SSPR in Microsoft Entra: Ab November zählen nur noch registrierte Methoden

• Ab dem 7. November 2026 akzeptiert SSPR in Microsoft Entra ID zur Identitätsprüfung nur noch Authentifizierungsmethoden, die ein Benutzer selbst registriert hat.
• Benutzer ohne registrierte Methode können ihr Kennwort danach nicht mehr selbst zurücksetzen und brauchen den Helpdesk.
• Administratoren sollten die Registrierung aller Benutzer im Microsoft Entra Admin Center prüfen und die Registrierungskampagne zulassen, die seit dem 5. Oktober 2026 läuft.
• Im November enden außerdem der MemberOf-Operator für dynamische Gruppen (3. November) und die automatische Berechtigung für Agent-Identitäten (4. November).
• Das Oktober-Update bringt unter anderem neue Signale für Continuous Access Evaluation in Global Secure Access und eine geführte Migration zu Entra Cloud Sync.

Ab November 2026 akzeptiert SSPR, die Self-Service-Kennwortzurücksetzung in Microsoft Entra ID, zur Identitätsprüfung nur noch Authentifizierungsmethoden, die ein Benutzer selbst registriert hat. Bisher konnte SSPR auch Kontaktdaten aus dem Verzeichnis verwenden, etwa die Mobilnummer, die geschäftliche Telefonnummer oder eine alternative E-Mail-Adresse aus dem Benutzerobjekt, selbst wenn diese nie als Methode registriert wurden. Das fällt weg.

Microsoft ordnet die Änderung der Secure Future Initiative zu: Die Kennwortzurücksetzung soll nur noch auf Methoden beruhen, die der Benutzer selbst bestätigt hat. Laut Message Center (MC1325414) läuft seit dem 5. Oktober 2026 eine Registrierungskampagne, die betroffene Benutzer zur Registrierung auffordert. Die Durchsetzung beginnt am 7. November 2026, Microsoft empfiehlt, die Vorbereitung bis zum 6. November abzuschließen.

Wer ist betroffen?

Betroffen sind alle Benutzer einschließlich der Administratoren in Tenants, in denen SSPR aktiviert ist. Nach Angaben von Microsoft nutzen bereits rund 86 Prozent der SSPR-Prüfungen registrierte Methoden. Für die übrigen Benutzer gilt: Wer zum Stichtag keine registrierte Methode hat, kann sein Kennwort nicht mehr selbst zurücksetzen und wird aufgefordert, eine Methode zu registrieren oder sich an den Administrator zu wenden.

In der Praxis trifft das oft Konten, deren Telefonnummer per Entra Connect aus dem lokalen Active Directory synchronisiert wurde, ohne dass der Benutzer sie je selbst bestätigt hat. Genau diese Nummern zählen ab November nicht mehr.

Was Administratoren jetzt tun sollten

1. Prüfen Sie im Microsoft Entra Admin Center unter Authentifizierungsmethoden die Benutzerregistrierungsdetails. Dort sehen Sie, welche Benutzer noch keine passende Methode registriert haben.
2. Stellen Sie sicher, dass jeder Benutzer mindestens eine registrierte Methode hat, die Ihre SSPR-Richtlinie erfüllt. Das gilt ausdrücklich auch für Administratorkonten.
3. Lassen Sie die Registrierungskampagne zu, damit betroffene Benutzer bei der Anmeldung automatisch zur Registrierung aufgefordert werden.
4. Legen Sie einen Ablauf für den Helpdesk fest, etwa für neue Mitarbeiter oder Benutzer, die sich nicht selbst registrieren können.
5. Informieren Sie Ihre Benutzer und Ihren Helpdesk. Benutzer registrieren ihre Methoden über die Seite „Meine Sicherheitsinformationen".

Unser Tipp: Nutzen Sie die Registrierung, um gleich auf stärkere Methoden umzustellen. Wer jetzt Passkeys einführt, erfüllt die neue SSPR-Anforderung und erhöht gleichzeitig den Schutz vor Phishing. Wie das geht, zeigen wir auf unserer Seite zur phishing-resistenten MFA mit Passkeys.

3. November: MemberOf in dynamischen Gruppen endet

Microsoft beendet die Vorschau des MemberOf-Operators für dynamische Gruppen. Dynamische Gruppen, Verwaltungseinheiten und Richtlinien im Entitlement Management, die diesen Operator verwenden, werden nach dem 3. November 2026 nicht mehr aktualisiert. Die Mitgliedschaften bleiben dann auf dem letzten Stand stehen. Wenn Sie solche Gruppen für Lizenzen, Conditional Access oder Teams nutzen, entstehen veraltete Berechtigungen. Identifizieren Sie betroffene Gruppen deshalb jetzt und stellen Sie sie um. Mehr zu Richtlinien für den bedingten Zugriff lesen Sie auf unserer Seite Conditional Access einrichten.

4. November: Admin-Zustimmung für Agent-Identitäten

Ab dem 4. November 2026 vergibt Microsoft Entra die Berechtigung AgentIdentity.CreateAsManager nicht mehr automatisch an Agent-Blueprints. Agents, die per App-only-Authentifizierung eigene Agent-Identitäten erstellen, brauchen diese Microsoft Graph Anwendungsberechtigung dann ausdrücklich per Admin-Zustimmung. Das verbessert die Kontrolle darüber, welche KI-Agenten im Tenant Identitäten anlegen dürfen. Wie Sie KI-Agenten zentral steuern, beschreiben wir auf unserer Seite zu Microsoft Agent 365 und Entra Agent ID.

SAP SuccessFactors: Umstieg auf Workload-Identitäten

Wer Benutzer aus SAP SuccessFactors nach Entra ID oder Active Directory provisioniert, sollte vor November 2026 von der Basisauthentifizierung auf die Authentifizierung mit Workload-Identitäten umstellen. SAP plant, die Basisauthentifizierung für die SuccessFactors-APIs abzuschalten.

17. bis 20. November: Microsoft Ignite

Auf der Microsoft Ignite in San Francisco und online sind weitere Ankündigungen rund um Identität, Sicherheit und KI-Agenten zu erwarten. Wir ordnen die für Unternehmen relevanten Neuerungen im Anschluss ein.

Mit dem Oktober-Update 2026 hat Microsoft mehrere Funktionen allgemein verfügbar gemacht oder als Vorschau veröffentlicht. Für mittelständische Unternehmen sind vor allem diese Neuerungen interessant:

• Continuous Access Evaluation in Global Secure Access: Universal CAE kann in der Public Preview zusätzliche Signale nutzen, etwa ein erhöhtes Benutzerrisiko oder ein gelöschtes, deaktiviertes oder nicht mehr konformes Gerät. Der Zugriff wird dann zeitnah entzogen.
• Von Microsoft verwaltete Zertifikate für die TLS-Inspektion: Die TLS-Inspektion lässt sich einfacher einführen, weil Sie die Zertifikate nicht mehr selbst bereitstellen müssen.
• B2B-Gastzugriff mit Global Secure Access: Gäste aus Partnerunternehmen können in der Public Preview über Global Secure Access auf freigegebene Ressourcen zugreifen. Mehr dazu auf unserer Seite zu Microsoft Global Secure Access als VPN-Alternative.
• Geführte Migration zu Entra Cloud Sync: Der Wechsel von Entra Connect Sync zu Entra Cloud Sync wird durch einen geführten Ablauf einfacher und ist allgemein verfügbar.
• Token-Bindung für Workloads: Entra-Tokens für Workloads auf Trusted Launch oder Confidential VMs lassen sich per mTLS Proof of Possession an die Maschine binden. Diese Funktion ist allgemein verfügbar.
• Zugriffsanfragen in ServiceNow: Benutzer beantragen Zugriffspakete direkt in ServiceNow, Genehmiger entscheiden dort ebenfalls. Diese Funktion ist allgemein verfügbar.
• Bereinigung bei der Provisionierung: Entra kann ein Zielattribut jetzt leeren, wenn das Quellattribut leer ist. Das gilt für die API-gesteuerte Provisionierung sowie für Workday und SAP SuccessFactors.
• Gruppen in verbundenen Anwendungen erkennen: Entra ID Governance findet Gruppen und Mitgliedschaften in angebundenen Anwendungen, auch solche ohne passendes Objekt in Entra ID. So lassen sich verwaiste Berechtigungen aufspüren.

Einen Überblick über Editionen, Lizenzen und die Wahl zwischen Entra Connect und Cloud Sync finden Sie auf unserer Seite Microsoft Entra ID sicher einrichten.

Die InSys AG^® ist Microsoft Solutions Partner für Security und Direct CSP. Kunden lizenzieren über die InSys AG^® mehr als 80.000 Microsoft 365 Lizenzen. Wir prüfen mit Ihnen, ob alle Benutzer für SSPR vorbereitet sind, ob dynamische Gruppen mit MemberOf im Einsatz sind und welche Neuerungen aus dem Oktober-Update sich für Ihren Tenant lohnen.

Einen strukturierten Blick auf Ihre Entra-Konfiguration bietet unser Microsoft Tenant Sicherheitscheck. Alle Leistungen rund um Microsoft 365 Security finden Sie im Bereich Microsoft 365 Partner für Security und Lizenzen. Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular.