Das neue Handy ist eingerichtet, Microsoft Authenticator zeigt bereits die geschäftliche E-Mail-Adresse an, und Outlook empfängt Nachrichten. Trotzdem kann die nächste Anmeldung noch am alten Gerät hängen. Für einen geplanten Wechsel sind deshalb drei Ergebnisse zu unterscheiden: Das Konto ist in der App sichtbar, die neue Authenticator-Methode wurde registriert, und eine Anmeldung wurde tatsächlich mit dem neuen Handy abgeschlossen. Erst der letzte Nachweis schafft eine belastbare Grundlage, die alte Methode zu entfernen.
Die folgende Vorgehensweise richtet sich an Beschäftigte mit einem Microsoft-365-Geschäftskonto beziehungsweise einem von einer Organisation verwalteten Schul- oder Unikonto in Microsoft Entra ID. Private Microsoft-Konten, etwa für Outlook.com oder Xbox, haben andere Verwaltungs- und Wiederherstellungswege. Auch wenn beide Kontotypen in derselben Authenticator-App stehen, dürfen ihre Anleitungen nicht vermischt werden.
Beim geplanten Wechsel gilt: bestehenden Zugang erhalten, neues Gerät registrieren, neue Anmeldung prüfen und anschließend die eindeutig alte Methode entfernen. Microsoft weist ausdrücklich darauf hin, das bisherige Telefon zu behalten, bis der Zugriff auf die benötigten Konten und Ressourcen vom neuen Gerät aus bestätigt ist. Bei einem verlorenen oder gestohlenen Handy ist dagegen zuerst zu klären, ob unberechtigter Zugriff möglich ist; dafür ist die zuständige IT sofort einzubeziehen. Microsoft: Authenticator beim Gerätewechsel
Den passenden Ausgangspunkt wählen
Prüfen Sie vor einer Änderung, welcher Zugang tatsächlich noch funktioniert. Eine geöffnete Office-Anwendung zählt dabei nicht als Beleg dafür, dass Sie eine neue Sicherheitsabfrage beantworten können. Entscheidend ist, ob Sie eine von der Organisation verlangte Anmeldung selbst abschließen können.
| Ausgangslage | Nächster Schritt | Grenze der Selbsthilfe |
|---|---|---|
| Das Altgerät ist vorhanden und Authenticator funktioniert. | Mit dem vorhandenen Verfahren Sicherheitsinformationen öffnen und das neue Gerät zusätzlich registrieren. | Altgerät und alte Methode bis zum bestätigten Wechsel erhalten. |
| Das Altgerät ist defekt oder unzugänglich; eine andere registrierte Methode funktioniert. | Die angebotene Alternative zur Anmeldung verwenden, dann das neue Gerät registrieren. | Nur eine bereits eingerichtete und für diesen Zugriff zugelassene Alternative verwenden. |
| Keine verfügbare Methode schließt die Anmeldung ab. | Den Wechsel an den zuständigen Microsoft-365-/Entra-Administrator übergeben. | Ein bekanntes Passwort oder ein wiederhergestellter App-Eintrag ersetzt den fehlenden Nachweis nicht. |
| Das Handy fehlt oder wurde gestohlen; Fremdzugriff ist möglich. | Die zuständige IT unverzüglich über den Verlust informieren. | Die Reihenfolge für einen geplanten Wechsel gilt hier nicht unverändert. Die IT beurteilt notwendige Schutzmaßnahmen. |
Arbeiten Sie bei mehreren Geschäftskonten diese Entscheidung für jedes Konto einzeln durch. Eine erfolgreiche Anmeldung beim Arbeitgeber sagt noch nichts über ein zweites Kundenkonto oder das Konto einer Bildungseinrichtung aus. Notieren Sie dafür die vollständige Anmeldeadresse und die zugehörige Organisation. Ein kurzer Anzeigename wie „Office“ genügt nicht, wenn mehrere ähnlich benannte Einträge vorhanden sind.
Wenn Sie gerade zwischen beiden Handys wechseln, wählen Sie einen Zeitpunkt, an dem das alte Gerät, der Computer und gegebenenfalls die zuständige IT erreichbar sind. Die Registrierung unter Zeitdruck kurz vor der Rückgabe des Altgeräts erschwert jede Abweichung: Es fehlt dann ausgerechnet der Zugang, mit dem sich ein offener Schritt noch klären ließe.
Was ein Authenticator-Backup beim Geschäftskonto leistet
Bei Geschäfts- und Schulkonten sichert Microsoft Authenticator nach der aktuellen Herstellerdokumentation keine funktionsfähigen Anmeldeinformationen. Gesichert wird der Kontoname. Nach einer Wiederherstellung müssen Sie sich erneut anmelden und das Konto auf dem neuen Gerät registrieren. Ein sichtbarer Eintrag kann deshalb zunächst nur anzeigen, welches Konto noch eingerichtet werden muss. Eine Aufforderung zur erneuten Anmeldung ist in dieser Situation erwartbar. Microsoft: Umfang der Authenticator-Wiederherstellung
Backup und Registrierung beantworten somit unterschiedliche Fragen. Das Backup hilft, unterstützte App-Inhalte wiederzufinden. Die Registrierung stellt die benötigte Verbindung des neuen Authentifizierungsverfahrens zum Organisationskonto her. Für den hier beschriebenen direkten Registrierungsweg müssen Sie keine Authenticator-Sicherung wiederherstellen. Sie benötigen einen zulässigen Zugang zum Konto und fügen darüber die neue Methode hinzu.
Microsoft beschränkt die Authenticator-Wiederherstellung auf denselben Gerätetyp: Eine Sicherung von iOS lässt sich beispielsweise nicht auf Android wiederherstellen. Das ist beim Wechsel zwischen iPhone und Android zu berücksichtigen. Es bedeutet jedoch nicht, dass das Geschäftskonto nur durch eine solche Sicherung eingerichtet werden könnte. Der unten beschriebene Weg über die Sicherheitsinformationen behandelt die neue Registrierung gesondert.
Die Backup-Oberfläche kann sich zudem ändern. Stand November 2026 kündigt Microsoft für Android ab Januar 2027 eine Umstellung auf Google-One-Backup an. Für den Gerätewechsel eines Geschäftskontos bleibt die entscheidende Grenze bestehen: Ein Backup ist kein Nachweis einer verwendbaren neuen Entra-Anmeldemethode. Maßgeblich sind die Registrierung und deren anschließende Prüfung. Microsoft: gesicherte Kontoinformationen und Backup-Grenzen
Den vorhandenen Zugang vorbereiten
Für den geplanten Wechsel benötigen Sie einen Computer mit Browser, das noch funktionierende Altgerät und das neue Handy mit aktueller Microsoft-Authenticator-App. Halten Sie die vollständige Anmeldeadresse bereit. Installieren beziehungsweise aktualisieren Sie die App über den von Ihrer Organisation vorgesehenen Weg. Bei einem verwalteten Firmenhandy gehören Vorgaben der IT zur Vorbereitung; die private Einrichtung eines Telefons ersetzt keine erforderliche Unternehmensverwaltung.
Für Pushanfragen und deren Beantwortung braucht das Handy Internetzugang. Ein angezeigter zeitbasierter Code kann zwar ohne Internet verfügbar sein, ist aber eine andere Nutzungsart und erfüllt nicht automatisch jede verlangte Anmeldung. Prüfen Sie deshalb die Verbindung des neuen Handys, bevor Sie eine ausbleibende Anfrage als Registrierungsfehler bewerten. Microsoft: Verbindung und Authenticator-Benachrichtigungen
Öffnen Sie auf dem Computer die Sicherheitsinformationen Ihres Organisationskontos. Melden Sie sich mit genau dem Konto an, das umziehen soll. Bestätigen Sie eine erforderliche Abfrage mit dem bisherigen Gerät oder einer bereits eingerichteten zulässigen Alternative. Kontrollieren Sie vor jeder Änderung die angezeigte Anmeldeadresse und Organisation. Bei einem falschen Konto melden Sie sich dort ab und wählen das richtige aus.
