Microsoft Entra ID erklärt: Was aus Azure AD wurde – und was KMU 2026 einrichten müssen

Dominik Zumstrull • 31. August 2026 • 5 Min. Lesezeit

Microsoft Entra ID: Administrator konfiguriert Conditional Access und MFA im Microsoft-365-Tenant

Cloud & Microsoft 365-Experte

OIT GmbH

Microsoft Entra ID ist der neue Name von Azure Active Directory – derselbe Dienst, nur anders beschriftet. Er entscheidet in jedem Microsoft-365-Tenant, wer sich anmelden darf, mit welchem zweiten Faktor und von welchem Gerät aus.

Wenn deine Mitarbeitenden sich morgens bei Outlook, Teams oder SharePoint anmelden, fragt im Hintergrund immer Entra ID: Kenne ich dich? Ist dein Passwort richtig? Hast du den zweiten Faktor bestätigt? Kommst du aus einem Land, aus dem wir Anmeldungen erlauben? Genau deshalb ist Entra ID der wichtigste Sicherheitsbaustein deiner Cloud – und gleichzeitig der, der in den meisten kleinen Unternehmen nie über die Standardeinstellungen hinaus konfiguriert wurde.

Warum heißt Azure AD jetzt Microsoft Entra ID?

Microsoft hat die Umbenennung im Juli 2023 angekündigt und bis 2024 durchgezogen. Technisch hat sich dabei nichts geändert: gleiche Objekte, gleiche Gruppen, gleiche API. Nur die Marke wurde neu sortiert – „Entra“ ist heute das Dach für alle Identitätsprodukte, „Entra ID“ der Verzeichnisdienst darin.

In der Praxis begegnen dir beide Namen weiter parallel: In PowerShell heißen Cmdlets noch AzureAD, in Fehlermeldungen taucht AAD auf, und ältere Anleitungen sprechen von Azure AD. Wenn du eine Anleitung liest, die „Azure Active Directory“ sagt, gilt sie in aller Regel eins zu eins für Entra ID.

Welche Entra-ID-Lizenz brauchst du wirklich?

Die Free-Variante steckt in jedem Microsoft-365-Abo. Sie reicht für Anmeldung und Basis-MFA – aber nicht für Conditional Access, also die Regeln, mit denen du Anmeldungen nach Standort, Gerät oder Risiko steuerst. Genau die brauchst du, sobald es ernst wird.

Lizenz	Enthalten in	Das kannst du damit	Listenpreis
Entra ID Free	jedem M365-Plan	Benutzer, Gruppen, Single Sign-on, Security Defaults	0 €
Entra ID P1	Business Premium, M365 E3	Conditional Access, SSPR, Gruppen-Self-Service, Hybrid-Sync	ca. 6 USD / Nutzer / Monat
Entra ID P2	M365 E5	alles aus P1 plus Risiko-Erkennung und PIM	ca. 9 USD / Nutzer / Monat

Für die allermeisten Betriebe mit 10 bis 100 Arbeitsplätzen ist Microsoft 365 Business Premium die günstigste Antwort: Entra ID P1 ist darin bereits enthalten, dazu Intune und Defender. Der Einzelkauf von P1 lohnt sich fast nie.

Was musst du bis 2026 zwingend erledigt haben?

Microsoft macht Multi-Faktor-Authentifizierung schrittweise zur Pflicht – das ist keine Empfehlung mehr, sondern eine erzwungene Änderung am Tenant:

Seit Oktober 2024: MFA für Anmeldungen am Azure-Portal, Entra Admin Center und Intune Admin Center.
Seit Oktober 2025: MFA auch für Azure CLI, PowerShell, REST-APIs und Infrastructure-as-Code.
Seit 9. Februar 2026: Ohne erfolgreiche MFA kommst du gar nicht mehr ins Microsoft 365 Admin Center.

Wer jetzt noch Dienstkonten oder Automatisierungen mit reinem Benutzername-Passwort betreibt, hat ein akutes Problem – solche Skripte laufen ohne Umbau auf Managed Identity oder App-Registrierung nicht weiter.

Welche fünf Einstellungen bringen am meisten?

MFA für alle Benutzer erzwingen, nicht nur für Admins. Am besten über eine Conditional-Access-Richtlinie statt über Security Defaults – die lassen sich nicht fein steuern.
Legacy-Authentifizierung blockieren. Alte Protokolle wie POP3, IMAP oder SMTP-Basic können kein MFA und sind das häufigste Einfallstor bei Kontoübernahmen.
Zwei Break-Glass-Konten anlegen – Notfallzugänge mit sehr langem Passwort, von allen Richtlinien ausgenommen und im Safe verwahrt. Ohne sie sperrst du dich mit der ersten strengen Richtlinie selbst aus.
Self-Service-Passwort-Reset aktivieren. Spart im Alltag mehr Supportzeit als fast jede andere Einstellung.
Anmeldungen aus Ländern sperren, in denen ihr keine Mitarbeitenden habt. Zwei Klicks, große Wirkung.

Diese fünf Punkte kosten pro Tenant etwa einen halben Tag – und sind exakt die Maßnahmen, nach denen auch NIS2-Prüfer und Cyberversicherer fragen. Wie ein solcher Tenant im laufenden Betrieb aussieht, beschreiben wir in Microsoft 365 verwalten lassen.

Häufige Fragen zu Microsoft Entra ID

Ist Microsoft Entra ID dasselbe wie Azure AD?

Ja. Microsoft hat Azure Active Directory 2023 in Microsoft Entra ID umbenannt und die Umstellung 2024 abgeschlossen. Funktionen, Objekte und Schnittstellen sind identisch geblieben – in PowerShell und älteren Fehlermeldungen tauchen die alten Bezeichnungen weiterhin auf.

Brauche ich Entra ID P1 oder reicht die kostenlose Version?

Free reicht nur für Anmeldung, Gruppen und pauschale Security Defaults. Sobald du Anmeldungen nach Standort, Gerät oder Risiko steuern (Conditional Access) oder Passwort-Resets selbst freigeben willst, brauchst du P1. In Microsoft 365 Business Premium ist P1 bereits enthalten.

Was ist ein Break-Glass-Konto und warum brauche ich zwei?

Ein Break-Glass-Konto ist ein Notfall-Administratorzugang, der von allen Conditional-Access-Richtlinien ausgenommen ist. Zwei Stück sind Standard, damit ein defektes oder kompromittiertes Konto nicht zum Totalausfall führt. Die Zugangsdaten gehören ausgedruckt in den Safe, nicht in den Passwortmanager des Tagesgeschäfts.

Was passiert mit Dienstkonten, die kein MFA können?

Sie fallen unter die seit Oktober 2025 geltende Pflicht und müssen auf App-Registrierungen mit Zertifikat oder auf Managed Identities umgestellt werden. Ein pauschaler Ausschluss per Conditional Access ist technisch möglich, aber ein dauerhaftes Sicherheitsrisiko und sollte nur als Übergangslösung dienen.

Du willst wissen, wie sicher dein Tenant heute wirklich steht? Wir prüfen Entra ID, MFA-Abdeckung und Conditional Access im Rahmen unserer Microsoft-365-Betreuung und IT-Sicherheit – und sagen dir konkret, was fehlt.

Entra-ID-Check anfragen