Im globalen Ökosystem von Microsoft – das Microsoft 365, Azure, Windows Hello und über eine Milliarde Endbenutzerkonten umfasst – gelten Passwörter als das größte Sicherheitsrisiko (über 80 % aller Sicherheitsverletzungen in Unternehmen sind auf Credential Stuffing oder Passwort-Wiederverwendung zurückzuführen). Der Microsoft Authenticator hat sich daher von einem einfachen TOTP-Client zu einem zentralen, Zero-Trust-basierten kennwortlosen Endpunkt weiterentwickelt.
Erfordert die Eingabe der im Browser angezeigten Zahl in der mobilen App; neutralisiert Push-Bombing vollständig.
Biometrische Freigabe gekoppelt mit privaten Hardware-Enclave-Schlüsseln eliminiert Passwörter lückenlos.
Geschäfts- und Schulkonten werden aus Compliance-Gründen streng von privaten Cloud-Backups ausgeschlossen.
MFA-Fatigue (Push Bombing) & Die Verpflichtung zum Nummernvergleich
Historisch galt die binäre Push-Benachrichtigung als der benutzerfreundlichste Multi-Faktor-Mechanismus: Eine Benachrichtigung auf dem Smartphone mit den einfachen Optionen „Genehmigen“ oder „Ablehnen“. In produktiven Unternehmensumgebungen schuf diese reibungslose Oberfläche jedoch eine gravierende Sicherheitslücke: MFA-Fatigue (Müdigkeitsangriffe).
1. Anatomie des Lapsus$-Push-Bombing-Angriffs
Bei aufsehenerregenden Angriffen auf globale Konzerne (darunter Uber und Okta) erlangten Angreifer gültige Mitarbeiterpasswörter aus Leak-Datenbanken im Darknet. Um die sekundäre Push-Abfrage zu umgehen, führten die Angreifer automatisierte Skripte aus, die nachts um 02:00 Uhr dutzende Push-Aufforderungen pro Minute auslösten. In einem Zustand von Schlaftrunkenheit, Verwirrung oder schierer Frustration tippten Opfer schließlich auf „Genehmigen“, nur um die Benachrichtigungsflut zu stoppen – und gewährten den Angreifern damit sofortigen Netzwerkzugriff.
2. Microsofts globale Erzwingung des Nummernvergleichs (Number Matching)
Um diesen Angriffsvektor vollständig zu eliminieren, führte Microsoft den obligatorischen Nummernvergleich (Number Matching) für alle Microsoft Entra ID (Azure AD) Tenants und Privatkonten ein:
- Dynamische Zahlenanzeige: Der Browser-Anmeldebildschirm zeigt eine pseudozufällige 2-stellige Zahl an (z. B.
73). - Manuelle Eingabe in der App: Die mobile Benachrichtigung fordert den Nutzer auf, das Smartphone zu entsperren und exakt diese Zahl auf einem interaktiven Ziffernblock einzutippen. Es existiert kein einfacher „Genehmigen“-Button mehr.
- Kontextbezogene Geoinformation & App-Name: Die Aufforderung zeigt die anfragende Anwendung (z. B. „Microsoft Office Web“) und den geografischen Standort basierend auf dem IP-Lookup an.
Da ein externer Angreifer die auf dem physischen Bildschirm des Opfers angezeigte Nummer nicht sehen kann und das schlafende Opfer die geforderte Zahl unmöglich erraten kann, senkt der Nummernvergleich die Erfolgsquote automatisierter Push-Bombing-Angriffe auf mathematisch null.
Architektur der kennwortlosen Telefonanmeldung
Echte kennwortlose Authentifizierung bedeutet nicht bloß, dass ein Passwort im Hintergrund automatisch ausgefüllt wird. Sie basiert auf asymmetrischer Public-Key-Kryptografie nach dem FIDO2-Standard und verwandelt Ihr mobiles Endgerät in ein hardwaregestütztes Sicherheitsmodul.