Sehen Sie sich die vorhandenen Methoden zunächst nur an. Welche davon könnten Sie heute tatsächlich benutzen, wenn das alte Handy nicht verfügbar wäre? Eine Zeile in der Liste genügt nicht: Ein Sicherheitsschlüssel muss greifbar sein, und ein anderes Verfahren muss beim betreffenden Zugriff zugelassen sein. Eine Wiederherstellungs-E-Mail ist bei regulären Geschäftskonten keine normale MFA-Anmeldemethode; Microsoft unterscheidet sie von Methoden für die Anmeldung. Microsoft: Authentifizierungsmethoden verwalten
Fehlt eine benötigte Alternative, klären Sie mit der IT, welches Verfahren vorgesehen ist. Fügen Sie nicht vorsorglich irgendeine schwächere Methode hinzu. Die Organisation legt fest, welche Methoden angeboten werden und verwendet werden dürfen. Der Gerätewechsel ist kein Anlass, diese Vorgaben eigenständig zu ändern. Microsoft: zugelassene Anmeldemethoden auswählen
Das neue Handy als Authenticator-Methode registrieren
Der folgende Hauptweg betrifft Microsoft Authenticator als Bestätigung einer Anmeldung. Voraussetzung ist, dass Sie die Sicherheitsinformationen des richtigen Kontos öffnen können und Microsoft Authenticator als Methode angeboten wird. Das alte Gerät bleibt währenddessen eingerichtet. Löschen Sie die bisherige Methode nicht, um vermeintlich Platz für die neue zu schaffen.
- Wählen Sie in den Sicherheitsinformationen die Funktion zum Hinzufügen einer Anmeldemethode, in der englischen Oberfläche „Add sign-in method“. Wählen Sie Microsoft Authenticator und anschließend die Schaltfläche zum Hinzufügen.
- Gehen Sie im Assistenten weiter, bis der Registrierungs-QR-Code angezeigt wird. Lassen Sie diese Seite auf dem Computer geöffnet.
- Öffnen Sie Authenticator auf dem neuen Handy. Wählen Sie das Pluszeichen beziehungsweise die Funktion zum Hinzufügen eines Kontos, anschließend den Kontotyp Geschäfts-, Schul- oder Unikonto und die Funktion zum Scannen eines QR-Codes.
- Scannen Sie den gerade im eigenen Registrierungsassistenten angezeigten Code. Verwenden Sie dafür weder einen alten Screenshot noch einen QR-Code aus einer fremden Nachricht. Falls die Kamera nicht nutzbar ist, bietet Microsoft im Assistenten eine manuelle Einrichtung mit Codeinformationen an.
Dieser Einstieg und die QR-Zuordnung sind im aktuellen Microsoft-Leitfaden zum Hinzufügen eines Geschäftskontos dokumentiert. Der QR-Code gehört zum Einrichtungsvorgang. Geben Sie ihn nicht als Bestandteil eines allgemeinen Hilfetickets weiter.
Unterscheiden Sie dabei die Abfrage zum Öffnen der Sicherheitsinformationen von der späteren Testanfrage für die neue Registrierung. Für den ersten Zugang dürfen Sie das alte Handy benutzen. Beim Einrichtungstest soll dagegen das gerade hinzugefügte neue Gerät die zugehörige Anfrage bearbeiten. Notieren Sie im Zweifel den letzten erfolgreich abgeschlossenen Schritt: „Sicherheitsinformationen geöffnet“ und „neue Registrierung bestätigt“ sind unterschiedliche Zwischenstände. Wenn nur das Altgerät reagiert, zählt dessen Bestätigung nicht als erfolgreicher Test des neuen Geräts.
