Quellenprüfung: 29. September 2026. Tenant-Validierung ausstehend.
Werkzeuge und Dokumentdetails
Eine MFA-Anforderung beweist keine Kompromittierung
AADSTS50076 bedeutet, dass die Ressource eine mehrstufige Authentifizierung verlangt. Auslöser können eine Richtlinienänderung, eine benutzerbezogene Vorgabe oder ein anderer Anmeldekontext sein. Der Code allein bestimmt die Ursache nicht.
MFA nicht deaktivieren und den Benutzer nicht aus allen Richtlinien ausschließen, um die Meldung zu entfernen. Die Sperre kann die vorgesehene Schutzwirkung sein.
Den eigenen Handlungsspielraum kennen
- Benutzer
- Einen erwarteten eigenen Anmeldeversuch können Sie wiederholen. Wenn keine genehmigte Methode nutzbar ist, den Helpdesk einschalten.
- Administrator
- Für die Untersuchung eine autorisierte Leserrolle wie Reports Reader verwenden. Richtlinienänderungen erfordern die passende Rolle und einen begrenzten Änderungsplan.
- Lizenzierung
- Auch Security defaults und benutzerbezogene MFA können MFA verlangen. Standard-Conditional-Access benötigt Entra ID P1, Risikobedingungen P2. Dieser Code begründet allein keinen Lizenzkauf.
Die Anleitung gilt für eine erwartete Anmeldung mit einem Arbeits- oder Schulkonto. Eine unbeaufsichtigte Integration mit einem Benutzerkennwort benötigt eine Prüfung durch den Anwendungsverantwortlichen; wiederholte Kennwortanforderungen erfüllen keine interaktive MFA-Prüfung.
Ereignis und Anforderung ermitteln
- Im Microsoft Entra Admin Center Entra ID → Monitoring & health → Sign-in logs öffnen. Tenant bestätigen und nach Benutzer sowie erfasster Zeit filtern.
- Das passende Ereignis öffnen. Anwendung und Ressource mit der Benutzeraktion vergleichen; eine nachgelagerte Ressource kann andere Kontrollen verlangen.
- Basic info, Authentication Details und Conditional Access lesen. Fehler, MFA-Ergebnis und tatsächlich angewandte Richtlinien erfassen. Report-only bewertet, erzwingt aber keine Sperre.
- Bei fehlendem Ereignis den anderen Benutzeranmeldungstyp, UTC-/Zeitzonenumrechnung und verfügbare Aufbewahrung prüfen. Die Beweislücke dokumentieren, statt das Konto als sicher einzustufen.
| Ergebnis | Aktion |
|---|---|
| Neue Anmeldung und ursprüngliche Aktion funktionieren | Erwartete MFA-Prüfung dokumentieren und die Abschlussprüfung durchführen. |
| Eine erkannte MFA-Prüfung kann nicht abgeschlossen werden | Identität mit dem genehmigten Helpdesk-Verfahren prüfen und die konkrete Methode oder Registrierung reparieren. Nicht nach dem aktuellen Einmalcode fragen. |
| Browser funktioniert, einzelner Client oder Integration scheitert | Mit dem Anwendungsverantwortlichen interaktive Anmeldung und Claims-Challenge-Verarbeitung prüfen. |
| Geräte-, Standort- oder Authentifizierungsstärke-Anforderung ist nicht erfüllt | Genehmigtes Gerät oder Verfahren verwenden. Falsche Zuweisungen oder Konfiguration vom Richtlinienverantwortlichen prüfen lassen. |
| Benutzer bestreitet Aktivität oder Beweise widersprechen sich | Den Ablauf für verdächtige Anmeldungen verwenden und ungeklärte Beweise ausdrücklich festhalten. |
Vor einem Reset den genauen Fehler lesen
50076 fordert eine MFA-Prüfung an. 50079 verlangt eine MFA-Registrierung. 53003 bedeutet, dass Conditional Access den Zugriff blockiert hat. Den protokollierten Code und Fehlergrund verwenden, statt alle drei als Authenticator-Fehler zu behandeln. Microsoft-Fehlerreferenz.
