{"id":2703,"date":"2026-11-03T09:37:07","date_gmt":"2026-11-03T08:37:07","guid":{"rendered":"https:\/\/au2mator.com\/?p=2703"},"modified":"2026-11-03T09:37:07","modified_gmt":"2026-11-03T08:37:07","slug":"mfa-reset-entra-id-helpdesk","status":"publish","type":"post","link":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/","title":{"rendered":"MFA Reset in Microsoft Entra ID sicher an den Helpdesk delegieren"},"content":{"rendered":"\n\n<style>\n@import url('https:\/\/fonts.googleapis.com\/css2?family=Montserrat:wght@400;500;600;700;800&display=swap');\n.au2-article{--green:#8bc34a;--dark:#29292a;--grey:#54595f;max-width:800px;margin:0 auto;padding:0 24px 40px;font-family:Montserrat,Arial,sans-serif;color:var(--dark);line-height:1.7}\n.au2-article h2{font-weight:700;font-size:24px;line-height:1.2;margin:10px 0 18px;color:var(--dark)}\n.au2-article h3{font-weight:600;font-size:18px;margin:28px 0 10px;color:var(--dark)}\n.au2-article p{font-size:16px;margin:0 0 18px}\n.au2-article ul{margin:0 0 18px;padding-left:24px}\n.au2-article li{font-size:16px;margin-bottom:8px}\n.au2-article hr.wp-block-separator{border:0;height:2px;background:var(--green);margin:40px 0}\n.au2-article figure{margin:24px 0 34px;text-align:center}\n.au2-article figure svg{display:block;max-width:100%;height:auto;margin:0 auto}\n.au2-article figcaption{font-size:13px;color:var(--grey);margin-top:8px}\n.au2-article .wp-block-table{overflow-x:auto}\n.au2-article .wp-block-table table{border-collapse:collapse;width:100%;font-size:14.5px}\n.au2-article .wp-block-table th{background:var(--dark);color:#fff;text-align:left;padding:10px 12px;font-weight:600}\n.au2-article .wp-block-table td{padding:10px 12px;border-bottom:1px solid #e8e8e8;vertical-align:top}\n.au2-article .wp-block-table tr:nth-child(even) td{background:#f7f8f6}\n.au2-article .wp-block-table tr.au2-row td,.au2-article .wp-block-table tr.au2-row:nth-child(even) td{background:#f2f7ea;border-bottom:2px solid var(--green)}\n.au2-article .wp-block-table tr.au2-row td:first-child{border-left:4px solid var(--green);color:#5c8f1f}\n.au2-article code{font-family:Consolas,Menlo,monospace}\n.au2-article pre{background:#29292a;color:#f2f7ea;padding:16px 18px;border-radius:8px;overflow-x:auto;font-size:13.5px;line-height:1.55;margin:0 0 18px;white-space:pre}\n.au2-article pre code{font-family:Consolas,Menlo,monospace;background:none;padding:0;color:inherit;font-size:inherit}\n.au2-article p,.au2-article li,.au2-article figcaption{overflow-wrap:break-word}\n.au2-article p code,.au2-article li code{overflow-wrap:anywhere}\n.au2-article p code,.au2-article li code{background:#f2f7ea;color:var(--dark);padding:2px 6px;border-radius:4px;font-size:.9em}\n.au2-article .schema-faq-section{padding:16px 0;border-bottom:1px solid #eee}\n.au2-article .schema-faq-question{display:block;font-size:17px;margin-bottom:6px;font-weight:600}\n.au2-article .schema-faq-answer{margin:0}\n.au2-article a{color:var(--dark);text-decoration:underline;text-decoration-color:var(--green);text-underline-offset:3px}\n<\/style>\n\n\n<div class=\"au2-article\">\n<h2 class=\"wp-block-heading\">Was ein MFA Reset in Microsoft Entra ID tats\u00e4chlich bewirkt<\/h2>\n\n<p class=\"wp-block-paragraph\">Ein <strong>MFA Reset<\/strong> ist der Moment, in dem ein Administrator die Methoden der Multifaktor-Authentifizierung (MFA) eines Benutzerkontos l\u00f6scht, damit die Person eine neue registrieren kann. In Microsoft Entra ID, fr\u00fcher Azure Active Directory, hei\u00dft die Schaltfl\u00e4che <strong>Erneute MFA-Registrierung anfordern<\/strong> (Require re-register MFA), und der <a href=\"https:\/\/learn.microsoft.com\/de-de\/entra\/identity\/authentication\/howto-mfa-userdevicesettings\">Leitfaden zu Authentifizierungsmethoden auf Microsoft Learn<\/a> beschreibt, was sie anfasst. Sie deaktiviert Hardware-OATH-Token (OATH steht f\u00fcr Initiative for Open Authentication) und l\u00f6scht Telefonnummern, Microsoft-Authenticator-Apps und Software-OATH-Token. Bei der n\u00e4chsten Anmeldung richtet der User eine neue Methode ein. Eine zweite Schaltfl\u00e4che, <strong>Sitzungen widerrufen<\/strong>, macht die Refresh-Token ung\u00fcltig, sodass sich jede offene Sitzung neu anmelden muss.<\/p>\n\n<p class=\"wp-block-paragraph\">Die Anfrage hinter dieser Schaltfl\u00e4che ist eines der h\u00e4ufigsten Helpdesk-Tickets, ausgel\u00f6st durch ein neues, verlorenes oder zur\u00fcckgesetztes Handy. Jede ist eine Zwei-Minuten-Aufgabe, die auf jemanden mit der richtigen Rolle wartet, es sei denn, eine Self-Service-Schicht wie das au2mator Self-Service Portal l\u00e4sst den Helpdesk sie selbst starten. Dieselben zwei Minuten sind der liebste Einstiegspunkt von Angreifern, die anrufen und sich als der User ausgeben. Deshalb pr\u00fcft ein guter MFA-Reset-Prozess zuerst die Identit\u00e4t und setzt erst danach zur\u00fcck.<\/p>\n\n<figure class=\"wp-block-image size-large\">\n<svg xmlns='http:\/\/www.w3.org\/2000\/svg' viewBox='0 0 1000 490' role='img' aria-labelledby='au2f1-t'><title id='au2f1-t'>Was ein MFA Reset in Microsoft Entra ID entfernt, was bleibt und was bei der n\u00e4chsten Anmeldung passiert<\/title><rect width='1000' height='490' fill='#FFFFFF'\/><defs><marker id='au2f1-ar' markerWidth='10' markerHeight='10' refX='9' refY='5' orient='auto'><path d='M0,0 L10,5 L0,10 z' fill='#29292A'\/><\/marker><marker id='au2f1-arg' markerWidth='10' markerHeight='10' refX='9' refY='5' orient='auto'><path d='M0,0 L10,5 L0,10 z' fill='#8BC34A'\/><\/marker><\/defs><text x='500.0' y='40' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='22' fill='#29292A' text-anchor='middle' font-weight='bold'>Was ein MFA Reset in Microsoft Entra ID bewirkt<\/text><rect x='40' y='80' width='440' height='150' rx='14' fill='#FFFFFF' stroke='#29292A' stroke-width='2'\/><rect x='40' y='80' width='440' height='48' rx='14' fill='#F2F7EA'\/><rect x='40' y='110' width='440' height='18' fill='#F2F7EA'\/><text x='260.0' y='111' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#29292A' text-anchor='middle' font-weight='bold'>Was der Reset entfernt<\/text><text x='260.0' y='158' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Telefonnummern, Microsoft Authenticator<\/text><text x='260.0' y='182' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>und Software-OATH-Token werden gel\u00f6scht,<\/text><text x='260.0' y='206' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Hardware-OATH-Token deaktiviert<\/text><rect x='520' y='80' width='440' height='150' rx='14' fill='#FFFFFF' stroke='#29292A' stroke-width='2'\/><rect x='520' y='80' width='440' height='48' rx='14' fill='#F2F7EA'\/><rect x='520' y='110' width='440' height='18' fill='#F2F7EA'\/><text x='740.0' y='111' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#29292A' text-anchor='middle' font-weight='bold'>Was bleibt<\/text><text x='740.0' y='158' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Passwort, FIDO2-Sicherheitsschl\u00fcssel,<\/text><text x='740.0' y='182' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Windows Hello for Business<\/text><text x='740.0' y='206' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>und jede offene Sitzung und jedes Token<\/text><path d='M260,230 L260,262 L500,262 L500,288' fill='none' stroke='#29292A' stroke-width='3' marker-end='url(#au2f1-ar)'\/><path d='M740,230 L740,262 L500,262' fill='none' stroke='#29292A' stroke-width='3'\/><rect x='280' y='292' width='440' height='170' rx='14' fill='#FFFFFF' stroke='#8BC34A' stroke-width='3'\/><rect x='280' y='292' width='440' height='48' rx='14' fill='#8BC34A'\/><rect x='280' y='322' width='440' height='18' fill='#8BC34A'\/><text x='500.0' y='323' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#FFFFFF' text-anchor='middle' font-weight='bold'>Was danach passiert<\/text><text x='500.0' y='370' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Die n\u00e4chste Anmeldung verlangt eine neue<\/text><text x='500.0' y='394' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Methode. Wer sich zuerst anmeldet, besitzt<\/text><text x='500.0' y='418' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>den zweiten Faktor, deshalb geh\u00f6ren<\/text><text x='500.0' y='442' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Identit\u00e4tspr\u00fcfung und Sitzungs-Revoke zum Reset<\/text><\/svg>\n<figcaption>Der Reset l\u00f6scht die Methoden, die ein Handy halten kann, und l\u00e4sst Schl\u00fcssel, Passwort und Sitzungen unber\u00fchrt. Das Registrierungsfenster danach ist das Risiko.<\/figcaption>\n<\/figure>\n\n<p class=\"wp-block-paragraph\">Zwei Details z\u00e4hlen, bevor du automatisierst. Eine Telefonnummer, die die <strong>Standard-MFA-Methode<\/strong> des Users ist, l\u00e4sst sich nicht l\u00f6schen, solange sie Standard ist, wie die <a href=\"https:\/\/learn.microsoft.com\/de-de\/graph\/api\/phoneauthenticationmethod-delete?view=graph-rest-1.0\">Graph-Referenz f\u00fcr Telefonmethoden<\/a> anmerkt. Und ein Reset meldet niemanden ab, ein bereits eingeloggter Angreifer beh\u00e4lt seine Sitzung also, bis du sie widerrufst. In au2mator stecken beide Schritte in einem Request.<\/p>\n\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\">\n\n<h2 class=\"wp-block-heading\">Warum MFA Resets immer noch bei einem Administrator landen<\/h2>\n\n<p class=\"wp-block-paragraph\">Der erste Grund ist das Berechtigungsmodell. Die Methoden eines anderen Users zur\u00fcckzusetzen erfordert die Rolle <strong>Authentication Administrator<\/strong>, bei Administratoren den Privileged Authentication Administrator, so die <a href=\"https:\/\/learn.microsoft.com\/de-de\/entra\/identity\/role-based-access-control\/permissions-reference\">Referenz der integrierten Microsoft-Entra-Rollen<\/a>. Beide sind privilegierte Rollen, und die erste bringt weit mehr mit als MFA. Ein Authentication Administrator kann jede Authentifizierungsmethode inklusive Passwort f\u00fcr Nicht-Administratoren setzen oder zur\u00fccksetzen, eine Neuregistrierung erzwingen, Benutzer l\u00f6schen und deaktivieren, einen User Principal Name \u00e4ndern und alle Refresh-Token ung\u00fcltig machen. Helpdesk Administrator, die Rolle, die die meisten First-Level-Teams haben, setzt Passw\u00f6rter zur\u00fcck, darf MFA-Methoden aber nicht anfassen.<\/p>\n\n<p class=\"wp-block-paragraph\">Entweder bekommt der ganze Helpdesk eine privilegierte Rolle f\u00fcr eine Routineaufgabe, oder jeder MFA Reset wird zum Ticket f\u00fcr die wenigen Leute, die sie haben. <strong>Verwaltungseinheiten<\/strong> (Administrative Units) schr\u00e4nken die User ein, auf die ein Authentication Administrator wirken darf, aber nicht die Aktionen, ein eingeschr\u00e4nkter Agent kann also weiterhin jedes Konto in dieser Einheit l\u00f6schen oder deaktivieren.<\/p>\n\n<p class=\"wp-block-paragraph\">Der zweite Grund ist das Risiko. Das <a href=\"https:\/\/www.cisa.gov\/news-events\/cybersecurity-advisories\/aa23-320a\">Advisory AA23-320A zu Scattered Spider<\/a> der US-Beh\u00f6rde Cybersecurity and Infrastructure Security Agency (CISA) beschreibt, wie die Gruppe IT-Helpdesk-Mitarbeiter per Anruf dazu brachte, Passw\u00f6rter und MFA-Token zur\u00fcckzusetzen. Deshalb geh\u00f6rt der Reset in einen Prozess mit verpflichtender Identit\u00e4tspr\u00fcfung, Freigabe-Nachweis und Ausf\u00fchrungsprotokoll, nicht in eine Konsole, in der ein einziger Klick alles erledigt.<\/p>\n\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\">\n\n<h2 class=\"wp-block-heading\">Vier Wege, MFA Resets f\u00fcr den Helpdesk zu l\u00f6sen<\/h2>\n\n<figure class=\"wp-block-table\">\n<table>\n<thead>\n<tr><th>Ansatz<\/th><th>Wer h\u00e4lt die Entra-Rolle<\/th><th>Identit\u00e4tspr\u00fcfung und Freigabe<\/th><th>Worauf du achten musst<\/th><\/tr>\n<\/thead>\n<tbody>\n<tr><td><strong>Admin Center, Reset durch einen Administrator<\/strong><\/td><td>Zwei oder drei Administratoren mit Authentication Administrator<\/td><td>Was der Admin gerade zu fragen vergisst oder nicht<\/td><td>Jeder Reset ist ein wartendes Ticket, kein Pr\u00fcfnachweis<\/td><\/tr>\n<tr><td><strong>Authentication Administrator f\u00fcr den Helpdesk<\/strong>, optional auf eine Verwaltungseinheit eingeschr\u00e4nkt<\/td><td>Jeder Helpdesk-Agent<\/td><td>Checkliste im Ticket, wenn sie befolgt wird<\/td><td>Privilegierte Rolle f\u00fcr eine Routineaufgabe, Agents k\u00f6nnen Konten im Scope auch l\u00f6schen und deaktivieren<\/td><\/tr>\n<tr class=\"au2-row\"><td><strong>Dein Graph-Script plus das <a href=\"https:\/\/au2mator.com\/de\/helpdesk\/\">au2mator Self-Service Portal<\/a><\/strong><\/td><td>Niemand. Ein Service Account h\u00e4lt die Graph-Berechtigungen, auf den drei Engines, die au2mator anbindet<\/td><td>Pr\u00fcfung ist ein Pflichtfeld im Formular, Freigabe pro Service, ein Audit-Eintrag pro Reset<\/td><td>Script und Pr\u00fcfregel schreibst du weiterhin selbst<\/td><\/tr>\n<tr><td><strong>Temporary Access Pass und Self-Recovery<\/strong> \u00fcber die Sicherheitsinfo<\/td><td>Weiterhin ein Authentication Administrator, der den Pass erstellt<\/td><td>H\u00e4ngt davon ab, wie der Pass \u00fcbergeben wird<\/td><td>Verk\u00fcrzt das Fenster nach dem Reset, beseitigt das Ticket nicht<\/td><\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n\n<p class=\"wp-block-paragraph\">Die dritte Zeile ist die einzige, in der der Helpdesk keine Entra-Rolle h\u00e4lt, die Identit\u00e4tspr\u00fcfung erzwungen wird und Request, Freigabe und Ausf\u00fchrung ein einziger Datensatz sind. Das Script, das die Arbeit auf <a href=\"https:\/\/au2mator.com\/de\/powershell-automation\/\">PowerShell<\/a>, <a href=\"https:\/\/au2mator.com\/de\/azure-automation\/\">Azure Automation<\/a> oder <a href=\"https:\/\/au2mator.com\/de\/orchestrator-automatisierung\/\">System Center Orchestrator<\/a> erledigt, ist dasselbe, das ein Administrator heute von Hand ausf\u00fchrt. Die vierte Zeile ist eine Erg\u00e4nzung, wie der letzte Abschnitt zeigt.