Plan für Veränderung - Durchsetzung der Zugangskontrolle bei der Registrierung von Berechtigungsnachweisen

März 2026
Plan zur Änderung - Durchsetzung des bedingten Zugriffs bei der Registrierung von Anmeldeinformationen für Windows Hello for Business und macOS Platform SSO

Typ: Plan zur Änderung
Dienstkategorie: Bedingter Zugriff
Produktfähigkeit: Benutzerauthentifizierung

Ab Mai 2026 werden Richtlinien für bedingten Zugriff, die auf die Benutzeraktion "Sicherheitsinformationen registrieren" beschränkt sind, bei der Registrierung von Anmeldeinformationen für Windows Hello for Business und macOS Platform SSO ausgewertet. Der Rollout beginnt Ende April 2026. Dadurch wird sichergestellt, dass Ihre Sicherheitsanforderungen erfüllt werden, wenn Benutzer diese Anmeldeinformationen einrichten und nicht nur, wenn sie sich anmelden. Organisationen ohne CA-Richtlinien, die auf diese Benutzeraktion abzielen, sind von dieser Änderung nicht betroffen.

Wichtig: Auch ohne Richtlinien für bedingten Zugriff, die die Benutzeraktion "Sicherheitsinformationen registrieren" schützen, ist MFA weiterhin standardmäßig für alle passwortlosen Anmeldeinformationen erforderlich - einschließlich Windows Hello for Business, macOS Platform SSO und alle Passkey-Typen.

Was sich ändert
Ab Mai 2026, wenn ein Benutzer Windows Hello for Business auf einem neuen Gerät einrichtet oder macOS Platform SSO-Anmeldeinformationen registriert, wertet Microsoft Entra ID alle Richtlinien für bedingten Zugriff aus, die auf die Benutzeraktion Sicherheitsinformationen registrieren abzielen. Wenn der Benutzer die Anforderungen der Richtlinie nicht erfüllt, wird er aufgefordert, diese zu erfüllen, bevor er die Registrierung abschließt. Dies gilt nur für Organisationen, die CA-Richtlinien zum Schutz dieser Benutzeraktion konfiguriert haben.

Je nach den Richtlinien für den bedingten Zugriff in Ihrer Organisation werden die Benutzer möglicherweise aufgefordert,:

• sich mit zusätzlichen Anmeldeinformationen zu authentifizieren, bevor die Einrichtung abgeschlossen wird
• eine bestimmte Authentifizierungsmethode zu verwenden, z. B. eine phishing-resistente Berechtigung
• Sie müssen ein konformes Gerät verwenden oder eine Verbindung von einem vertrauenswürdigen Netzwerkstandort aus herstellen.
• Erfüllung anderer in der Richtlinie definierter Anforderungen
  Dies erscheint als Standardaufforderung für den bedingten Zugriff während des Einrichtungsprozesses - dieselbe Erfahrung, die Benutzer bereits bei der Anmeldung machen.

Was sich nicht ändert

• Organisationen ohne CA-Richtlinien, die auf die Benutzeraktion Sicherheitsinformationen registrieren abzielen, sind von dieser Änderung nicht betroffen.
• MFA bleibt standardmäßig für alle kennwortlosen Anmeldeinformationen erforderlich - einschließlich Windows Hello for Business, macOS Platform SSO und alle Passkey-Typen - unabhängig davon, ob CA-Richtlinien konfiguriert sind.
• Das Anmeldeverhalten und die Bewertung bestehender CA-Richtlinien für die Anmeldung sind davon nicht betroffen.
• Die Registrierung von Anmeldeinformationen über My Security Info in funktioniert weiterhin wie bisher.
• Kundenaktion erforderlich

**Überprüfen Sie Ihre Richtlinien für bedingten Zugriff auf mögliche Auswirkungen, bevor die Durchsetzung Ihren Mandanten erreicht.

1. Gehen Sie im Microsoft Entra Admin Center zu Schutz>Conditional Access >Policies.
2. Identifizieren Sie Richtlinien, bei denen das Ziel auf Benutzeraktionen > Sicherheitsinformationen registrieren eingestellt ist.
3. Überprüfen Sie die Berechtigungskontrollen in diesen Richtlinien - diese werden während der Registrierung von Windows Hello for Business und macOS Platform SSO angewendet.
4. Überprüfen Sie den Bereich Benutzer und Gruppen, um zu verstehen, welche Benutzer betroffen sind.
5. Überlegen Sie, ob Benutzer, die ein neues Gerät zum ersten Mal einrichten, die Anforderungen Ihrer Richtlinie erfüllen können. Wenn Ihre Richtlinie Methoden erfordert, über die Benutzer bei der erstmaligen Bereitstellung nicht verfügen, müssen Sie möglicherweise Bedingungen anpassen oder Ausnahmen hinzufügen.
6. Aktivieren Sie den Nur-Bericht-Modus für relevante Richtlinien, um die Auswirkungen zu verstehen, bevor die Durchsetzung beginnt.