Windows Hello for Business MFA: Microsoft Entra wertet die Anmeldung ab November als vollwertigen MFA-Faktor

• Microsoft Entra erkennt Windows Hello for Business und macOS Platform SSO ab Anfang November 2026 als eigenständige MFA-Faktoren an, der Rollout soll Ende Dezember 2026 abgeschlossen sein.
• Damit erfüllt die Geräteanmeldung auch Step-up-Abfragen, Authentication Strength Policies und Prüfungen der Anmeldefrequenz, ohne dass ein zusätzlicher Passkey nötig ist.
• Benutzer, deren einzige MFA-Methode Windows Hello for Business oder Platform SSO ist, gelten als MFA-fähig und werden nicht mehr automatisch zur Registrierung einer weiteren Methode aufgefordert.
• Weil diese Anmeldedaten an ein Gerät gebunden sind, empfiehlt Microsoft mindestens eine übertragbare MFA-Methode wie einen synchronisierten Passkey oder einen Passkey in Microsoft Authenticator.
• Eine Konfigurationsänderung ist nicht nötig, Administratoren sollten aber Onboarding, Registrierungsvorgaben und eigene Authentication Strength Policies prüfen.

Windows Hello for Business MFA bekommt in Microsoft Entra einen neuen Stellenwert. Laut der Message-Center-Meldung MC1450134 behandelt Microsoft Entra Windows Hello for Business und macOS Platform SSO künftig als eigenständige MFA-Faktoren. Der Rollout beginnt Anfang November 2026 und soll Ende Dezember 2026 abgeschlossen sein. Ursprünglich war der Start für Anfang Oktober geplant.

Bisher galt: Die Anmeldung mit Windows Hello for Business erfüllt die MFA bei der ersten Anmeldung. Verlangte eine Richtlinie später eine erneute Bestätigung, brauchten Benutzer oft eine zusätzliche Methode, etwa einen Passkey oder die Microsoft Authenticator App. Künftig reicht die Geräteanmeldung in den unterstützten Szenarien aus.

Nach dem Rollout erfüllen Windows Hello for Business und macOS Platform SSO auch diese Anforderungen:

• Step-up-Abfragen, wenn eine Anwendung oder Aktion eine erneute starke Anmeldung verlangt,
• Authentication Strength Policies in Conditional Access,
• Prüfungen der Anmeldefrequenz, also wiederkehrende Anmeldeaufforderungen nach einer festgelegten Zeit.

In der Übersicht „Meine Sicherheitsinformationen“ erscheinen diese Anmeldedaten als automatisch registrierte Passkeys.

Für die Benutzer ist die Änderung zunächst eine Erleichterung: weniger Abfragen, weniger Reibung im Alltag. Für die IT entsteht aber eine neue Lücke im Onboarding. Benutzer, deren einzige MFA-Methode Windows Hello for Business oder Platform SSO ist, gelten künftig als MFA-fähig und werden nicht mehr automatisch aufgefordert, eine weitere Methode zu registrieren.

Diese Anmeldedaten sind an ein bestimmtes Gerät gebunden. Geht der Laptop verloren, wird er ausgetauscht oder meldet sich der Benutzer an einem anderen Gerät an, fehlt ihm möglicherweise jede Möglichkeit, die MFA zu erfüllen. Das Ergebnis sind gesperrte Benutzer und zusätzliche Arbeit für den Helpdesk, besonders bei Mitarbeitenden, die neu im Unternehmen sind und nur ein Gerät eingerichtet haben.

Microsoft verlangt keine Konfigurationsänderung. Wir empfehlen trotzdem, vor dem Rollout in Ihrem Tenant diese Punkte zu prüfen:

1. Übertragbare Methode vorschreiben: Stellen Sie sicher, dass jeder Benutzer mindestens eine nicht gerätegebundene MFA-Methode registriert, etwa einen synchronisierten Passkey oder einen Passkey in Microsoft Authenticator.
2. Onboarding anpassen: Neue Mitarbeitende sollten die zusätzliche Methode aktiv im Einrichtungsprozess registrieren, weil Entra sie nicht mehr automatisch dazu auffordert.
3. Authentication Strength Policies prüfen: Kontrollieren Sie in eigenen Richtlinien, ob Windows Hello for Business und Platform SSO dort erlaubt sein sollen, wo Sie es wünschen.
4. Wiederherstellung regeln: Legen Sie fest, wie der Helpdesk Benutzer bei Geräteverlust sicher wieder anmeldet, zum Beispiel mit einem befristeten Zugangspass.
5. Dokumentation aktualisieren: Passen Sie Anleitungen für Ihre Mitarbeitenden an das neue Verhalten an.

Grundlagen zur Einrichtung per Intune und Cloud Kerberos Trust finden Sie auf unserer Seite Windows Hello for Business einrichten. Wie Sie die gesamte Anmeldung auf Passkeys umstellen, zeigt unsere Seite phishing-resistente MFA für Microsoft 365.

Windows Hello for Business ist eine phishing-resistente Anmeldemethode, weil der geheime Schlüssel das Gerät nicht verlässt. Dass Microsoft Entra sie jetzt auch für Step-up und Authentication Strength anerkennt, stärkt die passwortlose Anmeldung im Unternehmen. Die Sicherheit hängt aber davon ab, dass Registrierung, Wiederherstellung und Gerätebindung sauber geplant sind. Wer das jetzt regelt, profitiert von weniger Abfragen ohne zusätzliche Risiken.

Die InSys AG^® ist Microsoft Solutions Partner für Security und begleitet Unternehmen bei der Einführung passwortloser Anmeldung mit Microsoft Entra ID und Intune. Wir prüfen Ihre Conditional Access Policies und Authentication Strengths, passen Registrierungsvorgaben an und richten einen sicheren Wiederherstellungsprozess ein. Mehr zu unseren Leistungen rund um Identitäten lesen Sie auf unserer Seite Microsoft Entra ID einrichten, einen Überblick über alle Themen unter Microsoft 365 Security und Lizenzen. Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular unter dieser News.