Kryptografischer Ablauf der Telefonanmeldung:
- Registrierungsphase: Bei der Aktivierung der Telefonanmeldung weist die App die Hardware-Sicherheitseinheit des Smartphones (Apple Secure Enclave oder Android StrongBox/TEE) an, ein asymmetrisches Schlüsselpaar zu generieren. Der private Schlüssel verbleibt permanent isoliert in der Hardware; der öffentliche Schlüssel wird in der Microsoft Identity Cloud registriert.
- Challenge-Übermittlung: Gibt der Benutzer seinen Benutzernamen im Browser ein, sendet Microsoft eine flüchtige kryptografische Nonce-Challenge über APNs bzw. FCM an das registrierte Gerät.
- Biometrische Autorisierung: Der Anwender bestätigt seine Identität lokal per Face ID, Touch ID oder Geräte-PIN. Diese Hardware-Geste autorisiert die Secure Enclave zum Zugriff auf den privaten Schlüssel.
- Kryptografische Signatur: Der private Schlüssel signiert die Server-Challenge und sendet die Signatur an Microsofts Identitäts-Gateway zurück. Das Gateway verifiziert die Signatur anhand des zuvor hinterlegten öffentlichen Schlüssels und erteilt Zugriff. Zu keinem Zeitpunkt wird ein Passwort über das Netzwerk übertragen.
- Fügen Sie Ihr persönliches Konto zum Microsoft Authenticator hinzu und aktivieren Sie „Telefonische Anmeldung einrichten“.
- Öffnen Sie am Desktop die erweiterten Sicherheitsoptionen:
account.live.com/proofs/manage/additional. - Suchen Sie unter „Zusätzliche Sicherheit“ den Punkt Kennwortloses Konto und wählen Sie Aktivieren.
- Bestätigen Sie die Nummernvergleich-Aufforderung auf Ihrem Mobiltelefon. Das Kennwort wird damit vollständig aus Microsofts Datenbanken gelöscht!
Persönliche Microsoft-Konten (MSA) vs. Geschäfts-/Schulkonten (Entra ID)
Häufig verwalten Anwender mehrere Identitäten in einer einzigen Authenticator-App. Die gleichzeitige Nutzung privater Konsumentenkonten und unternehmensweiter Entra ID-Konten folgt grundlegend unterschiedlichen Vertrauensmodellen.
| Evaluationskriterium | Persönliches Microsoft-Konto (MSA) | Geschäfts- / Schulkonto (Entra ID) |
|---|---|---|
| Identitätsbereich | @outlook.com, @hotmail.com, @live.com | @unternehmen.de, @universitaet.de |
| Administrative Steuerung | Volle Souveränität des Endnutzers | Globaler Tenant-Administrator & Intune MDM |
| Conditional-Access-Richtlinien | Standardmäßige Verbraucher-Risikoerkennung | Erzwingt konforme Geräte, vertrauenswürdige IP-Zonen |
| Cloud-Backup-Machbarkeit | ✅ Vollständig im persönlichen Cloud-Speicher gesichert | ❌ Private Schlüssel bewusst ausgeschlossen |
| Notfallwiederherstellungsweg | Sekundäre E-Mail, SMS, 25-stelliger Recovery-Schlüssel | IT-Helpdesk Temporary Access Pass (TAP) |
Conditional Access & Hierarchie der Authentifizierungsstärken
In Microsoft Entra ID Conditional Access können Administratoren Authentifizierungsanforderungen über sogenannte Authentifizierungsstärken (Authentication Strengths) in drei präzise Sicherheitsstufen gliedern:
Multifaktor-Authentifizierung
Akzeptiert SMS-OTP, Sprachanrufe, standardmäßige 6-stellige TOTP-Codes oder Push-Freigaben. Geeignet für Basiszugriffe mit moderatem Risikoprofil.
Telefonanmeldung ohne Kennwort
Erfordert Microsoft Authenticator Telefonanmeldung oder Windows Hello for Business. Phishing-anfällige Passwörter werden komplett aus dem Pfad verbannt.
