# Authentifizierungsmethoden Authentication Methods

Passwort, Authenticator, FIDO2, Windows Hello for Business, CBA, OATH, SSPR, System-preferred MFA und Graph-Referenz. Password, Authenticator, FIDO2, Windows Hello for Business, CBA, OATH, SSPR, system-preferred MFA, and Graph reference.

Phishing-resistent Phishing resistant

FIDO2, Windows Hello for Business und CBA bieten den höchsten Schutz gegen Passwortdiebstahl und Adversary-in-the-Middle. FIDO2, Windows Hello for Business, and CBA provide the strongest protection against password theft and adversary-in-the-middle attacks.

Policy statt Einzelfall Policy over exceptions

Die Authentication Methods Policy ersetzt verstreute Legacy-Einstellungen und erlaubt methodenbasierte Steuerung nach Gruppen. The Authentication Methods Policy replaces scattered legacy settings and enables method-based control by group.

System-preferred MFA System-preferred MFA

Entra lenkt Benutzer automatisch auf die stärkste registrierte und verfügbare Methode. Entra automatically steers users toward the strongest registered and available method.

SSPR & Combined Registration SSPR & combined registration

Registrierung, Wiederherstellung und Passwortlos-Strategien sollten als gemeinsamer Endbenutzerprozess entworfen werden. Registration, recovery, and passwordless strategies should be designed as one end-user experience.

## Alle Authentifizierungsmethoden im Überblick All authentication methods at a glance

Methode Method | Stärke / Einsatz Strength / use | Wichtiger Hinweis Key note
--- | --- | ---
Passwort Password | Grundlegende Wissenskomponente; allein nicht ausreichend für privilegierte Szenarien. Basic knowledge factor; insufficient alone for privileged scenarios. | Immer mit starken Richtlinien, SSPR und Angriffserkennung kombinieren. Always combine with strong policy, SSPR, and attack detection.
Microsoft Authenticator Push Microsoft Authenticator push | Starke App-basierte MFA mit Nummernabgleich und Kontext. Strong app-based MFA with number matching and context. | Standardmethode für breite Belegschaft. Default method for broad workforce.
Authenticator passwordless phone sign-in Authenticator passwordless phone sign-in | Passwortlose Anmeldung mit Gerätebindung und Bestätigung in der App. Passwordless sign-in with device binding and in-app confirmation. | Ideal als Brücke in Richtung Passkeys und WHfB. Ideal bridge toward passkeys and WHfB.
FIDO2 Security Key FIDO2 security key | Phishing-resistente Anmeldung mit externem Sicherheitsschlüssel. Phishing-resistant sign-in with an external security key. | Besonders für Administratoren, Frontline und Shared Devices. Especially for administrators, frontline, and shared devices.
Windows Hello for Business Windows Hello for Business | Gerätegebundene Schlüsselpaar-basierte Anmeldung mit PIN/Biometrie. Device-bound key pair based sign-in with PIN/biometrics. | Cloud Kerberos Trust bevorzugt für moderne Hybrid-Szenarien. Prefer cloud Kerberos trust for modern hybrid scenarios.
Certificate-Based Authentication Certificate-Based Authentication | Smartcard- oder Zertifikatsanmeldung mit starker PKI-Bindung. Smartcard or certificate sign-in with strong PKI binding. | Wichtig für regulierte Umgebungen und vorhandene PKI. Important in regulated environments and existing PKI scenarios.
OATH Hardware Token OATH hardware token | Zeitbasierter Codegenerator ohne Smartphone. Time-based code generator without a smartphone. | Fallback für Spezialumgebungen. Fallback for special environments.
OATH Software Token OATH software token | TOTP in kompatiblen Apps. TOTP in compatible apps. | Weniger komfortabel als Authenticator Push. Less convenient than Authenticator push.
SMS SMS | Niederschwellig, aber mit höherem Abfang- und SIM-Swap-Risiko. Low barrier but higher interception and SIM-swap risk. | Nur als Übergangs- oder Fallbackmethode. Use only as a transition or fallback method.
Voice Call Voice call | Telefonischer zweiter Faktor für Legacy-Benutzergruppen. Phone call second factor for legacy user groups. | Barrierefrei, aber schwächer und teurer im Betrieb. Accessible but weaker and more expensive to operate.
Email OTP Email OTP | Einmalcode per E-Mail, vor allem für Gastzugriff und bestimmte B2B-Flows. One-time code via email, mostly for guest access and certain B2B flows. | Nicht als primäre Mitarbeiter-Methode planen. Do not plan as a primary employee method.
Temporary Access Pass Temporary Access Pass | Zeitlich begrenzter Pass für Bootstrapping von Passwortlos oder Recovery. Time-limited pass for passwordless bootstrap or recovery. | Stark für Erstregistrierung und Break-glass-onboarding. Powerful for first registration and recovery onboarding.

