Fokus: Intune, Azure/Entra, Copilot, KI und Microsoft 365 für Admins und Enterprise-Teams. Die Meldungen der Vorwoche findet ihr in der Ausgabe KW 45.
Das Wichtigste in 30 Sekunden
- Windows: Am 10. November gibt es das letzte Update für Windows 11 23H2 Enterprise und Education, Microsoft rät zu kürzeren Patch-Zyklen.
- Entra ID: Microsoft-SMS und -Sprachanruf für MFA laufen ab dem 1. Februar 2027 gestaffelt aus, betroffene Nutzer brauchen vorher eine andere Methode.
- Exchange Online: Apps mit der Admin API müssen bis 30. November auf die neuen Berechtigungen umgestellt sein, sonst verlieren sie ab Dezember den Zugriff.
01 // Windows: Letzter Patch für 23H2 Enterprise, Microsoft drängt auf kürzere Patch-Zyklen
Quelle: Microsoft 365 Message Center (MC1540093), Windows Message Center | Datum: 2026-11-02 / 2026-11-05
Mit dem Patchday am 10. November bekommen Windows 11, Version 23H2, Enterprise und Education ihr letztes Sicherheitsupdate. Parallel hat Microsoft am 5. November einen Beitrag zum Schwachstellenmanagement veröffentlicht: Weil KI das Finden und Auswerten von Lücken beschleunigt, können Angreifer veröffentlichte Fixes schneller analysieren und ausnutzen. Microsoft empfiehlt deshalb, Geräte auf unterstützten Versionen zu halten und die Zeit zwischen Veröffentlichung und Installation von Updates zu verkürzen, etwa mit Windows Autopatch und Hotpatch. Schon am 2. November kam ein Leitfaden für risikobasiertes Patchen von Windows Server dazu, mit getrennten Prozessen für Routine-, beschleunigte und Notfall-Updates.
Was heißt das für Admins? Sucht vor dem Patchday nach Geräten, die noch auf 23H2 laufen, und zieht sie auf eine unterstützte Version, Microsoft empfiehlt 25H2. Prüft eure Update-Ringe: Wie viele Tage liegen bei euch zwischen Patchday und Installation, und ist das für Sicherheitsupdates noch vertretbar? Wie Deferrals und Deadlines sauber zusammenspielen, steht in Sektion 22 zu WUfB.
Originalquelle lesen | Windows Message Center
02 // Entra ID: Microsoft-SMS und -Sprachanruf für MFA laufen ab Februar 2027 aus
Quelle: Microsoft 365 Message Center (MC1540327), Microsoft Entra Blog | Datum: 2026-11-05 / 2026-11-06
Microsoft informiert Tenants, in denen Nutzer nur SMS oder Sprachanruf als MFA-Methode registriert haben und sich in Sitzungen ohne Passkey-Unterstützung anmelden, etwa in eingebetteten Browsern oder nativen Apps ohne Broker. Wenn die von Microsoft bereitgestellte SMS- und Sprachzustellung abgeschaltet wird, können diese Nutzer ihre MFA dort nicht mehr abschließen. Der gestaffelte Rollout beginnt am 1. Februar 2027 für normale Nutzer und am 1. Juli 2027 für globale Administratoren und externe Nutzer. Microsoft nennt keinen genauen Termin pro Tenant. Die Meldung wurde bisher vor allem in EDU-Tenants gesehen. Passend dazu ist seit dem Entra-Update im November die Option allgemein verfügbar, einen eigenen Telefonie-Anbieter (Soprano, Telesign, Infobip) für SMS und Anrufe einzubinden.
Was heißt das für Admins? Exportiert die Registrierungsdetails der Authentifizierungsmethoden und filtert auf Nutzer, die nur SMS oder Anruf haben. Diese Nutzer sollten vor Februar Authenticator-Push, passwortlose Anmeldung oder TOTP einrichten, und zwar in genau den Apps und Browsern, die sie täglich nutzen. Wer SMS behalten muss, plant den eigenen Telefonie-Anbieter ein. Die Grundlagen zu Authentifizierungsmethoden findet ihr in Sektion 02.
