Häufig gestellte Fragen

Sie haben freie Wahl zwischen den eingerichteten Methoden. Microsoft schlägt automatisch die sicherste Methode vor, Sie können diese jedoch bei jeder Anmeldung wechseln. Wenn z. B. nach einem Sicherheitsschlüssel gefragt wird, können Sie auf „Abbrechen“ klicken und anschließend „Weitere Anmeldemethoden“ auswählen.

Mindestens zwei:

• einen Sicherheitsschlüssel (YubiKey)
• eine Authenticator-App auf einem Smartphone Ihrer Wahl

Empfohlen wird zusätzlich eine weitere Authenticator-App auf einem zweiten Gerät, damit Sie auch bei Verlust oder Defekt abgesichert sind.

Phishingresistente Methoden sind:

• Sicherheitsschlüssel (YubiKey)
• Windows Hello for Business

Alle anderen Methoden wie Authenticator-Apps (TOTP, Push) oder SMS können bei Phishing-Angriffen abgefangen werden.

FIDO2-Sicherheitsschlüssel und Windows Hello for Business gelten als phishingresistent und sind besonders sicher.

Sie benötigen eine alternative Methode (z. B. Ersatzschlüssel oder zweite Authenticator-App). Ohne zweite Methode ist der Zugang gesperrt.

Ja, MFA ist erforderlich, um den Zugang zu IT-Diensten sicherzustellen.

Auf PCs, Notebooks und Smartphones mit USB-A, USB-C oder NFC.

Nein, der Sicherheitsschlüssel (YubiKey) ermöglicht eine Passwortlose Anmeldung nach der Einrichtung. Es wird auch der Benutzername verknüpft, sodass es ausreicht den Yubikey einzustecken und Benutzername und Passwort nicht mehr notwendig ist.

Ja, es wird empfohlen, mindestens zwei Schlüssel einzurichten (z. B. Haupt- und Ersatzschlüssel).

Sie können sich mit einer anderen eingerichteten MFA-Methode (z. B. Authenticator-App oder Ersatz-YubiKey) anmelden. Ohne weitere Methode ist ein Zugriff nicht möglich.

Ja, ein YubiKey kann bei beliebig vielen Diensten hinterlegt werden.

Nein, der YubiKey speichert keine Passwörter oder biometrischen Daten. Er arbeitet mit kryptografischen Schlüsseln.

Ja, da der YubiKey auf Hardware-basierten, physischen Schlüsseln basiert und nicht durch Phishing, Malware oder SIM-Swapping abgefangen werden kann.

Nein, weder Microsoft noch Yubico erhalten Zugriff auf Ihre Passwörter oder Anmeldedaten. Der YubiKey arbeitet ausschließlich lokal mit kryptografischen Schlüsseln.

Laut Hersteller liegt die physische Lebensdauer bei über 5 Jahren.

Nein, der YubiKey speichert keine persönlichen Daten wie Namen, Fingerabdrücke oder Passwörter – nur kryptografische Schlüssel für die Anmeldung.

Fehler treten häufig auf, wenn unter Linux ein nicht unterstützter Browser verwendet wird.

Der YubiKey wird unter Linux nur mit Google Chrome vollumfänglich unterstützt.

Weitere Informationen finden Sie in der Dokumentation zur Unterstützung der FIDO2-Authentifizierung mit Microsoft. https://learn.microsoft.com/de-de/entra/identity/authentication/concept-fido2-compatibility?tabs=web

Ja, Sie können auch andere Microsoft-kompatible FIDO2-Sicherheitsschlüssel nutzen.
Eine Übersicht der unterstützten Anbieter finden Sie unter „Anbieter Microsoft-kompatibler FIDO2-Sicherheitsschlüssel“. https://learn.microsoft.com/de-de/entra/identity/authentication/concept-fido2-hardware-vendor

Ja, da die Anmeldung auf einem gerätegebundenen Schlüssel basiert und Passwörter nicht mehr übertragen werden.

Windows speichert biometrische Daten, die ausschließlich zur sicheren Implementierung von Windows Hello auf dem lokalen Gerät verwendet werden. Diese werden nicht übertragen und nie an externe Geräte oder Server gesendet.

Nein, jede Methode ist gerätegebunden und muss auf jedem Gerät separat eingerichtet werden.

Nein, WHfB wird in Citrix-Umgebungen nicht unterstützt.

Die gespeicherten Schlüssel sind an das Gerät gebunden. Nutzen Sie zusätzlich eine Authenticator-App oder einen Sicherheitsschlüssel, um weiterhin Zugriff zu haben.

Ja, Sie können PIN, Fingerabdruck und Gesichtserkennung nebeneinander einrichten und frei wählen.

Nein, nur die PIN ist verpflichtend. Biometrische Methoden sind optional.

Nein, Windows Hello speichert keine Rohdaten wie Bilder oder Scans. Stattdessen werden nur mathematische Abstraktionen (Hashes) der biometrischen Merkmale lokal auf Ihrem Gerät hinterlegt. Diese Daten können nicht zurückgerechnet oder außerhalb des Geräts verwendet werden.

Nein, die abstrahierten biometrischen Daten bleiben ausschließlich lokal auf Ihrem Gerät und werden nicht übertragen.

TOTP ist ein Verfahren, bei dem zeitbasierte Einmalcodes (meist 6-stellig) zur Anmeldung genutzt werden.

Die App und der Server berechnen anhand eines geheimen Schlüssels und der aktuellen Uhrzeit denselben Code. Dieser ist nur kurz gültig.

Viele Authenticator-Apps, z. B. Microsoft Authenticator, Google Authenticator, Authy, Aegis, FreeOTP.

Ja, da der Code nach wenigen Sekunden ungültig wird und nicht wiederverwendet werden kann.

Ja, die Codes werden lokal auf dem Gerät berechnet und benötigen kein Internet.

Ja, indem Sie beim Einrichten denselben QR-Code auf mehreren Geräten scannen.

Ohne Backup oder zweite Methode verlieren Sie den Zugriff. Daher sollte immer eine zweite MFA-Methode (z. B. Ersatzgerät, Sicherheitsschlüssel) eingerichtet werden.

Nein. SMS-Codes werden über das Mobilfunknetz gesendet und sind anfälliger für Angriffe (z. B. SIM-Swapping). TOTP ist sicherer.

Ja, jede App kann Codes für viele unterschiedliche Konten generieren.

Wenn die Uhrzeit auf dem Smartphone nicht korrekt ist, können die Codes abweichen. Aktivieren Sie automatische Uhrzeitsynchronisation.

Nur teilweise. TOTP schützt vor Passwortdiebstahl, aber bei Phishing kann der Einmalcode direkt weitergegeben werden. Noch besser geschützt sind Hardware-Sicherheitsschlüssel.

Nein, die Berechnung der Codes erfolgt lokal auf Ihrem Gerät. Der geheime Schlüssel wird nicht übertragen.

Die App gibt es für iOS (iPhone/iPad) und Android-Smartphones.

Für Push-Benachrichtigungen ja. Alternativ können Sie auch Offline-Codes in der App verwenden.

Ja, es wird sogar empfohlen, die App auf zwei Geräten einzurichten, um im Verlustfall abgesichert zu sein.

Installieren Sie die Microsoft Authenticator App auf dem neuen Gerät und richten Sie sie dort erneut ein. Setzen Sie das altes Smartphone keinesfalls zurück oder löschen voreilig die App, bevor die App auf dem neuen Smartphone neu eingerichtet ist.
Wichtig: Halten Sie mindestens eine weitere MFA-Methode (z. B. Sicherheitsschlüssel oder zweite Authenticator-App) bereit, damit Sie sich während der Umstellung weiterhin anmelden können. Erst wenn die MFA auf dem neuen Smartphone erfolgreich funktioniert, können Sie das alte Gerät zurücksetzen oder die App dort löschen.

Nutzen Sie eine alternative MFA-Methode, z. B. Ihren Sicherheitsschlüssel oder eine zweite eingerichtete Authenticator-App auf einem anderen Gerät.
Falls Sie keine zweite Methode eingerichtet haben, können Sie sich nicht anmelden.

Ja, das Passwort bleibt bestehen. Die Authenticator-App dient als zweiter Faktor zusätzlich zum Passwort.

Ja, die App unterstützt neben Microsoft-Konten auch andere Dienste, die TOTP (Einmalcodes) nutzen (z. B. Google).

Sie sollten mindestens eine zweite MFA-Methode eingerichtet haben (z. B. Sicherheitsschlüssel oder Authenticator auf einem anderen Gerät). Ohne Ersatzmethode kann der Zugriff verloren gehen.

Nein, die App speichert keine Passwörter. Nur der Bestätigungscode oder die Push-Anfrage wird verarbeitet.

Nein, die App speichert nur die für die Anmeldung notwendigen Codes. Persönliche Daten wie E-Mails oder Dokumente werden nicht gespeichert.

Nein, Passwörter werden nicht in der App hinterlegt. Microsoft erhält lediglich die Bestätigung einer Anmeldung (z. B. „Genehmigt“ oder „Abgelehnt“).