Vom System bevorzugte Authentifizierung

Die vom System bevorzugte Authentifizierung fordert Benutzer auf, sich mit der sichersten Methode anzumelden, die sie registriert haben. Es ist eine wichtige Sicherheitsverbesserung für Benutzer, die sich mit weniger sicheren Methoden wie Kennwörtern oder SMS authentifizieren.

Wenn ein Benutzer beispielsweise sowohl ein Kennwort als auch einen Passkey registriert hat, fordert die vom System bevorzugte Authentifizierung den Benutzer auf, sich mit dem Passkey anstelle des Kennworts anzumelden. Der Benutzer kann sich weiterhin mit einer anderen Methode anmelden, aber er wird zuerst aufgefordert, die sicherste Methode zu verwenden, die er registriert hat.

Die vom System bevorzugte Authentifizierung ist eine von Microsoft verwaltete Einstellung, die also eine Richtlinie mit drei Zuständen ist (aktiviert, deaktiviert oder von Microsoft verwaltet). Wenn Sie die vom System bevorzugte Authentifizierung nicht aktivieren möchten, ändern Sie den Status von Microsoft managed in Disabled, oder schließen Sie Benutzer und Gruppen aus der Richtlinie aus.

Nachdem die vom System bevorzugte Authentifizierung aktiviert wurde, erledigt das Authentifizierungssystem alle Aufgaben. Benutzer müssen keine Authentifizierungsmethode als ihren Standard festlegen, da das System immer die sicherste von ihnen registrierte Methode ermittelt und bereitstellt.

Wie die vom System bevorzugte Authentifizierung für die Anmeldung gilt

Die vom System bevorzugte Authentifizierung verfügt über drei Modi:

• Deaktiviert – Keine Änderung der Anmeldelogik.
• Aktiviert – Die vom System bevorzugte Authentifizierung gilt nur für den zweiten Faktor. Das vorhandene Anmeldeverhalten gilt weiterhin für die erststufige Authentifizierung.
• Microsoft managed – Die vom System bevorzugte Authentifizierung gilt sowohl für die erststufige als auch für die zweitstufige Authentifizierung. Das System wertet aus, welche Anmeldeinformationen für den Benutzer registriert sind, und wählt die methode mit dem höchsten Rang für jeden Authentifizierungsschritt aus.

Sowohl aktivierte als auch von Microsoft verwaltete Modi ermöglichen Administratoren das Einschließen oder Ausschließen bestimmter Benutzer oder Gruppen.

Bekannte Einschränkungen

• Wenn Sie die Richtlinie für eine Zielgruppe ändern, wirkt sich die Änderung möglicherweise nicht auf die nächste Anmeldung des Benutzers aus. Sie gilt für alle nachfolgenden Anmeldungen danach.
• Die Richtlinie für bedingten Zugriff wird nur für die zweitstufige Authentifizierung überprüft und gilt nicht für die erststufige Authentifizierung. Die Authentifizierung erfolgt zuerst, und der bedingte Zugriff wertet die Autorisierung aus. Die vom System bevorzugte Authentifizierung überschreibt keine Richtlinien für bedingten Zugriff oder anforderungen an die Authentifizierungsstärke.

Windows Hello for Business und macOS Platform SSO bei der erststufigen Anmeldung

Windows Hello for Business und macOS Platform SSO sind gerätegebundene Passkeys, die nur als erster Faktor funktionieren. Da der von Microsoft verwaltete Zustand die vom System bevorzugte Authentifizierung für den ersten Faktor anwendet, können diese Anmeldeinformationen vor dem Kennwort verwendet werden.

Um zu vermeiden, dass Benutzer zur Eingabe von gerätegebundenen Anmeldeinformationen aufgefordert werden, die sie nicht verwenden oder nicht auf ihrem aktuellen Gerät abschließen können, bietet die vom System bevorzugte Authentifizierung Windows Hello for Business oder macOS Platform SSO zu beginn nur dann an, wenn sich der Benutzer zuletzt mit einem Passkey angemeldet hat. Das Verhalten hängt davon ab, welche Passkeys der Benutzer registriert hat:

• Wenn der Benutzer über einen anderen Passkey als Windows Hello for Business oder macOS Platform SSO verfügt, fordert die systemseitig bevorzugte Authentifizierung den Passkey bereits beim ersten Faktor an, genauso wie sie diesen Passkey bereits bei der Anmeldung mit zweitem Faktor anfordert.
• Wenn der einzige registrierte Passkey des Benutzers Windows Hello for Business oder macOS Platform SSO ist und der Benutzer sich zuletzt mit einem Passkey angemeldet hat, fordert die systemseitig bevorzugte Authentifizierung im ersten Faktor zur Anmeldung mit einem Passkey auf.
• Wenn der einzige registrierte Kennungsschlüssel des Benutzers Windows Hello for Business oder macOS Platform SSO ist und die letzte Anmeldung des Benutzers nicht mit einem Kennungsschlüssel war, überspringt die vom System bevorzugte Authentifizierung sie im ersten Faktor und fordert stattdessen die nächste am höchsten bewertete Methode in der Anmeldeinformationsreihenfolge des Benutzers auf.

Benutzer können jederzeit Auf andere Weise anmelden auswählen, um eine andere registrierte Methode zu wählen.