Spezialthema Special topic | Empfehlung Recommendation | Kommentar Comment
--- | --- | ---
FIDO2 Attestation FIDO2 attestation | Attestierte Schlüssel erlauben Hersteller- oder AAGUID-basierte Zulassung. Attested keys allow vendor or AAGUID based allowlisting. | Für Hochsicherheit und Hardwarestandards sinnvoll. Useful for high security and hardware standards.
WHfB Key Trust WHfB key trust | Einfachster Einstieg in hybridem AD; Kerberos-Key in AD. Simplest entry in hybrid AD; Kerberos key in AD. | Benötigt passende Hybridvoraussetzungen. Requires the right hybrid prerequisites.
WHfB Certificate Trust WHfB certificate trust | Für Smartcard-ähnliche Anforderungen und bestehende PKI. For smartcard-like requirements and existing PKI. | Komplexer Betrieb mit Zertifikatslebenszyklus. More complex operations with certificate lifecycle.
WHfB Cloud Kerberos Trust WHfB cloud Kerberos trust | Bevorzugtes modernes Modell für Hybrid ohne komplexe Zertifikatskette. Preferred modern model for hybrid without complex certificate chains. | Reduziert Infrastruktur und beschleunigt Rollout. Reduces infrastructure and speeds rollout.

## Authentication Methods Policy, Registrierungskampagnen und System-preferred MFA Authentication Methods Policy, registration campaigns, and system-preferred MFA

Richtlinienelement Policy element | Bedeutung Meaning | Praxis Practice
--- | --- | ---
Zielgruppen Target groups | Methoden können pro Gruppe erlaubt, blockiert oder pilotiert werden. Methods can be allowed, blocked, or piloted per group. | Nutze gestaffelte Rollouts nach Persona. Use persona-based staged rollouts.
Registrierungskampagne Registration campaign | Erinnert Benutzer an Security Info Registrierung und priorisiert sichere Methoden. Prompts users to register security info and prioritize strong methods. | Mit Kommunikationsplan und Supportzeitraum kombinieren. Combine with communications and a support window.
System-preferred MFA System-preferred MFA | Entra wählt automatisch die beste vorhandene Methode. Entra automatically chooses the best available method. | Reduziert Helpdesk-Fälle und verbessert Sicherheit. Reduces helpdesk cases and improves security.
Methodenpriorität Method precedence | Phishing-resistente oder App-basierte Methoden vor SMS/Voice. Phishing-resistant or app-based methods before SMS/Voice. | Benutzer sehen weniger unsichere Optionen. Users see fewer weak options.
Combined Registration Combined registration | SSPR- und MFA-Daten werden in einer Experience erfasst. SSPR and MFA data are captured in one experience. | Der Standard für neue Rollouts. The default for new rollouts.

Authentication Strength Authentication strength | Enthaltene Methoden Included methods | Typische Verwendung Typical use
--- | --- | ---
Multifaktor-Authentifizierung Multifactor authentication | Authenticator, FIDO2, WHfB, CBA, OATH, SMS/Voice je nach Konfiguration. Authenticator, FIDO2, WHfB, CBA, OATH, SMS/Voice depending on configuration. | Allgemeine MFA-Anforderung. General MFA requirement.
Passwordless MFA Passwordless MFA | FIDO2, WHfB, Authenticator phone sign-in. FIDO2, WHfB, Authenticator phone sign-in. | Schrittweiser Passwortabbau. Stepwise password reduction.
Phishing-resistant MFA Phishing-resistant MFA | FIDO2, WHfB, CBA. FIDO2, WHfB, CBA. | Administratoren, privilegierte Apps, sensible Daten. Administrators, privileged apps, sensitive data.
Custom Strength Custom strength | Organisationsspezifische Kombination aus zugelassenen Methoden. Organization-specific combination of allowed methods. | Spezielle Personas und Übergangsphasen. Special personas and transition phases.

## SSPR, Combined Registration und Passwortlos-Rollout SSPR, combined registration, and passwordless rollout

Self-Service Password Reset bleibt ein Kernbaustein, selbst wenn langfristig Passwortlos das Ziel ist. Die Recovery-Kette muss zu deiner bevorzugten Primärmethode passen und für hybride Umgebungen Passwort-Writeback, Sperrungsrichtlinien und Supportprozesse berücksichtigen. Self-Service Password Reset remains a core building block even when passwordless is the long-term target. The recovery chain must match your preferred primary method and, for hybrid estates, account for password writeback, lockout policy, and support processes.

SSPR-Methode SSPR method | Stärken Strengths | Grenzen Limitations
--- | --- | ---
Authenticator Notification/Code Authenticator notification/code | Stark, benutzerfreundlich, Cloud-nativ. Strong, user friendly, cloud native. | Gerätewechsel und Backup-Prozess definieren. Define device replacement and backup flow.
SMS SMS | Einfach für Massenrollout. Simple for mass rollout. | Schwächer, daher nicht einzige Recovery-Option. Weaker, so do not make it the only recovery option.
Voice Voice | Barrierefrei für bestimmte Zielgruppen. Accessible for certain user groups. | Schwächer und kostspieliger. Weaker and costlier.
Email Email | Relevant für Gast- und Sonderfälle. Relevant for guest and special cases. | Nicht für interne privilegierte Konten geeignet. Not suitable for internal privileged accounts.
Security Questions Security questions | Nur in bestimmten Szenarien sinnvoll. Only useful in specific scenarios. | Für privilegierte Konten vermeiden. Avoid for privileged accounts.
On-premises Writeback On-premises writeback | Hält Hybrid-Kennwortzustand konsistent. Keeps hybrid password state consistent. | Erfordert Connect/Cloud Sync-Abhängigkeiten und Tests. Requires Connect/Cloud Sync dependencies and testing.

- Definiere Personagruppen: Admins, Standard User, Frontline, Gäste, Shared Devices. Define persona groups: admins, standard users, frontline, guests, shared devices.
- Starte Combined Registration mit Kommunikationskampagne und klaren Supportkanälen. Launch combined registration with a communication campaign and clear support channels.
- Migriere zuerst auf App-basierte MFA, danach auf Passwordless und zuletzt auf phishing-resistente Methoden für Hochrisiko-Personas. Move first to app-based MFA, then to passwordless, and finally to phishing-resistant methods for high-risk personas.
- Nutze TAP für Erstregistrierung, Gerätewechsel und Wiederherstellung gesperrter Benutzer. Use TAP for first registration, device replacement, and recovery of locked users.
- Schalte per-user MFA schrittweise ab und ersetze es durch Conditional Access plus Authentication Strengths. Retire per-user MFA gradually and replace it with Conditional Access plus authentication strengths.

## Graph API, Berichte und PowerShell Graph API, reporting, and PowerShell

API / Cmdlet API / cmdlet | Zweck Purpose | Bemerkung Remark
--- | --- | ---
GET /policies/authenticationMethodsPolicy GET /policies/authenticationMethodsPolicy | Liest die globale Auth-Methoden-Policy. Reads the global authentication methods policy. | Für Soll-Ist-Abgleiche und Backups. Use for drift checks and backups.
PATCH /policies/authenticationMethodsPolicy PATCH /policies/authenticationMethodsPolicy | Ändert erlaubte Methoden und Einstellungen. Changes allowed methods and settings. | Änderungen zuerst im Pilot verifizieren. Validate changes in pilot first.
GET /users/{id}/authentication/methods GET /users/{id}/authentication/methods | Zeigt registrierte Methoden eines Benutzers. Shows a user’s registered methods. | Hilfreich für Support und Reporting. Useful for support and reporting.
POST /users/{id}/authentication/temporaryAccessPassMethods POST /users/{id}/authentication/temporaryAccessPassMethods | Erstellt einen Temporary Access Pass. Creates a Temporary Access Pass. | Für Bootstrap- und Recovery-Szenarien. For bootstrap and recovery scenarios.
Get-MgUserAuthenticationMethod Get-MgUserAuthenticationMethod | PowerShell-Äquivalent für registrierte Methoden. PowerShell equivalent for registered methods. | Graph PowerShell SDK erforderlich. Requires the Graph PowerShell SDK.
Get-MgReportAuthenticationMethodUserRegistrationDetail Get-MgReportAuthenticationMethodUserRegistrationDetail | Registrierungsstatus und Methodennutzung auslesen. Read registration state and method usage. | Ideal für Rollout-Dashboards. Ideal for rollout dashboards.

