Microsoft Entra: Blockade für Cross-Domain-Sign-Ins ab sofort aktiv
Veröffentlicht am: 19.08.2026 um 08:43 Uhr | Redaktion boerse-global.de
Microsoft setzt seit Mitte August 2026 die sogenannte federatedTokenValidationPolicy standardmäßig durch. Damit werden Cross-Domain-Federated-Sign-Ins in Microsoft Entra blockiert, die bislang unter bestimmten Konfigurationen möglich waren.
Betroffen sind ältere Föderations-Konfigurationen
Die Durchsetzung betrifft laut Angaben von mwpro.co.uk Microsoft-365-Mandanten, die eine föderierte Authentifizierung nutzen und deren Konfiguration vor Dezember 2025 eingerichtet wurde. Für diese Umgebungen ändert sich das Verhalten bei der Anmeldung grundlegend: Sign-in-Versuche, die auf einer Cross-Domain-Föderation basieren, werden nun standardmäßig unterbunden.
Fehlercode AADSTS5000820
Nutzer betroffener Konfigurationen erhalten bei fehlgeschlagenen Anmeldeversuchen den Fehlercode AADSTS5000820. IT-Verantwortliche, die in den kommenden Tagen vermehrt auf diesen Fehler stoßen, sollten ihn im Zusammenhang mit der neuen Durchsetzungspolitik prüfen, statt ihn als isoliertes technisches Problem zu behandeln.
Wer sich mit der Absicherung von IT-Strukturen befasst, muss heute auch neue regulatorische Anforderungen und KI-Risiken im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Gratis-Report zu neuen Cyberrisiken anfordern
Ausnahme nur über Graph-Policy – und mit Warnung
Eine Möglichkeit, die Blockade zu umgehen, besteht laut mwpro.co.uk lediglich über eine Ausnahme, die per Graph-Policy mit dem Parameter rootDomains=none gesetzt wird. Microsoft rät jedoch ausdrücklich von dieser Konfiguration ab. Damit signalisiert das Unternehmen, dass die Durchsetzung der Validierungspolicy als dauerhafte Sicherheitsmaßnahme gedacht ist und nicht als Übergangslösung, die sich beliebig aushebeln lässt.
Handlungsbedarf für IT-Administratoren
Für Organisationen mit föderierter Authentifizierung, die ihre Konfiguration noch nicht an die neuen Vorgaben angepasst haben, entsteht damit unmittelbarer Handlungsbedarf. Wer weiterhin auf Cross-Domain-Föderation angewiesen ist, muss die eigene Entra-Konfiguration überprüfen und gegebenenfalls anpassen, um Anmeldeausfälle zu vermeiden.
Angesichts der ständigen Zunahme von Angriffen auf Unternehmensnetzwerke ist eine proaktive Absicherung ohne hohe Investitionen entscheidend. Erfahren Sie im kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihr Unternehmen langfristig schützen. Kostenloses E-Book: Cyber Security Strategien entdecken
Angesichts der ausdrücklichen Abratung Microsofts von der Ausnahmeregelung dürfte der eigentliche Lösungsweg für die meisten betroffenen Mandanten in einer Aktualisierung der Föderationskonfiguration liegen, nicht in der Aktivierung der Ausnahme.
