Entra SSPR: Ab 7. November nur noch registrierte Methoden

Foto: geralt / Pixabay

Am 7. November 2026 beginnt Microsoft, die Kennwortzurücksetzung in Entra ID nur noch mit ausdrücklich registrierten Methoden zuzulassen, und ab dem 9. November gilt die Regel vollständig. Bis dahin bleiben dir gut drei Monate, um zu prüfen, wer im Tenant noch keine Methode registriert hat.

Das Wichtigste in Kürze

• Die Selbstbedienung beim Kennwort akzeptiert nur noch registrierte Methoden. Telefonnummer und alternative E-Mail-Adresse aus dem Verzeichnisprofil zählen nicht mehr.
• Die Regel gilt für alle Tenants mit SSPR, auch für Administratoren. Betroffen sind ebenso GCC, GCC High und DoD.
• Rund 86 % der Prüfungen laufen laut Microsoft schon über registrierte Methoden. Die Lücke betrifft also eine Minderheit, die aber ohne Vorbereitung beim Helpdesk landet.
• Die Registrierungskampagne startet am 5. Oktober, die Durchsetzung am 7. November. Vollständig gilt die Regel ab dem 9. November 2026.

Termine und Quote aus Message Center MC1325414 (Spiegel), Stand 4. August 2026. Die 86 % beziehen sich auf alle SSPR-Verifizierungen.

Sicherheit: Was sich bei Entra SSPR ändert

Microsoft hat die Änderung am 28. Mai 2026 angekündigt und die Meldung zuletzt am 4. August 2026 überarbeitet. Diese Aktualisierung brachte einen neuen Zeitplan: Statt im September greift die Regel nun in der ersten Novemberhälfte.

Damit endet ein Sonderweg: Entra ID konnte für SSPR bisher auch Kontaktdaten nutzen, die im Benutzerprofil standen, etwa eine Telefonnummer oder eine alternative Mailadresse. Das ändert sich. Laut Message Center MC1325414 zählen diese Attribute nicht mehr, wenn die Person sie nicht ausdrücklich als Authentifizierungsmethode registriert hat.

Dabei hilft die Learn-Seite zur Funktionsweise von SSPR beschreibt die verfügbaren Methoden: Microsoft Authenticator, Hardware- und Software-OATH-Token, SMS, Sprachanruf und E-Mail-Code. Authenticator und OATH-Token zählen für SSPR zusammen als ein Verfahren. Mit einer Kombination aus beiden erfüllst du also keine Vorgabe von zwei Verfahren.

Eigene Zusammenfassung der Meldung MC1325414. Die Zeile „Registrierte Methode“ gilt für alle Methoden, die deine Richtlinie freigibt.

Fehlt einer Person das nötige Verfahren, sieht sie beim Zurücksetzen eine Fehlerseite und muss laut Learn einen Administrator bitten. Zudem verlangt Microsoft für Administratorkonten zwei Verfahren.

Microsoft Entra: So prüfst du die Registrierungsquote

Deshalb beginnst du mit dem Bericht zur Aktivität der Authentifizierungsmethoden. Du findest ihn im Entra Admin Center unter „Entra ID“, „Authentication methods“ und „Activity“. Mindestens die Rolle Authentication Policy Administrator ist nötig, für die Berichte brauchst du eine Lizenz Entra ID P1 oder P2.

Dort steht auf dem Reiter „Registration“ die Zahl der Personen, die per SSPR ein Kennwort zurücksetzen können. Die Benutzerliste nennt je Konto die Spalten „SSPR Registered“, „SSPR Enabled“ und „SSPR Capable“ sowie die registrierten Methoden. Die Daten können bis zu 36 Stunden alt sein, und deaktivierte Konten fehlen. Die Details stehen in der Dokumentation zur Methodenaktivität.

Cloud: Registrierung anstossen

So schliessen sich die Lücken auf zwei Wegen. Der erste: Unter „Entra ID“ und „Password reset“ setzt du auf der Seite „Registration“ die Option „Require users to register when signing in“ auf „Yes“. Nutzer registrieren sich dann bei der nächsten Anmeldung. Alternativ rufen sie selbst https://aka.ms/ssprsetup auf.

Der zweite Weg ist die Registrierungskampagne. Sie fordert Personen nach der MFA-Anmeldung auf, die Authenticator-App oder einen Passkey einzurichten, je Kampagne nur eines von beiden. Du findest sie unter „Entra ID“, „Authentication methods“ und „Registration campaign“. Im Zustand „Enabled“ legst du Ziel, Wartezeit (0 bis 14 Tage) und Begrenzung des Aufschiebens selbst fest. Mit eingeschalteter Begrenzung muss sich die Person nach dem dritten Aufschub registrieren.

Dabei gilt ein Unterschied: Die SSPR-Liste nennt Passkeys nicht. Für die SSPR-Quote bietet sich darum die App-Variante an, die laut Learn auf Mobilgeräten nicht läuft. Wer lieber per Graph arbeitet, ändert die Richtlinie so:

GET https://graph.microsoft.com/v1.0/policies/authenticationmethodspolicy
PATCH https://graph.microsoft.com/v1.0/policies/authenticationmethodspolicy

{
  "registrationEnforcement": {
    "authenticationMethodsRegistrationCampaign": {
      "snoozeDurationInDays": 1,
      "enforceRegistrationAfterAllowedSnoozes": true,
      "state": "enabled",
      "excludeTargets": [],
      "includeTargets": [
        { "id": "all_users", "targetType": "group",
          "targetedAuthenticationMethod": "microsoftAuthenticator" }
      ]
    }
  }
}

Beispiel aus der Learn-Seite zur Registrierungskampagne. Du brauchst dafür die Berechtigungen Policy.Read.All und Policy.ReadWrite.AuthenticationMethod.

Was du jetzt tun solltest

1. Trage den 7. November als Frist ein und plane Puffer bis zum 9. November.
2. Öffne den Bericht „Activity“ und notiere, wie viele Konten bei „SSPR Capable“ auf „Not Capable“ stehen.
3. Schalte die Registrierung bei der Anmeldung ein und starte eine Kampagne für die Gruppen mit der grössten Lücke.
4. Prüfe Administratorkonten und Notfallkonten gesondert. Kontrolliere dort, ob SSPR aktiv ist und welche Verfahren eingetragen sind.
5. Lege einen Notfallprozess im Helpdesk fest, damit Personen ohne Methode ihr Kennwort geprüft zurückbekommen und sich danach registrieren. Hinterlege dazu unter „Customization“ eine Helpdesk-Adresse.
6. Informiere die Belegschaft früh. Die Nachricht sagt, was zu tun ist, wo man es tut und bis wann.
7. Betreibst du ein hybrides AD mit Kennwort-Rückschreibung, lies auch den Artikel zum Pflicht-Upgrade von Entra Connect Sync.

Fazit

Die Änderung trifft eine Minderheit, und sie trifft diese am Stichtag ohne Vorwarnung, wenn niemand vorbereitet. Deshalb lohnt sich der Start jetzt: Wer die Quote misst, eine Kampagne startet und den Helpdesk einweiht, vermeidet eine Welle von Anrufen ab dem 9. November. Drei Monate Vorlauf reichen dafür gut aus, wenn du jetzt beginnst.

Quellen: Message Center MC1325414 (Spiegel), SSPR im Detail, SSPR aktivieren, Aktivität der Authentifizierungsmethoden, Registrierungskampagne. Foto: geralt / Pixabay. Stand: 4. August 2026.

Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion