--- title: "Break-Glass-Konten in Microsoft 365 | DataRoad IT" description: "Ohne Admin in Microsoft 365 bleiben E-Mail, Teams und Dateien unverwaltet. So richten Sie Break-Glass-Konten mit FIDO2-Schlüsseln ein. Unverbindlich." language: de url: https://www.dataroad-it.com/de/break-glass-konten-microsoft-365-notfall/ source: https://www.dataroad-it.com/de/break-glass-konten-microsoft-365-notfall/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Ohne Admin in Microsoft 365 bleiben E-Mail, Teams und Dateien unverwaltet. So richten Sie Break-Glass-Konten mit FIDO2-Schlüsseln ein. Unverbindlich. # Break-Glass-Konten in Microsoft 365: die Versicherung der Firma Auf einen Blick Für Entscheider mit wenig Zeit. - 01 Break-Glass-Konten: Reserve-Globaladministratoren für den Fall, dass normale Zugänge versagen. - 02 Mindestens zwei, nur Cloud (.onmicrosoft.com), mit FIDO2-Schlüssel oder Zertifikat. - 03 Die verpflichtende MFA von Microsoft gilt auch für sie: ein Passwort im Umschlag reicht nicht mehr. - 04 Schlüssel beim Unternehmen, an zwei Orten, mit Alarm bei jeder Nutzung und Test alle 90 Tage. ### In diesem Artikel Verliert der einzige Administrator von Microsoft 365 den Zugang, verliert das Unternehmen die Kontrolle über E-Mail, Teams und Dateien, und die Wiederherstellung hängt dann von Anfragen beim Microsoft-Support und Eigentumsnachweisen ab. Break-Glass-Konten gibt es, damit das nie geschieht. Es sind Reserve-Globaladministratoren, vom Unternehmen selbst verwahrt, die nur genutzt werden, wenn alles andere versagt hat. Dieser Leitfaden sagt, wie viele Sie anlegen, wie Sie sie schützen und wer die Schlüssel hat. ## Welche Situationen lassen ein Unternehmen ohne Administrator? Selten ein ausgeklügelter Angriff. Fast immer etwas Triviales: - **Verlorener zweiter Faktor** Das Smartphone des einzigen Administrators ist defekt, wurde getauscht oder ist verschwunden, und es war die einzige eingerichtete Methode. - **Falsch aktivierter bedingter Zugriff** Eine Regel wie „nur aus Portugal“ oder „nur auf Firmengeräten“ wurde mit einem Fehler aktiviert und hat alle ausgesperrt, auch ihren Urheber. - **Austritt ohne Übergabe** Ein Mitarbeiter oder der frühere Dienstleister ist gegangen und hat die Zugangsdaten mitgenommen. - **Übernommenes Konto** Ein Angreifer hat sich als Administrator angemeldet und Passwort und Authentifizierungsmethoden geändert. Die Frage ist immer dieselbe: Wer kommt jetzt hinein, ohne das ausgefallene Konto zu brauchen? **Ein einfaches Bild:** Denken Sie an den Nothammer hinter der Scheibe in einem Zug. Niemand benutzt ihn im Alltag, jeder weiß, wo er ist, und das Einschlagen der Scheibe löst einen Alarm aus. Wird er benutzt, gab es einen Notfall, und es wird protokolliert. ## Wie sollte ein Break-Glass-Konto eingerichtet sein? Microsoft dokumentiert das Thema in Microsoft Entra, dem Identitätsdienst hinter Microsoft 365. In Entscheidungen übersetzt: - **Mindestens zwei** Wird eines unbrauchbar oder kompromittiert, bleibt das andere. - **Nur Cloud, unter .onmicrosoft.com** Unabhängig vom lokalen Server, von der Synchronisation und von der eigenen Domain. - **Kein persönlicher Besitzer** Keine Konten mit dem Namen eines Mitarbeitenden und keine privaten Smartphones als Faktor. - **Phishing-resistente Authentifizierung ohne Passwort** Physischer FIDO2-Schlüssel (die von Microsoft bevorzugte Option) oder Zertifikat, abweichend von der Methode