<\/p>\n\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\">\n\n<h2 class=\"wp-block-heading\">Die PowerShell hinter einem MFA Reset<\/h2>\n\n<p class=\"wp-block-paragraph\">Jeder MFA Reset ist eine Folge von Microsoft-Graph-Aufrufen, und das Microsoft Graph PowerShell Software Development Kit (SDK) verpackt sie in Cmdlets. <code>Get-MgUserAuthenticationMethod<\/code> listet, was ein User registriert hat, und jeder Methodentyp hat sein eigenes Remove-Cmdlet. Die <a href=\"https:\/\/learn.microsoft.com\/de-de\/graph\/api\/microsoftauthenticatorauthenticationmethod-delete?view=graph-rest-1.0\">Graph-Referenz zum L\u00f6schen einer Authenticator-Methode<\/a> nennt <strong>UserAuthenticationMethod.ReadWrite.All<\/strong> als Application Permission mit den geringsten Rechten f\u00fcr ein unbeaufsichtigtes Script. Der Service Account braucht zus\u00e4tzlich User.Read.All f\u00fcr den User-Lookup und User.RevokeSessions.All f\u00fcr <code>Revoke-MgUserSignInSession<\/code>.<\/p>\n\n<pre><code>param([string]$UserPrincipalName, [string]$TicketId, [string]$IdentityVerified)\n$ErrorActionPreference = 'Stop'\n\n# Unbeaufsichtigt auf deiner Engine. Managed Identity auf Azure Automation, oder ein Zertifikat\n# fuer einen Service Account auf PowerShell oder Orchestrator (-ClientId -TenantId -CertificateThumbprint)\nConnect-MgGraph -Identity -NoWelcome\n\n$user = Get-MgUser -UserId $UserPrincipalName -Property Id, AccountEnabled\nif (-not $user.AccountEnabled) { throw \"Konto ist deaktiviert, kein Reset durchgefuehrt\" }\nif ($IdentityVerified -ne 'True') { throw \"Identitaetspruefung vom Requester nicht bestaetigt\" }\n\n$removed = 0; $skipped = @()\nforeach ($m in Get-MgUserAuthenticationMethod -UserId $user.Id) {\n    try {\n        switch ($m.AdditionalProperties['@odata.type']) {\n            '#microsoft.graph.microsoftAuthenticatorAuthenticationMethod' {\n                Remove-MgUserAuthenticationMicrosoftAuthenticatorMethod -UserId $user.Id -MicrosoftAuthenticatorAuthenticationMethodId $m.Id; $removed++ }\n            '#microsoft.graph.phoneAuthenticationMethod' {\n                Remove-MgUserAuthenticationPhoneMethod -UserId $user.Id -PhoneAuthenticationMethodId $m.Id; $removed++ }\n            '#microsoft.graph.softwareOathAuthenticationMethod' {\n                Remove-MgUserAuthenticationSoftwareOathMethod -UserId $user.Id -SoftwareOathAuthenticationMethodId $m.Id; $removed++ }\n        }\n    } catch { $skipped += \"$($m.Id) ($($_.Exception.Message))\" }   # z. B. die Standard-Telefonmethode\n}\nRevoke-MgUserSignInSession -UserId $user.Id | Out-Null\ntry {\n    $tap = (New-MgUserAuthenticationTemporaryAccessPassMethod -UserId $user.Id -BodyParameter @{ lifetimeInMinutes = 60; isUsableOnce = $true }).TemporaryAccessPass\n} catch { $tap = \"nicht erstellt ($($_.Exception.Message))\" }\n$flag = if ($skipped.Count -gt 0) { \"ACHTUNG, $($skipped.Count) Methode(n) noch aktiv. \" } else { \"\" }\n\"$($flag)Ticket $TicketId, $UserPrincipalName, $removed Methoden entfernt, Sitzungen beendet, TAP $tap\"<\/code><\/pre>\n\n<p class=\"wp-block-paragraph\">Das Script ist bewusst eng gefasst. Es entfernt die Methoden, die ein Handy halten kann, und spiegelt damit die L\u00f6schungen der Admin-Center-Schaltfl\u00e4che (die zus\u00e4tzlich Hardware-OATH-Token deaktiviert), l\u00e4sst aber FIDO2-Sicherheitsschl\u00fcssel (Fast Identity Online) und Windows Hello for Business unber\u00fchrt, weil ein verlorenes Handy kein Grund ist, einen Sicherheitsschl\u00fcssel zu zerst\u00f6ren. Es l\u00e4uft nicht ohne best\u00e4tigte Identit\u00e4tspr\u00fcfung, widerruft die Sitzungen auch dann, wenn eine L\u00f6schung fehlschl\u00e4gt, erstellt den Einmal-Temporary-Access-Pass, den der n\u00e4chste Abschnitt erkl\u00e4rt, und liefert eine Zeile, die ein Request-Protokoll speichern kann. Der Fall der <strong>Standardmethode<\/strong> aus dem ersten Abschnitt landet in der Liste der \u00fcbersprungenen Methoden, statt den Lauf abzubrechen, und die Ergebniszeile beginnt dann mit ACHTUNG, weil eine Telefonmethode, die noch Standard ist, einen Fehler liefert und ein Reset, der die alte Nummer aktiv l\u00e4sst, zur\u00fcck zum Agent muss.<\/p>\n\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\">\n\n<h2 class=\"wp-block-heading\">Wie au2mator den Helpdesk MFA zur\u00fccksetzen l\u00e4sst, ohne die Rolle Authentication Administrator<\/h2>\n\n<p class=\"wp-block-paragraph\">au2mator ist ein Self-Service-Portal vor den Scripts auf deiner Engine. Der Agent w\u00e4hlt einen Service und f\u00fcllt ein Formular aus, ein Approver best\u00e4tigt, wenn deine Richtlinie das vorsieht, und ein Service Account f\u00fchrt das Script aus. Der Agent h\u00e4lt nie eine Entra-Rolle, das Script bleibt unver\u00e4ndert.<\/p>\n\n<figure class=\"wp-block-image size-large\">\n<svg xmlns='http:\/\/www.w3.org\/2000\/svg' viewBox='0 0 1000 540' role='img' aria-labelledby='au2f2-t'><title id='au2f2-t'>Wie ein MFA-Reset-Request vom Helpdesk-Agent zu Microsoft Entra ID gelangt, ohne die Rolle Authentication Administrator<\/title><rect width='1000' height='540' fill='#FFFFFF'\/><defs><marker id='au2f2-ar' markerWidth='10' markerHeight='10' refX='9' refY='5' orient='auto'><path d='M0,0 L10,5 L0,10 z' fill='#29292A'\/><\/marker><marker id='au2f2-arg' markerWidth='10' markerHeight='10' refX='9' refY='5' orient='auto'><path d='M0,0 L10,5 L0,10 z' fill='#8BC34A'\/><\/marker><\/defs><text x='500.0' y='40' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='22' fill='#29292A' text-anchor='middle' font-weight='bold'>So kommt au2mator vom Request zum MFA Reset ohne Admin-Rolle<\/text><rect x='40' y='80' width='280' height='150' rx='14' fill='#FFFFFF' stroke='#29292A' stroke-width='2'\/><rect x='40' y='80' width='280' height='48' rx='14' fill='#F2F7EA'\/><rect x='40' y='110' width='280' height='18' fill='#F2F7EA'\/><text x='180.0' y='111' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#29292A' text-anchor='middle' font-weight='bold'>1. Helpdesk-Agent<\/text><text x='180.0' y='158' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>\u00d6ffnet das Portal, w\u00e4hlt<\/text><text x='180.0' y='182' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>MFA zur\u00fccksetzen, w\u00e4hlt den User,<\/text><text