Microsoft schaltet die Custom Controls in Conditional Access ab und ersetzt sie durch External MFA. Ab September 2026 lassen sich keine neuen Custom Controls mehr anlegen und bestehende nicht mehr bearbeiten, im Mai 2027 endet die Funktion vollständig. Betroffen sind alle Unternehmen, die einen Drittanbieter wie Duo, RSA oder Okta über Custom Controls in ihre Richtlinien eingebunden haben.
Was Custom Controls sind – und warum sie verschwinden
Custom Controls waren der bisherige Weg, eine fremde Multifaktor-Lösung in eine Conditional-Access-Richtlinie einzubinden: Die Anmeldung wurde zum Anbieter umgeleitet, der die zweite Prüfung übernahm. Der Haken daran ist grundsätzlicher Natur – Entra ID erfährt vom Ergebnis nichts. Ein Custom Control erfüllt deshalb nicht die Anforderung „Multifaktor-Authentifizierung erforderlich“, sondern steht als eigene, isolierte Bedingung daneben.
External MFA löst das über einen standardisierten OpenID-Connect-Ablauf: Der Anbieter wird als Authentifizierungsmethode registriert und liefert einen echten MFA-Anspruch zurück. Damit ist die Prüfung für Entra ID sichtbar – und für alles nutzbar, was auf MFA aufbaut.
Der Zeitplan im Überblick
- September 2026: Administratoren können keine neuen Custom Controls mehr erstellen und bestehende nicht mehr ändern. Vorhandene Kontrollen funktionieren weiter.
- Mai 2027: Custom Controls werden vollständig abgeschaltet und nicht mehr unterstützt.
- Unternehmen, die keine Custom Controls einsetzen, sind nicht betroffen und müssen nichts tun.
Warum External MFA mehr kann
Der Wechsel ist nicht nur eine Pflichtübung. Weil External MFA einen nativen MFA-Anspruch liefert, wird die zweite Prüfung endlich in den Anmeldeprotokollen sichtbar – bisher tauchte sie dort schlicht nicht als MFA auf. Zusätzlich funktionieren damit Szenarien, die mit Custom Controls nie möglich waren: risikobasierte Richtlinien in Conditional Access, Privileged Identity Management sowie die Geräteregistrierung über Intune. Für Unternehmen, die ihre Nachweise gegenüber Prüfern oder Cyberversicherern führen müssen, ist allein die korrekte Protokollierung ein guter Grund, nicht bis 2027 zu warten.
So läuft die Umstellung ab
Voraussetzung sind eine Lizenz für Microsoft Entra ID P1 oder P2, die Rolle „Administrator für Authentifizierungsrichtlinien“ sowie ein Administrator für privilegierte Rollen, der die Zustimmung für die Anwendung des Anbieters erteilt. Vom MFA-Anbieter benötigen Sie drei Angaben: die Anwendungs-ID, die Client-ID und die OIDC-Discovery-URL.
- Bestand aufnehmen: alle Conditional-Access-Richtlinien mit Custom Controls erfassen – inklusive Zielgruppen, Apps und Bedingungen. Microsoft stellt dafür ein Graph-PowerShell-Beispiel bereit.
- Anbieter als externe Authentifizierungsmethode anlegen, zunächst nur auf eine Testgruppe ausgerichtet, und Notfallkonten bewusst ausschließen.
- Testbenutzer für die Methode registrieren und eine Testrichtlinie mit der regulären Anforderung „Multifaktor-Authentifizierung erforderlich“ anlegen.
- Anmeldungen an den geschützten Anwendungen prüfen, dann schrittweise ausrollen.
- Zum Schluss alle Verweise auf Custom Controls aus den Richtlinien entfernen.
Worauf Unternehmen achten sollten
Der Aufwand wird regelmäßig unterschätzt, weil die Custom Controls oft über mehrere Richtlinien verteilt sind und niemand mehr genau weiß, welche davon noch aktiv genutzt werden. Führen Sie die Migration deshalb pro Richtlinie nach – und nicht pauschal. Wichtig ist außerdem der zeitliche Puffer: Ab September lassen sich bestehende Custom Controls nicht mehr anpassen. Wer erst dann feststellt, dass eine Richtlinie nachgeschärft werden müsste, hat diese Möglichkeit nicht mehr und muss ohnehin migrieren. Und wer den Mai 2027 verpasst, verliert die MFA-Durchsetzung für die betroffenen Zugriffe still und leise – die Richtlinie bleibt bestehen, greift aber nicht mehr wie gedacht.
Offizielle Microsoft-Quellen
- Microsoft Learn: Migrate from custom controls to external MFA in Conditional Access
- Microsoft Entra Blog: External MFA ist allgemein verfügbar
Welche Ihrer Conditional-Access-Richtlinien betroffen sind und wie die Umstellung ohne Ausfall gelingt, prüfen wir im Rahmen eines Microsoft Security Assessments – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
