Kurz gesagt: Legacy-Authentifizierung sind ältere Anmeldeprotokolle, die keine Multi-Faktor-Authentifizierung unterstützen. Microsoft empfiehlt, sie zu blockieren. Das geht im Microsoft Entra Admin Center mit einer Richtlinie für bedingten Zugriff, die für die Client-Apps Exchange ActiveSync-Clients und Andere Clients den Zugriff sperrt. Ohne passende Lizenz erledigen das die Sicherheitsstandards.
Stand: 03.11.2026
Warum solltest du Legacy-Authentifizierung blockieren?
Ältere Protokolle wie die einfache Standardauthentifizierung fragen nur Benutzername und Kennwort ab. Ein zweiter Faktor ist technisch nicht vorgesehen. Wer ein Kennwort errät oder aus einem Datenleck kennt, kommt über diesen Weg an MFA vorbei.
Microsoft nennt dazu deutliche Zahlen aus eigenen Analysen: Mehr als 97 Prozent der Credential-Stuffing-Angriffe und mehr als 99 Prozent der Password-Spray-Angriffe nutzen Legacy-Authentifizierung. Laut Microsoft würden diese Angriffe ins Leere laufen, wenn die Standardauthentifizierung abgeschaltet oder blockiert ist.
Wer keine Lizenz mit bedingtem Zugriff hat, kann Legacy-Authentifizierung über die Sicherheitsstandards (Security defaults) blockieren.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Wie findest du heraus, wer Legacy-Authentifizierung noch nutzt?
Bevor du blockierst, prüf die Anmeldeprotokolle. Sonst sperrst du womöglich einen alten Scanner, ein Kassensystem oder ein Skript aus.
- Melde dich im Microsoft Entra Admin Center an, mindestens mit der Rolle Berichtsleser.
- Öffne Entra ID > Monitoring & health > Sign-in logs.
- Blende über Columns die Spalte Client App ein, falls sie fehlt.
- Wähle Add filters > Client App, markiere alle Legacy-Protokolle und klicke auf Apply.
- Wiederhole das auf der Registerkarte User sign-ins (non-interactive).
Die gefilterte Liste zeigt dir alle Anmeldeversuche über alte Protokolle. Klickst du einen Eintrag an, siehst du auf der Registerkarte Basic Info im Feld Client App, welches Protokoll verwendet wurde. Für einen schnellen Überblick bietet Microsoft außerdem eine Arbeitsmappe zu Anmeldungen mit Legacy-Authentifizierung.
Wen solltest du von der Richtlinie ausnehmen?
- Notfallkonten (Break-Glass): Mindestens ein Notfall-Administratorkonto gehört in die Ausnahmen. Microsoft empfiehlt das ausdrücklich, damit du dich bei einer Fehlkonfiguration nicht selbst aussperrst.
- Dienstkonten: Nicht interaktive Konten, etwa das Synchronisierungskonto von Microsoft Entra Connect. Nutzt ihr solche Konten in Skripten, empfiehlt Microsoft, sie durch verwaltete Identitäten zu ersetzen.
- Geräte, die noch alte Protokolle brauchen: Nur so lange, bis sie umgestellt sind. Jede Ausnahme ist eine Lücke.
Wie legst du die Richtlinie an?
- Melde dich im Microsoft Entra Admin Center an, mindestens als Administrator für bedingten Zugriff.
- Öffne Entra ID > Conditional Access > Policies und wähle New policy.
- Gib der Richtlinie einen sprechenden Namen.
- Unter Assignments > Users or workload identities wählst du bei Include den Eintrag All users. Bei Exclude trägst du über Users and groups die Ausnahmen ein.
- Unter Target resources > Resources > Include wählst du All resources.
- Unter Conditions > Client apps stellst du Configure auf Yes und hakst nur Exchange ActiveSync clients und Other clients an. Bestätige mit Done.
- Unter Access controls > Grant wählst du Block access und klickst auf Select.
- Stelle Enable policy auf Report-only und klicke auf Create.
Microsoft liefert für diese Richtlinie auch eine fertige Vorlage unter den Conditional-Access-Vorlagen.
Wie schaltest du die Richtlinie scharf?
Im Modus Report-only greift die Richtlinie noch nicht, protokolliert aber, wen sie gesperrt hätte. Werte das ein paar Tage lang aus. Wenn nur noch erwartete Anmeldungen betroffen sind, stellst du Enable policy von Report-only auf On. Alternativ führst du sie gestaffelt ein, indem du zuerst einzelne Gruppen einschließt.
Wichtig zu wissen: Richtlinien für bedingten Zugriff greifen laut Microsoft erst nach dem ersten Faktor. Sie sind nicht als erste Verteidigungslinie gegen Angriffe wie Denial of Service gedacht.
So unterstützen wir dich
Wir prüfen eure Anmeldeprotokolle, stellen alte Geräte und Programme auf moderne Anmeldung um und führen die Richtlinien ohne Ausfälle ein. Kunden in Osnabrück und Umgebung betreuen wir auch vor Ort, sonst per Fernwartung. Mehr zu unseren Leistungen rund um IT-Sicherheit für Unternehmen findest du auf unserer Übersichtsseite.
Häufige Fragen
Brauche ich dafür eine bestimmte Lizenz?
Für Richtlinien für bedingten Zugriff ja. Ohne passende Lizenz kannst du Legacy-Authentifizierung über die Sicherheitsstandards blockieren.
Warum zuerst Report-only?
So siehst du, wen die Richtlinie sperren würde, bevor sie greift. Microsoft empfiehlt diesen Weg ausdrücklich.
Welche Client-Apps muss ich auswählen?
Nur Exchange ActiveSync clients und Other clients. Diese beiden stehen für die alten Protokolle.
Muss ich ein Konto ausnehmen?
Microsoft empfiehlt, mindestens ein Notfallkonto auszunehmen, damit du dich nicht aussperrst.
Quellen
- Block legacy authentication with Conditional Access (Microsoft Learn, abgerufen am 03.11.2026)
