Authenticator-Handy verloren: Zugang wiederherstellen, ohne Schutzmaßnahmen zu umgehen

Schritt für Schritt für die betroffene Person

1. Verlust oder Diebstahl sofort über die bekannte geschäftliche Telefonnummer melden.
2. Zeitpunkt, Ort und letzten sicheren Besitz des Smartphones nennen.
3. Angeben, ob das Telefon entsperrt, gesperrt, ein- oder ausgeschaltet war.
4. Gerätemodell, Betriebssystem, Mobilfunknummer und Eigentümer nennen.
5. Berichten, ob Firmen-E-Mail, Teams, Authenticator, Passwortmanager oder Banking gleichzeitig auf dem Gerät eingerichtet waren.
6. Vorhandene unabhängige Faktoren nennen: Sicherheitsschlüssel, zweites Authenticator-Gerät, separates Telefon oder Wiederherstellungscode.
7. Keine wiederholten Anmeldeversuche starten, die weitere Sperren oder Push-Anfragen erzeugen.
8. Keine unerwartete MFA-Anfrage bestätigen, auch wenn sie zur vermuteten Wiederherstellung zu passen scheint.
9. Gerät über die vorgesehene Apple- oder Android-Funktion sperren und als verloren markieren, sofern sicher eingerichtet.
10. Eine Fernlöschung nach betrieblicher Vorgabe und Datenrisiko abstimmen.
11. Mobilfunkanbieter über einen verifizierten Kontaktweg informieren und SIM oder eSIM sperren lassen.
12. Bei Diebstahl die Polizei informieren und Gerätekennung sowie Aktenzeichen sichern.
13. Für die Identitätsprüfung durch die zuständige Administration erreichbar bleiben.
14. Keine Temporary-Access-Pass-Codes, Kennwörter oder Wiederherstellungscodes in ungeschützten Chats senden.
15. Ein wiedergefundenes Telefon nicht wieder anmelden, bevor die technische Freigabe erfolgt.

Schritt für Schritt: Authenticator mit vorhandenem Faktor neu registrieren

1. Neues oder kontrolliert zurückgesetztes Smartphone aktualisieren.
2. Displaysperre mit ausreichend starkem Code und biometrischer Komfortfunktion einrichten.
3. App ausschließlich aus Apple App Store oder Google Play installieren.
4. Am vertrauenswürdigen Computer die bekannte Microsoft-Seite für Sicherheitsinformationen direkt aufrufen.
5. Benutzername eingeben und mit dem noch vorhandenen unabhängigen Faktor anmelden.
6. Ungewöhnliche Anmeldehinweise, Weiterleitungen oder nicht erwartete Domänen abbrechen.
7. „Anmeldemethode hinzufügen“ und „Microsoft Authenticator“ auswählen.
8. In Authenticator „Konto hinzufügen“ und „Geschäfts- oder Schulkonto“ wählen.
9. Die vom Browser angezeigte Registrierung mit der vorgesehenen Scan- oder Anmeldefunktion verbinden.
10. Testanforderung auf dem neuen Telefon vollständig bestätigen.
11. Gerätename und Registrierung in den Sicherheitsinformationen kontrollieren.
12. Falls kennwortlose Telefonanmeldung vorgesehen ist, diese gesondert aktivieren und testen.
13. Falls ein Passkey vorgesehen ist, ihn als eigene Methode registrieren und eindeutig benennen.
14. Eine normale Microsoft-365-Anmeldung in einem privaten Browserfenster testen.
15. Bei der Prüfung kein dauerhaftes „angemeldet bleiben“ wählen.
16. Erst nach erfolgreichem Test den alten Authenticator-Eintrag identifizieren.
17. Alte Authenticator-, Passkey- und gegebenenfalls Telefonmethoden des verlorenen Geräts löschen.
18. Eine zweite Anmeldung durchführen und prüfen, dass nur der neue Faktor angeboten wird.
19. Administration über Abschluss und neuen Gerätenamen informieren.