x='180.0' y='206' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>best\u00e4tigt die Identit\u00e4tspr\u00fcfung<\/text><line x1='322' y1='155' x2='338' y2='155' stroke='#29292A' stroke-width='3' marker-end='url(#au2f2-ar)'\/><rect x='360' y='80' width='280' height='150' rx='14' fill='#FFFFFF' stroke='#29292A' stroke-width='2'\/><rect x='360' y='80' width='280' height='48' rx='14' fill='#F2F7EA'\/><rect x='360' y='110' width='280' height='18' fill='#F2F7EA'\/><text x='500.0' y='111' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#29292A' text-anchor='middle' font-weight='bold'>2. au2mator-Formular<\/text><text x='500.0' y='158' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Felder sind die Script-Parameter,<\/text><text x='500.0' y='182' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>User-Lookup aus dem Verzeichnis,<\/text><text x='500.0' y='206' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Ticketnummer, Pr\u00fcfmethode<\/text><line x1='642' y1='155' x2='658' y2='155' stroke='#29292A' stroke-width='3' marker-end='url(#au2f2-ar)'\/><rect x='680' y='80' width='280' height='150' rx='14' fill='#FFFFFF' stroke='#29292A' stroke-width='2'\/><rect x='680' y='80' width='280' height='48' rx='14' fill='#F2F7EA'\/><rect x='680' y='110' width='280' height='18' fill='#F2F7EA'\/><text x='820.0' y='111' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#29292A' text-anchor='middle' font-weight='bold'>3. Freigabe<\/text><text x='820.0' y='158' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Pro Service, keine f\u00fcr Standard-<\/text><text x='820.0' y='182' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>User, die F\u00fchrungskraft bei VIPs,<\/text><text x='820.0' y='206' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>eine Security-Gruppe bei Admins<\/text><path d='M820,230 L820,262 L260,262 L260,288' fill='none' stroke='#8BC34A' stroke-width='3' marker-end='url(#au2f2-arg)'\/><rect x='40' y='292' width='440' height='200' rx='14' fill='#FFFFFF' stroke='#8BC34A' stroke-width='3'\/><rect x='40' y='292' width='440' height='48' rx='14' fill='#8BC34A'\/><rect x='40' y='322' width='440' height='18' fill='#8BC34A'\/><text x='260.0' y='323' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#FFFFFF' text-anchor='middle' font-weight='bold'>4. au2mator startet es auf deiner Engine<\/text><text x='260.0' y='370' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Service Account mit drei Graph Application<\/text><text x='260.0' y='394' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Permissions f\u00fchrt dein unver\u00e4ndertes Script<\/text><text x='260.0' y='418' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>auf PowerShell, Azure Automation oder<\/text><text x='260.0' y='442' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>System Center Orchestrator aus.<\/text><text x='260.0' y='466' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Methoden entfernt, Sitzungen beendet, TAP erstellt<\/text><line x1='482' y1='392' x2='498' y2='392' stroke='#8BC34A' stroke-width='3' marker-end='url(#au2f2-arg)'\/><rect x='520' y='292' width='440' height='200' rx='14' fill='#FFFFFF' stroke='#29292A' stroke-width='2'\/><rect x='520' y='292' width='440' height='48' rx='14' fill='#F2F7EA'\/><rect x='520' y='322' width='440' height='18' fill='#F2F7EA'\/><text x='740.0' y='323' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#29292A' text-anchor='middle' font-weight='bold'>5. Audit-Eintrag<\/text><text x='740.0' y='370' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Wer den Reset f\u00fcr wen angefragt hat,<\/text><text x='740.0' y='394' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>wie die Identit\u00e4t gepr\u00fcft wurde,<\/text><text x='740.0' y='418' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>wer freigegeben hat, was das Script zur\u00fcckgab.<\/text><text x='740.0' y='442' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Der Agent hatte nie eine Entra-Rolle.<\/text><text x='740.0' y='466' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Ergebnis kann ins Ticketsystem zur\u00fcck<\/text><\/svg>\n<figcaption>Der Helpdesk-Agent startet den Request, der Service Account f\u00fchrt das Script aus, au2mator f\u00fchrt das Protokoll.<\/figcaption>\n<\/figure>\n\n<p class=\"wp-block-paragraph\">au2mator bringt keinen eigenen Entra-Connector mit. Es liefert fertige PowerShell-Scripts, mit denen du starten kannst, oder du bindest das Script an, das du schon hast. Deine Automatisierung bekommt eine Eingangst\u00fcr mit verpflichtender Identit\u00e4tspr\u00fcfung, einer Freigabe und einem Protokoll.<\/p>\n\n<h3 class=\"wp-block-heading\">So sieht ein MFA-Reset-Service in au2mator aus<\/h3>\n\n<p class=\"wp-block-paragraph\">Der <strong>Service<\/strong> ist das Reset-Script aus dem vorherigen Abschnitt, registriert auf der Engine, auf der es bereits l\u00e4uft. Das <strong>Formular<\/strong> zeigt nur, was der Agent entscheiden soll, typischerweise einen User-Lookup aus dem Verzeichnis, die Ticketnummer und ein Pflichtfeld f\u00fcr die Pr\u00fcfmethode, etwa einen R\u00fcckruf bei der F\u00fchrungskraft oder einen Videocall. <strong>Berechtigungen<\/strong> entscheiden, wer den Service sieht, das First-Level-Team sieht also MFA zur\u00fccksetzen f\u00fcr Standard-User, und nur das Security-Team sieht einen zweiten Service f\u00fcr F\u00fchrungskr\u00e4fte. Die <strong>Freigabe<\/strong> wird pro Service festgelegt, keine f\u00fcr einen Standard-User, die F\u00fchrungskraft f\u00fcr ein VIP-Konto, die Security-Gruppe f\u00fcr ein privilegiertes Konto, wobei ein Mitglied oder ein definierter Anteil der Gruppe zustimmen muss. F\u00fcr die <strong>Ausf\u00fchrung<\/strong> startet au2mator das Script \u00fcber die API deiner Engine, und das Script meldet sich mit dem Service Account oder der Managed Identity an, die die Graph-Berechtigungen h\u00e4lt. Der <strong>Audit-Eintrag<\/strong> h\u00e4lt die ganze Kette vom Request bis zum Script-Ergebnis fest, und dieses Ergebnis kann an dein Ticketsystem zur\u00fcckgemeldet werden. Wenn dein Helpdesk Passwort-Resets schon als Services betreibt, wie in unserem Artikel zur <a href=\"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/\">Active Directory Delegation<\/a>, ist der MFA Reset der n\u00e4chste.