- Einen fehlgeschlagenen und einen erfolgreichen Versuch desselben Benutzers vergleichen. Anwendung, Ressource, Gerät und Uhrzeit festhalten. Eine Browseranmeldung an einer anderen Ressource ist kein gleichwertiger Test.
- Unter Authentication Details zwischen versuchter Methode, erfolgreicher Methode und einer durch vorhandenen Claim erfüllten Anforderung unterscheiden. Ein sehr neues Ereignis erneut öffnen, bevor ein fehlender Schritt angenommen wird.
- Unter Conditional Access die durchsetzende Richtlinie und unerfüllte Kontrolle dokumentieren. Report-only kann selbst keinen Zugriff blockieren. Fehlende Richtlinieneinträge schließen Security defaults oder benutzerbezogene MFA nicht aus.
- Bei einer Schleife das nächste Fehlerereignis nach einem frischen interaktiven Versuch erfassen. Bei anderer Anwendung oder nachgelagerter Ressource beide Ereignisse dem Anwendungsverantwortlichen geben.
Beispiel: Outlook im Browser funktioniert, ein Flow meldet weiter 50076. Der nächste sinnvolle Test betrifft dessen Verbindung und Zielressource unter den erforderlichen Kontrollen, keinen erneuten Kennwortreset.
Den konkreten Anmeldepfad reparieren
Bei einer erwarteten Sitzung in der betroffenen App erneut anmelden und die Aktion wiederholen. Die Anwendung muss eine interaction-required-Antwort verarbeiten und einen unterstützten interaktiven Ablauf für die Ressource starten. Wiederholte stille Tokenanforderungen lösen das Problem nicht.
Bei einer defekten Power-Automate-Verbindung zuerst Connector-Ressource und Conditional-Access-Anforderungen prüfen. Danach die Verbindung mit genehmigtem Konto und Gerät reparieren oder neu erstellen. Verbindungsreferenzen und betroffene Flows vorher sichern und anschließend einen repräsentativen Flow ausführen.
Eine Richtlinie nur ändern, wenn der Verantwortliche die falsche Konfiguration bestimmt hat. Vorherige Einstellungen sichern, Änderung begrenzen und Rücknahme vorbereiten. Eine breite MFA-Ausnahme ist eine gesonderte Sicherheitsänderung.
Nur die tatsächlich betroffene Methode reparieren
Nach der Identitätsprüfung durch den Helpdesk öffnet ein berechtigter Authentifizierungsadministrator Entra ID > Users > Benutzer > Authentication methods. Die fehlende oder unbrauchbare zugelassene Methode ermitteln. Die Rolle muss dieses Zielkonto einschließlich seines möglichen Administratorstatus verwalten dürfen.
Require re-register MFA entfernt Telefonnummern, Authenticator-Registrierungen und Software-OATH-Methoden und deaktiviert Hardware-OATH-Token. Diese Wiederherstellung hat Auswirkungen und ist keine Standardlösung für jeden 50076. Vorher einen genehmigten Weg zur erneuten Registrierung vorbereiten.
Bei einer eigenen Anwendung muss der Entwickler die Claims Challenge in die unterstützte interaktive Anmeldung übernehmen. Ein kennwortbasierter Hintergrundprozess kann sie nicht erfüllen. Keine Token in Diagnosetickets aufnehmen.
Microsoft: Authentication methods · Microsoft: Claims challenges
Die Ressource prüfen, nicht nur den Anmeldebildschirm
Verursacht eine begrenzte Richtlinienänderung eine Regression, stellt der autorisierte Verantwortliche die gesicherte Konfiguration wieder her und untersucht weiter. MFA-Schutz nicht als informellen Rollback aufheben.
Eine verwertbare Supportübergabe vorbereiten
Vollständige Beweise im genehmigten System Ihrer Organisation behalten. Externe Anfragen mit einer bereinigten Zusammenfassung beginnen; vor Logübertragung einen sicheren Kanal vereinbaren.
Problem: AADSTS50076 Betroffene App und Ressource: Benutzer erkennt Versuch: ja / nein / ungeklärt Zeit und UTC-Offset: Ergebnis der neuen interaktiven Anmeldung: Ermittelte Anforderung oder Richtlinie: Änderung und Test der ursprünglichen Aktion: Fehlende Beweise / nächster Verantwortlicher: