Aktualisiert am 18. August 2026: Wir haben den Zeitplan aktualisiert. Vielen Dank für Ihre Geduld.
[Einführung]
Zur Stärkung der Sicherheit bei der föderierten Authentifizierung wird Microsoft Entra das Standardverhalten der federatedTokenValidationPolicy aktualisieren. Diese Richtlinie steuert, wie Microsoft Entra föderierte Authentifizierungstoken validiert und entscheidet, ob Anmeldungen zulässig sind, wenn die internalDomainFederation nicht mit der UPN-Domäne des Benutzers übereinstimmt. Bisher erforderte die Durchsetzung dieses Verhaltens eine explizite Mandantenkonfiguration, künftig wird sie standardmäßig angewendet, um das Risiko unbeabsichtigter Domänenüberschreitungen durch falsch konfigurierte oder zu großzügige Vertrauensbeziehungen bei der Föderation zu verringern.
[Zeitpunkt der Umsetzung]
Allgemeine Verfügbarkeit (weltweit, GCC, GCCH und DoD): Die Einführung beginnt Mitte August 2026 und wird voraussichtlich bis Ende August 2026 abgeschlossen sein (vorher Mitte August).
[Auswirkungen auf Ihre Organisation]
Betroffene Gruppen
- Microsoft 365-Mandanten, die föderierte Authentifizierung in Microsoft Entra verwenden
- Administratoren, die föderierte Domänen verwalten, die vor Dezember 2025 konfiguriert wurden
- Gilt nur für föderierte Domänen mit einem internalDomainFederation-Objekt
Was wird passieren
- Standardmäßig werden föderierte Anmeldungen blockiert, wenn die internalDomainFederation nicht mit der UPN-Domäne des Benutzers übereinstimmt.
- Das internalDomainFederation-Objekt wird typischerweise automatisch beim Einrichten der Föderation mit Active Directory Federation Services (AD FS) oder anderen Identitätsanbietern (IdPs) erstellt.
- Dieses striktere Standardverhalten der federatedTokenValidationPolicy wird bereits für föderierte Domänen durchgesetzt, die seit Dezember 2025 hinzugefügt wurden.
- Nach dieser Änderung gilt dasselbe Verhalten für alle bestehenden föderierten Domänen mit einem internalDomainFederation-Objekt.
- Betroffene Anmeldungen schlagen mit folgendem Fehler fehl:
AADSTS5000820: Anmeldung durch Federated Token Validation-Richtlinie blockiert. Wenden Sie sich für weitere Details an Ihren Administrator.
- Für die Benutzererfahrung ändert sich nichts, sofern keine föderierten Anmeldungen domänenübergreifend stattfinden.
[Vorbereitungsmöglichkeiten]
- Für die meisten Organisationen ist kein Handeln erforderlich.
- Domänenübergreifende föderierte Anmeldungen werden im Rahmen dieser Sicherheitsverbesserung automatisch blockiert.
- Organisationen, die auf domänenübergreifende föderierte Anmeldungen angewiesen sind, sollten ihre bestehenden Föderationskonfigurationen vor der Einführung überprüfen.
- (Stark nicht empfohlen) Falls aus Gründen der Geschäftskontinuität erforderlich, können Sicherheitsadministratoren, Hybrid Identity-Administratoren oder externe Identitätsanbieter-Administratoren mit Microsoft Graph eine benutzerdefinierte federatedTokenValidationPolicy erstellen, deren rootDomains = none gesetzt ist, um domänenübergreifende Anmeldungen zuzulassen.
- Kommunizieren Sie diese Änderung an Identitäts- und Helpdesk-Teams, um Supporteskalationen zu reduzieren.
Weitere Informationen:
- Get federatedTokenValidationPolicy | Microsoft Graph | Microsoft Learn
- Get internalDomainFederation | Microsoft Graph | Microsoft Learn
- Use Graph Explorer to try Microsoft Graph APIs | Microsoft Graph | Microsoft Learn
- validatingDomains resource type | Microsoft Graph | Microsoft Learn
[Compliance-Überlegungen]
Frage: Enthält die Änderung eine Administratorkontrolle, und kann diese über eine Microsoft Entra ID-Gruppenmitgliedschaft gesteuert werden?
Antwort: Ja. Administratoren können mit Microsoft Graph eine benutzerdefinierte federatedTokenValidationPolicy konfigurieren, um das Standardverhalten zu überschreiben, wobei dies aufgrund von Sicherheitsrisiken stark nicht empfohlen wird.
Frage: Verändert, unterbricht oder deaktiviert die Änderung Funktionen von Purview wie Data Loss Prevention, Information Protection, Conditional Access, Audit-Logging, eDiscovery, Verschlüsselung oder Aufbewahrungsrichtlinien?
Antwort: Ja. Diese Änderung betrifft das Verhalten der Authentifizierungsdurchsetzung in Microsoft Entra, was indirekt die Evaluation von föderierten Anmeldungen durch Conditional Access-Richtlinien beeinflussen kann.
