„`html

Montagmorgen, 8:15 Uhr: Ihr Vertriebsmitarbeiter meldet sich aus dem Homeoffice und kann plötzlich nicht mehr auf seine E-Mails zugreifen – jemand anderes hat sich in der Nacht mit seinen gestohlenen Zugangsdaten eingeloggt. Genau solche Szenarien lassen sich mit der Microsoft 365 Multi-Faktor-Authentifizierung zuverlässig verhindern. Die gute Nachricht: Die Einrichtung ist einfacher als gedacht und dauert pro Benutzer nur wenige Minuten.

Voraussetzungen: Was muss vor der Einrichtung geklärt sein?

Bevor Sie mit der Aktivierung der Multi-Faktor-Authentifizierung in Microsoft 365 beginnen, sollten folgende Punkte sichergestellt sein:

• Globale Administratorrechte: Sie benötigen ein Konto mit der Rolle „Globaler Administrator“ oder „Authentifizierungsadministrator“ im Microsoft 365 Admin Center. Ohne diese Rechte können Sie die Einstellungen nicht aufrufen.
• Lizenzen prüfen: Die grundlegende MFA-Funktion ist in nahezu allen Microsoft 365 Business- und Enterprise-Tarifen enthalten. Für erweiterte Richtlinien (bedingter Zugriff) benötigen Sie mindestens Microsoft Entra ID P1 – früher bekannt als Azure AD P1.
• Mitarbeiter vorab informieren: Kündigen Sie die Umstellung mindestens drei bis fünf Werktage vorher an. Ihre Mitarbeiter müssen die Microsoft Authenticator App auf ihrem Smartphone installieren können – oder alternativ eine Telefonnummer für SMS-Codes bereithalten.
• Notfallkonto einplanen: Richten Sie vorab ein sogenanntes Break-Glass-Konto (Notfalladministratorkonto) ein, das von der MFA-Pflicht ausgenommen ist. So sperren Sie sich nicht selbst aus, falls es zu technischen Problemen kommt. Hinweise dazu finden Sie direkt in der Microsoft-Dokumentation zu Notfallkonten.
• Testgerät bereithalten: Führen Sie die erste MFA-Registrierung an einem eigenen Gerät durch, bevor Sie die Pflicht für alle Nutzer aktivieren.

Schritt-für-Schritt: Microsoft 365 Multi-Faktor-Authentifizierung aktivieren

Es gibt zwei Wege zur MFA-Aktivierung: die einfachen Sicherheitsstandards (empfohlen für Einsteiger ohne Entra ID P1) und der bedingte Zugriff (für gezieltere Steuerung). Wir zeigen Ihnen zunächst den schnellsten Weg über die Sicherheitsstandards und dann die manuelle Aktivierung pro Benutzer.

1. Microsoft 365 Admin Center aufrufen

Öffnen Sie Ihren Browser und navigieren Sie zu admin.microsoft.com. Melden Sie sich mit Ihrem Administratorkonto an. Nach dem Login landen Sie auf dem Dashboard des Admin Centers. Klicken Sie links im Navigationsmenü auf „Einstellungen“ und dann auf „Organisationseinstellungen“. Das Ergebnis: Sie sehen eine Übersicht aller grundlegenden Konfigurationsoptionen Ihrer Microsoft 365 Umgebung.

2. Sicherheitsstandards im Azure-Portal aktivieren

Für die Aktivierung der Sicherheitsstandards wechseln Sie ins Azure-Portal unter portal.azure.com. Klicken Sie dort im linken Menü auf „Microsoft Entra ID“ (ehemals Azure Active Directory). Wählen Sie anschließend im Menü den Punkt „Eigenschaften“. Scrollen Sie ganz nach unten und klicken Sie auf den Link „Sicherheitsstandards verwalten“. Im sich öffnenden Seitenbereich stellen Sie den Schalter bei „Sicherheitsstandards aktivieren“ auf „Ja“ und bestätigen mit „Speichern“. Das Ergebnis: Microsoft erzwingt nun für alle Benutzer die MFA-Registrierung beim nächsten Login – automatisch und ohne weiteren Aufwand.

Praxistipp: Wenn Sie in Ihrem Unternehmen bereits Richtlinien für bedingten Zugriff (Conditional Access) verwenden, können Sie die Sicherheitsstandards nicht gleichzeitig aktivieren. In diesem Fall verwalten Sie MFA ausschließlich über den bedingten Zugriff. Sind Sie unsicher, welche Variante zu Ihnen passt? Sprechen Sie uns bei TTG an – wir beraten Sie gerne anhand Ihrer konkreten Infrastruktur.

3. MFA für einzelne Benutzer manuell aktivieren (Alternative)

Möchten Sie die Multi-Faktor-Authentifizierung gezielt für ausgewählte Nutzer einschalten – zum Beispiel zunächst nur für die Geschäftsführung – gehen Sie im Microsoft 365 Admin Center auf „Benutzer“ → „Aktive Benutzer“. Klicken Sie oben in der Symbolleiste auf die drei Punkte (weitere Aktionen) und wählen Sie „Multi-Faktor-Authentifizierung“. Es öffnet sich eine neue Seite der Legacy-MFA-Verwaltung. Setzen Sie dort das Häkchen neben dem gewünschten Benutzernamen und klicken Sie rechts auf „Aktivieren“. Bestätigen Sie den Hinweis mit „Multi-Faktor-Auth aktivieren“. Das Ergebnis: Der ausgewählte Benutzer wird beim nächsten Login aufgefordert, seine zweite Authentifizierungsmethode zu registrieren.