der üblichen Administratorkonten. - **Außerhalb der Sperrregeln** Vom bedingten Zugriff ausgenommen, damit ein Fehler sie nicht ebenfalls aussperrt. - **Permanenter Globaladministrator** Rolle immer aktiv, nicht „berechtigt“ auf Aktivierungsanfrage. - **Physisch getrennte Zugangsdaten** Verschiedene Tresore, nur für autorisierte Personen zugänglich. - **Alarm bei jeder Nutzung** Jede Anmeldung löst eine kritische Warnung an die Entscheider aus. - **Vierteljährlicher Test** Spätestens alle 90 Tage und immer, wenn sich das IT-Team oder das Abonnement ändert. ## Taugt ein Passwort im Umschlag noch? Nein. Diese Praxis endete, als Microsoft MFA für die Verwaltungsportale verpflichtend machte, im Microsoft 365 Admin Center seit Februar 2025. Die Dokumentation ist eindeutig: Notfallkonten sind keine Ausnahme. Für diese Konten nennt Microsoft zwei Methoden: physischen FIDO2-Schlüssel oder zertifikatbasierte Authentifizierung. In einem KMU ist der praktischste Weg zwei physische Schlüssel pro Konto, an verschiedenen Orten. Die verfügbaren Methoden vergleichen wir im Leitfaden zur [Multi-Faktor-Authentifizierung für Unternehmen](https://www.dataroad-it.com/de/mfa-multi-faktor-authentifizierung-14-tage/). ## Wer sollte die Schlüssel haben? Die Geschäftsleitung des Unternehmens, nie der IT-Dienstleister. Es ist eine Managemententscheidung, keine technische. - **Erster Schlüssel** Im Tresor des Unternehmens, in Reichweite der Geschäftsleitung. - **Zweiter Schlüssel** An einem anderen Ort: anderes Büro, privater Tresor eines Geschäftsführers oder Bankschließfach. - **Protokoll** Wer Zugang hat, wo die Schlüssel liegen und Datum des letzten Tests, schriftlich. - **Zugehörige Passwörter** In einem [Passwortmanager für Unternehmen](https://www.dataroad-it.com/de/passwortmanager-unternehmen-team-tresore/), in einem der Geschäftsleitung vorbehaltenen Tresor. Der IT-Partner arbeitet mit namentlichen Administratorkonten, eines pro Techniker. Die Break-Glass-Konten garantieren, dass das Unternehmen nie von jemandem abhängig ist, uns eingeschlossen. Wir empfehlen, diesen Punkt in jedem Vertrag zu verankern, wie wir in [was ein IT-Vertrag über Ausstieg und Daten sagen sollte](https://www.dataroad-it.com/de/msp-vertrag-ausstiegsklauseln-zugaenge/) ausführen. ## Ist mein Unternehmen geschützt? Acht Fragen - Gibt es zwei oder mehr Notfallkonten unter .onmicrosoft.com? - Sind sie frei von jeder Bindung an Personen oder private Smartphones? - Authentifizieren sie mit physischem Schlüssel oder Zertifikat statt per SMS oder App? - Sind sie vom bedingten Zugriff ausgenommen, der Anmeldungen sperrt? - Kennt die Geschäftsleitung den Ort der Schlüssel, und liegen sie getrennt? - Löst eine Anmeldung bei einem dieser Konten sofort eine Warnung aus? - War der letzte Test vor weniger als 90 Tagen? - Hat jeder Techniker ein eigenes Administratorkonto, ohne geteilte Zugänge? Zwei oder mehr „Nein“ oder „Weiß nicht“ bedeuten ein konkretes Risiko. Ein Großteil der Mängel, die wir beim [Schutz der E-Mail in Microsoft 365](https://www.dataroad-it.com/de/microsoft-365-e-mail-betrug-filter/) finden, entsteht genau in der Administration. ## Wie setzen wir das in der Praxis um? Bei der [União das Freguesias de Massamá e Monte Abraão](https://www.dataroad-it.com/de/massama-exchange-online-migration-postfaecher/) hat DataRoad rund 50 Postfächer zu Exchange Online migriert, mit vollständig übertragenen