Schritt für Schritt: TAP erzeugen und sicher verwenden

1. Prüfen, ob Temporary Access Pass in der Authentisierungsmethoden-Richtlinie aktiviert ist.
2. Bestätigen, dass die betroffene Person im erlaubten Bereich liegt.
3. Mit einer dafür vorgesehenen Administratorrolle anmelden.
4. In Microsoft Entra den eindeutigen Benutzer öffnen.
5. Vorhandene Methoden und verdächtige Änderungen dokumentieren.
6. Unter Authentisierungsmethoden eine neue Methode hinzufügen.
7. „Temporary Access Pass“ auswählen.
8. Aktivierungszeitpunkt und möglichst kurze praktische Dauer festlegen.
9. Einmalverwendung bevorzugen, wenn ein einzelner Registrierungsdurchlauf genügt.
10. Mehrfachverwendung nur wählen, wenn der konkrete Einrichtungsprozess sie benötigt.
11. TAP erstellen und den angezeigten Wert unmittelbar in einen sicheren Übergabeprozess übernehmen.
12. Passcode nicht in Ticketbeschreibung, unverschlüsselte E-Mail oder offenen Gruppenchat kopieren.
13. Den Code ausschließlich an die zuvor verifizierte Person übergeben.
14. Person öffnet auf dem vertrauenswürdigen Gerät die bekannte Seite für Sicherheitsinformationen.
15. Person meldet sich mit Benutzername und TAP an.
16. Neue Authenticator-App, Sicherheitsschlüssel oder zugelassene Passkey-Methode registrieren.
17. Bei einem einmal verwendbaren TAP die Registrierung innerhalb der vorgesehenen Sitzung abschließen.
18. Neue Methode mit einer separaten Anmeldung testen.
19. Alte Authenticator- und Passkey-Einträge des verlorenen Telefons löschen.
20. TAP nach erfolgreichem Abschluss administrativ entfernen.
21. Anmelde- und Auditprotokolle auf erwartete Verwendung prüfen.
22. Vorfall mit neuem Faktor, gelöschten Methoden und Abschlusszeit schließen.

Schritt für Schritt pro betroffenem Drittanbieterkonto

1. Alle in Authenticator verwendeten Drittanbieterkonten aus Inventar, Backupansicht und Benutzerangabe erfassen.
2. Geschäftskritische Administrator-, Hosting-, Domain-, Banking- und Passwortmanagerkonten priorisieren.
3. Mit einem vorhandenen unabhängigen Faktor oder hinterlegten Wiederherstellungscode anmelden.
4. Wenn kein Zugang besteht, den offiziellen Kontowiederherstellungsweg des Anbieters verwenden.
5. Keine Supportnummer aus Suchanzeigen oder unverlangten Nachrichten übernehmen.
6. In den Sicherheitseinstellungen aktive Sitzungen und registrierte Geräte prüfen.
7. Altes Authenticator- beziehungsweise TOTP-Verfahren entfernen.
8. Neuen QR-Code ausschließlich auf der echten Anbieterwebsite erzeugen.
9. QR-Code nicht fotografieren, mailen oder in Tickets speichern.
10. Neues TOTP-Verfahren auf dem kontrollierten Telefon registrieren.
11. Ersten Code testen und die erfolgreiche Aktivierung bestätigen.
12. Neue Wiederherstellungscodes erzeugen, wenn der Anbieter die alten beim Wechsel nicht automatisch widerruft.
13. Wiederherstellungscodes getrennt vom Smartphone geschützt ablegen.
14. Alte Codes und gespeicherte QR-Abbilder vernichten.
15. Eine Ab- und erneute Anmeldung mit dem neuen Faktor testen.
16. Datum, Konto, neue Methode und Ablage der Wiederherstellungscodes dokumentieren.

Schritt für Schritt: Privilegierten Zugang kontrolliert wiederherstellen

1. Feststellen, welche Rollen dem betroffenen Konto direkt oder über Gruppen zugewiesen sind.
2. Prüfen, ob das Konto im Alltag oder ausschließlich für Administration verwendet wurde.
3. Wiederherstellung durch einen zweiten persönlichen Administrator durchführen lassen.
4. Notfallkonto nur einsetzen, wenn der normale Vertretungsweg nicht verfügbar ist.
5. Jede Nutzung des Notfallkontos mit Beginn, Zweck, Bearbeiter und Ende protokollieren.
6. Für privilegierte Benutzer die dafür zulässige Administratorrolle zur Verwaltung von Authentisierungsmethoden verwenden.
7. Keine gemeinsame Authenticator-Registrierung auf einem Teamtelefon einrichten.
8. Neuen phishingresistenten Faktor registrieren, wenn das Rollen- und Lizenzmodell dies vorsieht.
9. Zusätzlichen unabhängigen Faktor für einen späteren Geräteverlust vorsehen.
10. Alte Authenticator-, Passkey- und Gerätebindung nach erfolgreichem Test entfernen.
11. Rollen und gegebenenfalls zeitlich aktivierte Berechtigungen erneut prüfen.
12. Anmelde-, Rollen- und Methodenänderungen während des gesamten Vorgangs auswerten.
13. Notfallkonto nach dem Einsatz auf unveränderten Schutz und sichere Aufbewahrung prüfen.
14. Vertretung und Wiederherstellungsablauf anhand des tatsächlichen Vorfalls korrigieren.

Kann Authenticator einfach aus dem Backup wiederhergestellt werden?

Nur eingeschränkt. Die Wiederherstellung muss auf derselben Plattformfamilie erfolgen. Bei Geschäfts- oder Schulkonten wird nur der Kontoname übernommen; die Person muss sich erneut anmelden und die geschäftliche Methode reaktivieren. Kennwortlose Anmeldung und Passkeys können zusätzliche Registrierung verlangen.

Reicht es, das Microsoft-365-Kennwort zu ändern?

Nein. Die Authenticator-Methode, Passkeys, kennwortlose Telefonanmeldung, aktive Sitzungen und weitere Apps werden getrennt geprüft. Je nach Risikolage werden neue Anmeldungen blockiert, Sitzungen widerrufen und das verlorene Telefon über die Geräteverwaltung gesperrt oder gelöscht.

Was ist ein Temporary Access Pass?

Ein TAP ist ein zeitlich begrenzter Passcode in Microsoft Entra, mit dem eine zuvor geprüfte Person neue starke Authentisierungsmethoden registrieren kann. Er kann einmal oder innerhalb eines begrenzten Zeitfensters mehrfach verwendbar sein. Nach der Registrierung wird er gelöscht und seine Nutzung kontrolliert.

Soll der Administrator alle MFA-Methoden löschen?

Nicht pauschal. Zuerst werden vorhandene Methoden und Geräte dokumentiert, die Identität geprüft und ein neuer sicherer Zugang hergestellt. Dann wird die konkrete verlorene Registrierung entfernt. Bei bestätigter Kontoübernahme kann eine vollständige Zurücksetzung nötig sein; sie gehört in einen breiteren Incident-Response-Ablauf.

Was geschieht mit Codes für andere Anbieter?

Jeder TOTP-Dienst besitzt ein eigenes geheimes Seed. Die Bereinigung in Microsoft Entra ändert diese Codes nicht. Für jeden betroffenen Anbieter wird ein offizieller Wiederherstellungsweg genutzt, das alte TOTP-Geheimnis widerrufen, ein neues registriert und die neuen Wiederherstellungscodes getrennt abgelegt.

Kann das wiedergefundene Handy weiterverwendet werden?

Erst nach technischer Freigabe. Ausstehende Sperr- oder Löschbefehle, Manipulationsrisiko und der Gerätezustand werden geprüft. Entfernte Authenticator-Methoden werden nicht unkontrolliert reaktiviert. Bei Firmengeräten ist häufig eine kontrollierte Löschung und Neuaufnahme in die Verwaltung der verlässlichste Weg.