Entra ID-Sicherheitsupdate blockiert im Oktober externe Anmeldeskripte

Microsoft wird ab Mitte Oktober 2026 damit beginnen, nicht autorisierte externe Skripte auf browserbasierten Entra ID-Anmeldeseiten zu blockieren. Das Update für die Entra ID-Sicherheit soll das Risiko von Skript-Injektionen während der Authentifizierung reduzieren, einschließlich Cross-Site-Scripting-Angriffen.

Die Einführung soll bis Ende Oktober abgeschlossen sein. In der Zwischenzeit sollten Organisationen prüfen, ob ihre Anmeldeprozesse auf Tools angewiesen sind, die Skripte in diese Seiten einschleusen.

Neue Richtlinie beschränkt Skripte während der Anmeldung

Microsoft wird eine strengere Content Security Policy, kurz CSP, für die browserbasierte Authentifizierung über login.microsoftonline.com durchsetzen. Im Rahmen dieser Richtlinie erlauben Anmeldeseiten nur noch Skripte von vertrauenswürdigen Microsoft-Domains für die Bereitstellung von Inhalten.

Diese Einschränkung trägt dazu bei, die Ausführung nicht autorisierten Codes während der Authentifizierung zu verhindern. Angreifer können beispielsweise Cross-Site-Scripting nutzen, um Schadcode in anfällige Seiten einzuschleusen und zu versuchen, Anmeldedaten zu stehlen.

Microsoft kündigte die Pläne für diese Schutzmaßnahmen erstmals im November 2025 an. Das Unternehmen hat Kunden nun daran erinnert, sich vor Beginn der Durchsetzung darauf vorzubereiten.

Unternehmen sollten Erweiterungen und Anmelde-Tools überprüfen

Vor der Einführung empfiehlt Microsoft Organisationen, keine Browsererweiterungen und Tools mehr zu verwenden, die Skripte in Anmeldeseiten einschleusen.

Obwohl diese Tools bestehende Arbeitsabläufe unterstützen können, könnte die neue Richtlinie verhindern, dass der von ihnen eingeschleuste Code ausgeführt wird. Unternehmen sollten daher ihre Authentifizierungsprozesse testen und mögliche Abhängigkeiten beheben, bevor die Durchsetzung beginnt.

IT-Administratoren können während der Anmeldung die Entwicklerkonsole des Browsers überprüfen, um potenzielle Probleme zu erkennen. CSP-Verstöße erscheinen als rote Fehlermeldungen mit Details zu den Skripten, die von der Richtlinie blockiert werden.

Diese Überprüfungen können Teams daher dabei helfen, betroffene Tools zu identifizieren und ihre Arbeitsabläufe vor der Änderung anzupassen.

Standardanmeldungen funktionieren weiterhin

Microsoft gibt an, dass sich Nutzer weiterhin anmelden können, wenn nicht unterstützte Tools zur Skript-Injektion nicht mehr funktionieren. Funktionen, die von diesen Tools abhängig sind, funktionieren jedoch möglicherweise nicht mehr.

Die Änderung der Entra ID-Sicherheit wird automatisch über ein Dienstupdate wirksam. Administratoren müssen ihre Mandanten daher nicht konfigurieren, um sie zu aktivieren.

Microsoft erklärt außerdem, dass die Microsoft Authentication Library, kurz MSAL, und API-basierte Authentifizierungsabläufe nicht betroffen sind. Die Durchsetzung gilt speziell für browserbasierte Anmeldevorgänge über login.microsoftonline.com.

Update erweitert Microsofts Sicherheitsinitiative

Die Einführung ist Teil von Microsofts Secure Future Initiative, die den Schutz der Produkte und Dienste des Unternehmens stärken soll.

Microsoft startete diese Initiative, nachdem chinesische Hacker im Jahr 2023 auf Exchange Online-Postfächer von Organisationen und Einzelpersonen zugegriffen hatten.

Unabhängig davon hat das Unternehmen ActiveX-Steuerelemente in Windows-Versionen von Microsoft 365 und Office 2024 standardmäßig deaktiviert. Zudem hat es die Standardeinstellungen von Microsoft 365 verschärft, um den Dateizugriff über ältere Authentifizierungsprotokolle einzuschränken.