Microsoft Entra November 2025: Agent Governance & Anmeldung

Einleitung: warum das wichtig ist

Die Microsoft Entra-Updates im November 2025 unterstreichen ein klares Thema: Identitätssicherheit muss sich auf AI agents, moderne Authentifizierung und sicherere Anmeldeoberflächen ausweiten. Für IT-Admins bringt der Monat neue Previews zur Governance von Agents und zum Schutz von GenAI-Apps sowie Security-Härtung und Lifecycle-/API-Änderungen, die bestehende Workflows beeinflussen können.

Was ist neu (Highlights)

Identität im AI-Zeitalter & Agent Governance

• Microsoft Entra Agent ID (Public Preview): Neue Funktionen zum Verwalten, Governieren und Schützen von AI agents als Teil der Agent 365 control plane.
• Security Copilot in Microsoft 365 E5 enthalten: Erweitert den Zugriff auf Copilot-Erlebnisse in Entra und die neuen Entra agents und macht fortschrittliche Security-Unterstützung für mehr Administratoren verfügbar.
• Entra Suite Prompt Shield (Public Preview): Hilft, GenAI-Anwendungen im Unternehmen gegen prompt injection attacks zu schützen.
• Synced passkeys + Self-Service Account Recovery (Public Preview): Verbessert die Einführung phishing-resistenter Authentifizierung mit erweiterten Wiederherstellungsoptionen über Authentifizierungsmethoden hinweg.

Microsoft Entra ID: Änderungen an Sicherheit und Admin Experience

• Externe Script-Injection während Entra ID Sign-in blockieren (Aktion ggf. erforderlich): Entra ID hat eine strengere Content Security Policy (CSP) auf login.microsoftonline.com ausgerollt, um unautorisierte Script-Ausführung zu verhindern und das XSS-Risiko zu reduzieren.
• Jailbreak/Root-Erkennung in Microsoft Authenticator (Aktion ggf. erforderlich): Ab Februar 2026 deaktiviert Authenticator Entra credentials auf jailbroken/rooted Geräten (iOS und Android) und löscht sie. Es ist keine Admin-Konfiguration erforderlich.
• „Revoke MFA sessions“ wird durch „Revoke sessions“ ersetzt (Aktion ggf. erforderlich): Ab Februar 2026 macht die Portal-Aktion alle Benutzersitzungen (einschließlich MFA) ungültig und gleicht damit das Verhalten zwischen Conditional Access und per-user MFA an.

Governance-, External ID- und Network Access-Updates

Entra ID Governance

• Neue Funktionen, darunter Konvertierung externer Benutzer zu internen Mitgliedern, SCIM 2.0 SAP CIS connector (mit Gruppenbereitstellung), eligible group memberships/ownerships in Entitlement Management sowie Verbesserungen an Lifecycle Workflows (erneute Verarbeitung von Fehlern, Unterstützung für sensitivity labels, Trigger für inaktive Mitarbeiter/Gäste).
• PIM API Deprecation (Aktion ggf. erforderlich): Die Iteration 2 (beta) PIM API liefert ab 28. Oktober 2026 keine Daten mehr zurück. Eine Migration auf die Iteration 3 (GA) APIs wird empfohlen.

Entra External ID

• Regionale Erweiterung auf Australien und Japan, außerdem vereinfachtes Azure Monitor/Sentinel-Setup für externe Tenants und zusätzliche Fraud-/WAF-Integrationen.

Global Secure Access

• Neue Integrationen wie GSA + Netskope ATP/DLP und Internet Access TLS Inspection.

Auswirkungen für IT-Administratoren

• Rechnen Sie mit Bedarf an Kompatibilitätstests für Sign-in-Flows aufgrund der CSP-Verschärfung (insbesondere, wenn Extensions oder Tools Scripts injizieren).
• Planen Sie Änderungen im Authenticator-Verhalten auf kompromittierten Geräten sowie mögliche Support-Tickets, wenn Benutzer blockiert werden.
• Aktualisieren Sie operative Runbooks zur Sitzungswiderrufung, um Missverständnisse zum neuen Verhalten von „Revoke sessions“ zu vermeiden.
• Starten Sie Modernisierungsmaßnahmen, wenn Sie auf PIM iteration 2-Endpoints angewiesen sind.

Empfohlene nächste Schritte

1. Sign-in-Flows testen über Browser und gemanagte Endpoints hinweg; Tools entfernen/ersetzen, die Scripts in Entra-Sign-in-Seiten injizieren.
2. Endbenutzer informieren: rechtzeitig vor Februar 2026 auf Jailbreak/Root-Erkennung in Authenticator und erforderliche Abhilfemaßnahmen hinweisen.
3. Helpdesk-/Admin-Dokumentation aktualisieren, um Revoke sessions zu verwenden und die weiterreichenden Auswirkungen zu dokumentieren.
4. PIM API-Migrationsplanung jetzt starten; keine Neuentwicklung auf Iteration 2 APIs und Kompatibilität von Iteration 3 validieren.
5. Previews (Agent ID, Prompt Shield, passkeys recovery) in einem kontrollierten Pilot evaluieren, um Governance- und Security-Fit zu beurteilen.