Setzen Sie anschließend den Assistenten am Computer fort. Bei der beschriebenen Einrichtung wird eine Testbenachrichtigung an Authenticator gesendet. Bearbeiten Sie die zu diesem selbst gestarteten Vorgang gehörende Anfrage auf dem neuen Handy und schließen Sie den Assistenten bis zur Erfolgsmeldung ab. Prüfen Sie danach erneut die Sicherheitsinformationen. Der zusätzliche Eintrag und der erfolgreiche Assistentenabschluss bilden zusammen den Registrierungsnachweis. Microsoft zeigt den Ablauf als Beispiel; weitere verlangte Schritte hängen von der Organisation ab. Microsoft: Registrierung und Test im Sicherheitsinfo-Assistenten
Kommt keine Testanfrage an, brechen Sie den Gerätewechsel an dieser Stelle ab, ohne den bisherigen Zugang zu löschen. Öffnen Sie die App auf dem neuen Gerät und prüfen Sie Konto, Internetzugang und Benachrichtigungsfreigabe. Microsoft nennt auch eine aktuelle App und korrekte Gerätezeit als Prüfpunkte. Bei Android können zusätzliche Plattformvoraussetzungen eine Rolle spielen; folgen Sie dazu dem zum konkreten Fehler passenden Herstellerhinweis beziehungsweise den Vorgaben der IT. Microsoft: Probleme mit Authenticator prüfen
Eine Meldung über eine nicht erlaubte Registrierung, einen eingeschränkten Standort oder weitere Organisationsanforderungen gehört zur IT. Ein wiederholtes Neuinstallieren der App beantwortet diese Meldung nicht. Übergeben Sie den Wortlaut und den Zeitpunkt, statt auf Verdacht vorhandene Methoden zu entfernen.
Eine Anmeldung mit dem neuen Gerät gesondert nachweisen
Nach der Registrierung folgt eine zweite Prüfung: Können Sie die im Alltag benötigte Anmeldung mit der neuen Methode abschließen? Dafür wird ein eigener Anmeldeversuch gestartet. Das erneute Öffnen eines schon angemeldeten Outlook-Fensters genügt nicht. Microsoft dokumentiert, dass Anmeldeanforderungen auch durch vorhandene Tokeninformationen erfüllt werden können; dann ist keine neue Geräteinteraktion sichtbar. Microsoft: Authentifizierungsdetails eines Anmeldevorgangs
Die folgende Prüfung verbindet den eingerichteten Kontoeintrag mit einer beobachteten Verwendung. Sie ist eine praktische Abnahmelogik für den Wechsel. Entscheidend ist, was beim konkreten Versuch passiert, nicht wie viele Anmeldungen zuvor bereits funktioniert haben.
- Behalten Sie den funktionierenden Zugang zu den Sicherheitsinformationen zunächst geöffnet. Starten Sie für die Prüfung einen getrennten Anmeldevorgang zur normalerweise benötigten Microsoft-365-Anwendung. Verwenden Sie dafür deren bekannte Adresse oder den von Ihrer Organisation vorgegebenen Einstieg.
- Ein privates Browserfenster kann helfen, vorhandene Browsersitzungen zu trennen. Es garantiert jedoch keine neue MFA-Abfrage. Kontrollieren Sie auch hier das tatsächlich ausgewählte Konto.
- Wenn die Anmeldung eine Methodenwahl anbietet, wählen Sie den für den Wechsel vorgesehenen Authenticator-Weg. Beantworten Sie die selbst ausgelöste Anfrage auf dem neuen Handy. Stimmen Sie eine gegebenenfalls angezeigte Zahl nur mit dem eigenen laufenden Anmeldevorgang ab.
- Prüfen Sie, ob die Anmeldung abgeschlossen wird und die benötigte Anwendung mit dem richtigen Konto öffnet. Notieren Sie Datum, Uhrzeit, Konto, Zielanwendung und die tatsächlich verwendete Methode.
Lassen Sie das Altgerät während dieser Prüfung unbenutzt. Sein Besitz ist die Rückfallmöglichkeit, seine Bestätigung wäre jedoch kein Nachweis für das neue Handy. Eine unerwartete Anfrage ohne zugehörigen eigenen Anmeldevorgang wird nicht genehmigt. Wenn parallel mehrere Versuche laufen, schließen Sie den unklaren Versuch und beginnen kontrolliert neu; eine übrig gebliebene Anfrage darf nicht versehentlich als Testergebnis zählen.
| Beobachtung | Bewertung des Wechsels | Nächster Schritt |
|---|---|---|
| Die vorgesehene Methode wird auf dem neuen Handy verwendet und die richtige Anwendung öffnet. | Für dieses Konto und diesen geprüften Anmeldeweg liegt ein erfolgreicher Nachweis vor. | Zusätzliche tatsächlich benötigte Anmeldewege prüfen; danach alte Methode zuordnen. |
| Die Anwendung öffnet ohne neue Interaktion mit Authenticator. | Der Ressourcenzugriff funktioniert, der neue Authenticator-Weg ist damit nicht nachgewiesen. | Kein Löschschluss. Einen von der IT begleiteten geeigneten Anmeldeversuch vereinbaren. |
| Die Anfrage erreicht nur das alte Handy. | Der gewünschte Wechsel ist für diesen Versuch nicht bestätigt. | Neuen Eintrag und vorgesehenen Anmeldeweg mit der IT prüfen. |
| Authenticator bestätigt, die Anwendung verweigert anschließend den Zugang. | Eine Gerätebestätigung allein belegt noch keinen verwendbaren Gesamtzugang. | Meldung, Konto, Anwendung und Zeitpunkt an die IT geben. |
Verändern Sie für diesen Nachweis keine Sicherheitsrichtlinien und widerrufen Sie nicht pauschal alle Sitzungen. Bei unklarem Verhalten kann die IT den passenden Anmeldevorgang in den Protokollen untersuchen. Das Ergebnis der Methodenfolge ist dabei hilfreicher als die alleinige Aussage „Anmeldung erfolgreich“. Eine umfassende Richtliniendiagnose behandelt der Beitrag Conditional Access: ausgebliebene MFA und blockierte Anmeldungen.
Kennwortlose Anmeldung und Passkeys zusätzlich prüfen
Ein Geschäftskonto in Authenticator kann für unterschiedliche Verfahren verwendet werden. Eine funktionierende Bestätigung nach der Kennworteingabe beweist deshalb nicht automatisch, dass auch die bisherige kennwortlose Anmeldung wieder eingerichtet ist. Halten Sie vor dem Wechsel fest, welches Verfahren im Alltag tatsächlich benutzt beziehungsweise von der Organisation verlangt wird.
