Microsoft Token Protection: Neue Sicherheit gegen Session-Diebstahl
Veröffentlicht am: 11.08.2026 um 02:21 Uhr | Redaktion boerse-global.de
Der Technologiekonzern Microsoft hat eine neue Anleitung für die Preview-Phase der sogenannten Token Protection für Webanwendungen bereitgestellt. Das Verfahren zielt darauf ab, die Sicherheit von Unternehmenszugängen maßgeblich zu erhöhen, indem Authentifizierungstoken kryptografisch an die Hardware des Nutzers gebunden werden. Mit diesem Schritt adressiert das Unternehmen eine kritische Schwachstelle in modernen IT-Infrastrukturen: den Diebstahl von Sitzungstoken, die es Angreifern ermöglichen, Sicherheitsmechanismen wie die Multifaktor-Authentifizierung (MFA) zu umgehen.
Kryptografische Bindung an Endgeräte
Im Zentrum der neuen Sicherheitsfunktion steht die technische Verknüpfung zwischen dem digitalen Identitätsnachweis und dem physischen Endgerät des Anwenders. Durch die kryptografische Bindung wird sichergestellt, dass ein Token nur auf dem Gerät verwendet werden kann, auf dem es ursprünglich ausgestellt wurde. Sollten Angreifer in den Besitz eines solchen Tokens gelangen, bleibt dieser auf fremden Systemen wertlos, da die notwendige Hardware-Bindung fehlt.
Dieser Ansatz der Token-Bindung gilt in der IT-Sicherheit als wesentliches Element, um sogenannte Replay-Attacken zu verhindern. Dabei nutzen Cyberkriminelle gestohlene Sitzungsdaten, um sich gegenüber Cloud-Diensten als rechtmäßige Nutzer auszugeben, ohne Passwörter oder zweite Faktoren kennen zu müssen.
Technische Voraussetzungen und Lizenzierung
Die Einführung der Token Protection für Web-Apps ist an spezifische Voraussetzungen geknüpft. Laut der veröffentlichten Anleitung ist der Einsatz von Entra ID P1-Lizenzen erforderlich, um die Funktion innerhalb der Microsoft-Umgebung nutzen zu können. Damit richtet sich das Angebot primär an Unternehmenskunden, die bereits über entsprechende Identitätsmanagement-Lösungen verfügen.
Während neue technische Lösungen wie die Token-Bindung die Sicherheit erhöhen, müssen Unternehmen auch die rechtlichen Rahmenbedingungen im Blick behalten. Dieser kostenlose Report klärt auf, welche gesetzlichen Pflichten und Cyberrisiken Unternehmer jetzt kennen müssen. Gratis-Report zu neuen Cyberrisiken herunterladen
Darüber hinaus ergeben sich Anforderungen an die Software-Umgebung der Endanwender. Um die Schutzfunktion in Browser-basierten Arbeitsumgebungen zu aktivieren, ist die Installation einer speziellen Browser-Erweiterung notwendig. Diese Erweiterung ist für die Browser Microsoft Edge sowie Google Chrome vorgesehen und übernimmt die Aufgabe, die Kommunikation zwischen dem Browser und dem Identitätsdienst kryptografisch abzusichern.
Warnung vor Einschränkungen im IT-Betrieb
Trotz des Sicherheitsgewinns warnt Microsoft vor möglichen Komplikationen bei der Implementierung während der aktuellen Phase. Ein zentraler Kritikpunkt und gleichzeitig eine Hürde für Administratoren ist die derzeit noch eingeschränkte Kompatibilität. Bislang werden nur wenige Web-Apps von der Token Protection unterstützt.
Das Unternehmen wies darauf hin, dass die Aktivierung der Funktion den Zugriff auf eine Vielzahl von Portal-Anwendungen blockieren könne. Da die Web-Apps die kryptografische Bindung korrekt interpretieren müssen, führen Inkompatibilitäten dazu, dass der Zugriff verweigert wird, um keine Sicherheitslücken zu riskieren. IT-Verantwortliche werden daher dazu angehalten, die Funktion zunächst in Testumgebungen zu prüfen und die Auswirkungen auf die produktive Anwendungslandschaft genau zu analysieren, bevor ein flächendeckender Rollout erfolgt.
Wer die IT-Sicherheit im Unternehmen nachhaltig stärken möchte, ohne sofort in teure Infrastrukturen zu investieren, findet in diesem Leitfaden wertvolle Praxistipps. Erfahren Sie im kostenlosen E-Book, wie Sie bestehende Sicherheitslücken effizient schließen. Kostenloses E-Book für IT-Sicherheit sichern
Die Preview-Anleitung dient als Leitfaden für Systemadministratoren, um die Konfigurationen in Entra ID vorzunehmen und die notwendigen Browser-Einstellungen zu verteilen. Microsoft signalisiert mit dieser Veröffentlichung, dass der Schutz vor Token-Diebstahl künftig ein integraler Bestandteil der Sicherheitsstrategie für Cloud-Identitäten sein wird, auch wenn die technische Umsetzung in heterogenen App-Landschaften derzeit noch Herausforderungen bietet.
