// HEISE ONLINE — HARDWARE & GADGET
heise+ | Entra ID: Multi-Faktor-Authentifizierung gegen Session-Token-Diebstahl absichern
MFA in Entra ID wiegt in falscher Sicherheit – mit gestohlenen Sitzungstokens lässt sie sich umgehen. Admins müssen Conditional Access richtig konfigurieren.
Die Multifaktor-Authentifizierung (MFA) sichert die Anmeldung über Microsofts Entra ID mit einem zweiten Faktor ab und gilt als Grundlage für Zero-Trust-Firmennetze, die auf Entra ID vertrauen. Die Verantwortung für den Einsatz von MFA liegt bei den Administratoren, die Bedingungen und Methoden festlegen müssen. Doch MFA wiegt Admins mitunter in falscher Sicherheit: Angreifer können ein Sitzungstoken abgreifen und dadurch Passwort und zweiten Faktor umgehen. Conditional Access bringt mehrere Kontrollen gegen einen solchen Replay-Angriff mit, aber jede davon hat eine dokumentierte Grenze.
MFA prüft den Anmeldevorgang, jedoch nicht, was mit dem Ergebnis dieses Vorgangs passiert. Nach erfolgreicher Anmeldung stellt Entra ID Tokens aus, in denen die erfüllten Bedingungen als Claims stehen, darunter der bestätigte zweite Faktor, die Geräte-ID für die Abfrage des Konformitätsstatus und die verwendete Authentifizierungsstärke.
Besitzt ein Angreifer ein solches Token, muss er weder das Passwort, noch den zweiten Faktor noch ein konformes Gerät vorweisen. Das Token selbst belegt gegenüber Entra ID, dass diese Prüfungen bereits stattgefunden haben. Administratoren müssen dagegen die Kontrollen in Entra ID verstärken. Der Artikel geht sie in der Reihenfolge durch, in der sie im Betrieb sinnvoll aufeinander aufbauen, nennt die Konfigurationspfade und zeigt für jede Schicht, was sie leistet und was nicht.
Home Assistant sollte Ordnung in mein Smart-Home-Chaos bringen. Das klappte nicht. Dafür entdeckte ich die wahre Stärke der Plattform. Ein Erfahrungsbericht.
Wärmepumpe oder Fernwärme? Der kommunale Wärmeplan gibt eine Richtung vor. Was Eigentümer daraus für Heizung und Förderung ableiten können.
Mit KI lernen humanoide Roboter immer schneller. Mehrere Hersteller wollen 2027 neue Modelle veröffentlichen – ein Überblick, was sie können und was nicht.
Mit FastAPI und HTMX lassen sich Webanwendungen in Python und HTML bauen – ohne separates JavaScript-Framework fürs Frontend.
Ursa AG baut in Alberta weitgehend elektronikfreie Traktoren, die Eigenreparaturen nicht aktiv verhindern. Die Nachfrage übersteigt die Produktion deutlich.
Wenig- oder Vielfahrer, kleine oder große Batterie: Ob und wann sich der ID. Polo gegenüber Raval, Polo und Ibiza rechnet, zeigt unser Kostenvergleich.