Kennwortlose Telefonanmeldung
Microsoft beschreibt für die kennwortlose Telefonanmeldung eine zusätzliche Einrichtung im registrierten Konto der App. In der englischen Dokumentation heißt die entsprechende Funktion „Set up Passwordless sign-in requests“. Sie ist von der Freigabe durch die Organisation abhängig. Wenn Sie diesen Anmeldeweg bereits verwenden sollen, öffnen Sie nach der normalen Registrierung das betreffende Konto in Authenticator und folgen der vorgesehenen Einrichtung. Fehlt die Möglichkeit oder wird sie abgewiesen, übernimmt die IT die Klärung. Testen Sie anschließend ausdrücklich diesen kennwortlosen Anmeldeweg. Microsoft: kennwortlose Telefonanmeldung mit Authenticator
Passkeys
Passkeys werden getrennt vom Authenticator-Kontobackup behandelt. Lag der benötigte Passkey ausschließlich auf dem alten Handy, muss ein neuer eingerichtet werden. Microsoft nennt dafür die Sicherheitsinformationen, das Hinzufügen einer Methode und die dort angebotene Passkey-Option. Bei einem synchronisierten Anmeldeinformationsmanager kann ein vorhandener Passkey bereits verfügbar sein; auch dann ist seine tatsächliche Verwendung zu prüfen. Entfernen Sie den bisherigen Schlüssel erst nach erfolgreicher neuer Anmeldung. Wenn die Organisation die Selbstregistrierung nicht erlaubt, ist ihr Registrierungsverfahren maßgeblich. Die genaue Auswahl hängt vom verwendeten Passkey-Typ ab. Microsoft: Passkeys beim Handywechsel
Eine Organisation kann für bestimmte Ressourcen bestimmte Methoden verlangen. Ein registrierter Authenticator-Push erfüllt daher nicht automatisch jeden Zugriff, für den bisher beispielsweise ein Passkey nötig war. Prüfen Sie die tatsächlich benötigte Ressource, statt aus einer erfolgreichen einfachen Anmeldung auf alle Anwendungen zu schließen. Microsoft: zulässige Methoden durch Authentifizierungsstärken begrenzen
Die alte Methode nach dem geplanten Wechsel entfernen
Vor dem Entfernen müssen drei Punkte eindeutig sein: das betroffene Konto, die neu erfolgreich verwendete Methode und der zum alten Handy gehörende Eintrag. Vergleichen Sie die Sicherheitsinformationen mit Ihrer Vorbereitungsnotiz. Verlassen Sie sich bei zwei ähnlich benannten Zeilen nicht auf deren Reihenfolge. Wenn der alte Eintrag nicht eindeutig erkennbar ist, lassen Sie die Zuordnung durch die IT klären.
Öffnen Sie anschließend für genau dieses Konto wieder die Sicherheitsinformationen. Entfernen Sie dort ausschließlich den sicher zugeordneten alten Authenticator-Eintrag über die angebotene Lösch- beziehungsweise Entfernen-Funktion und bestätigen Sie die betreffende Rückfrage. Kontrollieren Sie danach, dass die neue Methode weiter aufgeführt ist und der alte Eintrag entfernt wurde. Fehlt die Funktion oder ist die Zuordnung weiterhin unsicher, stoppen Sie den Schritt und übergeben ihn an die IT.
Microsoft weist darauf hin, dass das Hinzufügen am neuen Gerät die alte Einrichtung nicht automatisch entfernt. Auch die bloße Deinstallation der App am Altgerät genügt nicht; die alte Registrierung muss bei Microsoft beziehungsweise der Organisation entfernt werden. Diese Unterscheidung verhindert, dass nur das sichtbare App-Symbol verschwindet, während der bisherige Anmeldeweg organisatorisch nicht bereinigt ist. Microsoft: Benachrichtigungen an Altgeräte beenden
Erst danach räumen Sie das betroffene Konto auf dem alten Handy auf, sofern das Gerät noch vorhanden ist. Microsoft dokumentiert dafür: Konto in Authenticator öffnen, Einstellungen des Kontos wählen und das Konto entfernen. Beachten Sie dabei andere noch benötigte Konten in derselben App. Löschen Sie nicht die gesamten App-Daten als Abkürzung für einen einzelnen Geschäftskontowechsel. Microsoft: ein Konto aus Authenticator entfernen
Eine vollständige Rückgabe oder Löschung des Firmenhandys erfolgt nach dem Unternehmensprozess. Die Entfernung einer Authenticator-Methode ist weder eine vollständige Gerätelöschung noch der Nachweis, dass alle Unternehmensdaten vom Telefon entfernt wurden.
