Kurz gesagt: Sicherheitsstandards (Security Defaults) sind der kostenlose Grundschutz in Microsoft Entra ID: MFA für alle, Sperre alter Anmeldeprotokolle, keine Ausnahmen. Bedingter Zugriff (Conditional Access) braucht mindestens Entra ID P1 und lässt dich Regeln nach Nutzer, Gerät, Standort und App gestalten. Beides zusammen geht nicht: Wer auf bedingten Zugriff wechselt, deaktiviert die Sicherheitsstandards und schaltet sofort passende Richtlinien ein.
Stand: 03.11.2026
Was machen die Sicherheitsstandards genau?
Die Sicherheitsstandards sind ein Schalter in Microsoft Entra ID, den Microsoft für alle seit dem 22. Oktober 2019 neu angelegten Tenants standardmäßig aktiviert. Bestehende Tenants ohne Richtlinien für bedingten Zugriff, ohne Premium-Lizenzen und ohne aktive Legacy-Clients schaltet Microsoft ebenfalls nach und nach um. Laut Microsoft stoppen MFA und das Blockieren alter Protokolle mehr als 99,9 Prozent der identitätsbezogenen Angriffe wie Password Spray oder Phishing. Eingeschaltet bewirken die Sicherheitsstandards folgendes:
- Alle Benutzer müssen MFA registrieren. Die frühere Frist von 14 Tagen gibt es seit dem 29. Juli 2024 nicht mehr. Bei der Anmeldung zeigt Microsoft Authenticator eine Zahl an, die der Benutzer eingeben muss.
- Administratoren müssen bei jeder Anmeldung MFA durchführen. Das gilt für 16 Rollen, darunter Global Administrator, Exchange Administrator, SharePoint Administrator, User Administrator und Security Administrator.
- Normale Benutzer werden bei Bedarf zu MFA aufgefordert. Microsoft entscheidet anhand von Standort, Gerät, Rolle und Aufgabe, wann das nötig ist.
- Alte Anmeldeprotokolle werden blockiert. Clients ohne moderne Authentifizierung (etwa Office 2010) sowie IMAP, SMTP und POP3 mit Basic Authentication kommen nicht mehr durch. Auch der Device-Code-Flow ist gesperrt.
- Zugriff auf die Azure-Verwaltung erfordert MFA. Azure-Portal, Entra Admin Center, Azure PowerShell und Azure CLI verlangen MFA von jedem Benutzer.
Ausgenommen sind nur die Synchronisationskonten von Entra Connect oder Cloud Sync. Für alle anderen gibt es keine Ausnahme, auch nicht für Multifunktionsgeräte, die per SMTP mit Basic Authentication senden. Das ist der häufigste Grund, warum Kunden uns anrufen: Der Scanner sendet nach dem Einschalten keine Mails mehr.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Was kann bedingter Zugriff mehr?
Bedingter Zugriff arbeitet mit Richtlinien. Jede Richtlinie beschreibt, für wen sie gilt (Benutzer, Gruppen, Rollen), unter welchen Bedingungen (App, Gerät, Standort, Risiko) und was dann passiert (MFA verlangen, blockieren, konformes Gerät fordern). Damit lassen sich Dinge abbilden, die mit Sicherheitsstandards nicht gehen:
- MFA nur außerhalb des Firmennetzes verlangen, im Büro nicht
- Zugriff auf Exchange und SharePoint nur von verwalteten Geräten erlauben
- Anmeldungen aus bestimmten Ländern blockieren
- Servicekonten oder Geräte gezielt ausnehmen, ohne den Schutz für alle anderen zu senken
- mit Entra ID P2 zusätzlich risikobasierte Richtlinien, etwa MFA bei auffälliger Anmeldung
Microsoft stellt verwaltete Richtlinien bereit, die dieselben Schutzmaßnahmen wie die Sicherheitsstandards abdecken: alte Authentifizierung blockieren, MFA für die Azure-Verwaltung, MFA für Administratoren und MFA für alle Benutzer. Dazu kommen Vorlagen in der Kategorie Secure foundations. Damit startest du nicht bei null.
