Neue Entra ID Conditional Access Policies: Warum die Windows Hello Registrierung im Homeoffice plötzlich fehlschlägt

Microsoft dreht an der Daumenschraube für Identitätssicherheit: Die automatischen und strengeren Conditional Access Policies in Microsoft Entra ID rollen flächendeckend aus. Was auf dem Papier nach einem längst überfälligen Sicherheitsgewinn klingt, sorgt in der IT-Praxis aktuell für einige Stolpersteine – besonders beim Remote Onboarding.


Was ist neu?

Bisher wurden Richtlinien für Bedingten Zugriff bei der Ersteinrichtung von Windows Hello for Business (und Platform SSO) oft übergangen. Es reichte eine einfache MFA-Bestätigung aus.

Damit ist nun Schluss: Microsoft wertet die Richtlinie „Register security information“ bei der Registrierung von Windows Hello strikt aus. Das Ziel dahinter ist klar – Angreifer sollen geholfen werden daran gehindert zu werden, gestohlene Zugangsdaten aus der Ferne zu nutzen, um phishingsichere Schlüssel auf eigenen Geräten zu registrieren (Initial Access Attacks).

Wer die Registrierung streng an Trusted Locations (sichere Standorte/Firmennetzwerk) bindet, schützt den Tenant effektiv. Doch genau hier beginnt die Herausforderung für moderne Hybrid-Workflows.

Der Praxis-Fallstrick: Warum TAP beim Remote Setup scheitert

Will man neue Mitarbeiter im Homeoffice mit einem Temporary Access Pass (TAP) ausstatten, läuft man schnell in einen Fehler. Der Grund liegt in der Architektur von Windows:

• Die Registrierung wird im Hintergrund nicht direkt über die Web-Oberfläche abgewickelt, sondern über den internen Systemdienst Device Registration Client (App-ID: 01929008-0128-403d-82d8-21d743a1936e).
• Wenn eure Richtlinie Zugriffe außerhalb von sicheren Standorten blockiert, greift dieser Block auch für den Device Registration Client.
• Der TAP wird für den Login zwar akzeptiert, aber die Richtlinie erkennt ihn bei diesem speziellen Dienst oft nicht automatisch als Ausnahmegrund an – das WHfB-Setup wird blockiert.

Erfahrungen aus der IT-Community (Reddit & Praxis)

Ein Blick in Communitys wie r/sysadmin zeigt ein klares Bild: Die neuen Standard-Policies verhindern zwar viele Konfigurationsfehler in unbetreuten Tenants, treffen Admins im Alltag aber oft unvorbereitet.

• Break-Glass-Konten gefährdet: Wer Notfall-Admins nicht explizit aus den neuen Microsoft-Managed Policies ausschließt, riskiert ausgesperrt zu werden.
• Service-Accounts brechen: Automatisierte Skripte mit administrativen Rollen scheitern schlagartig an der MFA-Pflicht.
• Onboarding-Stop: Homeoffice-Rollouts geraten ins Stocken, wenn die Geräteregistrierung an der Standort-Sperre hängen bleibt.

Wie löst man das Problem?

Damit das Remote Onboarding trotz hoher Sicherheitsstandards funktioniert, gibt es drei bewährte Lösungsansätze:

1. TAP-Ausnahme in der CA-Policy: In den Bedingungen der Richtlinie für die Geräteregistrierung eine gezielte Ausnahme für die Authentifizierungsstärke Temporary Access Pass hinterlegen.
2. Automatisierte Bypass-Gruppe: Eine Entra ID Gruppe anlegen, die in der CA-Policy als Exclusion eingetragen ist. Der User wird per Power Automate / Logic App für die Dauer der TAP-Gültigkeit (z. B. 8 Stunden) hinzugefügt und danach automatisch wieder entfernt.
3. Tunneling vor dem Login: Den Tunnel ins Firmennetz (z. B. per Always-On VPN / Global Secure Access Device Tunnel) bereits vor der Windows-Anmeldung aufbauen, damit das Gerät als Trusted Location gilt.