Wiederholen Sie nach der gezielten Bereinigung den vorgesehenen Anmeldeversuch mit dem neuen Verfahren. Damit prüfen Sie den Zustand, der künftig ohne den alten Eintrag bestehen soll. Falls dabei eine Abweichung auftritt, dokumentieren Sie sie und holen die IT hinzu. Eine noch offene Administrationsseite ist hilfreich für die Klärung, ersetzt aber weiterhin keinen erfolgreichen Test. Auch jetzt werden andere funktionierende Methoden nicht vorsorglich gelöscht.
Ohne nutzbares Altgerät weiterkommen
Eine andere registrierte Methode funktioniert
Starten Sie die Anmeldung an den Sicherheitsinformationen. Wenn eine andere Anmeldemöglichkeit angeboten wird, wählen Sie eine bereits eingerichtete und erreichbare zulässige Methode. Nach erfolgreicher Anmeldung führen Sie die Registrierung und die getrennte Prüfung am neuen Handy wie beschrieben aus. Der Hersteller sieht die Verwendung einer anderen mit dem Konto verbundenen Methode als möglichen Weg vor; welche Auswahl Sie tatsächlich erhalten, hängt von Ihrem Konto und den Organisationsvorgaben ab. Microsoft: Probleme mit der Überprüfung von Geschäftskonten
Eine neue Telefonnummer, die Sie noch nicht als Methode registriert haben, hilft in diesem Schritt nicht allein weiter. Ebenso wenig darf eine beim Login gar nicht angebotene Alternative als verfügbar eingeplant werden. Wenn Sie die Anmeldung trotz vorhandener Listeneinträge nicht abschließen können, behandeln Sie den Fall als fehlenden nutzbaren Zugang.
Keine verfügbare Methode funktioniert
Stoppen Sie weitere Lösch- und Wiederherstellungsversuche und kontaktieren Sie den zuständigen Administrator über einen bereits bekannten Unternehmenskanal. Das kann die interne IT oder die für den Microsoft-365-Tenant beauftragte Administration sein. Das Microsoft-Portal für Geschäfts- und Schulkonten verweist bei fehlendem Zugang ebenfalls auf die IT. Ein privates Microsoft-Konto-Recovery-Verfahren ersetzt diese Zuständigkeit nicht.
Für eine verwertbare Übergabe reichen zunächst folgende Angaben:
- Vollständige Anmeldeadresse, Organisation und betroffene Anwendung.
- Altgerät vorhanden, defekt, zurückgegeben, verloren oder gestohlen; gegebenenfalls Zeitpunkt des Verlusts.
- Welche bereits registrierten Methoden noch erreichbar sind und welche tatsächlich angeboten wurden.
- Wortlaut der Meldung, Zeitpunkt mit Zeitzone und der Schritt, an dem der Ablauf endet.
- Ob die neue Registrierung schon abgeschlossen wurde und welches Gerät beim Anmeldeversuch eine Anfrage erhielt.
Übermitteln Sie keine Kennwörter, aktuellen Einmalcodes, Registrierungs-QR-Codes oder geheimen Zugangspässe im normalen Ticket. Ein Screenshot ist nur hilfreich, wenn er die benötigte Fehlermeldung zeigt und solche Inhalte ausgespart sind. Die IT kann dann die Identität nach ihrem Verfahren prüfen und einen zugelassenen Wiederherstellungsweg festlegen.
Wann ein Temporary Access Pass infrage kommt
Ein Temporary Access Pass, kurz TAP, ist ein befristeter Zugangspass, der unter anderem eine neue Methodenregistrierung ermöglichen kann. Er funktioniert nur, wenn die Organisation diese Methode bereits aktiviert hat und der Benutzer in deren Geltungsbereich liegt. Die Ausstellung übernimmt ein dafür berechtigter Administrator. Der Nutzer kann den Pass nicht selbst aus dem gesperrten Konto erzeugen.