JSON JSON

    {
      "isUsableOnce": true,
      "lifetimeInMinutes": 60,
      "startDateTime": "2026-06-11T08:00:00Z"
    }

PowerShell PowerShell

    Connect-MgGraph -Scopes "UserAuthenticationMethod.Read.All","Reports.Read.All"
    Get-MgReportAuthenticationMethodUserRegistrationDetail -All |
        Select-Object UserPrincipalName, IsMfaRegistered, IsSsprRegistered, DefaultMfaMethod

Migrationsschritt Migration step | Per-user MFA nach CA Per-user MFA to CA | Ziel Goal
--- | --- | ---
Inventur Inventory | Benutzer mit Legacy-MFA-Status und Sonderfällen erfassen. Capture users with legacy MFA state and special cases. | Ausnahmen sichtbar machen. Make exceptions visible.
CA-Baseline CA baseline | Pilot-Policies mit Report-only und Authentication Strengths aufbauen. Build pilot policies with report-only and authentication strengths. | Sicheres Zielbild ohne produktiven Bruch. Secure target state without production breakage.
Methodenrollout Method rollout | Authenticator, FIDO2 oder WHfB registrieren lassen. Drive Authenticator, FIDO2, or WHfB registration. | Bereitschaft vor Umschaltung sicherstellen. Ensure readiness before cutover.
Legacy abschalten Turn off legacy | Per-user MFA und alte Portaloptionen entfernen. Remove per-user MFA and old portal settings. | Zentralisiertes Richtlinienmodell. Centralized policy model.

## Betriebscheckliste Operational checklist

Checkpunkt Checkpoint | Erwarteter Zustand Expected state | Bewertung Assessment
--- | --- | ---
System-preferred MFA aktiv System-preferred MFA enabled | Stärkste registrierte Methode wird priorisiert. Strongest registered method is prioritized. | Ja/Nein Yes/No
Per-user MFA ersetzt Per-user MFA replaced | Conditional Access und Strengths übernehmen. Conditional Access and strengths take over. | Ja/Nein Yes/No
SSPR Writeback getestet SSPR writeback tested | Hybrid-Kennwortänderung erfolgreich. Hybrid password change successful. | Ja/Nein Yes/No
FIDO2 Pilot FIDO2 pilot | Admins oder privilegierte Nutzer pilotiert. Admins or privileged users piloted. | Ja/Nein Yes/No
TAP-Runbook TAP runbook | Erstregistrierung und Recovery dokumentiert. First registration and recovery documented. | Ja/Nein Yes/No
Number Matching aktiv Number matching enabled | Authenticator Push gegen MFA fatigue gehärtet. Authenticator push hardened against MFA fatigue. | Ja/Nein Yes/No
Berichte etabliert Reports established | Registrierung und Methodennutzung ausgewertet. Registration and method use reviewed. | Ja/Nein Yes/No
Break-glass ohne Benutzerfriktion Break-glass without user friction | Notfallprozess separat und sicher. Emergency process separate and secure. | Ja/Nein Yes/No

## Glossar & Schnellreferenz Glossary & quick reference

Begriff Term | Definition Definition
--- | ---
Authentication Strength Authentication Strength | Richtlinienobjekt für erlaubte starke Methoden. Policy object for allowed strong methods.
TAP TAP | Temporary Access Pass for bootstrap/recovery. Temporary Access Pass für Bootstrap/Recovery.
WHfB WHfB | Windows Hello for Business. Windows Hello for Business.
CBA CBA | Certificate-Based Authentication. Certificate-Based Authentication.
FIDO2 FIDO2 | Phishing-resistenter Hardware- oder Plattformschlüssel. Phishing-resistant hardware or platform key.
Combined Registration Combined Registration | Gemeinsame Registrierung für MFA und SSPR. Unified registration for MFA and SSPR.
SSPR SSPR | Self-Service Password Reset. Self-Service Password Reset.
Number Matching Number Matching | Bestätigungscode in Authenticator Push. Verification code in Authenticator push.