Registriert, nutzbar und angefordert sind verschiedene Aussagen.
isMfaRegistered zeigt an, dass eine starke Methode für MFA hinterlegt ist. Die Methodenrichtlinie muss ihre Nutzung deshalb noch nicht erlauben.isMfaCapable berücksichtigt zusätzlich, ob die registrierte Methode durch die Authentifizierungsmethodenrichtlinie zugelassen ist.Die Microsoft-Definition der Registrierungsfelder beschreibt diese Unterscheidung. Die Felder methodsRegistered und lastUpdatedDateTime ergänzen Methodenliste und Aktualisierungszeitpunkt des Berichts. Keines dieser Felder allein belegt eine MFA-Anforderung für jeden Zugriff.
Dritter Nachweis: die Anmeldung. Ergänzen Sie die Prüfung der geltenden Zugriffsregeln und ausgewählter Anmeldeereignisse. Eine Registrierungsquote ist ein Ausgangspunkt für Ihr Audit, kein abschließendes Sicherheitsurteil.
Prüfen Sie die Registrierung mit einem klaren Kontenumfang.
- Prüfauftrag festlegen: Notieren Sie Tenant, Stichtag und Zielgruppe. Betrachten Sie Administratorkonten, reguläre Benutzer, Gäste und dokumentierte Sonderkonten getrennt.
- Bericht öffnen: Gehen Sie im Microsoft Entra Admin Center zu Entra ID → Authentifizierungsmethoden → Aktivität. Öffnen Sie die Benutzerregistrierungsdetails.
- Voraussetzungen prüfen: Für „Nutzung und Erkenntnisse“ nennt Microsoft Entra ID P1 oder P2. Stellen Sie außerdem sicher, dass Ihr lesender Zugriff die benötigten Berichtsdaten abdeckt.
- Auffälligkeiten erfassen: Filtern Sie Konten ohne MFA-Nutzbarkeit und dokumentieren Sie Methoden sowie Berichtstand. Gleichen Sie die Ergebnisliste mit dem vereinbarten Kontenumfang ab.
- Lücken kennzeichnen: Deaktivierte und vorläufig gelöschte Benutzer fehlen in diesem Bericht. Er wird zudem zeitversetzt aktualisiert. Halten Sie fehlende Datensätze und kürzlich geänderte Registrierungen zur Nachprüfung offen.
Details zu Voraussetzungen, Filtern und Aktualisierung erläutert Microsoft unter Aktivität der Authentifizierungsmethoden. Berechnen Sie eine Quote nur mit einem dokumentierten Nenner und weisen Sie nicht geprüfte Konten separat aus.
Registrierungsdetails über Microsoft Graph nachvollziehen.
Für einen reproduzierbaren Abruf können Sie den folgenden lesenden Endpunkt verwenden. Die zweite Abfrage grenzt die Liste auf Konten ohne gemeldete MFA-Registrierung ein; sie ersetzt keinen vollständigen Bestandsabgleich.
GET https://graph.microsoft.com/v1.0/reports/authenticationMethods/userRegistrationDetails
GET https://graph.microsoft.com/v1.0/reports/authenticationMethods/userRegistrationDetails?$filter=isMfaRegistered%20eq%20falseDie Microsoft-Graph-Dokumentation zum Abruf nennt AuditLog.Read.All als erforderliche Berechtigung. Bei delegiertem Zugriff ist zusätzlich eine unterstützte Rolle, etwa Reports Reader, zu berücksichtigen. Die Lizenzvoraussetzungen des Berichts bleiben relevant.
Erfassen Sie Filter, Abrufzeit und Fehler. Verarbeiten Sie bei mehrseitigen Antworten auch die Folgeseiten. Eine leere oder unvollständig gelesene Liste darf nicht als Nachweis für fehlende Schutzlücken gelten. Bewahren Sie Exporte mit Benutzerkennungen nur im dafür vorgesehenen internen Prüfbereich auf.
Verbinden Sie die Registrierung mit Richtlinien und Anmeldeereignissen.
Prüfen Sie für ausgewählte Konten und Anwendungen, welche Anforderung gelten soll. Nutzen Sie dazu auch die Conditional-Access-Checkliste und dokumentieren Sie Ausschlüsse und Ausnahmen.
