Microsoft Entra ID CSP auf Anmeldeseiten ab Okt 2026

Einführung

Microsoft härtet die Microsoft Entra ID-Anmeldeerfahrung im Rahmen der Secure Future Initiative (SFI). Die kommende Durchsetzung der Content Security Policy (CSP) soll externe Script-Injection während der Authentifizierung verhindern—ein Bereich, der häufig von Angreifern ins Visier genommen wird—indem eingeschränkt wird, welche Scripts auf der Anmeldeseite geladen und ausgeführt werden dürfen.

Was ist neu

Microsoft wird einen strengeren CSP-Header für die Entra ID-Anmeldeerfahrung auf login.microsoftonline.com hinzufügen und durchsetzen. Wichtige Änderungen umfassen:

• Script-Downloads auf vertrauenswürdige Microsoft-CDN-Domains beschränkt Es dürfen nur Scripts geladen werden, die von von Microsoft genehmigten Content Delivery Networks stammen.

• Ausführung von Inline-Scripts auf vertrauenswürdige Microsoft-Quellen beschränkt (nonce-basiert) Inline-Scripts werden über CSP-Nonce-Muster gesteuert, wodurch die Ausführung beliebigen Inline-Codes verhindert wird.

• Geltungsbereich auf browserbasierte Anmeldungen auf login.microsoftonline.com beschränkt Dies gilt spezifisch für interaktive Anmeldeseiten im Browser.

• Keine Auswirkungen auf Microsoft Entra External ID Microsoft gibt an, dass Entra External ID-Erfahrungen von diesem Update nicht betroffen sind.

Zeitplan

• Weltweite Durchsetzung: Microsoft Entra ID wird die aktualisierte CSP Mitte bis Ende Oktober 2026 durchsetzen.
• Kommunikation: Microsoft wird vor dem Rollout regelmäßige Updates senden.

Auswirkungen auf IT-Administratoren und Endbenutzer

Für die meisten Organisationen wird dies eine „stille“ Sicherheitsverbesserung sein. Umgebungen, die jedoch Browser-Erweiterungen, Scripts oder Drittanbieter-Tools verwenden, die Code in die Anmeldeseite injizieren, sollten mit Ausfällen dieser injizierten Funktionalität rechnen.

Wichtige Nuance: Microsoft weist darauf hin, dass Nutzer sich auch dann weiterhin anmelden können, wenn injizierte Tools nicht mehr funktionieren—aber Overlays, Instrumentierung, Anpassungen oder Hilfslogik, die auf Injection angewiesen sind, können ausfallen.

Typische Punkte zur Prüfung sind:

• Passwort-Manager oder „Security“-Erweiterungen, die Anmeldeseiten verändern
• Helpdesk- oder SSO-Fehlerbehebungs-Overlays
• Custom Branding oder UX-Änderungen, die per Injection umgesetzt werden
• Monitoring- oder Analytics-Tools, die sich per Browser-Scripting in die Sign-in-UI einklinken

Empfohlene Maßnahmen / nächste Schritte

1. Abhängigkeiten von Injection auf Anmeldeseiten inventarisieren und reduzieren Microsoft empfiehlt ausdrücklich, Erweiterungen oder Tools zu vermeiden, die Code in die Entra-Anmeldeerfahrung injizieren.

2. Anmeldeflows mit geöffneten Developer Tools testen Durchlaufen Sie Ihre gängigen Anmeldeszenarien (verwaltete Geräte, nicht verwaltete Geräte, verschiedene Browser, Conditional Access-Varianten) mit geöffnetem Browser-Dev-Console und achten Sie auf CSP-Verstöße (typischerweise rot markiert).

3. Unterschiedliche User-Personas und Flows bewerten Da Verstöße möglicherweise nur bei bestimmten Teams oder User-Setups auftreten (bedingt durch Erweiterungen oder lokale Tools), testen Sie mit mehreren Nutzergruppen und Gerätekonfigurationen.

4. Betroffene Tools durch Alternativen ohne Injection ersetzen Wenn Sie geschäftskritische Tools finden, die auf Script-Injection angewiesen sind, beginnen Sie jetzt mit der Bewertung von Alternativen—Script-Injection in die Anmeldeseite wird nach Beginn der Durchsetzung nicht mehr unterstützt.

Warum das wichtig ist

Authentifizierungsseiten sind besonders wertvolle Ziele. Die Durchsetzung von CSP an der Sign-in-Grenze ist ein wichtiger Schritt, um die Angriffsfläche für eingeschleuste oder bösartige Scripts zu reduzieren und die Widerstandsfähigkeit gegen moderne webbasierte Identity-Angriffe zu verbessern—während die Anmeldeerfahrung für konforme Konfigurationen erhalten bleibt.