Sicherheitsstandards oder bedingter Zugriff: der Vergleich
| Kriterium | Sicherheitsstandards | Bedingter Zugriff |
|---|---|---|
| Lizenz | keine, in Entra ID Free enthalten | mindestens Microsoft Entra ID P1 |
| Anpassung | keine, nur ein oder aus | vollständig anpassbar |
| Ausnahmen | keine (außer Sync-Konten) | je Richtlinie für Benutzer, Gruppen, Apps, Standorte |
| Alte Protokolle | immer blockiert | per Richtlinie blockiert, Ausnahmen möglich |
| Gerätebedingungen | nicht möglich | konformes oder hybrid verbundenes Gerät verlangbar |
| Komplexität | einfach | Planung und Pflege nötig |
| Passend für | kleine Organisationen ohne Premium-Lizenzen | Organisationen mit Entra ID P1 oder P2 |
Microsoft formuliert es so: Wer Entra ID P1 oder P2 besitzt, für den sind Sicherheitsstandards wahrscheinlich nicht die richtige Wahl. Bedingter Zugriff ist dann der Standard.
Wie deaktivierst du die Sicherheitsstandards sicher?
Die wichtigste Regel: Schalte die Sicherheitsstandards erst ab, wenn die Richtlinien für bedingten Zugriff fertig sind, und aktiviere diese unmittelbar danach. Dazwischen ist der Tenant ungeschützt. Microsoft empfiehlt außerdem zwei reine Cloud-Notfallkonten mit der Rolle Global Administrator, die von allen Richtlinien ausgenommen sind.
- Richte in Entra ID die Richtlinien für bedingten Zugriff ein, am besten auf Basis der von Microsoft verwalteten Richtlinien oder der Vorlagen.
- Lege die Notfallkonten an und nimm sie in jeder Richtlinie aus.
- Melde dich im Microsoft Entra Admin Center (entra.microsoft.com) mit mindestens der Rolle Conditional Access Administrator an.
- Gehe zu Entra ID > Übersicht (Overview) > Eigenschaften (Properties).
- Wähle Sicherheitsstandards verwalten (Manage security defaults).
- Setze Sicherheitsstandards auf Deaktiviert (nicht empfohlen) (Disabled, not recommended) und klicke auf Speichern (Save).
- Aktiviere sofort die vorbereiteten Richtlinien für bedingten Zugriff und prüfe mit einem Testkonto, ob MFA greift und alte Protokolle blockiert sind.
Das Aktivieren läuft über denselben Pfad, nur mit der Einstellung Aktiviert. Vor dem Einschalten empfiehlt Microsoft, bestehende Anmeldetoken mit dem PowerShell-Cmdlet Revoke-MgUserSignInSession zu widerrufen, damit alle Benutzer sich neu anmelden und MFA registrieren.
So unterstützen wir dich
Als Microsoft Partner richten wir für Unternehmen in Osnabrück und Umgebung den Wechsel von Sicherheitsstandards auf bedingten Zugriff ein, inklusive Notfallkonten, Ausnahmen für Scanner und Servicekonten und einem Test vor dem Umschalten. Per Fernwartung geht das auch aus der Ferne. Mehr zu unseren Leistungen findest du auf der Seite Microsoft 365 für Unternehmen.
Häufige Fragen
Kann ich Sicherheitsstandards und bedingten Zugriff gleichzeitig nutzen?
Nein. Wer Richtlinien für bedingten Zugriff einsetzt, die die Sicherheitsstandards ersetzen, muss diese deaktivieren.
Welche Lizenz brauche ich für bedingten Zugriff?
Mindestens Microsoft Entra ID P1. Für risikobasierte Richtlinien ist Entra ID P2 nötig. Zum Ausprobieren bietet Microsoft eine kostenlose Testversion an.
Warum sendet mein Scanner nach dem Aktivieren keine Mails mehr?
Die Sicherheitsstandards blockieren SMTP mit Basic Authentication. Prüfe vor dem Einschalten, welche Geräte und Anwendungen so senden, und stelle den Versand um.
Warum sehe ich bei der MFA-Statusseite „Deaktiviert“?
Das ist bei Sicherheitsstandards und bei MFA über bedingten Zugriff normal. Die alte benutzerbezogene MFA wird nicht mehr verwendet.
Müssen Gäste auch MFA machen?
Ja. B2B-Gäste und B2B-Direct-Connect-Benutzer werden wie eigene Benutzer behandelt und müssen die MFA-Anforderung erfüllen.
Quellen
- Security defaults in Microsoft Entra ID (Microsoft Learn, abgerufen am 03.11.2026)
