Warum wirkt MFA nicht, wenn alte Anmeldeverfahren noch aktiv sind?

„Wir haben Mehrfaktor-Authentifizierung, das Thema ist erledigt.” Der Satz ist verbreitet. Für den Weg, den Ihre Mitarbeitenden täglich nutzen, stimmt er meistens auch: Outlook, Teams, der Browser. Für alle anderen Wege in Ihre Microsoft-365-Umgebung stimmt er nicht automatisch. Ältere Anmeldeverfahren kennen den zweiten Faktor technisch nicht. Wo sie noch aktiv sind, wird er nicht umgangen. Er wird nie abgefragt.

Kurzantwort: Alte Anmeldeverfahren übertragen Benutzername und Passwort direkt an den Dienst. In diesem Ablauf gibt es technisch keinen Moment, in dem ein zweiter Faktor abgefragt werden könnte. Der Dienst kann nur „ja” oder „nein” sagen. Wo ein solcher Weg noch offen ist, wird die Mehrfaktor-Authentifizierung nicht umgangen, sondern schlicht nie ausgelöst. Microsoft hat die meisten dieser Wege inzwischen selbst geschlossen, zuletzt die Altprotokolle in SharePoint und OneDrive zum 1. Mai 2026. Offen ist 2026 vor allem noch der authentifizierte E-Mail-Versand mit Passwort, über den Kopierer, Fachanwendungen und andere Geräte Nachrichten verschicken. Er wird erst Ende Dezember 2026 für bestehende Mandanten standardmäßig deaktiviert.

Warum ein altes Anmeldeverfahren den zweiten Faktor nicht abfragen kann

Beim modernen Verfahren (OAuth 2.0) meldet sich Ihr Programm nicht selbst an. Es schickt den Nutzer zur Anmeldeseite von Microsoft Entra ID. Dort prüft Microsoft, wer da anfragt, von wo und mit welchem Gerät, und kann an dieser Stelle einen zweiten Faktor verlangen. Erst danach bekommt das Programm ein zeitlich begrenztes Zugangs-Token. Nur weil es diese Zwischenstation gibt, ist Mehrfaktor-Authentifizierung überhaupt möglich.

Beim alten Verfahren (Basisauthentifizierung) gibt es diese Zwischenstation nicht. Das Programm schickt Benutzername und Passwort bei jeder einzelnen Anfrage mit. Der Dienst kann die Kombination nur annehmen oder ablehnen. Er hat keine Möglichkeit, zurückzufragen. Genau deshalb schreibt Microsoft selbst, dass eine Durchsetzung der Mehrfaktor-Authentifizierung bei aktiver Basisauthentifizierung „nicht einfach oder in manchen Fällen nicht möglich” sei.

Das ist auch der Grund, warum Angreifer diese Wege bevorzugen. Microsoft schreibt in seiner Dokumentation zum Blockieren alter Anmeldeverfahren, dass über 97 Prozent der Angriffe mit erbeuteten Zugangsdaten und über 99 Prozent der Passwort-Sprühangriffe alte Anmeldeverfahren nutzen. Ein Erhebungsdatum nennt Microsoft dazu nicht. Wichtig zur richtigen Einordnung: Das sind Anmeldeversuche, nicht erfolgreiche Übernahmen. Die Zahl sagt, wo geklopft wird. Sie sagt nicht, dass die Tür offen steht.

Was Microsoft bereits selbst geschlossen hat

Hier liegt die gute Nachricht: Der größte Teil des Problems ist erledigt, ohne dass Sie etwas tun mussten.

Microsoft hat die Basisauthentifizierung in Exchange Online für Exchange ActiveSync, POP, IMAP, Exchange Web Services, das Offline-Adressbuch, Autodiscover, Remote-PowerShell sowie Outlook für Windows und Mac in allen Mandanten abgeschaltet. Seit dem 31. Dezember 2022 kann niemand sie wieder einschalten, auch der Microsoft-Support nicht. Die pauschale Aussage, in Ihrem Postfachsystem laufe noch flächendeckend die alte Anmeldung, trifft für diese Protokolle also nicht mehr zu.

Die Frage ist damit nicht mehr „läuft bei uns noch alles Alte?”, sondern präziser: „Welche Reste sind bei uns noch offen, und wer weiß davon?”

