MFA-Lizenzen: Möglichkeiten und Empfehlungen je Lizenz
Welche MFA-Möglichkeiten dir zur Verfügung stehen, hängt stark von deiner Microsoft-365-/Entra-Lizenz ab. Diese Lektion fasst die Unterschiede je Lizenz zusammen und gibt Empfehlungen für typische Kundengruppen. Die einzelnen MFA-Methoden selbst sind in der Lektion „MFA-Methoden im Überblick“ beschrieben.
Besonderheiten für unsere Kunden:
Bildungseinrichtungen
- Passwordless-Optionen: Windows Hello, Temporary Access Pass und FIDO2 – oft ideal für Schüler ohne Smartphones: Identity and Access Management for Advanced – A5 – Microsoft Education Solution Guide – M365 Education | Microsoft Learn
- Microsoft Authenticator ist meist die praktischste Lösung
- SMS/Anrufe nur als Backup-Methode
NPOs und Unternehmen
- Mehrere MFA-Methoden aktivieren, damit Benutzer eine passende Backup-Methode haben: Überlegungen zur Bereitstellung der Microsoft Entra-Multi-Faktor-Authentifizierung – Microsoft Entra ID | Microsoft Learn
- Unsichere Methoden wie SMS blockieren
System-bevorzugte MFA:
Microsoft aktiviert automatisch die sicherste verfügbare Methode für jeden Benutzer: Vom System bevorzugte Multi-Faktor-Authentifizierung (MFA) – Microsoft Entra ID | Microsoft Learn – Benutzer können aber weiterhin andere registrierte Methoden wählen.
Fazit: Microsoft Authenticator als Standard-Empfehlung, FIDO2/Passkeys für höchste Sicherheitsanforderungen, SMS/Anrufe sollten nur noch als Notfall-Backup dienen.
Welche MFA-Möglichkeiten bieten die unterschiedlichen Lizenzen?
Die Möglichkeiten zur Konfiguration und zum Bedingten Zugriff (Conditional Access) beim Handling der MFA sind von der jeweils eingesetzten Lizenz abhängig. Der Unterschied liegt darin, ob Entra ID Free, Entra ID P1 oder P2 zum Einsatz kommt.
Du kannst Entra ID Free-Benutzern über die Sicherheitsstandards die MFA für sämtliche Benutzer (inkl. Admins) nur aus- oder einschalten.
Entra ID Free-Benutzer sind nur „passive Empfänger“ von Conditional Access-Richtlinien. Selbst Admins mit Entra ID Free können selbst keine Conditional Access-Funktionen einrichten oder konfigurieren.
Als Admin mit Entra ID P1- oder Entra ID P2 kannst du hingegen Conditional Access konfigurieren (steuern) und zuweisen. Somit kannst du z. B. die MFA für Schüler ausschalten, aber gleichzeitig für Admins und Lehrkräfte einschalten.
Allen Benutzern steht auch noch die MFA pro Benutzer zur Verfügung. Mit dieser Methode kannst du für jeden einzelnen Benutzer die MFA aktivieren oder deaktivieren.
Bei Entra ID Free-Benutzern funktioniert das jedoch nur, wenn die Sicherheitsstandards deaktiviert sind.
Abhängig von der eingesetzten Entra ID-Lizenz stehen folgende MFA-Zuweisungsmethoden zur Verfügung:
- Sicherheitsstandards: MFA für alle ein oder ausschalten, keine weitere Konfiguration.
- Conditional Access: Sicherheitsstandards müssen deaktiviert sein, granulare Zuweisung und Konfiguration möglich, z. B. Admins = ja, Schüler = nein, Lehrkräfte = ja, in nicht vertrauenswürdigen Netzwerken = ja usw.
- MFA pro Benutzer: MFA pro Benutzer ein- oder ausschalten, keine weitere Konfiguration möglich, Sicherheitsstandards müssen deaktiviert sein.
| Entra ID | Sicherheitsstandards | Conditional Access | MFA pro Benutzer |
|---|---|---|---|
| MFA für alle aktivieren oder deaktivieren, keine weitere Konfiguration möglich. | Sicherheitsstandards müssen deaktiviert sein, granulare Zuweisung und Konfiguration möglich, z. B. Admins = ja, Schüler = Nein, Lehrkräfte = ja, usw. | MFA pro Benutzer ein oder ausschalten, keine weitere Konfiguration möglich. | |
| Free | ja | nein | ja, wenn Sicherheitsstandards deaktiviert sind. |
| P1 | nein | ja | Ja |
| P2 | nein | ja | ja |
Beispiele unterschiedlicher Lizenzen
Education-Lizenzen (für Bildungseinrichtungen)
Office 365 A1 (kostenfrei) und Office 365 A3 (kostenpflichtig), nur Entra ID Free
- Perfekte Basis für den Einstieg in die 365-Welt
- MFA: Nur Sicherheitsstandards (Entra ID Free)
- Microsoft Authenticator verfügbar
- Einschränkung: Keine flexiblen MFA-Regeln möglich
Microsoft 365 A3, beinhaltet Entra ID P1
- Entra ID P1 enthalten → Conditional Access verfügbar
- Alle MFA-Methoden nutzbar
- Flexible Regeln nach Standort, Gerät, Benutzergruppen
- Empfohlen bei Intune-Einsatz
Microsoft 365 A5, beinhaltet Entra ID P2
- Entra ID P2 enthalten → P1 und alle erweiterten Sicherheitsfunktionen
- Risikobasierte Richtlinien für automatische MFA-Anpassung
- Identity Protection – erkennt verdächtige Anmeldungen automatisch
- Erweiterte Compliance und Datenschutz-Funktionen
Business-Lizenzen (für kleine/mittlere Unternehmen und MPOs bis max. 300 Benutzer)
Microsoft 365 Business Basic
- MFA: Nur Sicherheitsstandards (Entra ID Free)
- Web- und mobile Versionen von Office-Apps
- Grundlegende MFA ohne Anpassungsmöglichkeiten
Microsoft 365 Business Standard
- Nur Sicherheitsstandards (Entra ID Free)
- Alle Office-Applikationen wie Word, Excel, PowerPoint
- Desktop-Apps enthalten, aber noch keine erweiterten Sicherheitsfunktionen
Microsoft 365 Business Premium
- Entra ID P1 enthalten → Conditional Access verfügbar
- Zugriff auf Conditional Access-Funktionen
- Erweiterte Identitätsverwaltung mit dynamischen Gruppen
- Multifaktor-Authentifizierung mit Anpassungsmöglichkeiten
- Zusätzlich: Microsoft Defender, Intune-Geräteverwaltung
- Kann auf Terminalserver installiert werden
Enterprise-Lizenzen (für große Unternehmen > 300 Benutzer)
Microsoft 365 E3
- Entra ID P1 enthalten
- Conditional Access für komplexe MFA-Szenarien
- Alle MFA-Methoden verfügbar
- Session-Management und geografische Einschränkungen
Microsoft 365 E5
- Entra ID P2 enthalten → P1 und alle Premium-Sicherheitsfunktionen
- Risikobasierte Authentifizierung
- Identity Protection mit automatischer Bedrohungserkennung
- Automatische MFA-Richtlinien für Administratoren
- Erweiterte Compliance- und Governance-Features
Konkrete Empfehlungen
Für Schulen und Bildungseinrichtungen:
- Start: Office 365 A1 (kostenlos) zum Testen
- Upgrade zu: Microsoft 365 A3 für professionelle MFA-Implementierung
- Nur bei höchsten Sicherheitsanforderungen: A5
Für NPOs und Unternehmen < 300 Mitarbeiter und Non-Profits:
- Minimum: Microsoft 365 Business Premium
- Deutlich erhöhte Sicherheit gegenüber Business Standard
- Conditional Access ermöglicht MFA nur außerhalb vertrauenswürdiger Netzwerke
Für größere kommerzielle Unternehmen und NPOs > 300 Mitarbeiter:
- Minimum: Microsoft 365 E3 als Standard
- Hochregulierte Branchen: E5 für risikobasierte Sicherheit
Wie funktioniert die MFA bei gemischten Lizenzen?
Bei gemischten Entra ID-Lizenzen in einem Tenant hast du unterschiedliche MFA-Funktionen je nach Benutzerlizenz. Einsatz von gemischten Lizenzen bedeutet z.B. Entra Free und Entra P1 bzw. P2 werden gemeinsam eingesetzt.
Grundprinzip: Sicherheitsstandards und Benutzer- und Gruppenlizenzzuweisungen werden über Admin Center verwaltet – jeder Benutzer hat individuelle Berechtigungen, basierend auf seiner zugewiesenen Lizenz. Bei gemischten Entra ID-Lizenzen in einem Tenant hast du also unterschiedliche MFA-Funktionen je nach Benutzerlizenz.
MFA-Funktionen nach Lizenz:
Benutzer mit Entra ID Free:
- Nur Sicherheitsstandards verfügbar
- Grundlegende Features für die Multi-Faktor-Authentifizierung: Versionen der Multi-Faktor-Authentifizierung von Microsoft Entra und Verbrauchspläne – Microsoft Entra ID | Microsoft Learn
- Microsoft Authenticator nutzbar (Push + TOTP)
- Keine Conditional Access-Richtlinien möglich
- Keine benutzerdefinierten MFA-Regeln
- Keine Wahl der MFA-Methoden
Benutzer mit Entra ID P1:
- Alle MFA-Methoden verfügbar
- Conditional Access-Funktionen nutzbar: Microsoft Entra-Lizenzierung – Microsoft Entra | Microsoft Learn
- Flexible MFA-Regeln nach Standort, Gerät, Netzwerk, Anwendung…
- Erweiterte Authentifizierungsmethoden
- Session-Management und Anmeldehäufigkeit