4. Mitarbeiter bei der Erstregistrierung begleiten

Beim nächsten Login erscheint für den betroffenen Benutzer automatisch der Hinweis „Weitere Informationen erforderlich“. Der Mitarbeiter klickt auf „Weiter“ und gelangt zur Seite aka.ms/mfasetup. Dort wählt er die bevorzugte Methode: empfohlen ist die Microsoft Authenticator App. Nach dem Download der App auf dem Smartphone wird ein QR-Code gescannt, der das Konto verknüpft. Abschließend bestätigt der Mitarbeiter eine Testbenachrichtigung auf dem Handy. Das Ergebnis: Das Konto ist ab sofort mit MFA geschützt.

Praxistipp: Legen Sie eine kurze interne Anleitung mit Screenshots für Ihre Mitarbeiter bereit – zum Beispiel als PDF im Intranet oder per E-Mail. Erfahrungsgemäß reduziert das die Support-Anfragen beim Rollout um mehr als die Hälfte. Alternativ führt das BSI in seinen Empfehlungen zur Zwei-Faktor-Authentisierung leicht verständliche Erklärungen auf, die Sie intern weiterverwenden dürfen.

5. Bedingten Zugriff für erweiterte Kontrolle konfigurieren (optional)

Wenn Sie mehr Kontrolle benötigen – etwa MFA nur bei Logins außerhalb des Firmennetzwerks oder nur für bestimmte Apps – nutzen Sie den bedingten Zugriff. Gehen Sie im Azure-Portal zu „Microsoft Entra ID“ → „Sicherheit“ → „Bedingter Zugriff“. Klicken Sie auf „Neue Richtlinie erstellen“, vergeben Sie einen aussagekräftigen Namen (z. B. „MFA-Pflicht außerhalb Büro“) und wählen Sie unter „Benutzer“ die betroffenen Konten oder Gruppen aus. Unter „Bedingungen“ definieren Sie den Auslöser (z. B. Standort außerhalb des Firmennetzwerks). Unter „Zugriffssteuerung“ aktivieren Sie „Multi-Faktor-Authentifizierung anfordern“. Speichern Sie die Richtlinie und setzen Sie sie zunächst auf „Nur Bericht“, um die Auswirkungen 48 Stunden lang zu beobachten, bevor Sie auf „Ein“ wechseln. Das Ergebnis: Nur Logins unter den definierten Bedingungen lösen die MFA-Abfrage aus.

6. Registrierungsstatus überwachen

Um zu sehen, welche Ihrer Mitarbeiter die MFA-Registrierung bereits abgeschlossen haben, öffnen Sie im Azure-Portal den Bereich „Microsoft Entra ID“ → „Überwachung“ → „Authentifizierungsmethoden“ → „Benutzerregistrierungsdetails“. Hier sehen Sie auf einen Blick, wer bereits registriert ist und wer noch aussteht. Exportieren Sie bei Bedarf die Liste als CSV-Datei und erinnern Sie ausstehende Mitarbeiter gezielt. Das Ergebnis: Sie behalten den Überblick und können den Rollout nachverfolgen.

Häufige Fehler bei der MFA-Einrichtung in KMU

Fehler 1: Kein Notfallkonto eingerichtet. Viele Administratoren aktivieren MFA für alle Konten gleichzeitig – inklusive des eigenen Admin-Kontos – ohne ein Ausweichkonto zu haben. Ist das Smartphone dann defekt oder nicht verfügbar, ist der Zugang zum Tenant gesperrt. Lösung: Richten Sie vor dem Start mindestens ein Notfalladministratorkonto ohne MFA-Pflicht ein und verwahren Sie die Zugangsdaten sicher offline.

Fehler 2: Mitarbeiter werden überrumpelt. Wenn die MFA-Pflicht ohne Vorankündigung aktiviert wird, stehen Mitarbeiter morgens vor einem unbekannten Dialog und rufen in Panik beim Support an. Das kostet Zeit und erzeugt Frust. Lösung: Kommunizieren Sie den Termin frühzeitig, stellen Sie eine Schritt-für-Schritt-Anleitung bereit und benennen Sie eine Ansprechperson für Rückfragen.

Fehler 3: SMS als einzige Backup-Methode. SMS-Codes gelten als schwächere Authentifizierungsmethode, da sie durch SIM-Swapping-Angriffe abgefangen werden können. Viele KMU richten nur SMS ein, weil es einfacher erscheint. Lösung: Setzen Sie als primäre Methode die Microsoft Authenticator App ein und hinterlegen Sie SMS nur als Fallback. Für besonders schutzbedürftige Konten (Geschäftsführung, IT-Administration) empfehlen sich zusätzlich FIDO2-Sicherheitsschlüssel.

Fazit: Mehr Sicherheit mit wenigen Klicks

Die Aktivierung der Microsoft 365 Multi-Faktor-Authentifizierung ist eine der wirkungsvollsten Maßnahmen, die Sie als KMU für die Sicherheit Ihrer Unternehmenskonten ergreifen können – und sie ist in weniger als einer Stunde umgesetzt. Ob über die einfachen Sicherheitsstandards oder den flexiblen bedingten Zugriff: Mit der richtigen Vorbereitung, einer klaren Kommunikation an die Belegschaft und einem Notfallkonto im Hintergrund schützen Sie Ihr Unternehmen zuverlässig vor den häufigsten Account-Übernahmen. Laut Studien, die regelmäßig auf der Computerwoche diskutiert werden, lassen sich über 99 Prozent aller kompromittierten Konten durch MFA verhindern – ein Argument, das für sich spricht. Möchten Sie das von TTG einrichten lassen? Sprechen Sie uns an.

„`