Microsoft erweitert die integrierte Rolle Security Administrator in Microsoft Entra. In der September-Ausgabe des Entra-Blogs kündigt Microsoft an, dass die Rolle künftig zusätzliche Reaktionsaktionen für nicht privilegierte Benutzer erhält: Konten deaktivieren oder wieder aktivieren, aktive Sitzungen widerrufen und Kennwörter zurücksetzen. Der Rollout soll bis Ende September 2026 abgeschlossen sein. Für kleinere IT-Teams ist das praktisch, weil Sicherheitsverantwortliche im Vorfall schneller handeln können. Gleichzeitig wird eine bestehende Rollenzuweisung mächtiger und sollte deshalb vor dem Rollout geprüft werden.
Was Microsoft bis Ende September ändert
Microsoft beschreibt die Änderung als Erweiterung der integrierten Rolle Security Administrator. Die Rolle ist in der Microsoft-Learn-Referenz bereits als privilegierte Rolle geführt und umfasst heute Sicherheitsaufgaben in mehreren Microsoft-Portalen. Neu ist laut Entra-Blog, dass Identitätsreaktionen für nicht privilegierte Benutzer direkt über diese Rolle abgedeckt werden.
- Security Administrators können nicht privilegierte Benutzerkonten deaktivieren und wieder aktivieren.
- Sie können aktive Sitzungen widerrufen, damit betroffene Benutzer sich erneut anmelden müssen.
- Sie können Kennwörter zurücksetzen, wenn das für die Reaktion erforderlich ist.
- Microsoft nennt als Abschluss des Rollouts ausdrücklich Ende September 2026.
Warum das für KMU relevant ist
In Unternehmen mit 10 bis 250 Arbeitsplätzen liegen Rollen oft nicht bei einem großen Identity-Team, sondern bei wenigen Administratoren oder einem externen Dienstleister. Eine Änderung an einer integrierten Rolle wirkt deshalb unmittelbar: Wer die Rolle bereits dauerhaft hat, bekommt nach dem Rollout zusätzliche Möglichkeiten zur Benutzerreaktion. Das kann die Reaktionszeit verbessern, sollte aber zum bestehenden Berechtigungskonzept passen. Besonders wichtig ist das, wenn die Rolle nicht nur über Privileged Identity Management, sondern dauerhaft vergeben ist.
Betroffen sind Mandanten, in denen die Rolle Security Administrator zugewiesen ist. Relevant sind vor allem dauerhafte Zuweisungen, geteilte Administrationsmodelle und Dienstleisterzugriffe. Praktisch unberührt bleibt ein Mandant nur dann, wenn niemand diese Rolle nutzt.
Welche bestehenden Rechte mitgedacht werden müssen
Die Microsoft-Learn-Referenz beschreibt Security Administrator als Rolle für sicherheitsbezogene Funktionen im Microsoft Defender Portal, in Microsoft Entra ID Protection, in Microsoft Entra Authentication, in Azure Information Protection und im Microsoft Purview Portal. Dazu gehören unter anderem Sicherheitsrichtlinien, Bedrohungen und Warnungen, Berichte, Endpoint-Rollen und Machine Groups sowie Cross-Tenant-Access-Einstellungen. Die neue Änderung kommt also nicht zu einer einfachen Leserolle hinzu, sondern zu einer bereits privilegierten Administrationsrolle.
Das ist für die Einordnung entscheidend: Wer Microsoft Entra ID betreibt, sollte die Rolle nicht nur nach dem Namen bewerten. „Security Administrator“ klingt eng, umfasst aber laut Microsoft mehrere Portale und sicherheitsrelevante Einstellungen. Die neuen Identitätsaktionen verstärken diesen Charakter.
Frist: vor dem Rollout prüfen
Microsoft nennt keinen einzelnen Stichtag, sondern schreibt, dass der Rollout bis Ende September 2026 abgeschlossen wird. Deshalb ist eine Prüfung im September sinnvoller als eine spätere Nacharbeit. Ziel ist nicht, die Rolle vorsorglich zu entfernen. Ziel ist, vor der Erweiterung zu wissen, wer die Rolle besitzt, warum sie benötigt wird und ob der Zugriff dauerhaft oder nur bei Bedarf aktiv sein sollte.
Eine Besonderheit: Microsoft bezieht die neuen Reaktionsaktionen ausdrücklich auf nicht privilegierte Benutzer. Das ersetzt keine sauber getrennten Rollen für Global Administrator, Privileged Role Administrator oder andere hochprivilegierte Funktionen. Für die tägliche Sicherheitsarbeit kann es aber den Unterschied machen, ob ein kompromittiertes Standardkonto sofort blockiert wird oder erst ein anderer Administrator übernehmen muss.
Konkrete nächste Schritte
- Exportieren Sie alle aktuellen Zuweisungen der Rolle Security Administrator und halten Sie Zweck, Inhaber und Dauer der Zuweisung fest.
- Prüfen Sie, ob dauerhafte Zuweisungen auf Just-in-Time-Zugriff oder klar begründete Einzelpersonen begrenzt werden können.
- Stimmen Sie den Incident-Response-Ablauf ab: Konto deaktivieren, Sitzungen widerrufen, Kennwort zurücksetzen und danach dokumentieren.
- Kontrollieren Sie nach Abschluss des Microsoft-Rollouts Audit-Logs und Rollenmodell erneut, damit keine ungewollte Ausweitung unbemerkt bleibt.
In einer Microsoft Security Assessment lässt sich diese Prüfung mit Conditional Access, MFA-Methoden und Admin-Rollen verbinden. Wenn parallel Regeln in Microsoft Defender oder Purview betroffen sind, gehört die Rollenprüfung in denselben Maßnahmenplan.
Offizielle Microsoft-Quellen
- Microsoft Entra Blog: What’s new in Microsoft Entra: September 2026
- Microsoft Learn: Security Administrator in der Rollenreferenz
- Microsoft Learn: Privilegierte Rollen und Berechtigungen in Microsoft Entra ID
Wenn Sie vor dem Rollout klären möchten, welche Administratorrollen in Ihrem Mandanten wirklich gebraucht werden, unterstützen wir Sie mit einem kurzen Erstgespräch.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