Inhalten, neu konfigurierten Arbeitsplätzen und Smartphones sowie abschließender Prüfung. In einer öffentlichen Einrichtung muss die Administration der Umgebung bei der Einrichtung bleiben, wer auch immer der Dienstleister ist. Das ist der Standard in allen Microsoft-365-Umgebungen, die wir verwalten: namentliche Konten für die Techniker, Notfallkonten in der Hand des Kunden und ein eindeutiges Zugriffsprotokoll. ## Fragen von Entscheidern ### Wie viele Break-Glass-Konten braucht ein Unternehmen? Ein Unternehmen braucht laut Microsoft mindestens zwei Break-Glass-Konten. So behält es den Zugang, wenn eines ausfällt oder kompromittiert wird. ### Kann das Smartphone des Administrators als zweiter Faktor dienen? Es sollte nicht. Diese Konten dürfen weder von Personen noch von privaten Geräten abhängen; Microsoft nennt FIDO2-Schlüssel oder Zertifikat. ### Genügt es, das Notfallkonto mit einem Passwort zu schützen? Nein. MFA ist in den Microsoft-Verwaltungsportalen verpflichtend, und auch Notfallkonten unterliegen ihr. ### Wo sollten die Notfallschlüssel liegen? Beim Unternehmen, an zwei sicheren, getrennten Orten, mit Zugriffsprotokoll. Der IT-Partner nutzt eigene, namentliche Konten. ## Sie möchten die Administration Ihres Microsoft 365 in 5 Werktagen prüfen lassen? Wir prüfen Administrator- und Notfallkonten, Authentifizierungsmethoden und Zugriffsregeln und liefern die Korrekturen nach Priorität geordnet, unverbindlich. Sehen Sie unser [Microsoft-365-Management](https://www.dataroad-it.com/de/microsoft-365-unternehmen-verwaltung/) und die Managed-Services-Pläne [IT Unlimited](https://www.dataroad-it.com/de/it-unlimited-it-support-flatrate/). **Ab 10 Arbeitsplätzen · Wartungsvertrag · Remote-, Vor-Ort- und Telefon-Support.** +351 211 459 950 * · sales@dataroad.pt **Anruf ins portugiesische Festnetz.* ## Quellen - [Microsoft Learn: Notfallzugriffskonten in Entra ID](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access) - [Microsoft Learn: verpflichtende MFA in den Verwaltungsportalen](https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mandatory-multifactor-authentication) Gewählt von renommierten und internationalen Unternehmen ★★★★★ 5,0 · 52 Google-Bewertungen ★★★★★ 5,0 · 52 Google-Bewertungen DataRoad ## Verwandte Artikel [Managed IT und CybersicherheitTeams auf Reisen: Laptops, Handys und öffentliches WLAN sichernDas echte Reiserisiko ist ein verlorener, unverschlüsselter Laptop, nicht das Hotel-WLAN. Mit Verschlüsselung, MFA und zentraler Verwaltung …12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/cybersecurity-teams-auf-reisen-laptop-wlan/)[Managed IT und CybersicherheitExterne Angriffsfläche: was das Internet von Ihrer Firma siehtAutomatisierte Angriffe suchen verwundbare Versionen, die Firmengröße spielt keine Rolle. 2025 verzeichnete CERT.PT 3.864 Vorfälle, 40 % meh…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/externe-angriffsflaeche-unternehmen/)[Managed IT und CybersicherheitNOC und Managed Cybersecurity: wer Ihr KMU überwacht, und wannEntscheidend ist nicht ein SOC, sondern wer samstags um 22 Uhr den Alarm erhält und was dann passiert. Bei DataRoad sind Nächte, Wochenenden…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/noc-soc-managed-cybersecurity-kmu/)[Managed IT und CybersicherheitMicrosoft-365-Sicherheit: die 10 Kontrollen des UnternehmensIn Microsoft 365 gehört die Plattform Microsoft, die Schlüssel gehören Ihnen. Laut