<\/p>\n\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\">\n\n<h2 class=\"wp-block-heading\">Identit\u00e4tspr\u00fcfung, Temporary Access Pass und der Recovery-Pfad nach dem Reset<\/h2>\n\n<p class=\"wp-block-paragraph\">Das fehlende St\u00fcck nach dem Reset ist der <strong>Temporary Access Pass<\/strong> (TAP), ein zeitlich begrenzter Code, den Microsoft im <a href=\"https:\/\/learn.microsoft.com\/de-de\/entra\/identity\/authentication\/howto-authentication-temporary-access-pass\">Leitfaden zum Temporary Access Pass<\/a> als Weg beschreibt, passwortlose Methoden einzurichten und die Wiederherstellung nach einem verlorenen Ger\u00e4t zu erleichtern. Die Standardlaufzeit ist eine Stunde, der Pass kann auf eine einmalige Nutzung begrenzt werden, ein User h\u00e4lt immer nur einen, und die TAP-Richtlinie muss den User vorher einschlie\u00dfen. Damit meldet sich der User in der Sicherheitsinfo an und registriert den neuen Authenticator oder Sicherheitsschl\u00fcssel.<\/p>\n\n<figure class=\"wp-block-image size-large\">\n<svg xmlns='http:\/\/www.w3.org\/2000\/svg' viewBox='0 0 1000 500' role='img' aria-labelledby='au2f3-t'><title id='au2f3-t'>Der Recovery-Pfad nach einem MFA Reset von der Identit\u00e4tspr\u00fcfung bis zur Registrierung der neuen Methode<\/title><rect width='1000' height='500' fill='#FFFFFF'\/><defs><marker id='au2f3-ar' markerWidth='10' markerHeight='10' refX='9' refY='5' orient='auto'><path d='M0,0 L10,5 L0,10 z' fill='#29292A'\/><\/marker><marker id='au2f3-arg' markerWidth='10' markerHeight='10' refX='9' refY='5' orient='auto'><path d='M0,0 L10,5 L0,10 z' fill='#8BC34A'\/><\/marker><\/defs><text x='500.0' y='40' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='22' fill='#29292A' text-anchor='middle' font-weight='bold'>Der Recovery-Pfad von der Pr\u00fcfung bis zur neuen Methode<\/text><rect x='40' y='80' width='280' height='150' rx='14' fill='#FFFFFF' stroke='#29292A' stroke-width='2'\/><rect x='40' y='80' width='280' height='48' rx='14' fill='#F2F7EA'\/><rect x='40' y='110' width='280' height='18' fill='#F2F7EA'\/><text x='180.0' y='111' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#29292A' text-anchor='middle' font-weight='bold'>1. Identit\u00e4t pr\u00fcfen<\/text><text x='180.0' y='158' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>R\u00fcckruf bei der F\u00fchrungskraft,<\/text><text x='180.0' y='182' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Videocall oder Ausweis. Nicht das<\/text><text x='180.0' y='206' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Telefon oder Wissen des Anrufers<\/text><line x1='322' y1='155' x2='338' y2='155' stroke='#29292A' stroke-width='3' marker-end='url(#au2f3-ar)'\/><rect x='360' y='80' width='280' height='150' rx='14' fill='#FFFFFF' stroke='#29292A' stroke-width='2'\/><rect x='360' y='80' width='280' height='48' rx='14' fill='#F2F7EA'\/><rect x='360' y='110' width='280' height='18' fill='#F2F7EA'\/><text x='500.0' y='111' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#29292A' text-anchor='middle' font-weight='bold'>2. Methoden zur\u00fccksetzen<\/text><text x='500.0' y='158' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Authenticator, Telefon und OATH<\/text><text x='500.0' y='182' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>l\u00f6schen, FIDO2-Schl\u00fcssel behalten,<\/text><text x='500.0' y='206' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>au\u00dfer das Ger\u00e4t ist auch weg<\/text><line x1='642' y1='155' x2='658' y2='155' stroke='#29292A' stroke-width='3' marker-end='url(#au2f3-ar)'\/><rect x='680' y='80' width='280' height='150' rx='14' fill='#FFFFFF' stroke='#29292A' stroke-width='2'\/><rect x='680' y='80' width='280' height='48' rx='14' fill='#F2F7EA'\/><rect x='680' y='110' width='280' height='18' fill='#F2F7EA'\/><text x='820.0' y='111' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#29292A' text-anchor='middle' font-weight='bold'>3. Sitzungen beenden<\/text><text x='820.0' y='158' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Refresh-Token ung\u00fcltig machen,<\/text><text x='820.0' y='182' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>damit ein bereits angemeldeter<\/text><text x='820.0' y='206' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Angreifer das Konto nicht beh\u00e4lt<\/text><path d='M820,230 L820,262 L260,262 L260,288' fill='none' stroke='#29292A' stroke-width='3' marker-end='url(#au2f3-ar)'\/><rect x='40' y='292' width='440' height='170' rx='14' fill='#FFFFFF' stroke='#8BC34A' stroke-width='3'\/><rect x='40' y='292' width='440' height='48' rx='14' fill='#8BC34A'\/><rect x='40' y='322' width='440' height='18' fill='#8BC34A'\/><text x='260.0' y='323' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#FFFFFF' text-anchor='middle' font-weight='bold'>4. Temporary Access Pass<\/text><text x='260.0' y='370' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Einmalcode, standardm\u00e4\u00dfig eine Stunde,<\/text><text x='260.0' y='394' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>\u00fcbergeben auf einem gepr\u00fcften Kanal.<\/text><text x='260.0' y='418' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Der User meldet sich damit an statt<\/text><text x='260.0' y='442' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>\u00fcber ein Fenster nur mit Passwort<\/text><line x1='482' y1='377' x2='498' y2='377' stroke='#8BC34A' stroke-width='3' marker-end='url(#au2f3-arg)'\/><rect x='520' y='292' width='440' height='170' rx='14' fill='#FFFFFF' stroke='#29292A' stroke-width='2'\/><rect x='520' y='292' width='440' height='48' rx='14' fill='#F2F7EA'\/><rect x='520' y='322' width='440' height='18' fill='#F2F7EA'\/><text x='740.0' y='323' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='18' fill='#29292A' text-anchor='middle' font-weight='bold'>5. User registriert neu<\/text><text x='740.0' y='370' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Sicherheitsinfo, neuer Authenticator<\/text><text x='740.0' y='394' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>oder Schl\u00fcssel, altes Ger\u00e4t entfernt.<\/text><text x='740.0' y='418' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>Der Audit-Eintrag schlie\u00dft das Ticket<\/text><text x='740.0' y='442' font-family='Montserrat, Segoe UI, Arial, sans-serif' font-size='14.5' fill='#29292A' text-anchor='middle' font-weight='normal'>mit jedem Schritt im Protokoll<\/text><\/svg>\n<figcaption>F\u00fcnf Schritte, ein Request. Die Pr\u00fcfung kommt zuerst, der Pass wandert \u00fcber einen gepr\u00fcften Kanal, und der User registriert die neue Methode, bevor er abl\u00e4uft.<\/figcaption>\n<\/figure>\n\n<p class=\"wp-block-paragraph\">In au2mator ist der Pass die letzte Zeile desselben Scripts. <code>New-MgUserAuthenticationTemporaryAccessPassMethod<\/code> erstellt ihn als Einmal-Pass, der Wert kommt als Ergebnis des Requests zur\u00fcck, und der Agent liest ihn dem User auf dem Kanal vor, der f\u00fcr die Pr\u00fcfung genutzt wurde, nie an die Nummer, die gerade angerufen hat. Einmalige Nutzung ist hier entscheidend, weil der Wert im Request-Protokoll tot ist, sobald sich der User damit angemeldet hat, und das Protokoll der einzige Ort bleiben sollte, an dem er gespeichert ist.<\/p>\n\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\">\n\n<h2 class=\"wp-block-heading\">FAQ: MFA Reset in Microsoft Entra ID<\/h2>\n\n<div class=\"schema-faq wp-block-yoast-faq-block\">\n<div class=\"schema-faq-section\" id=\"faq-question-de-1\">\n<strong class=\"schema-faq-question\">Wie setze ich MFA f\u00fcr einen User in Microsoft Entra ID zur\u00fcck?<\/strong> <p class=\"schema-faq-answer\">\u00d6ffne den User im Microsoft Entra Admin Center, w\u00e4hle Authentifizierungsmethoden und dann Erneute MFA-Registrierung anfordern. Das deaktiviert Hardware-OATH-Token, l\u00f6scht Telefon-, Authenticator- und Software-OATH-Methoden, und der User registriert bei der n\u00e4chsten Anmeldung eine neue Methode. Du brauchst mindestens die Rolle Authentication Administrator.<\/p>\n<\/div>\n<div class=\"schema-faq-section\" id=\"faq-question-de-2\">\n<strong class=\"schema-faq-question\">Welche Rolle ist f\u00fcr einen MFA Reset erforderlich?<\/strong> <p class=\"schema-faq-answer\">Authentication Administrator f\u00fcr Nicht-Administratoren und Privileged Authentication Administrator f\u00fcr alle User inklusive Administratoren. Beide sind privilegierte Rollen, und die erste kann au\u00dferdem Passw\u00f6rter zur\u00fccksetzen, Benutzer l\u00f6schen und deaktivieren und einen User Principal Name \u00e4ndern, sie dem ganzen Helpdesk zu geben ist also eine gro\u00dfe Entscheidung. Helpdesk Administrator kann Passw\u00f6rter zur\u00fccksetzen, aber keine MFA-Methoden.<\/p>\n<\/div>\n<div class=\"schema-faq-section\" id=\"faq-question-de-3\">\n<strong class=\"schema-faq-question\">Kann der Helpdesk MFA ohne Admin-Rolle zur\u00fccksetzen?<\/strong> <p class=\"schema-faq-answer\">Nicht im Admin Center, weil die Reset-Aktionen an Authentication Administrator gebunden sind. Die Alternative ist eine Request-Schicht wie das au2mator Self-Service Portal. Der Agent f\u00fcllt ein Formular mit User, Ticket und Pr\u00fcfmethode aus, ein Approver best\u00e4tigt bei Bedarf, und ein Service Account f\u00fchrt dein unver\u00e4ndertes Script auf PowerShell, Azure Automation oder System Center Orchestrator aus.<\/p>\n<\/div>\n<div class=\"schema-faq-section\" id=\"faq-question-de-4\">\n<strong class=\"schema-faq-question\">Wie setze ich MFA mit PowerShell zur\u00fcck?<\/strong> <p class=\"schema-faq-answer\">Liste die Methoden des Users mit Get-MgUserAuthenticationMethod, rufe f\u00fcr jede Authenticator-, Telefon- und Software-OATH-Methode das passende Remove-Cmdlet auf, dann Revoke-MgUserSignInSession. Das Konto, das das Script ausf\u00fchrt, braucht die Application Permissions UserAuthenticationMethod.ReadWrite.All, User.Read.All und User.RevokeSessions.All und keine Entra-Rolle. Eine Telefonmethode, die noch die Standardmethode des Users ist, l\u00e4sst sich erst l\u00f6schen, wenn der Standard ge\u00e4ndert wurde.<\/p>\n<\/div>\n<div class=\"schema-faq-section\" id=\"faq-question-de-5\">\n<strong class=\"schema-faq-question\">Was sollte der Helpdesk vor einem MFA Reset pr\u00fcfen?<\/strong> <p class=\"schema-faq-answer\">Etwas, das der Anrufer nicht kontrollieren kann, etwa einen R\u00fcckruf bei der F\u00fchrungskraft oder unter einer bereits hinterlegten Nummer, einen Videocall oder eine pers\u00f6nliche Ausweiskontrolle. Wissensfragen und die Nummer, die gerade angerufen hat, sind genau das, worauf Angreifer wie Scattered Spider setzen. In au2mator ist die Pr\u00fcfmethode ein Pflichtfeld im Formular, ohne dokumentierte Pr\u00fcfung wird kein Reset abgeschickt.<\/p>\n<\/div>\n<div class=\"schema-faq-section\" id=\"faq-question-de-6\">\n<strong class=\"schema-faq-question\">Sollte ich nach einem MFA Reset einen Temporary Access Pass verwenden?<\/strong> <p class=\"schema-faq-answer\">Ja, immer wenn dem User keine andere starke Methode mehr bleibt. Ein Temporary Access Pass ist ein zeitlich begrenzter Code, standardm\u00e4\u00dfig eine Stunde und optional einmalig nutzbar, mit dem sich der User in der Sicherheitsinfo anmeldet und eine neue Authenticator-App oder einen Sicherheitsschl\u00fcssel registriert. \u00dcbergib ihn auf dem Kanal, den du f\u00fcr die Pr\u00fcfung genutzt hast, und lass ihn in au2mator vom Reset-Script erstellen.<\/p>\n<\/div>\n<\/div>\n\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\">\n\n<h2 class=\"wp-block-heading\">Fazit: Ein MFA Reset ist eine Vertrauensentscheidung, also gib ihm einen Prozess statt einer Rolle<\/h2>\n\n<p class=\"wp-block-paragraph\">Microsoft gibt dir die Schaltfl\u00e4che im Admin Center, die Graph-Cmdlets und den Temporary Access Pass. Was Microsoft offen l\u00e4sst, ist die Frage, die z\u00e4hlt, n\u00e4mlich wer die Person am Telefon gepr\u00fcft hat und wer den Reset ausl\u00f6sen darf. Eine privilegierte Rolle f\u00fcr den ganzen Helpdesk beantwortet sie schlecht. Ein kleines Script setzt deine Regeln um, ein Service Account mit drei Graph-Berechtigungen f\u00fchrt es auf deiner Engine aus, und ein Formular davor macht die Identit\u00e4tspr\u00fcfung verpflichtend und den Audit-Eintrag automatisch.<\/p>\n\n<p class=\"wp-block-paragraph\">Wenn du sehen willst, wie deine MFA-Reset-Tickets zu gepr\u00fcften Self-Service-Requests werden, buche ein 30-min\u00fctiges Gespr\u00e4ch mit Michael Seidl, Microsoft MVP und Gr\u00fcnder von au2mator, und bring den Reset mit, der dir am meisten Sorgen gemacht hat.<\/p>\n<\/div>\n\n<script type=\"application\/ld+json\">\n{\n \"@context\": \"https:\/\/schema.org\",\n \"@type\": \"FAQPage\",\n \"mainEntity\": [\n  {\n   \"@type\": \"Question\",\n   \"name\": \"Wie setze ich MFA f\u00fcr einen User in Microsoft Entra ID zur\u00fcck?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"\u00d6ffne den User im Microsoft Entra Admin Center, w\u00e4hle Authentifizierungsmethoden und dann Erneute MFA-Registrierung anfordern. Das deaktiviert Hardware-OATH-Token, l\u00f6scht Telefon-, Authenticator- und Software-OATH-Methoden, und der User registriert bei der n\u00e4chsten Anmeldung eine neue Methode. Du brauchst mindestens die Rolle Authentication Administrator.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"Welche Rolle ist f\u00fcr einen MFA Reset erforderlich?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"Authentication Administrator f\u00fcr Nicht-Administratoren und Privileged Authentication Administrator f\u00fcr alle User inklusive Administratoren. Beide sind privilegierte Rollen, und die erste kann au\u00dferdem Passw\u00f6rter zur\u00fccksetzen, Benutzer l\u00f6schen und deaktivieren und einen User Principal Name \u00e4ndern, sie dem ganzen Helpdesk zu geben ist also eine gro\u00dfe Entscheidung. Helpdesk Administrator kann Passw\u00f6rter zur\u00fccksetzen, aber keine MFA-Methoden.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"Kann der Helpdesk MFA ohne Admin-Rolle zur\u00fccksetzen?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"Nicht im Admin Center, weil die Reset-Aktionen an Authentication Administrator gebunden sind. Die Alternative ist eine Request-Schicht wie das au2mator Self-Service Portal. Der Agent f\u00fcllt ein Formular mit User, Ticket und Pr\u00fcfmethode aus, ein Approver best\u00e4tigt bei Bedarf, und ein Service Account f\u00fchrt dein unver\u00e4ndertes Script auf PowerShell, Azure Automation oder System Center Orchestrator aus.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"Wie setze ich MFA mit PowerShell zur\u00fcck?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"Liste die Methoden des Users mit Get-MgUserAuthenticationMethod, rufe f\u00fcr jede Authenticator-, Telefon- und Software-OATH-Methode das passende Remove-Cmdlet auf, dann Revoke-MgUserSignInSession. Das Konto, das das Script ausf\u00fchrt, braucht die Application Permissions UserAuthenticationMethod.ReadWrite.All, User.Read.All und User.RevokeSessions.All und keine Entra-Rolle. Eine Telefonmethode, die noch die Standardmethode des Users ist, l\u00e4sst sich erst l\u00f6schen, wenn der Standard ge\u00e4ndert wurde.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"Was sollte der Helpdesk vor einem MFA Reset pr\u00fcfen?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"Etwas, das der Anrufer nicht kontrollieren kann, etwa einen R\u00fcckruf bei der F\u00fchrungskraft oder unter einer bereits hinterlegten Nummer, einen Videocall oder eine pers\u00f6nliche Ausweiskontrolle. Wissensfragen und die Nummer, die gerade angerufen hat, sind genau das, worauf Angreifer wie Scattered Spider setzen. In au2mator ist die Pr\u00fcfmethode ein Pflichtfeld im Formular, ohne dokumentierte Pr\u00fcfung wird kein Reset abgeschickt.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"Sollte ich nach einem MFA Reset einen Temporary Access Pass verwenden?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"Ja, immer wenn dem User keine andere starke Methode mehr bleibt. Ein Temporary Access Pass ist ein zeitlich begrenzter Code, standardm\u00e4\u00dfig eine Stunde und optional einmalig nutzbar, mit dem sich der User in der Sicherheitsinfo anmeldet und eine neue Authenticator-App oder einen Sicherheitsschl\u00fcssel registriert. \u00dcbergib ihn auf dem Kanal, den du f\u00fcr die Pr\u00fcfung genutzt hast, und lass ihn in au2mator vom Reset-Script erstellen.\"\n   }\n  }\n ]\n}\n<\/script>\n","protected":false},"excerpt":{"rendered":"<p>Ein MFA Reset l\u00f6scht die Multifaktor-Authentifizierungsmethoden eines Users, damit ein neues Handy registriert werden kann. In Microsoft Entra ID ist er ein t\u00e4gliches Helpdesk-Ticket, ein beliebtes Ziel von Angreifern, und er braucht die privilegierte Rolle Authentication Administrator. Der Helpdesk wartet also auf einen Admin oder h\u00e4lt eine Rolle, die auch Benutzer l\u00f6schen kann.<\/p>\n<p>Was der Reset bewirkt, die PowerShell dahinter, und wie au2mator den Helpdesk ihn mit Identit\u00e4tspr\u00fcfung und Audit ausf\u00fchren l\u00e4sst, ohne Entra-Rolle.<\/p>\n","protected":false},"author":3,"featured_media":2706,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[16],"tags":[],"class_list":["post-2703","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.6 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>MFA Reset in Entra ID: So geht es ohne Admin-Rechte<\/title>\n<meta name=\"description\" content=\"Wartet jeder MFA Reset noch auf einen Admin? So setzt dein Helpdesk MFA in Entra ID mit Identit\u00e4tspr\u00fcfung, Freigabe und Audit zur\u00fcck, ohne Admin-Rolle.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"MFA Reset in Entra ID: So geht es ohne Admin-Rechte\" \/>\n<meta property=\"og:description\" content=\"Wartet jeder MFA Reset noch auf einen Admin? So setzt dein Helpdesk MFA in Entra ID mit Identit\u00e4tspr\u00fcfung, Freigabe und Audit zur\u00fcck, ohne Admin-Rolle.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/\" \/>\n<meta property=\"og:site_name\" content=\"au2mator\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-03T08:37:07+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/11\/mfa-reset-entra-id-de.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1800\" \/>\n\t<meta property=\"og:image:height\" content=\"1200\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Michael Seidl\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Verfasst von\" \/>\n\t<meta name=\"twitter:data1\" content=\"Michael Seidl\" \/>\n\t<meta name=\"twitter:label2\" content=\"Gesch\u00e4tzte Lesezeit\" \/>\n\t<meta name=\"twitter:data2\" content=\"11\u00a0Minuten\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/\"},\"author\":{\"name\":\"Michael Seidl\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#\\\/schema\\\/person\\\/64bb27dd52011f02a51c74811b8981f3\"},\"headline\":\"MFA Reset in Microsoft Entra ID sicher an den Helpdesk delegieren\",\"datePublished\":\"2026-11-03T08:37:07+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/\"},\"wordCount\":2504,\"commentCount\":0,\"publisher\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/mfa-reset-entra-id-de.png\",\"inLanguage\":\"de\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/\",\"url\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/\",\"name\":\"MFA Reset in Entra ID: So geht es ohne Admin-Rechte\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/mfa-reset-entra-id-de.png\",\"datePublished\":\"2026-11-03T08:37:07+00:00\",\"description\":\"Wartet jeder MFA Reset noch auf einen Admin? So setzt dein Helpdesk MFA in Entra ID mit Identit\u00e4tspr\u00fcfung, Freigabe und Audit zur\u00fcck, ohne Admin-Rolle.