Standard ist noch keine Zugriffsregel.
Themenstand: 13.07.2026 · Für den Blog aufbereitet am 06.11.2026. Dieser Rückblick ordnet die damalige Entwicklung mit ihrem zeitlichen Kontext ein.
Rückblick Juli 2026: Passkeys sollten in Entra zur Standarderfahrung werden. Für sensible Zugriffe zählt zusätzlich, welche Methode tatsächlich vorgeschrieben ist.
Eine Ankündigung mit zwei Ebenen
Am 13. Juli 2026 kündigte Microsoft an, ab September Passkeys schrittweise zur Standarderfahrung in Entra ID zu machen. Für die Vorbereitung ist dabei eine Unterscheidung zentral: Eine Methode anzubieten oder bei der Anmeldung vorzuschlagen ist nicht dasselbe, wie eine bestimmte Schutzqualität für einen Zugriff verbindlich zu verlangen.
Wer eine Ankündigung liest, sollte daher zunächst den Geltungsbereich markieren. Welche Benutzer sind betroffen? Wann beginnt der Rollout? Was geschieht bei der nächsten Anmeldung? Die Aussage, dass jeder Mandant zu diesem Zeitpunkt bereits vollständig umgestellt war, lässt sich daraus nicht ableiten.
Was die Anwendung wirklich verlangen soll
In Entra lassen sich über Authentifizierungsstärken erlaubte Kombinationen von Anmeldemethoden für einen Zugriff festlegen. Diese Kontrolle gehört zu Conditional Access, also den bedingten Zugriffsregeln. Microsoft unterscheidet dabei unter anderem allgemeine mehrstufige, passwortlose und phishingresistente Anforderungen.
Der Name einer Methode allein reicht für eine Bewertung nicht. Für eine sensible Ressource ist die konkrete Regel maßgeblich: Welche Benutzer und Ressourcen erfasst sie, welche Kombinationen akzeptiert sie und welche Ausnahmen bleiben bestehen? Eine gültige Anmeldung kann trotzdem eine andere Qualität haben, als die Verantwortlichen beabsichtigen.
Der kleinste sinnvolle Test
Ich würde eine Testanwendung und zwei Testkonten wählen. Ein Konto besitzt die gewünschte Methode, das andere nur eine schwächere Alternative. Beide durchlaufen denselben vorgesehenen Zugriffsweg. Die erwarteten Ergebnisse werden vorher aufgeschrieben, damit ein überraschender Erfolg später nicht einfach passend erklärt wird.
Danach werden die Protokolle geprüft: Welche Regel wurde ausgewertet, welche Methode erfüllte sie und wurde der Zugriff tatsächlich gewährt oder verweigert? Der Test wird mit einer bewusst ausgenommenen Gruppe wiederholt. Gerade diese Variante zeigt, ob eine Ausnahme nur dokumentiert wurde oder ob ihre Wirkung verstanden ist.
Einführung und Durchsetzung getrennt abnehmen
Registrierung, Benutzerführung und Zugriffsschutz brauchen jeweils einen eigenen Nachweis. Der Rollout ist erfolgreich, wenn Menschen arbeitsfähig bleiben und die vorgesehenen Sicherheitsanforderungen greifen. Dafür würde ich zuerst einen klar eingegrenzten Bereich nachweisen, statt eine große aktivierte Funktion vorschnell mit vollständiger Abdeckung gleichzusetzen. Die erwarteten Ablehnungen gehören dabei genauso in die Abnahme wie die erfolgreichen Anmeldungen.