FIDO2 & Zertifikatsbasiert
Akzeptiert ausschließlich FIDO2-Sicherheitsschlüssel (z. B. YubiKey) und zertifikatsbasierte CBA-Smartcards. Verbindlicher Standard für globale Administratoren.
Passkeys (FIDO2 WebAuthn) vs. Telefonanmeldung: Die kryptografische Trennung
Sicherheitsarchitekten verwechseln häufig die klassische Microsoft „Telefonanmeldung ohne Kennwort“ mit den neu standardisierten „Passkeys im Authenticator“. Obwohl beide dem Endnutzer eine biometrische Abfrage präsentieren, unterscheidet sich die zugrundeliegende Kryptografie grundlegend:
- Telefonanmeldung: Basiert auf Microsofts proprietärer Azure AD Broker-Architektur. Das Gerät registriert sich direkt bei Entra ID und generiert ein Schlüsselpaar, das exklusiv an die Laufzeitumgebung der Authenticator-App gebunden ist.
- Passkeys (FIDO2 WebAuthn): Folgt der herstellerneutralen W3C Web Authentication Spezifikation. Der private Schlüssel wird hardwareseitig in der Secure Enclave (Apple iOS) oder dem Hardware-backed Keystore / StrongBox (Android) versiegelt. Bei der geräteübergreifenden Anmeldung nutzt FIDO Cross-Device Authentication verschlüsselte QR-Handshakes kombiniert mit Bluetooth Low Energy (BLE) Nähe-Erkennung. Dadurch wird mathematisch sichergestellt, dass sich das Smartphone in physischer Nähe des Bildschirms befindet – Remote-Phishing ist technisch unmöglich.
Continuous Access Evaluation (CAE) & Schutz vor Token-Diebstahl:
Standardmäßige OAuth 2.0 Access-Tokens besitzen ein typisches Gültigkeitsfenster von einer Stunde. Stiehlt ein Angreifer ein aktives Session-Token mittels Infostealer-Schadsoftware, hinterlässt das bloße Deaktivieren des Benutzerkontos im Active Directory oft ein gefährliches Zeitfenster. Microsoft Entra ID löst dies über Continuous Access Evaluation (CAE): Durch eine persistente Echtzeit-Ereignispipeline zwischen Entra ID und Microsoft 365 Diensten (Exchange, Teams, SharePoint) führen kritische Ereignisse wie Passwortwiderruf, Kontosperrung oder plötzliche IP-Risikosprünge zum Widerruf aktiver Tokens innerhalb von Minuten.
Revoke-MgUserSignInSession -UserId "[email protected]"
Microsoft Intune MAM (Mobile Application Management) Endgeräteschutz
In BYOD-Szenarien (Bring Your Own Device) könnten private mobile Betriebssysteme Schadsoftware, Keylogger oder verdächtige Barrierefreiheitsdienste beherbergen. Der Microsoft Authenticator lässt sich über Intune MAM-App-Schutzrichtlinien absichern, ohne dass ein invasives Mobile Device Management (MDM) erforderlich ist:
- Erzwungene biometrische Entsperrung: Erfordert Face ID / Touch ID / Android-Biometrie vor jedem Zugriff auf Firmentoken oder Nummernvergleich-Eingaben.
- Blockade von Bildschirmaufnahmen: Verhindert Screenshots und Bildschirmaufzeichnungen innerhalb der Authenticator-App auf Android und iOS.
- Jailbreak- & Root-Erkennung: Blockiert die Token-Ausgabe und entzieht die Telefonanmeldungs-Berechtigung sofort, wenn die Systemintegrität des Mobilgeräts kompromittiert wurde.
Temporary Access Pass (TAP): Bereitstellung komplett ohne Kennwort
Wenn ein neuer Mitarbeiter in ein Unternehmen eintritt oder ein Beschäftigter sein Smartphone verloren hat: Wie registriert er einen neuen Authenticator, wenn die Organisation Passwörter vollständig verboten hat? Die Lösung ist der Temporary Access Pass (TAP):
Lebenszyklus der TAP-Bereitstellung im Unternehmen:
- Administrator stellt TAP aus: Der IT-Helpdesk generiert im Entra Admin Center einen zeitlich befristeten, kryptografisch zufälligen Code (z. B. 4 Stunden gültig, Einmalnutzung).
- Benutzer öffnet Sicherheitsseite: Der Mitarbeiter navigiert am Arbeitsplatzrechner auf
https://aka.ms/mysecurityinfo. - Authentifizierung via TAP: Die Eingabe des temporären Zugriffspasses erfüllt sämtliche MFA-Anforderungen für die Ersteinrichtung.
- Gerätekopplung: Der Mitarbeiter registriert den Microsoft Authenticator über den angezeigten QR-Code. Während des gesamten Arbeitsverhältnisses existiert zu keinem Zeitpunkt ein permanentes Kennwort!
Standardmäßige RFC 6238 TOTP-Verwaltung & Drittanbieter
Neben Microsoft-Ökosystemen agiert der Microsoft Authenticator als universelle RFC 6238 TOTP-Engine. Er kann Tokens für Amazon, GitHub, Google, AWS sowie Krypto-Börsen sicher speichern.
Drittanbieter-Plattformen hinzufügen:
Tippen Sie oben rechts auf das „+“-Symbol und wählen Sie „Sonstiges (Google, Facebook usw.)“. Scannen Sie den QR-Code des Drittanbieters. Die App führt daraufhin standardmäßige HMAC-SHA1-Berechnungen im 30-Sekunden-Intervall aus.
Ja. Wählen Sie bei der Einrichtung der zweistufigen Verifizierung in den Microsoft-Sicherheitseinstellungen die Option „Ich möchte eine andere Authentifikator-App einrichten“. Microsoft zeigt daraufhin einen standardmäßigen Base32-Geheimschlüssel an. Diesen Schlüssel können Sie in 2FA-Tool.com einfügen, um Tokens zu 100 % lokal in Ihrem Desktop-Browser zu berechnen.
Cloud-Backup & Gerätemigration: Drei kritische Fallstricke
Der Microsoft Authenticator bietet eine Cloud-Backup-Funktion. Architekturbedingte Grenzen stellen jedoch gravierende Stolperfallen dar:
Fallstrick 1: Geschäfts- und Schulkonten werden niemals mit Anmeldedaten gesichert
Stellen Sie ein Authenticator-Backup auf einem neuen Smartphone wieder her, erscheinen private Microsoft-Konten und Drittanbieter-TOTP-Codes nahtlos. Alle geschäftlichen Entra ID-Einträge zeigen jedoch ein rotes Ausrufezeichen: „Aktion erforderlich – Erneute Authentifizierung erforderlich“. Sicherheitsrichtlinien verbieten das Exportieren von Unternehmensschlüsseln in private Konsumenten-Clouds. Die Neu-Autorisierung muss von einer aktiven Unternehmenssitzung am PC aus erfolgen!
Fallstrick 2: Der Betriebssystem-Bruch (iOS vs. Android)
Unter iOS verschlüsselt der Microsoft Authenticator Backups in den Apple iCloud-Schlüsselbund. Unter Android speichert er Backups in Ihrem persönlichen Microsoft OneDrive. Zwischen diesen beiden Cloud-Systemen existiert keinerlei Interoperabilität. Ein iPhone-Backup kann nicht direkt auf ein Android-Gerät übertragen werden (und umgekehrt). Bei einem Plattformwechsel müssen alle 2FA-Dienste vor dem Löschen des Altgeräts manuell übertragen werden.
Fallstrick 3: Das Henne-Ei-Problem bei „Anmelden vs. Wiederherstellen“
Nach einer Neuinstallation der App auf einem neuen Smartphone befindet sich am unteren Bildschirmrand ein dezenter Link: „Aus Sicherung wiederherstellen“. Sie müssen diesen Link zwingend antippen, bevor Sie manuell Konten hinzufügen! Tippen Sie versehentlich zuerst auf „Konto hinzufügen“, fordert die App Sie zu einer 2FA-Bestätigung auf – die sich jedoch genau in dem Backup befindet, das noch nicht wiederhergestellt wurde.
