Noch ein kurzer Nachtrag für Leute, die den Microsoft Authenticator als App auf einem iPhone oder einem Android-Gerät verwenden. Microsoft hat zum 24. Februar 2026 verlauten lassen, dass man ab Ende Februar 2026 bei Geräten mit Jailbreak (iOS) oder einem Root-Zugriff (Android) die EntraID-Anmeldung erst warnen und dann sperren und die Daten schließlich löschen werde. Diese Umstellung erfolgt schrittweise und soll ab Mitte 2026 abgeschlossen sein.
Ein Nutzer hatte in diesem Kommentar auf die kommende Neuerung hingewiesen. Mir war aber die Ankündigung MC1179154 – Microsoft Authenticator app: Upcoming changes to jailbreak and root detection im Microsoft 365 Message Center untergekommen.
Die Ankündigung von Microsoft ist ziemlich klar: Ab Ende Februar 2026 erkennt die Microsoft Authenticator-App Geräte mit Jailbreak unter iOS und Android-Geräte mit Root-Zugriff. Bei solchen Geräten blockiert die Microsoft Authenticator-App die Anmeldung mit Daten unter Entra.
Es gibt stufenweise Warnungen, dann eine Sperrung und schließlich eine Löschung der Anmeldedaten. Diese Sicherheitsfunktion wird automatisch aktiviert und kann nicht deaktiviert werden. Benutzer von Geräten ohne Jailbreak/Root-Zugriff sind davon nicht betroffen.
- Die allgemeine Verfügbarkeit beginnt weltweit für Android bereits Ende Februar 2026 und wird voraussichtlich Mitte 2026 abgeschlossen sein.
- Die allgemeine Verfügbarkeit beginnt weltweit für iOS im April 2026 (statt im März) und wird voraussichtlich ebenfalls Mitte 2026 abgeschlossen sein.
Für beide Plattformen wurde bereits eine Verlängerung von April 2026 auf Mitte diesen Jahres eingeplant.
Benutzer von Geräten mit Jailbreak oder Root-Zugriff werden schrittweise die Einführung in den drei Phasen erleben. Der geschätzte Abstand zwischen den drei Phasen beträgt etwa einen Monat.
Phase 1 – Warnmodus: Benutzer erhalten lediglich eine Warnung, dass ihr Gerät einen Jailbreak oder Root-Zugriff hat und in Zukunft gesperrt wird (siehe obiger Screenshot bei iOS oder folgender Screenshot bei Android).
Phase 2 – Sperrmodus: Benutzer können keine Entra-Anmeldedaten registrieren oder sich über Authenticator anmelden. Das wird dann in entsprechenden Meldungen, die per Screenshot unter MC1179154 dokumentiert sind, dem Benutzer mitgeteilt.
Phase 3 – Löschmodus: Vorhandene Entra-Anmeldedaten werden von Geräten mit Jailbreak oder Root-Zugriff gelöscht. Auch hier sind die entsprechenden Meldungen per Screenshot unter MC1179154 dokumentiert.
Microsoft empfiehlt dem Helpdesk und den Nutzern entsprechende Hinweise zukommen zu lassen. Ob die Microsoft Authenticator App mit dem "Microsoft Push-Verfahren" zwingend für 2FA erforderlich ist, kann der Tenant-Administrator auf der EntraID-Administratorseite vorgeben. Wird nur ein Time-based one-time password (TOTP) konfiguriert, sollten sich auch Open-Source Authenticator-Apps verwenden lassen.
MVP: 2013 – 2016
