Microsoft-365-Umfrage: MFA oft aktiv, Konten mit Lücken

Eine im September 2026 durchgeführte Act-Umfrage zu Microsoft 365 meldete MFA bei 89,8 Prozent der Unternehmen mit tatsächlichen oder vermuteten Vorfällen. Zugleich entfielen 64,4 Prozent der betroffenen oder mutmaßlich betroffenen Konten auf zwei Kategorien: MFA war ausgesetzt oder ausgenommen, oder es gab Probleme mit Authentifizierungsmethoden beziehungsweise Einstellungen. TechTarget Japan berichtete am 29. Oktober 2026 über die Ergebnisse.

In diesem Artikel

• Was die Umfrage über Unternehmen und Konten berichtet
• Wo Sicherheitsprüfungen seltener stattfinden
• Wie ein Angriff trotz MFA gelingen kann
• Welche Reaktionsschritte Microsoft beschreibt

Was die Umfrage über Unternehmen und Konten berichtet

Act befragte 1.002 Personen, die am Betrieb von Microsoft 365 in privaten Unternehmen mit 100 bis 999 Beschäftigten beteiligt waren. Die Befragung fand im September 2026 statt. Erfragt wurden unbefugte Zugriffe, Kontoübernahmen oder Verdachtsfälle im Zeitraum von September 2025 bis September 2026.

Die 89,8 Prozent beziehen sich auf Unternehmen, die Vorfälle meldeten. Die Werte von 43,0 und 21,4 Prozent betreffen einzelne betroffene oder mutmaßlich betroffene Konten. Die erste Zahl sagt daher nicht aus, dass jedes Konto eines Unternehmens durchgehend mit MFA geschützt war.

Wo Sicherheitsprüfungen seltener stattfinden

82,6 Prozent der Befragten gaben an, Sicherheitsempfehlungen bereits zur Prüfung ihrer Einstellungen herangezogen zu haben. 67,1 Prozent waren mit den Einstellungen zufrieden, aber nur 32,7 Prozent überprüften sie regelmäßig.

Bei einzelnen Prüfbereichen lagen die gemeldeten Werte bei 40,4 Prozent für Conditional Access, 32,2 Prozent für den Schutz von Administratorkonten, 11,0 Prozent für OAuth-Berechtigungen und 10,1 Prozent für Auditprotokolle oder Warnmeldungen. KI-Tool-Integrationen wie Microsoft 365 Copilot waren laut Umfrage bei 90,1 Prozent im Einsatz; 29,4 Prozent überprüften regelmäßig die damit verbundenen Zugriffsberechtigungen. Regelmäßige Bestandsaufnahmen privilegierter Rollen meldeten 38,6 Prozent.

Als Hindernisse für Sicherheitsprüfungen nannten Befragte schwer verständliche Einstellungsseiten oder Optionen (32,5 Prozent) und das Risiko, bestehende Abläufe oder Integrationen zu stören (31,8 Prozent). Die Kosten höherer Lizenzstufen wie Microsoft 365 E5 nannten 10,8 Prozent.

Wie ein Angriff trotz MFA gelingen kann

Microsoft beschreibt in einer Analyse zu AiTM-Phishing einen Angriff, bei dem eine Zwischenstelle den echten Anmeldevorgang weiterleitet. Die Nutzerin oder der Nutzer kann dabei die reguläre MFA-Abfrage abschließen, während der Angreifer das Sitzungscookie abfängt. Dieses Cookie bestätigt eine bereits angemeldete Sitzung und kann wiederverwendet werden, um auf sie zuzugreifen.

In einer anderen von Microsoft beschriebenen Kampagne nutzte ein Angreifer eine gestohlene Sitzung und schwache Kontrollen für Änderungen an MFA-Methoden, um eine eigene telefonbasierte Einmalpasswort-Methode hinzuzufügen. Microsoft nennt als phishingresistente Anmeldeoptionen unter anderem Passkeys, FIDO2-Sicherheitsschlüssel, zertifikatsbasierte Anmeldung und Windows Hello for Business. Ergänzend empfiehlt das Unternehmen Conditional Access, also bedingten Zugriff.

Welche Reaktionsschritte Microsoft beschreibt

Für die von Microsoft untersuchte Kampagne umfassten die empfohlenen Maßnahmen das Zurücksetzen der Zugangsdaten, das Widerrufen von Sitzungen und das Rückgängigmachen unberechtigter Änderungen an MFA-Methoden. Damit adressieren die Schritte sowohl gestohlene Sitzungen als auch eine vom Angreifer hinzugefügte Anmeldemethode.