Aktivieren der vom System bevorzugten Authentifizierung im Microsoft Entra Admin Center

Standardmäßig wird die vom System bevorzugte Authentifizierung für alle Benutzer Microsoft verwaltet.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Authentication Policy Administrator an.
2. Navigieren Sie zu>ID-Authentifizierungsmethoden>.
3. Wählen Sie für System-preferred authenticationMicrosoft-managed, Enabled oder Disabled aus, und schließen Sie alle Benutzer ein oder aus. Ausgeschlossene Gruppen haben Vorrang vor eingeschlossenen Gruppen.
4. Nachdem Sie alle Änderungen vorgenommen haben, wählen Sie "Speichern" aus.

Aktivieren der vom System bevorzugten Authentifizierung mithilfe von Graph-APIs

Um die vom System bevorzugte Authentifizierung im Voraus zu aktivieren, wählen Sie eine einzelne Zielgruppe für die Schemakonfiguration aus, wie im Anforderungsbeispiel gezeigt.

Konfigurationseigenschaften der Authentifizierungsmethode

Standardmäßig wird die vom System bevorzugte Authentifizierung von Microsoft verwaltet.

FeatureTarget-Eigenschaften

Die vom System bevorzugte Authentifizierung kann nur für eine einzelne Gruppe aktiviert werden, bei der es sich um eine dynamische oder geschachtelte Gruppe handeln kann.

Verwenden Sie den folgenden API-Endpunkt, um systemCredentialPreferences zu aktivieren und Gruppen einzuschließen oder auszuschließen:

https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy

Anforderung

Das folgende Beispiel schließt eine Beispielzielgruppe aus und schließt alle Benutzer ein. Weitere Informationen finden Sie unter authenticationMethodsPolicy aktualisieren.

PATCH https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy
Content-Type: application/json

{
    "systemCredentialPreferences": {
        "state": "enabled",
        "excludeTargets": [
            {
                "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
                "targetType": "group"
            }
        ],
        "includeTargets": [
            {
                "id": "all_users",
                "targetType": "group"
            }
        ]
    }
}

FAQ

Wie bestimmt die vom System bevorzugte Authentifizierung die sicherste Methode?

Wenn sich ein Benutzer anmeldet, überprüft der Authentifizierungsprozess, welche Methoden registriert sind. Der Benutzer wird aufgefordert, sich mit der sichersten Methode gemäß der folgenden Reihenfolge anzumelden. Die Methodenreihenfolge ist dynamisch und aktualisiert, wenn sich die Sicherheitslandschaft ändert. Benutzer können jederzeit abbrechen und eine andere verfügbare Anmeldemethode auswählen. Wenn Ihre Organisation Über Richtlinien für bedingten Zugriff verfügt, die bestimmte Authentifizierungsmethoden erfordern, haben diese Richtlinien weiterhin Vorrang vor der vom System bevorzugten Authentifizierungsreihenfolge.

Wenn sich das System im Zustand Microsoft managed befindet, wertet das System die verfügbaren Anmeldeinformationen aus und wählt die Methode mit dem höchsten Rang sowohl für die erststufige als auch für die zweitstufige Authentifizierung aus.

¹Umfasst Sicherheitsschlüssel, Passkeys in der Authenticator-App, synchronisierte Kennungen, Windows Hello for Business und macOS Platform SSO.

²Umfasst Hardware- oder Software-TOTP von Microsoft Authenticator, Authenticator Lite oder Anwendungen von Drittanbietern.

³Umfasst SMS und Sprachanrufe.

Wie wirkt sich die vom System bevorzugte Authentifizierung auf die NPS-Erweiterung aus?

Die vom System bevorzugte Authentifizierung wirkt sich nicht auf Benutzer aus, die sich mit der Netzwerkrichtlinienservererweiterung (Network Policy Server, NPS) anmelden. Diese Benutzer sehen keine Änderungen an ihrer Anmeldeerfahrung.

Wie funktioniert die vom System bevorzugte Authentifizierung für Verbundbenutzer?

Für Verbundbenutzer bleibt die Anmeldung mit dem ersten Authentifizierungsfaktor unverändert. Die vom System bevorzugte Authentifizierung gilt nicht für den ersten Faktor, sodass Verbundbenutzer weiterhin an ihren externen Identitätsanbieter weitergeleitet werden, um sich anzumelden. Die vom System bevorzugte Authentifizierung gilt nur für die zweitstufige Authentifizierung für diese Benutzer.

Wie wirkt sich die vom System bevorzugte Authentifizierung auf die Anmeldung mit dem ersten Faktor aus?

Wenn auf von Microsoft verwaltet festgelegt, wendet das System die Rangfolge der Anmeldeinformationen sowohl auf die Authentifizierung mit dem ersten als auch mit dem zweiten Faktor an. Wenn ein Benutzer z. B. sowohl ein Kennwort als auch einen Kennungsschlüssel registriert hat, wird er bei der erststufigen Anmeldung anstelle des Kennworts mit dem Kennungsschlüssel aufgefordert. Der Benutzer kann weiterhin andere Anmeldeoptionen auswählen.

Wenn die Einstellung auf Aktiviert festgelegt ist, gilt die Rangfolge der Anmeldeinformationen nur für die Zwei-Faktor-Authentifizierung. Das Anmeldeverhalten bei der Anmeldung mit dem ersten Faktor bleibt unverändert.

Können Benutzer weiterhin eine andere Anmeldemethode auswählen?

Ja. Die vom System bevorzugte Authentifizierung fordert Benutzer mit den am höchsten bewerteten Anmeldeinformationen auf, aber Benutzer können während der Anmeldung weiterhin andere zulässige Methoden auswählen.

Verwandte Inhalte

• Authentifizierungsmethoden in Microsoft Entra ID
• Anleitung zur Ausführung einer Registrierungskampagne zum Einrichten von Microsoft Authenticator