder Kundenhinweise zu den bevorstehenden Änderungen versenden, damit die Kunden nicht unvorbereitet davon überrascht werden.
Kundenmanagement in großem Maßstab: CSPs, die zahlreiche Kundenmandanten verwalten, müssen die Einhaltung der MFA-Vorgaben bei allen Mandanten nachverfolgen. Es kann hilfreich sein, ein internes Dashboard oder einen Bericht zu erstellen, aus dem hervorgeht, bei welchen Kundenkonten die MFA aktiviert ist und bei welchen möglicherweise Nachfassmaßnahmen erforderlich sind. Die Benachrichtigungen von Microsoft gehen an die Administratoren der einzelnen Mandanten, doch CSPs unterstützen häufig bei der Governance; daher sollten sie sich vergewissern, dass jeder ihrer Kunden entsprechende Maßnahmen ergriffen hat. In Fällen, in denen ein Kunde die Frist nicht einhalten kann, muss der CSP ihm möglicherweise dabei helfen, eine Fristverlängerung (Aufschub) zu beantragen und einen Abhilfemaßnahmenplan aufzustellen.
Insgesamt sorgt die Einführung von MFA-Phase 2 für mehr Sicherheit für alle. CSPs, die diese Änderungen begrüßen und ihre Kunden dabei begleiten, stärken das Vertrauen und reduzieren Sicherheitsvorfälle. Auch wenn es kurzfristig zu betrieblichen Anpassungen kommen kann (zusätzliche Schritte bei der Anmeldung oder Supportanrufe zum Thema MFA), ist das langfristige Ergebnis eine sicherere Cloud-Umgebung. Durch Planung, die Aktualisierung von Tools, die Schulung von Mitarbeitern und die Kommunikation mit Kunden können CSPs einen reibungslosen Übergang gewährleisten und diesen sogar nutzen, um ihre Sicherheitskompetenz gegenüber ihren Kunden zu unterstreichen.
Azure MFA Phase 2 – Häufig gestellte Fragen (FAQ)
Frage: Was ist Azure MFA Phase 2?
A. Phase 2 ist die Ausweitung der obligatorischen Multi-Faktor-Authentifizierung (MFA) durch Microsoft auf alle Azure-Ressourcenverwaltungsschnittstellen, einschließlich CLI, PowerShell, APIs, SDKs und Automatisierungstools, ab dem 1. Oktober 2025.
Frage: Wer ist von dieser Änderung betroffen?
A. Alle menschlichen Benutzer, die Azure-Ressourcen verwalten, darunter Administratoren, Entwickler und DevOps-Ingenieure. Dienstkonten und verwaltete Identitäten sind davon nicht betroffen.
Frage: Bei welchen Vorgängen ist eine MFA erforderlich?
A. Für jede Aktion, bei der Azure-Ressourcen über das Portal, Skripte oder programmatische Schnittstellen erstellt, geändert oder gelöscht werden, ist eine MFA erforderlich. Lesezugriffe lösen möglicherweise keine MFA aus.
Frage: Welche Tools müssen aktualisiert werden?
A. Azure CLI (Version 2.76 oder höher), PowerShell (Version 7.4 oder höher) und Az PowerShell (Version 14.3 oder höher) sollten aktualisiert werden, um eine ordnungsgemäße MFA-Unterstützung sicherzustellen.
Frage: Können Organisationen die Durchsetzung aufschieben?
A. Ja, globale Administratoren können über das Azure-Portal eine vorübergehende Verschiebung beantragen, Microsoft erwartet jedoch die vollständige Einhaltung der Vorgaben.
Frage: Wie wirkt sich das auf die Automatisierung aus?
A. Die Automatisierung mithilfe von Dienstprinzipalen oder verwalteten Identitäten wird weiterhin funktionieren. Skripte, die Anmeldedaten von Benutzern verwenden, schlagen fehl, sofern die MFA nicht abgeschlossen wurde; diese sollten auf nicht-interaktive Identitäten umgestellt werden.
Frage: Was sollten Anbieter von Cloud-Lösungen (CSPs) tun?
- Interne Skripte und Tools auf ihre MFA-Kompatibilität prüfen.
- Stellen Sie sicher, dass die Multi-Faktor-Authentifizierung (MFA) Teil des Kunden-Onboardings ist.
- Bereiten Sie die Support-Teams auf Anfragen zum Thema MFA vor.
- Überwachen Sie die Einhaltung der MFA-Vorgaben bei den verschiedenen Kundenmandanten.
Frage: Was ist der Vorteil der Einführung der MFA?
A. MFA blockiert über 99 % der Angriffe, die auf die Kompromittierung von Konten abzielen, und verbessert damit die Sicherheit in Azure-Umgebungen erheblich.
Fazit
Die Einführung der MFA-Pflicht der Phase 2 durch Microsoft für Azure ist ein bedeutender Meilenstein im Bereich der Sicherheit. Sie erweitert den Schutz durch MFA auf alle Bereiche der Azure-Verwaltung und trägt damit der Tatsache Rechnung, dass Bedrohungen durch jede ungesicherte Einfallstelle eindringen können. Nutzer und Unternehmen sollten sich bereits jetzt darauf vorbereiten, indem sie MFA für alle Azure-Benutzerkonten aktivieren und ihre Arbeitsabläufe anpassen. Insbesondere Anbieter von Cloud-Lösungen müssen ihre Abläufe anpassen und ihre Kunden dabei unterstützen, diese Anforderungen über möglicherweise Hunderte von Abonnements hinweg zu erfüllen.
Bis Oktober 2025 wird die MFA zu einem unverzichtbaren Bestandteil der Azure-Nutzung werden. Diese Änderung unterstreicht einen allgemeinen Branchentrend: Starke Authentifizierung wird zur Standardpraxis. Der Aufwand, der heute in die Einhaltung dieser Vorgaben investiert wird, wird sich morgen in Form einer deutlich höheren Widerstandsfähigkeit gegen Cyberangriffe auszahlen. Microsofts Vorstoß für eine obligatorische MFA zielt darauf ab, sicherzustellen, dass jeder Azure-Kunde – vom einzelnen Entwickler über große Unternehmen bis hin zu von CSPs verwalteten Kunden – in der Cloud mit der Gewissheit arbeiten kann, dass seine Konten und Ressourcen gut geschützt sind.
