Microsoft schließt Sicherheitslücken und erweitert sein Identitätsmanagement um KI-Agenten. Die Ankündigungen auf der RSA Conference 2026 zielen darauf ab, das Prinzip von Zero Trust auf die Ära der autonomen KI auszudehnen. Für IT-Administratoren bedeutet das ab sofort konkrete Änderungen.

Strengere Regeln für bedingten Zugriff ab sofort

Ein zentraler Punkt betrifft die Microsoft Entra Conditional Access-Richtlinien. Ab dem 27. März 2026 führt Microsoft eine wichtige Änderung durch. Bisher konnten bestimmte Authentifizierungsabläufe die Sicherheitsabfragen umgehen, wenn eine Richtlinie Ressourcen ausschloss.

Anzeige

Die neuen Microsoft-Richtlinien unterstreichen den Handlungsbedarf durch aktuelle Gesetzgebungen wie die EU-KI-Verordnung, die bereits spezifische Anforderungen an die Kennzeichnung und Dokumentation stellt. Dieser kostenlose Leitfaden zeigt Ihnen, wie Sie die neuen rechtlichen Vorgaben und Fristen sicher in Ihrem Unternehmen umsetzen. EU-KI-Verordnung kompakt: Jetzt Gratis-Leitfaden sichern

Diese Lücke wird nun geschlossen. Künftig gelten die Sicherheitsanforderungen – wie die Multi-Faktor-Authentifizierung (MFA) – auch in diesen Fällen. Das soll verhindern, dass sich Angreifer über spezifische Anwendungsbereiche Zugang verschaffen.

Betroffen sind vor allem Mandanten, die Richtlinien für „Alle Ressourcen“ mit Ausnahmen für bestimmte Apps nutzen. Administratoren sollten ihre Konfigurationen prüfen. Nutzer könnten nun plötzlich auf MFA-Abfragen stoßen, wo vorher keine waren.

KI-Agenten bekommen erstmals eigene Identitäten

Mit der rasanten Verbreitung autonomer KI-Tools wächst das Sicherheitsrisiko. Microsoft reagiert mit Microsoft Entra Agent ID. Diese neue Identitätskategorie soll KI-Agenten wie den angekündigten Microsoft Agent 365 eine sichere Grundlage geben.

Erstmals können Unternehmen damit die strikten Conditional Access-Regeln auch auf nicht-menschliche Akteure anwenden. Der Hintergrund: Laut einem aktuellen Sicherheitsbericht stehen 70 Prozent aller identitätsbezogenen Vorfälle im Zusammenhang mit KI-Aktivitäten.

Agent IDs ermöglichen eine „Least Privilege“-Policy für KI. Sie verhindern, dass autonome Agenten ohne ausdrückliche Berechtigung auf sensible Daten zugreifen. Zusätzlich hilft eine neue „Shadow AI („Shadow AI“)-Erkennung, unkontrollierte KI-Tools im Netzwerk zu identifizieren und zu blockieren.

Der Durchbruch für passwortlose Anmeldung

Microsoft treibt die Abschaffung von Passwörtern voran. Seit März 2026 aktiviert der Konzern automatisch Passkey-Profile für alle Entra ID-Mandanten. Die Standardeinstellung für Registrierungen lautet nun „Passkey-first“ statt „Authenticator-first“.

Unterstützt wird dies durch die allgemeine Verfügbarkeit von External MFA. Unternehmen können damit ihre bestehenden Drittanbieter-MFA-Lösungen direkt in Entra ID integrate. So profitieren sie weiter von ihren Investitionen, erhalten aber die volle Kontrolle durch Microsofts Risikobewertung in Echtzeit.

Anzeige

Während Microsoft die technische Sicherheit durch Passkeys erhöht, rücken neue Gesetze wie der AI Act auch die regulatorische Cyber-Security in den Fokus von Geschäftsführern. Erfahren Sie in diesem Experten-Report, welche Strategien mittelständische Unternehmen jetzt nutzen, um sich ohne Budget-Explosion gegen moderne Bedrohungen zu wappnen. Kostenlosen Cyber-Security-Report 2024 herunterladen

Besonders wichtig für privilegierte Konten: Administratoren können nun zwischen hardwaregebundenen Passkeys (etwa auf einem Sicherheitschip) und cloud-basierten Schlüsseln unterscheiden. Best Practices empfehlen eindeutig die hardwaregestützte Variante.

Neue Tools für Backup und Mandanten-Verwaltung

Ein lange erwartetes Feature ist die öffentliche Vorschau des Microsoft Entra Backup and Recovery-Dienstes. Bisher mussten Administratoren auf manuelle Skripte oder Tools von Drittanbietern zurückgreifen, um gelöschte Konfigurationen wiederherzustellen.

Der neue native Dienst erlaubt die Erstellung von „Tenant Snapshots“. Damit lassen sich unbeabsichtigte Änderungen oder die Folgen von Angriffen schnell rückgängig machen. Ergänzt wird dies durch ein Governance-Tool für die Verwaltung mehrerer Mandanten. Es zeigt unautorisierte Änderungen über Dutzende Mandanten hinweg in einer Oberfläche an.

Ausblick: Identität als neues Sicherheits-Perimeter

Die Ankündigungen zeigen den Trend: Die Identität wird zum zentralen Sicherheitsperimeter – und dieses Perimeter wird zunehmend automatisiert verwaltet. Die Integration von KI-Signalen in die Zugriffskontrolle, von Microsoft als „Access Fabric“ bezeichnet, könnte langfristig manuelle Richtlinien überflüssig machen.

Die neuen Regeln und Schutzmechanismen werden bis Juni 2026 eingeführt. Für Sicherheitsteams weltweit beginnt damit eine Phase der schnellen Anpassung. In der Ära der „Agentic AI“ wird die Fähigkeit, jede Identität – ob Mensch oder Maschine – über eine einheitliche Zero-Trust-Engine zu steuern, über die Widerstandsfähigkeit von Unternehmen entscheiden.