Falls die IT einen TAP bereitstellt, stimmen Sie Beginn, Gültigkeit und vorgesehenen Registrierungsweg vorab ab. Melden Sie sich nach deren Vorgabe an den Sicherheitsinformationen an und registrieren Sie die neue Methode. Bei bestimmten Registrierungen mit einmaligem TAP ist die dokumentierte Zehn-Minuten-Grenze nach der Anmeldung zu beachten. Ein verbrauchter oder abgelaufener Pass ist kein wiederholt verwendbares Ersatzkennwort. Anschließend muss die neue reguläre Methode gesondert getestet werden. Microsoft: Voraussetzungen und Verwendung eines TAP
Ein pauschales Zurücksetzen aller MFA-Methoden ist kein notwendiger Standard des Handywechsels. Die administrative Aktion zur erneuten MFA-Registrierung betrifft mehrere Methodenklassen. Welche Maßnahme im ausgesperrten Konto erforderlich ist, entscheidet die zuständige Administration anhand des vorhandenen Zustands.
Verlust oder Diebstahl mit möglichem Fremdzugriff
Melden Sie diesen Fall sofort und unabhängig davon, ob eine Alternative noch funktioniert. Die IT muss beurteilen, welche Registrierungen und Zugänge zu schützen sind. Dabei kann es erforderlich sein, den verlorenen Anmeldeweg bereits zu entfernen, bevor ein Ersatz eingerichtet ist. Die Regel, den alten Zugang bis zum erfolgreichen neuen Test zu behalten, ist eine Ablaufregel für ein kontrolliert vorhandenes Altgerät; sie darf mögliche fremde Nutzung nicht verlängern. Der Gerätewechsel ersetzt hier keine Untersuchung eines möglichen Sicherheitsvorfalls.
Den Wechsel für jedes Konto nachvollziehbar abschließen
Führen Sie den Abschluss kontenweise durch. Als kurze Wechselnotiz genügen Anmeldeadresse, Organisation, geprüftes Verfahren, Zielanwendung, Testzeitpunkt und Status des alten Eintrags. Die Notiz enthält keine Anmeldegeheimnisse. Sie soll später beantworten können, was tatsächlich geprüft wurde und welcher Schritt gegebenenfalls noch offen ist.
Beschreiben Sie das Ergebnis begrenzt und konkret: „Geschäftskonto bei Organisation A, Authenticator-Bestätigung auf dem neuen Handy, benötigte Webanwendung geöffnet, alter Eintrag entfernt und erneut geprüft“ ist aussagekräftiger als „alles funktioniert“. Wenn weitere Anwendungen eigene Anforderungen haben, werden sie entsprechend ergänzt. Aus diesem Nachweis folgt keine Prüfung sämtlicher Geräte, Anwendungen und Richtlinien des Unternehmens. Für die Entscheidung über die Rückgabe des alten Handys genügt aber auch keine pauschale Erfolgsmeldung ohne Angabe des verwendeten Kontos und Verfahrens.
- Registriert: Der Einrichtungsassistent wurde erfolgreich abgeschlossen; das neue Verfahren ist beim richtigen Konto vorhanden.
- Verwendet: Eine selbst gestartete Anmeldung wurde mit dem vorgesehenen neuen Verfahren abgeschlossen; die benötigte Anwendung war erreichbar.
- Bereinigt: Beim geplanten Wechsel wurde der eindeutig alte Eintrag nach der Prüfung entfernt; das lokale Aufräumen und die Geräterückgabe sind zugeordnet.
- Offen oder an IT übergeben: Eine fehlende Challenge, unklare Methode oder blockierte Anwendung bleibt ausdrücklich als offener Punkt dokumentiert.
Geben Sie das Altgerät erst nach Abschluss der benötigten Konten und Anmeldewege ab. Falls eine Organisation noch nicht geprüft werden konnte, bleibt ihr Wechsel offen, auch wenn alle anderen Konten bereits funktionieren. So beruht der Abschluss auf einer beobachteten Anmeldung und einer gezielten Bereinigung statt auf dem vertrauten Aussehen der neuen App.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten