Wer sein Microsoft 365 Passwort zurücksetzen will, kann das ab Anfang November 2026 nur noch mit einer Methode, die er selbst registriert hat, etwa der Authenticator-App oder einer bestätigten Handynummer. Die Telefonnummer, die ein Administrator irgendwann im Benutzerkonto hinterlegt hat, reicht dann nicht mehr. Für Unternehmen in Wertheim und im Main-Tauber-Kreis heißt das: Jetzt prüfen, wer noch keine Methode registriert hat, bevor die ersten Mitarbeitenden vor einem gesperrten Konto stehen.
Was ändert sich beim Passwort-Reset in Microsoft 365?
Der Self-Service-Passwort-Reset ist die Funktion, mit der Mitarbeitende ein vergessenes Passwort selbst zurücksetzen, ohne die IT anzurufen. Bisher konnte Microsoft dabei auch Kontaktdaten nutzen, die nur im Benutzerverzeichnis standen, etwa die Mobilnummer oder eine alternative Mailadresse aus dem Benutzerprofil. Künftig zählen ausschließlich Methoden, die der Benutzer ausdrücklich für die Anmeldung registriert hat.
Microsoft begründet das mit mehr Sicherheit. Eine Telefonnummer im Verzeichnis wurde nie vom Benutzer bestätigt und kann veraltet oder falsch sein. Eine registrierte Methode dagegen hat der Benutzer selbst eingerichtet und mindestens einmal genutzt.
| Termin | Was passiert |
|---|---|
| Seit 5. Oktober 2026 | Registrierungskampagne: Benutzer ohne ausreichende Methoden werden bei der Anmeldung zur Registrierung aufgefordert |
| Ab 7. bzw. 9. November 2026 | Umstellung: Nur noch registrierte Methoden gelten beim Passwort-Reset. Microsoft nennt in der Ankündigung beide Daten |
| Bis Mitte November 2026 | Schrittweise Verteilung auf alle Mandanten weltweit |
Betroffen sind alle Microsoft-365-Umgebungen, in denen der Self-Service-Passwort-Reset eingeschaltet ist, ausdrücklich auch die Konten der Administratoren. Microsoft selbst gibt an, dass schon heute rund 86 Prozent der Prüfungen beim Passwort-Reset über registrierte Methoden laufen. Für die übrigen Benutzer endet der Reset nach der Umstellung mit dem Hinweis, eine Methode zu registrieren oder den Administrator zu kontaktieren.
Wer ist im Unternehmen besonders betroffen?
Mitarbeitende ohne Authenticator-App
Wer sich bisher nur mit Passwort anmeldet und nie eine zweite Methode eingerichtet hat, kann ab November das Passwort nicht mehr selbst zurücksetzen.
Selten genutzte Konten
Aushilfen, Teilzeitkräfte oder Mitarbeitende in Elternzeit melden sich kaum an und sehen die Registrierungsaufforderung deshalb nie.
Administratorkonten
Auch Admin-Konten brauchen registrierte Methoden. Ein gesperrtes Admin-Konto ohne Ausweichweg ist der unangenehmste Fall.
Gemeinsam genutzte Konten
Konten, die mehrere Personen nutzen, etwa am Empfang, haben oft keine persönliche Methode hinterlegt. Hier lohnt ein Blick, ob ein eigenes Konto je Person nicht ohnehin sinnvoller ist.
Wie prüfen Sie, wer noch keine Methode registriert hat?
Die Prüfung dauert in einem kleinen Unternehmen wenige Minuten. Sie braucht ein Konto mit Administratorrechten in Microsoft 365.
Registrierungsübersicht öffnen
Im Microsoft Entra Admin Center unter „Authentifizierungsmethoden“ den Bereich „Details zur Benutzerregistrierung“ aufrufen. Dort steht für jedes Konto, welche Methoden registriert sind.
Konten ohne Methode filtern
Nach Benutzern filtern, die für den Self-Service-Passwort-Reset nicht registriert sind. Das ist die Liste, um die es geht.
Mitarbeitende gezielt ansprechen
Die Registrierung erledigt jeder selbst unter „Meine Sicherheitsinformationen“ im Microsoft-Konto. Eine kurze Anleitung per Mail oder fünf Minuten in der Teambesprechung genügen meist.
Admin-Konten zuerst absichern
Jedes Administratorkonto bekommt mindestens zwei registrierte Methoden. Zusätzlich sollte es ein Notfallkonto geben, das sicher verwahrt wird.
Ablauf für den Ernstfall festlegen
Wer setzt das Passwort zurück, wenn ein Mitarbeitender es trotzdem nicht selbst kann? Ein klarer Ansprechpartner vermeidet, dass am Montagmorgen niemand arbeiten kann.
Zwei Fliegen mit einer Klappe: Wer jetzt die Authenticator-App für alle einrichtet, erfüllt nicht nur die neue Regel beim Passwort-Reset, sondern hat gleichzeitig die Grundlage für die Multi-Faktor-Authentifizierung gelegt. Wie die Einführung im Unternehmen gelingt, steht im Beitrag Multi-Faktor-Authentifizierung im Unternehmen einführen.
Praxisbeispiel: Die Telefonnummer, die nie jemand bestätigt hat
Ein Ingenieurbüro aus Baden-Württemberg mit 15 Mitarbeitenden hat beim Umstieg auf Microsoft 365 die Handynummern aller Mitarbeitenden in die Benutzerprofile eingetragen. Der Passwort-Reset funktionierte damit bisher ohne weiteres Zutun. Die Registrierungsübersicht zeigt: Nur sechs Konten haben eine eigene Methode registriert. Die übrigen neun hätten ab November ihr Passwort nicht mehr selbst zurücksetzen können. Eine Rundmail mit Anleitung und eine Nachfrage eine Woche später lösen das Problem.
Warum Microsoft diese Änderung macht
Die Umstellung gehört zur Secure Future Initiative, mit der Microsoft seine Dienste nach mehreren Angriffen auf Identitäten absichert. Der Hintergrund ist nachvollziehbar: Angriffe auf Microsoft-365-Konten zielen immer häufiger auf den Anmeldeprozess selbst, wie zuletzt beim Device-Code-Phishing gegen Microsoft 365. Ein Passwort-Reset über eine nie bestätigte Nummer ist ein unnötiges Risiko.
Die CoKom GmbH betreut Microsoft-365-Umgebungen von KMU und Arztpraxen und prüft bei der Gelegenheit auch die übrigen Sicherheitseinstellungen im Mandanten.
Häufige Fragen zum Passwort-Reset in Microsoft 365
Welche Methoden gelten als registriert?
Alle Methoden, die ein Benutzer unter „Meine Sicherheitsinformationen“ selbst eingerichtet hat, zum Beispiel die Microsoft Authenticator-App, eine bestätigte Telefonnummer per SMS oder Anruf oder eine bestätigte E-Mail-Adresse. Welche davon erlaubt sind, legt der Administrator in der Richtlinie fest.
Was passiert, wenn ein Mitarbeitender keine Methode registriert hat?
Der Passwort-Reset bricht ab. Der Benutzer wird aufgefordert, eine Methode zu registrieren, was ohne Anmeldung nicht geht, oder den Administrator zu kontaktieren. Der Administrator kann das Passwort dann wie bisher manuell zurücksetzen.
Betrifft das auch Unternehmen ohne Self-Service-Passwort-Reset?
Nein. Ist die Funktion im Mandanten nicht eingeschaltet, setzen Administratoren Passwörter ohnehin selbst zurück. Dann ändert sich nichts.
Muss ich als Geschäftsführer selbst etwas tun?
Sie sollten wissen, wer in Ihrem Unternehmen die Prüfung übernimmt, und Ihr eigenes Konto mit einer registrierten Methode absichern. Die eigentliche Arbeit liegt beim Administrator oder IT-Dienstleister.
Fazit: Microsoft 365 Passwort zurücksetzen geht ab November nur mit registrierter Methode
Ab Anfang November 2026 lässt sich das Microsoft 365 Passwort nur noch mit einer selbst registrierten Methode zurücksetzen. Wer jetzt die Registrierungsübersicht prüft, Mitarbeitende ohne Methode anspricht und die Admin-Konten absichert, erspart sich gesperrte Konten und Anrufe beim Support.
Die CoKom GmbH unterstützt Unternehmen in Wertheim, im Main-Tauber-Kreis und in Baden-Württemberg bei Betrieb und Absicherung von Microsoft 365. Mehr dazu unter Cloud und Microsoft 365.