Fehlerbehebung: Push-Ausfälle & Wiederherstellung
Problem 1: Push-Benachrichtigungen mit Nummernvergleich erreichen das Telefon nicht
- Aggressive Akkuoptimierung (Android): Viele Hersteller-UIs beenden Hintergrunddienste rigoros. Nehmen Sie den Microsoft Authenticator in den Systemeinstellungen von der Akkuoptimierung aus.
- Ausfall von Google Play Services: Geräte ohne zertifizierte Google-Dienste können keine FCM-Hintergrundbenachrichtigungen empfangen. Öffnen Sie die App manuell, um die Abfrage zu erzwingen.
- VPN-Routing-Einschränkungen: Bestimmte Firmen-VPNs unterbrechen persistente TLS-Verbindungen zu Microsofts Push-Endpunkten.
Problem 2: Smartphone zerstört ohne Backup – Wiederherstellung des Unternehmenszugriffs
Während Privatnutzer auf hinterlegte Notfallcodes angewiesen sind, haben Entra ID-Nutzer im Unternehmen einen dedizierten Notfallweg:
Kontaktieren Sie den internen IT-Helpdesk. Ein Administrator kann im Entra Admin Center Ihr Benutzerprofil unter „Authentifizierungsmethoden“ aufrufen und einen zeitlich begrenzten Temporary Access Pass (TAP) ausstellen. Dieser Code umgeht die reguläre MFA und erlaubt Ihnen die Erstanmeldung und Registrierung des Ersatzgeräts.
Häufig gestellte Fragen (FAQ)
Kann ich die Telefonanmeldung im Flugmodus oder ohne Internetverbindung nutzen? ▼
Push-Aufforderungen mit Nummernvergleich benötigen eine aktive Internetverbindung, um die kryptografischen Server-Challenges zu empfangen. Befindet sich Ihr Smartphone im Flugmodus oder offline, wählen Sie im Browser „Ich kann meine Microsoft Authenticator-App gerade nicht verwenden“ und anschließend „Prüfcode verwenden“. Öffnen Sie die Authenticator-App und geben Sie den lokal berechneten 6-stelligen TOTP-Code ein, der vollständig ohne Internetverbindung funktioniert.
Wie schneidet Microsoft Authenticator im Vergleich zum Google Authenticator ab? ▼
Für Microsoft 365, Azure und geschäftliche Entra ID-Umgebungen ist Microsoft Authenticator durch nativen Nummernvergleich, Conditional Access-Unterstützung und Passkey-Integration deutlich überlegen. Für reine private TOTP-Nutzung über heterogene Geräteplattformen hinweg (Wechsel zwischen iOS und Android) bietet Google Authenticator durch seine einheitliche Google-Konto-Cloudsynchronisation eine unkompliziertere Migration.
Was geschieht, wenn ich die Microsoft Authenticator App versehentlich lösche? ▼
War das Cloud-Backup vor dem Löschen aktiviert, installieren Sie die App neu und tippen Sie im Startbildschirm auf „Aus Sicherung wiederherstellen“. Melden Sie sich mit Ihrem persönlichen Wiederherstellungs-Microsoft-Konto (bzw. Ihrer Apple-ID) an. War kein Backup aktiv, müssen Sie bei privaten Konten Ihre hinterlegte Notfall-E-Mail, SMS oder den 25-stelligen Wiederherstellungsschlüssel nutzen. Bei Firmenkonten kann Ihr IT-Helpdesk einen Temporary Access Pass (TAP) für eine Neuregistrierung ausstellen.
Universelle 2FA-Token sicher generieren
Benötigen Sie clientseitige RFC 6238 TOTP-Berechnungen für Enterprise-Cloud-Konsolen, Git-Repositories und Webdienste? Nutzen Sie das 100 % offline-fähige, datenschutzfreundliche Web-Werkzeug von 2FA-Tool.