Microsoft stoppen MFA und das Blockieren veralteter Authe…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/microsoft-365-sicherheit-geteilte-verantwortung/)[Managed IT und CybersicherheitDSGVO und Managed Cybersecurity: 10 technische KontrollenOhne dokumentierte technische Maßnahmen wird eine Datenpanne vom IT-Vorfall zum Problem mit der Aufsichtsbehörde. Zehn Kontrollen in drei Bl…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/dsgvo-technische-massnahmen-it-infrastruktur/)[Managed IT und CybersicherheitGeleakte Passwörter: Domain prüfen und Lücke in 5 Tagen schließenDas Risiko ist nicht die E-Mail im Datenleck, sondern dasselbe Passwort für ein Firmenkonto. Betroffenes ändern, MFA für alle Konten und ein…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/zugangsdaten-datenleck-domain-pruefen/)[Managed IT und CybersicherheitAsset-Inventar: Grundlage für IT-Bestandsverwaltung und NIS2Ohne Asset-Inventar gibt es keine geplante Erneuerung, keine nachweisbare Sicherheit und keine Antwort an das CNCS. NIS2-Einrichtungen müsse…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/it-asset-inventar-nis2/)[Managed IT und CybersicherheitWindows 365 im Unternehmen: wann der Cloud-PC Kosten senktDer Cloud-PC lohnt sich für Berater, Saisonkräfte, Teams ohne Büro und gemischte Mac-/Windows-Umgebungen. Für Video, CAD oder schwaches Inte…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/windows-365-cloud-pc-kosten-unternehmen/)[Managed IT und CybersicherheitManaged Backup: der 30-Minuten-Wiederherstellungstest als BeweisEin nie wiederhergestelltes Backup ist ein aufgeschobenes Risiko. In 30 Minuten zeigen ein altes Dokument, eine gelöschte E-Mail und ein iso…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/backup-wiederherstellungstest-30-minuten/) Zahlen, die Sie prüfen können **11** Jahre am Markt **232** Kunden **< 10 Min.** durchschnittliche Reaktionszeit **15+** IT-Herstellerzertifizierungen **10+** Länder mit betreuten Kunden **5,0 ★** 52 Google-Bewertungen Transparenz ## Was viele Anbieter verschweigen, veröffentlichen wir. [Pläne und Preise ansehen →](https://www.dataroad-it.com/it-unlimited/) - **Preise offen** Essential ab 395 €/Monat zzgl. MwSt., Premium ab 750 € und Premium 365 ab 1.200 €. - **Keine Bindung** Jahresvertrag, keine Bindung und keine Einrichtungskosten. - **Alles schriftlich** Leistungsumfang und Preis, bevor Sie unterschreiben. - **Support ohne Stundenzählung** Remote und telefonisch in jedem Plan; Vor-Ort-Support ab Premium. Partner und Zertifizierungen DataRoad · Managed Cybersecurity ## One StepAhead of IT. Das Risiko trägt die Geschäftsführung, den Schutz übernehmen wir. In 11 Jahren hatte DataRoad keinen einzigen Sicherheitsvorfall. - **0** Sicherheitsvorfälle bei DataRoad in 11 Jahren - **11** Jahre am Markt, seit 2015 - **M365** extern gesichert We do **IT** right. DataRoad IT Unlimited ## Ein Internetausfall sollte Ihr Büro nicht lahmlegen. Redundante Zugänge, automatisches Failover und laufende Überwachung. [Unverbindliches Angebot anfordern →](https://www.dataroad-it.com/de/#contact)+351 211 459 950 **Anruf ins portugiesische Festnetz · Mehr als 10 Arbeitsplätze · Supportvertrag · Remote-, Vor-Ort- und Telefonsupport[Unsicher, was Sie brauchen? Sprechen Sie mit dem Assistenten →](https://www.dataroad-it.com/de/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/de/break-glass-konten-microsoft-365-notfall/