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/#breadcrumb\"},\"inLanguage\":\"de\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/#primaryimage\",\"url\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/mfa-reset-entra-id-de.png\",\"contentUrl\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/mfa-reset-entra-id-de.png\",\"width\":1800,\"height\":1200,\"caption\":\"MFA Reset in Microsoft Entra ID als Self-Service-Request f\u00fcr den Helpdesk mit Identit\u00e4tspr\u00fcfung, ohne Admin-Rechte\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/mfa-reset-entra-id-helpdesk\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Startseite\",\"item\":\"https:\\\/\\\/au2mator.com\\\/de\\\/home\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"MFA Reset in Microsoft Entra ID sicher an den Helpdesk delegieren\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#website\",\"url\":\"https:\\\/\\\/au2mator.com\\\/de\\\/\",\"name\":\"au2mator\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/au2mator.com\\\/de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"de\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#organization\",\"name\":\"au2mator\",\"url\":\"https:\\\/\\\/au2mator.com\\\/de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/01\\\/HPLogoau2mator-2.png\",\"contentUrl\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/01\\\/HPLogoau2mator-2.png\",\"width\":396,\"height\":86,\"caption\":\"au2mator\"},\"image\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.youtube.com\\\/channel\\\/UCUdkfOxKtCj0_21WjRv5q-w\",\"https:\\\/\\\/www.linkedin.com\\\/company\\\/au2mator\\\/\"]},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#\\\/schema\\\/person\\\/64bb27dd52011f02a51c74811b8981f3\",\"name\":\"Michael Seidl\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g\",\"caption\":\"Michael Seidl\"},\"sameAs\":[\"https:\\\/\\\/au2mator.com\"],\"url\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/author\\\/michael-seidl\\\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"MFA Reset in Entra ID: So geht es ohne Admin-Rechte","description":"Wartet jeder MFA Reset noch auf einen Admin? So setzt dein Helpdesk MFA in Entra ID mit Identit\u00e4tspr\u00fcfung, Freigabe und Audit zur\u00fcck, ohne Admin-Rolle.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/","og_locale":"de_DE","og_type":"article","og_title":"MFA Reset in Entra ID: So geht es ohne Admin-Rechte","og_description":"Wartet jeder MFA Reset noch auf einen Admin? So setzt dein Helpdesk MFA in Entra ID mit Identit\u00e4tspr\u00fcfung, Freigabe und Audit zur\u00fcck, ohne Admin-Rolle.","og_url":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/","og_site_name":"au2mator","article_published_time":"2026-11-03T08:37:07+00:00","og_image":[{"width":1800,"height":1200,"url":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/11\/mfa-reset-entra-id-de.png","type":"image\/png"}],"author":"Michael Seidl","twitter_card":"summary_large_image","twitter_misc":{"Verfasst von":"Michael Seidl","Gesch\u00e4tzte Lesezeit":"11\u00a0Minuten"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/#article","isPartOf":{"@id":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/"},"author":{"name":"Michael Seidl","@id":"https:\/\/au2mator.com\/de\/#\/schema\/person\/64bb27dd52011f02a51c74811b8981f3"},"headline":"MFA Reset in Microsoft Entra ID sicher an den Helpdesk delegieren","datePublished":"2026-11-03T08:37:07+00:00","mainEntityOfPage":{"@id":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/"},"wordCount":2504,"commentCount":0,"publisher":{"@id":"https:\/\/au2mator.com\/de\/#organization"},"image":{"@id":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/#primaryimage"},"thumbnailUrl":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/11\/mfa-reset-entra-id-de.png","inLanguage":"de","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/","url":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/","name":"MFA Reset in Entra ID: So geht es ohne Admin-Rechte","isPartOf":{"@id":"https:\/\/au2mator.com\/de\/#website"},"primaryImageOfPage":{"@id":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/#primaryimage"},"image":{"@id":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/#primaryimage"},"thumbnailUrl":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/11\/mfa-reset-entra-id-de.png","datePublished":"2026-11-03T08:37:07+00:00","description":"Wartet jeder MFA Reset noch auf einen Admin? So setzt dein Helpdesk MFA in Entra ID mit Identit\u00e4tspr\u00fcfung, Freigabe und Audit zur\u00fcck, ohne Admin-Rolle.","breadcrumb":{"@id":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/#breadcrumb"},"inLanguage":"de","potentialAction":[{"@type":"ReadAction","target":["https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/"]}]},{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/#primaryimage","url":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/11\/mfa-reset-entra-id-de.png","contentUrl":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/11\/mfa-reset-entra-id-de.png","width":1800,"height":1200,"caption":"MFA Reset in Microsoft Entra ID als Self-Service-Request f\u00fcr den Helpdesk mit Identit\u00e4tspr\u00fcfung, ohne Admin-Rechte"},{"@type":"BreadcrumbList","@id":"https:\/\/au2mator.com\/de\/blog\/mfa-reset-entra-id-helpdesk\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Startseite","item":"https:\/\/au2mator.com\/de\/home\/"},{"@type":"ListItem","position":2,"name":"MFA Reset in Microsoft Entra ID sicher an den Helpdesk delegieren"}]},{"@type":"WebSite","@id":"https:\/\/au2mator.com\/de\/#website","url":"https:\/\/au2mator.com\/de\/","name":"au2mator","description":"","publisher":{"@id":"https:\/\/au2mator.com\/de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/au2mator.com\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de"},{"@type":"Organization","@id":"https:\/\/au2mator.com\/de\/#organization","name":"au2mator","url":"https:\/\/au2mator.com\/de\/","logo":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/au2mator.com\/de\/#\/schema\/logo\/image\/","url":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/01\/HPLogoau2mator-2.png","contentUrl":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/01\/HPLogoau2mator-2.png","width":396,"height":86,"caption":"au2mator"},"image":{"@id":"https:\/\/au2mator.com\/de\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.youtube.com\/channel\/UCUdkfOxKtCj0_21WjRv5q-w","https:\/\/www.linkedin.com\/company\/au2mator\/"]},{"@type":"Person","@id":"https:\/\/au2mator.com\/de\/#\/schema\/person\/64bb27dd52011f02a51c74811b8981f3","name":"Michael Seidl","image":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/secure.gravatar.com\/avatar\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g","caption":"Michael Seidl"},"sameAs":["https:\/\/au2mator.com"],"url":"https:\/\/au2mator.com\/de\/blog\/author\/michael-seidl\/"}]}},"_links":{"self":[{"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/posts\/2703","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/comments?post=2703"}],"version-history":[{"count":2,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/posts\/2703\/revisions"}],"predecessor-version":[{"id":2707,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/posts\/2703\/revisions\/2707"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/media\/2706"}],"wp:attachment":[{"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/media?parent=2703"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/categories?post=2703"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/tags?post=2703"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}