Originalquelle lesen | Entra-Blog November 2026
03 // Entra ID: Passkey als erste MFA-Methode, CAE mit Geräterisiko, Hybrid Join per Cloud Sync
Quelle: Microsoft Entra Blog – What’s new in Microsoft Entra: November 2026 | Datum: 2026-11-06
Im Monatsüberblick vom 6. November nennt Microsoft mehrere allgemein verfügbare Neuerungen. Nutzer können einen Passkey oder eine passwortlose Methode direkt als erste MFA-Methode registrieren, der Rollout läuft bis Februar 2027. Universal Continuous Access Evaluation wertet jetzt auch Geräte- und Benutzerrisiko aus: Wird ein Gerät deaktiviert oder als nicht konform erkannt oder gibt es ein hohes Benutzerrisiko, fordert der Global-Secure-Access-Client innerhalb von zwei Minuten eine neue Anmeldung an. Entra Cloud Sync kann außerdem AD-Computerobjekte nach Entra ID synchronisieren und damit Hybrid Join ermöglichen. In der Vorschau gibt es Lebenszyklusrichtlinien für Agent-Identitäten mit einer Standardregel, die Besitzer nach 60 Tagen Inaktivität benachrichtigt und die Identität ohne neue Aktivität deaktiviert.
Was heißt das für Admins? Wer noch Entra Connect Sync nur wegen Hybrid Join betreibt, kann jetzt prüfen, ob Cloud Sync reicht. Die CAE-Erweiterung greift nur mit dem Global-Secure-Access-Client, also erst dort testen, wo er schon läuft. Wie Compliance und Conditional Access zusammenhängen, steht in Sektion 20. Schaut außerdem, welche Agent-Identitäten es im Tenant gibt, bevor die 60-Tage-Regel sie deaktiviert.
04 // Exchange Online: Neue Berechtigungen für die Admin API, Umstellung bis 30. November
Quelle: Microsoft 365 Message Center (MC1540345) | Datum: 2026-11-05
Microsoft ersetzt die Berechtigungen für die Exchange Online Admin API v2.0: Aus Exchange.ManageV2 wird Exchange.AdminAPI.Manage, aus Exchange.ManageAsAppV2 wird Exchange.AdminAPI.ManageAsApp. Die neuen Berechtigungen gibt es seit dem 1. November, die Umstellung soll bis zum 30. November erledigt sein, ab dem 1. Dezember 2026 sind die alten Berechtigungen abgekündigt. Endpunkte, API-Version und Funktionen bleiben gleich, die Exchange-RBAC-Rollen gelten weiter. Apps, die danach nur die alten Berechtigungen haben, verlieren den Zugriff.
Was heißt das für Admins? Geht in Entra ID unter App-Registrierungen und Unternehmensanwendungen durch, welche Apps die alten Berechtigungen nutzen. Neue Berechtigung hinzufügen, Admin-Consent erteilen, testen und erst dann die alte entfernen. Denkt auch an Automatisierungen und Drittanbieter-Tools, die Postfächer verwalten, und fragt dort aktiv nach. Drei Wochen sind knapp.
05 // Defender for Office 365: „Move to Quarantine“ kommt später als geplant
Quelle: Microsoft 365 Message Center (MC1523084, aktualisiert) | Datum: 2026-11-05
Die neue Bereinigungsaktion „Move to Quarantine“ in Defender for Office 365 Plan 2 startet erst Ende November statt Anfang November, der Abschluss ist für Mitte Januar 2027 statt Mitte Dezember geplant. Damit verschieben Admins verdächtige Mails aus Posteingang, Junk-E-Mail, gelöschten Elementen und wiederherstellbaren Speicherorten direkt in die Defender-Quarantäne. Dabei lässt sich die Quarantänerichtlinie auswählen, standardmäßig sehen nur Admins die Nachrichten. Für die Genehmigung der Aktion ist die Rolle „Search and Purge“ nötig.
Was heißt das für Admins? Plant die Aktion in eure Incident-Response-Playbooks ein, aber noch nicht als festen Schritt für diesen Monat. Prüft schon jetzt, wer im SOC die Rolle „Search and Purge“ hat und welche Quarantänerichtlinie für diesen Fall sinnvoll ist. Der Vorteil gegenüber Soft Delete: Die Mail bleibt prüfbar und lässt sich freigeben.
