Zusammenfassend
- Eine Notfall- oder Notfall-Konto (“break-glass”-Konto) ist eine globale Administrator-Konto von Microsoft 365, die für eine einzige Situation reserviert ist: wenn die normalen Administrationskonten nicht mehr funktionieren.
- Microsoft empfiehlt mindestens zwei, nur in der Cloud (Domain .onmicrosoft.com), die weder einer Person noch einem Mobiltelefon zugeordnet sind, mit Authentifizierung durch physische Sicherheitschlüssel (FIDO2) oder Zertifikat.
- Die obligatorische Mehrfaktorgestaltung der Authentifizierung von Microsoft gilt auch für diese Konten. Eine Notfall-Konto mit nur einem Passwort reicht nicht mehr aus.
- Jede Nutzung muss einen Alarm auslösen, und die Konten müssen mindestens alle 90 Tage und bei jeder Änderung der IT-Abteilung getestet werden.
In diesem Artikel
- Wie eine Firma ohne Geschäftsführer auskommt
- Was Microsoft empfiehlt
- Die Multifaktor-Authentifizierung ist auch für diese Konten obligatorisch.
- Wer die Schlüssel aufbewahrt
- Checkliste: Ist alles vorbereitet?
- Ein echter Fall: 50 Briefkästen, Migration mit Kundenkontrolle
- Häufig gestellte Fragen
- Überprüfung der Verwaltung Ihres Microsoft 365 innerhalb von 5 Werktagen
Notfallkonten in Microsoft 365 Sie sind die Ersatzschlüssel des Unternehmens. Wenn der einzige Administrator blockiert ist – weil er sein Authentifizierungs-Handy verloren hat, weil eine schlecht konfiguriertes Zugriffsschlüsselregel alle Portale geschlossen hat, oder weil er das Unternehmen verlassen hat, ohne die entsprechenden Zugangsdaten mitgebracht zu haben – dann greift man zu diesen Konten. Ohne diese Konten ist die Wiederherstellung von der Microsoft-Supportabteilung abhängig von Anfragen und Beweisen für die Eigentumsrechte, während E-Mails, Teams und Dateien ohne Verwaltung verbleiben.
In diesem Artikel wird in Management-Sprache erläutert, was Schlüssel sind, wie viele zu haben sind, wo die Schlüssel aufbewahrt werden und wer Zugriff darauf haben darf.
Wie eine Firma ohne Geschäftsführer auskommt
Ein Angriff ist nicht erforderlich. Die Szenarien, die wir am häufigsten sehen, sind banal:
- Das Authentifizierungs-Handy ist verloren oder wurde ausgetauscht Und es war die einzige zweite Faktormethode des einzigen Administrators.
- Eine Regel für bedingten Zugriff (die Regeln, die besagen, “nur aus Portugal einzutreten” oder “nur von Computern des Unternehmens”) wurden mit einem Fehler aktiviert und blockierten alle, einschließlich derjenigen, die sie erstellt hatten.
- Der Administrator ist gegangen — ein Mitarbeiter oder der bisherige IT-Anbieter — und die Kennungen sind mit ihm zusammengekommen.
- Der Administrator-Account wurde kompromittiert Und der Angreifer hat das Passwort und die Authentifizierungsmethoden geändert.
In allen ist die Frage die gleiche: Wer kann jetzt einsteigen, ohne von der fehlgeschlagenen Rechnung abhängig zu sein?
Was Microsoft empfiehlt
Die offizielle Dokumentation von Microsoft zu Notzugriffskonten in Microsoft Entra (dem Identitätssystem hinter Microsoft 365) ist klar. Wir haben die wichtigsten Empfehlungen zusammengefasst:
| Empfehlung | In der Praxis |
|---|---|
| Zwei oder mehr Konten | Wenn eine fehlschlägt oder beschädigt wird, gibt es immer noch die andere. |
| Nur in der Cloud unter der Domäne .onmicrosoft.com | Sie sind nicht von dem lokalen Server, der Kontosynchronisierung oder dem Unternehmensdomänennamen abhängig. |
| Nicht mit einer Person verbunden | Keine “joao.admin”. Auch kein persönliches Handy als zweiter Faktor. |
| Authentifizierung ohne Passwort und gegen Phishing geschützt | Fysischer Sicherheitsschlüssel (Passkey FIDO2), empfohlen von Microsoft, oder Zertifikat. Ein anderer Weg als die für normale Administratorkonten verwendete Methode. |
| Ausgenommen von den Regeln, die den Zugang blockieren | Damit ein Fehler in einer Regel für bedingte Zugriffe auch sie nicht blockiert. |
| Ständige globale Administratorfunktion | Permanenter Aktivierungsstatus, nicht “einstellbar” durch Anforderung der Aktivierung. |
| Kräfte, die an sicheren und getrennten Orten gespeichert sind | Beispielsweise Tresore an verschiedenen Standorten, mit Zugang nur für autorisierte Personen. |
| Warnung bei jeder Verwendung | Jede Anmeldung erzeugt eine Warnung, die jeder wissen sollte. |
| Mindestens alle 90 Tage überprüft | Und jedes Mal, wenn die IT-Abteilung oder die Abonnement-Verträge geändert werden. |
Die Multifaktor-Authentifizierung ist auch für diese Konten obligatorisch.
Seit Jahren bewahren viele Unternehmen die Notfallkonten nur mit einem langen Passwort in einem Umschlag auf. Das ist vorbei. Microsoft verlangt ab Februar 2025 für den Zugriff auf die Administrationsportale – im Microsoft 365-Administrationszentrum – eine Mehrfachauthentifizierung und die Dokumentation besagt ausdrücklich, dass Notfallkonten ebenfalls ohne Ausnahme umfasst werden.
Die Methoden, die Microsoft für die Erfüllung dieses Anforderungen in diesen Konten vorschlägt, sind die physische Sicherheitschlüssel (FIDO2) oder die Zertifikatauthentifizierung. In der Praxis ist für ein KMU die einfachste Lösung, zwei physische Sicherheitschlüssel pro Notfallkonto zu haben, die an verschiedenen Orten aufbewahrt werden. Wir haben die verschiedenen Methoden im Artikel zu diesem Thema erläutert. MFA im Unternehmen.
Wer die Schlüssel aufbewahrt
Dies ist eine Verwaltungsentscheidung, keine technische. Wir empfehlen eine einfache Regel: Die Notfallschlüssel gehören dem Unternehmen, nicht dem IT-Anbieter.
- Eine Schlüsselanhänger im Tresor des Unternehmens, mit Zugang der Verwaltung.
- Eine zweite Schlüsselanhänger an einem anderen Ort — ein anderes Büro, das Tresor eines Verwalters, oder ein Bankkonto.
- Schriftliche Registrierung von wem sie zugänglich sind, wo sie sich befinden und wann sie zuletzt getestet wurden.
- Jede zugeordnete Passwort-Kennung in einem Unternehmenspasswortmanager, In einem Bereich, der ausschließlich der Verwaltung vorbehalten ist.
Der Anbieter verarbeitet den täglichen Geschäftsbetrieb mit den nominalen Verwaltungskosten; jeder Techniker hat seine eigenen. Die Notfallkalkulationen sind die Garantie dafür, dass das Unternehmen niemals einem anderen Unternehmen ausgeliefert wird – einschließlich uns. Dies ist auch eine der Klauseln, die wir empfehlen, in jedem Vertrag zu überprüfen, wie wir im Artikel über Kündigungsklauseln und Daten in einem IT-Vertrag.
Checkliste: Ist alles vorbereitet?
- Es gibt mindestens zwei Notfallkonten unter der Domäne .onmicrosoft.com?
- Keine davon ist mit einer Person oder einem persönlichen Handy verbunden?
- Verwenden Sie eine physische Sicherheitsschlüssel oder ein Zertifikat und nicht SMS oder eine App auf dem Handy?
- Sind sie von den Bedingungen für den Zugang ausgeschlossen, die die Einreise blockieren?
- Die Verwaltung weiß, wo die Schlüssel sind, und sie befinden sich an separaten Orten?
- Gibt ein Einzug in diese Konten eine sofortige Warnung aus?
- Sind sie in den letzten 90 Tagen getestet worden?
- Verwenden die Techniker eigene Verwaltungskonten, die nicht gemeinsam genutzt werden?
Wenn Sie zwei oder mehr Fragen mit “Nein” oder “Ich weiß es nicht” beantwortet haben, ist das Risiko real. Die meisten der Fehler, die wir bei der Analyse unserer Daten gefunden haben, sind auf diese Weise entstanden. E-Mail-Sicherheit in Microsoft 365 Es beginnt nämlich in der Verwaltung.
Ein echter Fall: 50 Briefkästen, Migration mit Kundenkontrolle
Na Gemeindeunion von Massamá und Monte Abraão, Bei DataRoad wurden etwa 50 Postfächer auf Microsoft 365 (Exchange Online) migriert, wobei der gesamte Inhalt übertragen, die Arbeitsplätze und Mobiltelefone neu konfiguriert und die Validierung nach der Migration durchgeführt wurde. In einer öffentlichen Einrichtung muss die Verwaltung des Umfelds weiterhin der Einrichtung gehören, unabhängig davon, wer den Dienst leistet.
Dies ist das Modell, das wir in den von uns verwalteten Microsoft 365-Umgebungen empfehlen: nominelle Administrationskonten für die technische Abteilung, Notfallkonten in Besitz des Kunden und eine klare Aufzeichnung darüber, wer zu welchen Aufgaben Zugang hat.
Häufig gestellte Fragen
Wie viele Notfallkonten sollte ein Unternehmen haben?
Microsoft empfiehlt zwei oder mehr. Mit zwei kann das Unternehmen weiterhin erfolgreich zugreifen, falls eine davon fehlschlägt oder kompromittiert wird.
Kann ich das Handy des Administrators als zweiter Faktor verwenden?
Es wird nicht empfohlen. Die Notfallkonten dürfen weder Personen noch persönlichen Geräten zugeordnet werden. Microsoft empfiehlt physische Sicherheitschlüssel (FIDO2) oder Zertifikatauthentifizierung.
Kann der Notfallkonto nur mit einem Passwort verknüpft werden?
Nein. Microsoft verlangt eine Mehrfachauthentifizierung auf den Administrationsportalen und gibt an, dass auch die Notfallkonten abgedeckt sind.
Wer muss die Schlüssel zu den Notfallkonten aufbewahren?
Das Unternehmen selbst befindet sich an zwei sicheren und getrennten Standorten, wobei der Zugriff auf die Daten registriert ist. Der IT-Anbieter sollte mit eigenen und nominellen Administrationskonten arbeiten.
Überprüfung der Verwaltung Ihres Microsoft 365 innerhalb von 5 Werktagen
Wir haben die Administrationskonten, die Notfallkonten, die Authentifizierungsmethoden und die Zugriffsregeln Ihres Microsoft 365 überprüft und eine Liste der Prioritäten für die Korrekturmaßnahmen bereitgestellt. Für Unternehmen mit mehr als 10 Standorten · Supportvertrag · lokaler und telefonischer Remote-Support. Erfahren Sie mehr über unsere Verwaltung. Microsoft 365 for Business und die Pläne IT Unlimited.
Überarbeitung von Microsoft 365 in 5 Werktagen
Sorgen Sie dafür, dass Ihr Unternehmen niemals außerhalb Ihres eigenen Kontos bleibt.
Quellen
- Microsoft Learn — Verwaltung von Administratorkonten für Notfallzugriff (Microsoft Entra ID)
- Microsoft Learn – Pflichtmäßige Mehrfaktorgestaltung für Azure- und Administratorportale
![Logo mun[it], Agentur für digitales Marketing – Kunde von DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