Welche Wege 2026 tatsächlich noch offen sein können

Am wichtigsten ist die erste Zeile. Der authentifizierte E-Mail-Versand ist der bedeutsamste Weg, auf dem in Microsoft 365 noch mit Passwort ohne zweiten Faktor gearbeitet wird. An ihm hängen genau die Geräte, die niemand als „Benutzer” wahrnimmt. Ein Kopierer, der seit sechs Jahren mit den Zugangsdaten eines längst ausgeschiedenen Mitarbeiters Scans verschickt, taucht in keiner Mitarbeiterliste auf.

Microsoft hat den Zeitplan hierfür am 27. Januar 2026 verschoben: Bis Ende Dezember 2026 bleibt alles, wie es ist, danach wird der Weg für bestehende Mandanten standardmäßig deaktiviert, für neue Mandanten steht er gar nicht mehr zur Verfügung. Eine endgültige Abschaltung will Microsoft in der zweiten Jahreshälfte 2027 ankündigen. Sie haben also Zeit, aber einen bekannten Endpunkt.

Wie Sie prüfen, ob bei Ihnen noch alte Verfahren genutzt werden

Der Nachweis lässt sich führen, ohne dass Sie selbst etwas anfassen müssen. Vier Schritte, die Sie mit Ihrem IT-Dienstleister durchgehen können:

1. Anmeldeprotokolle auswerten. Im Microsoft-Entra-Administrationszentrum unter „Überwachung & Integrität” → „Anmeldeprotokolle” lässt sich die Spalte „Client-App” einblenden und nach alten Protokollen filtern. Entscheidend ist der zweite Reiter: „Benutzeranmeldungen (nicht interaktiv)”. Dort erscheinen die Geräte und Dienste, und genau dieser Reiter wird bei schnellen Prüfungen am häufigsten übersehen.
2. Auf das Zeitfenster achten. Ohne Zusatzlizenz speichert Microsoft diese Protokolle nur sieben Tage, mit einer Premiumlizenz 30 Tage. Wer nur eine Woche zurückblicken kann, sieht den Monatsabschluss-Lauf der Buchhaltung möglicherweise nicht. Wenn Sie nur einen Blick auf die Umgebung werfen können, legen Sie ihn auf einen Zeitpunkt, der einen vollen Abrechnungszyklus abdeckt.
3. Den E-Mail-Versand gezielt abfragen. Über die Exchange-Online-Verwaltung lässt sich sowohl die mandantenweite Einstellung als auch jede einzelne Ausnahme je Postfach auslesen. Das Ergebnis ist eine Liste, kein Gefühl.
4. Durch das Haus gehen. Kopierer, Zeiterfassung, Alarmanlage, Kassensystem, Warenwirtschaft, CRM, Buchhaltung, Backup-Berichte, Türsprechanlage. Jedes Gerät, das E-Mails verschickt, hat irgendwo Zugangsdaten hinterlegt. Diese Liste entsteht nicht am Bildschirm.

Wie man abschaltet, ohne den Betrieb anzuhalten

Die Reihenfolge entscheidet darüber, ob am Montagmorgen die Scans ankommen.

Erst messen, dann sperren. Eine Richtlinie für bedingten Zugriff lässt sich im Modus „Nur berichtsbezogen” anlegen. Sie greift dann nicht ein, protokolliert aber, wen sie blockiert hätte. Im Microsoft-365-Administrationszentrum bietet der neue „Baseline Security Mode” dieselbe Funktion mit einem Auswirkungsbericht je Einstellung. Microsoft empfiehlt dort ausdrücklich, den Bericht laufen zu lassen und nur einzuschalten, wenn er null Auswirkungen zeigt.

Notfallkonten ausnehmen. Zwei reine Cloud-Konten mit Administratorrechten, die von keiner Richtlinie erfasst werden. Sie verhindern, dass Sie sich selbst aussperren.

Die gefundenen Geräte umstellen. Für den E-Mail-Versand heißt das entweder Umstellung auf moderne Anmeldung, oder Umstellung auf einen Versandweg, der überhaupt keine Postfach-Zugangsdaten mehr braucht. Beides ist Handarbeit pro Gerät und braucht Rückmeldung vom jeweiligen Hersteller.

Dann scharf schalten, gestaffelt. Erst eine Abteilung, dann das Haus. Anschließend den mandantenweiten Schalter für den authentifizierten Versand umlegen und Ausnahmen nur noch einzeln und begründet vergeben.

Und dokumentieren. Datum, Umfang, verbliebene Ausnahmen, wer sie entschieden hat und bis wann sie gilt. Das ist der Teil, der später zählt.

Ein Hinweis zur Planung: Microsoft legt inzwischen selbst verwaltete Richtlinien in Mandanten an, darunter „Legacy-Authentifizierung blockieren” und „Gerätecodefluss blockieren”. Diese starten im Berichtsmodus und werden frühestens 45 Tage später automatisch aktiviert, wenn niemand sie ausdrücklich deaktiviert; angekündigt wird das 28 Tage vorher über das Nachrichtencenter. Die Umstellung kommt also ohnehin. Wer das Nachrichtencenter mitliest, kann den Zeitpunkt selbst bestimmen.

Warum das über Technik hinaus relevant ist

Zwei Punkte, die Geschäftsführer betreffen.

Versicherung. Cyberversicherer verlangen Mehrfaktor-Authentifizierung für definierte Bereiche, typischerweise Fernzugriffe, privilegierte Konten und Cloud- beziehungsweise E-Mail-Zugänge. Einen Marktstandard „100 Prozent MFA” gibt es nicht. Nach § 28 Abs. 2 VVG ist der Versicherer bei einer Obliegenheitsverletzung nur bei Vorsatz vollständig leistungsfrei; bei grober Fahrlässigkeit wird anteilig gekürzt, bei einfacher Fahrlässigkeit bleibt die volle Leistungspflicht. § 28 Abs. 3 VVG hält die Leistungspflicht zudem aufrecht, wenn die Verletzung für den Schaden nicht ursächlich war. Das eigentliche Risiko liegt deshalb weniger in der verweigerten Zahlung als in der Angabe im Antrag selbst: Wer dort Mehrfaktor-Authentifizierung bestätigt, sollte sagen können, für welche Zugangswege sie gilt und für welche nicht.

NIS2. Das NIS2UmsuCG gilt seit dem 6. Dezember 2025. § 30 Abs. 2 Satz 2 Nr. 10 BSIG verlangt von betroffenen Einrichtungen ausdrücklich Lösungen zur Multi-Faktor- oder kontinuierlichen Authentifizierung. Das BSI stellt dazu klar, dass kein bestimmtes Vertrauensniveau vorgeschrieben ist. Die Einrichtung entscheidet das auf Basis einer Risikoanalyse selbst. Genau deshalb ist der Nachweis, dass Sie hingeschaut und entschieden haben, wichtiger als jede einzelne technische Einstellung.

Ob Ihre Einrichtung überhaupt in den Anwendungsbereich fällt, ist eine eigene Frage: § 28 Abs. 2 BSIG knüpft an mindestens 50 Beschäftigte oder an Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro an, und das beides nur in den in Anlage 1 und Anlage 2 des BSIG gelisteten Sektoren.

Die Liste, über die sich konkret entscheiden lässt, entsteht aus drei Quellen: den Anmeldeprotokollen, gelesen zu einem Zeitpunkt, der einen vollen Abrechnungszyklus abdeckt, den Versandeinstellungen je Postfach und dem Gang durch das Haus. Danach geht es nicht mehr um Vermutungen, sondern um Gerätenamen.

Quellen

• Microsoft hat die Basisauthentifizierung in Exchange Online für EAS, POP, IMAP, EWS, OAB, Autodiscover, Remote-PowerShell sowie Outlook für Windows und Mac in allen Mandanten deaktiviert; seit 31. Dezember 2022 kann sie niemand mehr reaktivieren, auch der Microsoft-Support nicht (learn.microsoft.com)
• Microsoft: Bei aktiver Basisauthentifizierung ist die Durchsetzung von MFA „nicht einfach oder in manchen Fällen nicht möglich”; Basisauthentifizierung sendet Benutzername und Passwort mit jeder Anfrage mit (learn.microsoft.com)
• Microsoft gibt in der Dokumentation zum Blockieren alter Anmeldeverfahren an, dass mehr als 97 Prozent der Credential-Stuffing-Angriffe und mehr als 99 Prozent der Password-Spray-Angriffe alte Anmeldeprotokolle nutzen. Ein Erhebungsdatum für diese Auswertung nennt Microsoft nicht; es handelt sich um Anmeldeversuche, nicht um erfolgreiche Kontoübernahmen (learn.microsoft.com)
• Anleitung zum Auffinden alter Anmeldungen über Anmeldeprotokolle, Spalte „Client-App” und den Reiter „Benutzeranmeldungen (nicht interaktiv)”; Richtlinie zunächst im Modus „Nur berichtsbezogen” anlegen und Notfallkonten ausnehmen (learn.microsoft.com)
• Aufbewahrung der Entra-Anmeldeprotokolle: sieben Tage mit Microsoft Entra ID Free, 30 Tage mit P1 und P2 (learn.microsoft.com)
• Aktualisierter Zeitplan für SMTP AUTH mit Basisauthentifizierung (Update der Exchange-Produktgruppe vom 27. Januar 2026): unverändert bis Ende Dezember 2026, danach für bestehende Mandanten standardmäßig deaktiviert mit Möglichkeit zur Reaktivierung, für neue Mandanten ab Januar 2027 nicht verfügbar; endgültiger Abschalttermin wird in der zweiten Jahreshälfte 2027 angekündigt (techcommunity.microsoft.com)
• Der authentifizierte SMTP-Versand lässt sich mandantenweit (Set-TransportConfig -SmtpClientAuthenticationDisabled) und je Postfach (Set-CASMailbox) steuern und auslesen; Microsoft empfiehlt ausdrücklich, ihn global zu deaktivieren und nur für benötigte Postfächer freizugeben (learn.microsoft.com)
• Sicherheitsstandards in Microsoft Entra ID blockieren alte Anmeldeprotokolle und den Gerätecodefluss; seit 1. Juli 2026 blockieren alle neuen Entra-Mandanten den Gerätecodefluss im Rahmen der Sicherheitsstandards. Der Gerätecodefluss ist ein moderner OAuth-2.0-Ablauf, bei dem die Anmeldung samt Mehrfaktor-Abfrage auf der Microsoft-Anmeldeseite stattfindet; das Risiko liegt in der Phishing-Nutzung, nicht in einem fehlenden zweiten Faktor (learn.microsoft.com)
• Von Microsoft verwaltete Richtlinien für bedingten Zugriff („Legacy-Authentifizierung blockieren”, „Gerätecodefluss blockieren”) werden im Berichtsmodus angelegt und frühestens 45 Tage später automatisch aktiviert, sofern der Administrator sie nicht deaktiviert; Ankündigung 28 Tage vorher per E-Mail und Nachrichtencenter (learn.microsoft.com)
• Der Baseline Security Mode im Microsoft-365-Administrationszentrum enthält die Einstellung „Block legacy authentication flows”; Microsoft empfiehlt, je Einstellung zuerst einen Auswirkungsbericht laufen zu lassen und nur bei null Auswirkungen zu aktivieren. Das Browser-Altprotokoll RPS wurde für Unternehmensmandanten 2025 abgekündigt und funktioniert nicht mehr; das Client-Altprotokoll IDCRL wurde standardmäßig ab Februar 2026 blockiert, die letzte administrative Verlängerung endete am 30. April 2026, und seit dem 1. Mai 2026 ist es endgültig zurückgezogen und nicht mehr aktivierbar (learn.microsoft.com)
• Zertifikatsbasierte Authentifizierung für ActiveSync gilt weiterhin als Legacy-Authentifizierung und wird von Richtlinien für bedingten Zugriff erfasst, die alte Anmeldeverfahren blockieren (learn.microsoft.com)
• Das BSI verweist auf § 30 Abs. 2 Satz 2 Nr. 10 BSIG, wonach betroffene Einrichtungen Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung umsetzen müssen, und stellt klar, dass kein bestimmtes Vertrauensniveau verpflichtend vorgegeben ist. Die Entscheidung erfolgt auf Basis einer eigenen Risikoanalyse (bsi.bund.de)
• § 28 Abs. 2 VVG: vollständige Leistungsfreiheit nur bei Vorsatz, anteilige Kürzung bei grober Fahrlässigkeit; § 28 Abs. 3 VVG: Leistungspflicht bleibt bestehen, wenn die Obliegenheitsverletzung für Eintritt oder Umfang des Schadens nicht ursächlich war (gesetze-im-internet.de)
• § 28 Abs. 2 BSIG: wichtige Einrichtung ab 50 Beschäftigten oder bei Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro, jeweils in den in Anlage 1 und Anlage 2 BSIG gelisteten Sektoren (gesetze-im-internet.de)