06 // Copilot Cowork: Power-Platform-Connectors werden im Microsoft 365 Admin Center gesteuert
Quelle: Microsoft 365 Message Center (MC1542062) | Datum: 2026-11-06
Copilot Cowork unterstützt Power-Platform-Connectors, die als Plugins veröffentlicht sind. Admins erlauben oder blockieren sie im Microsoft 365 Admin Center unter „Agents > Tools“. Cowork hält sich daran, auch bei Verbindungen, die vor einer Sperre angelegt wurden, und die Regeln gelten auch für Cowork-Automatisierungen. Wichtig: DLP-Richtlinien aus dem Power Platform Admin Center gelten für Cowork nicht. Der Rollout soll bis Mitte November abgeschlossen sein.
Was heißt das für Admins? Wer seine Connector-Governance bisher nur über Power-Platform-DLP regelt, hat hier eine Lücke. Geht die Liste unter „Agents > Tools“ durch und blockiert alles, was nicht ausdrücklich freigegeben ist. Stimmt das mit dem Team ab, das die Power-Platform-DLP pflegt, damit beide Listen zusammenpassen.
07 // Windows 365: Lokale Admin-Rechte allgemein verfügbar, alte Benutzereinstellungen laufen aus
Quelle: Microsoft Learn – What’s new in Windows 365 Enterprise | Datum: Woche vom 2026-11-02
Die Einstellung „Enable local admin“ in den Cloud-PC-Konfigurationen in Intune ist jetzt allgemein verfügbar. Gleichzeitig wird der Reiter „User settings“ in den Cloud-PC-Einstellungen in „User settings (legacy)“ umbenannt, neue Richtlinien lassen sich dort nicht mehr anlegen. Bestehende Richtlinien bleiben vorerst bearbeitbar und gelten bis zur Migration weiter. Neu in der Vorschau ist eine automatische Deprovisionierung für Windows 365 Reserve: Cloud PCs, mit denen sich niemand verbindet, werden nach einem festgelegten Schwellenwert entfernt, die restlichen Reserve-Tage bleiben erhalten.
Was heißt das für Admins? Wenn ihr noch Richtlinien unter „User settings“ habt, baut sie jetzt in den neuen Konfigurationen nach, statt auf das Abschaltdatum zu warten. Lokale Admin-Rechte auf Cloud PCs solltet ihr nur gezielt und gruppenbasiert vergeben, am besten mit dokumentierter Begründung. Für Reserve lohnt sich ein Test der Deprovisionierung, damit Notfall-Kontingente nicht ungenutzt verbraucht werden.
08 // OneDrive: Kommandozeilen-Tool odcli für den Sync-Client angekündigt
Quelle: Microsoft 365 Roadmap (RM578910) | Datum: 2026-11-05
Microsoft hat in der Roadmap das Kommandozeilen-Tool odcli angekündigt. Damit sollen Nutzer, IT-Admins und Support den OneDrive-Sync-Client über die Kommandozeile prüfen und verwalten können: Sync-Status, Konten, Konfiguration und Richtlinien. Die Ausgabe ist als JSON möglich, damit Skripte und Management-Tools sie weiterverarbeiten können. Das Tool ist für Windows und Mac geplant, als Termin für die allgemeine Verfügbarkeit nennt Microsoft März 2027.
Was heißt das für Admins? Noch ist nichts zu tun, das Tool ist in Entwicklung. Für Remediations und Support-Skripte ist es aber interessant: Ein sauberer JSON-Status zum Sync-Client ersetzt viele Registry- und Log-Abfragen. Merkt es euch für die Planung im Frühjahr.
Admin-Fazit: Diese Woche hat zwei echte Fristen. Bis zum Patchday die letzten 23H2-Geräte hochziehen und bis 30. November die Exchange-Admin-API-Berechtigungen umstellen. Danach Nutzer finden, die nur SMS oder Anruf als MFA haben, und ihnen bis Februar eine andere Methode geben. Für Copilot Cowork die Connector-Liste im Admin Center prüfen, weil die Power-Platform-DLP dort nicht greift.