Öffnen Sie passende Anmeldeereignisse und betrachten Sie Authentifizierungsdetails, Ergebnis und ausgewertete Richtlinien gemeinsam. MFA kann bereits durch einen vorhandenen Anspruch im Token erfüllt sein; eine fehlende neue Abfrage ist daher allein kein Beleg für eine Lücke. Auch das Feld authenticationRequirement sollte nicht isoliert bewertet werden.
Die Microsoft-Anleitung zur Auswertung von MFA-Anmeldungen beschreibt diese Zusammenhänge. Dokumentieren Sie den betrachteten Zeitraum und die ausgewählten Szenarien. Eine erfolgreiche Stichprobe belegt nur die geprüften Fälle.
Machen Sie aus jeder Auffälligkeit einen prüfbaren Auftrag.
- Registrierung fehlt: Klären Sie Kontozweck und Verantwortliche. Vereinbaren Sie die Einrichtung einer vorgesehenen Methode und einen Termin zur erneuten Prüfung.
- Registriert, aber nicht nutzbar: Prüfen Sie Methodenrichtlinie, Zielgruppe und Berichtstand, bevor Sie Einstellungen ändern.
- MFA nutzbar, Anforderung ungeklärt: Ergänzen Sie Richtlinienprüfung und Anmeldenachweise. Priorisieren Sie dabei privilegierte Zugriffe.
Fiktives Beispiel: Ein Projektkonto erscheint als registriert, aber nicht MFA-fähig. Der Prüfauftrag lautet zunächst, Methode, geltende Richtlinie und Aktualisierungszeitpunkt abzugleichen. Erst danach wird über eine Änderung entschieden. Ein neuer Bericht und ein vereinbarter Anmeldetest dokumentieren den Abschluss.
Tenant / Prüfdatum / Datenquelle / Berichtstand:
Konto-ID / Kontotyp / verantwortliche Stelle:
MFA registriert / MFA nutzbar / registrierte Methoden:
Erwartete Anforderung / Richtlinie / Ausnahme:
Anmeldestichprobe / Zeitpunkt / Ergebnis:
Feststellung / fehlender Nachweis:
Maßnahme / Freigabe / Termin / Abschlussnachweis:Ergänzen Sie diese Angaben in Ihrer Audit-Report-Vorlage. Lassen Sie Änderungen kontrolliert freigeben und prüfen Sie anschließend erneut, ob der vereinbarte Zustand erreicht ist.
Registrierungsprüfung und Konfigurationsaudit ergänzen sich.
Die Kontrollen IAM-01 und IAM-02 im Prüfkatalog bewerten ausgewählte Konfigurationen zur MFA-Absicherung. Welche Aussage ein Lauf trägt, hängt von den gelesenen Daten und den ausgewiesenen Einschränkungen ab.
Die hier beschriebenen Registrierungsabfragen und Anmeldestichproben sind ergänzende Prüfschritte. Diese Anleitung verspricht keinen automatischen Registrierungsbericht pro Benutzer und keinen vollständigen Nachweis aller Zugriffsszenarien durch M365 Audit.
Was sagt eine MFA-Registrierungsprüfung aus?
Reicht eine Registrierungsquote von 100 Prozent?
Erst der definierte Kontenumfang macht die Zahl nachvollziehbar. Ergänzen Sie Methodenrichtlinien, Ausnahmen und die geprüften Anmeldeszenarien, bevor Sie daraus Maßnahmen ableiten.
Wie behandle ich fehlende Daten?
Dokumentieren Sie den offenen Nachweis mit Ursache und Verantwortlichen. Wiederholen Sie den Abruf nach Klärung von Zugriff, Berichtstand oder Filterung.
Soll ich alle Auffälligkeiten sofort durch neue Richtlinien beheben?
Planen Sie Änderungen mit den zuständigen Stellen und einer geeigneten Testgruppe. Berücksichtigen Sie betriebliche Abhängigkeiten sowie das dokumentierte Konzept für Notfallzugriffskonten.
Stand: 29. September 2026. Technische Referenzen: die oben verlinkte Microsoft-Learn-Dokumentation.