Wenn für die MFA-Registrierung verwaltete Geräte vorgeschrieben sind, wird es für Angreifer schwieriger, ihre eigene (unerlaubte) MFA zu registrieren – selbst bei gestohlenen Anmeldeinformationen –, sofern sie nicht auch Zugriff auf ein verwaltetes Gerät haben.

Wenn die MFA-Registrierung von beliebigen Geräten aus zugelassen wird, entsteht unabhängig vom Verwaltungs- oder Compliance-Status ein ernstes Sicherheitsrisiko. Wenn ein Angreifer die Anmeldeinformationen eines Benutzers kompromittiert, kann er seinen eigenen MFA-Faktor von einem nicht verwalteten Gerät aus registrieren. Dadurch würde der Schutz durch die MFA umgangen, der Angreifer würde die Kontrolle über den zweiten Authentifizierungsfaktor erlangen und unbefugten Zugriff auf sensible Ressourcen erhalten, was möglicherweise zu einer vollständigen Übernahme des Kontos führen könnte.
Das Zero-Trust-Modell lässt kritische Aktionen wie die MFA-Registrierung nur von vertrauenswürdigen und konformen Geräten zu. Durch die Beschränkung der MFA-Registrierung auf verwaltete Geräte wird sichergestellt, dass das Gerät, das diese wichtige Sicherheitsfunktion aktiviert, die Standards der Organisation erfüllt. Dadurch wird das Risiko, dass ein Angreifer mit gestohlenen Anmeldeinformationen eine bösartige MFA registriert, erheblich reduziert.
Die Richtlinie <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#strong-auth-and-a-secure-registration-process">MS.AAD.3.8v1</a> aus der CISA „M365 Secure Configuration Baseline for Microsoft Entra ID“, die in BOD 25-01 vorgeschrieben wird, verlangt ausdrücklich, dass, dass verwaltete Geräte die MFA registrieren SOLLTEN.
In Anlehnung an CISA-Empfehlungen stellt dieser Indicator of Exposure ( IoE) sicher, dass mindestens eine Richtlinie für bedingten Zugriff mit den folgenden Einstellungen aktiviert ist, damit nur verwaltete Geräte eine MFA-Registrierung vornehmen können:
<ul>
<li>„<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">Benutzer</a>“ ist so festgelegt, dass „Alle Benutzer“ eingeschlossen werden.</li>
<li>„<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-cloud-apps">Zielressourcen</a>“ ist auf „Benutzeraktionen“ festgelegt und „Register security information“ (Sicherheitsinformationen registrieren) wird ausgewählt.</li>
<li>„<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-grant">Grant</a>“ (Zugriff gewähren) ist auf „Grant access“ (Zugriff gewähren) festgelegt und die Optionen „<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">Require device to be marked as compliant</a>“ (Gerät muss als konform gekennzeichnet werden) und „<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">Require Microsoft Entra hybrid joined device</a>“ (Hybrid-verbundenes Microsoft Entra-Gerät erforderlich) sind ausgewählt. Unten ist die Option „Require one of the selected controls“ (Eines der ausgewählten Steuerelemente erforderlich) ausgewählt.</li>
<li>„Richtlinie aktivieren“ ist auf „Ein“ festgelegt (nicht „Aus“ oder „Nur Bericht“).</li>
</ul>

Erkennungen

Verwaltete Geräte sind für die MFA-Registrierung nicht erforderlich

MEDIUM

Version 202506111610