Kurz gesagt: Ein Break-Glass-Konto ist ein Notfallzugang mit der Rolle Globaler Administrator, der funktioniert, wenn normale Admin-Konten ausfallen. Microsoft empfiehlt mindestens zwei reine Cloud-Konten mit onmicrosoft.com-Adresse, eine phishingresistente Anmeldung per Passkey (FIDO2), die Ausnahme von sperrenden Richtlinien für bedingten Zugriff und einen Test mindestens alle 90 Tage.
Stand: 03.11.2026
Wofür brauchst du ein Notfallzugriffskonto?
Ohne funktionierendes Admin-Konto kommst du nicht mehr an die Einstellungen deines Microsoft-365-Tenants. Microsoft nennt typische Situationen:
- Die Anmeldung läuft über einen Föderationsdienst, und dieser fällt aus.
- Die Admins nutzen MFA, aber ihre Geräte sind nicht verfügbar oder der Dienst ist gestört, etwa bei einem Ausfall des Mobilfunknetzes.
- Der letzte Globale Administrator verlässt das Unternehmen.
- Unvorhergesehenes wie eine Naturkatastrophe, bei der Telefon und Netze ausfallen.
- Alle Admin-Rollen sind nur berechtigt statt aktiv, die Aktivierung braucht eine Genehmigung, und es gibt niemanden mehr, der genehmigen kann.
Gerade in kleinen Unternehmen mit nur einem oder zwei Admins ist das schnell passiert. Gleichzeitig ist ein Notfallkonto ein Konto mit höchsten Rechten. Es muss deshalb gut geschützt und überwacht werden.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Wie richte ich die Konten ein?
- Zwei oder mehr Konten anlegen. Reine Cloud-Konten mit der Domäne *.onmicrosoft.com, nicht föderiert und nicht aus dem lokalen Active Directory synchronisiert. Diesen Konten die Rolle Globaler Administrator zuweisen.
- Passwortlose Anmeldung wählen. Microsoft empfiehlt einen Passkey (FIDO2). Hast du bereits eine eigene PKI, geht auch zertifikatbasierte Authentifizierung. Beide erfüllen die verpflichtende MFA.
- Anmeldedaten registrieren. Passkeys im Tenant aktivieren und für die Notfallkonten einen Sicherheitsschlüssel registrieren.
- Vom bedingten Zugriff ausnehmen. Die Konten aus allen Richtlinien ausschließen, die die Anmeldung blockieren oder einschränken. Richtlinien im Modus „Nur Bericht“ brauchen keine Ausnahme.
- Anmeldedaten sicher aufbewahren.
- Anmelde- und Überwachungsprotokolle überwachen.
- Konten regelmäßig testen.
Welche Regeln gelten für die Konfiguration?
- Das Konto gehört keiner einzelnen Person und ist nicht mit privaten Geräten wie Handys verbunden.
- Die Anmeldemethode unterscheidet sich von der der normalen Admin-Konten. Nutzen die Admins die Authenticator-App, bekommt das Notfallkonto einen FIDO2-Schlüssel.
- Gerät und Anmeldedaten dürfen nicht ablaufen und nicht automatisch wegen Nichtnutzung bereinigt werden.
- In Privileged Identity Management ist die Rolle Globaler Administrator für die Notfallkonten dauerhaft aktiv, nicht nur berechtigt.
- Die Nutzung erfolgt von einem festgelegten, sicheren Arbeitsplatz.
- Die Schlüssel liegen in sicheren, feuerfesten Tresoren an getrennten Orten.
Wie gehe ich mit dem bedingten Zugriff um?
Microsoft empfiehlt eine eigene Sicherheitsgruppe, zum Beispiel EmergencyAccess, die du aus allen sperrenden Richtlinien ausnimmst. Das gilt auch für die von Microsoft verwalteten Richtlinien, die automatisch in Tenants auftauchen. Teste regelmäßig, etwa vierteljährlich, ob die Notfallkonten sich mit der aktuellen Konfiguration anmelden können. Wer neue Richtlinien einführt, vergisst die Ausnahme sonst leicht.
Wie überwache ich die Nutzung?
Jede Anmeldung eines Notfallkontos sollte einen Alarm auslösen. Microsoft beschreibt das mit Azure Monitor:
- Im Microsoft Entra Admin Center unter Entra ID > Benutzer die Objekt-IDs der Notfallkonten notieren.
- Die Anmeldeprotokolle von Entra ID an einen Log Analytics Workspace senden.
- Im Azure-Portal unter Monitor > Warnungen eine Warnungsregel mit benutzerdefinierter Protokollsuche anlegen, die nach den Objekt-IDs in den SigninLogs sucht.
- Als Schwellenwert „größer als 0“ setzen und eine Aktionsgruppe mit E-Mail oder SMS an die Admins hinterlegen.
Nach jeder Nutzung prüft ihr, ob es ein Test, ein echter Notfall oder ein Missbrauch war, und was mit dem Konto gemacht wurde.
Wie oft solltest du testen?
Mindestens alle 90 Tage, außerdem nach Personalwechseln in der IT und bei Änderungen an den Entra-Abonnements. Zum Test gehört: Anmeldung und eine Admin-Aufgabe ausprobieren, die Liste der berechtigten Personen prüfen, den Notfallprozess aktualisieren und kontrollieren, dass keine MFA oder Kennwortrücksetzung an ein persönliches Gerät gebunden wurde. Tresorkombinationen werden regelmäßig und nach dem Weggang einer berechtigten Person geändert.
So unterstützen wir dich
Wir richten Notfallzugriffskonten für Unternehmen in Osnabrück und Umgebung ein, inklusive FIDO2-Schlüssel, Ausnahmen im bedingten Zugriff und Testplan. Weiter entfernt per Fernwartung. Mehr zu unserer IT-Sicherheit für Unternehmen.
Häufige Fragen
Wie viele Notfallkonten brauche ich?
Microsoft empfiehlt mindestens zwei, damit ein Konto als Reserve bleibt.
Darf das Notfallkonto MFA nutzen?
Ja, und zwar phishingresistent per Passkey (FIDO2) oder Zertifikat. Die Methode sollte sich von der der normalen Admin-Konten unterscheiden.
Warum eine onmicrosoft.com-Adresse?
Damit das Konto nicht von einem Föderationsdienst oder dem lokalen Active Directory abhängt, die im Notfall ausfallen könnten.
Wie oft muss ich die Konten prüfen?
Mindestens alle 90 Tage sowie nach Personalwechseln in der IT.
Quellen
- Manage emergency access accounts in Microsoft Entra ID (Microsoft Learn, abgerufen am 03.11.2026)
- Microsoft-managed Conditional Access policies (Microsoft Learn, abgerufen am 03.11.2026)
