Exchange Online - Standardauthentifizierung wird ab 1. Oktober permanent deaktiviert

Du kannst YubiKey, SmartCard&Co. vorher schon betanken, ja. Oder alternativ auch eine Authenticator App per MDM pushen und die Leute per QR-Code scannen lassen, oder das ganze Skripten, die Möglichkeiten sind vielfältig. SMS auf das Handy des Admins ist wohl eher eine blöde Idee, denn der User will sich ja einloggen nicht der Admin. Kommt halt auf den Mandaten, dessen Anforderungen etc. an.

Das ganze hört sich schlimmer an als es ist. i.d. Loggt man sich an den vertrauenswürdigen Geräten mit MFA einmal ein und es wird dann bspw. über Modern Auth in Outlook ein Token generiert den Outlook dann für weitere Logins verwendet und regelmäßig ein Refresh-Token anfordert. Es wird dann eben kein Kennwort auf dem Gerät gespeichert sondern ein eindeutiges Token für diese Gerät und App-Kombination für dieses Konto. Das verhindert das jemand anderes das Token auf einem anderen Device missbrauchen oder das Kennwort lokal im Klartext auslesen kann.
Das ganze soll einfach verhindern das sich jemand unbemerkt nur mit Credentials irgendwo anders in deinen Account einloggt.

Du meinst bei reinen OnPremise Exchange-Servern ohne Hybrid&Co? Nein, die betrifft das nicht, da kannst du weiterhin das Verfahren nutzen das Ihr wollt.

Servus @Xaero1982
Doch.

Also die "Standardauthentifizierung" ist ein Protokoll und das hat erst mal nur bedingt etwas mit der Multi Faktor Authentifizierung von M365 zu tun, für Exchange Online Anmeldungen wird MFA zur Pflicht wenn man es für seine User explizit aktiviert entweder über die Security Standards Policy, denn die schreibt MFA per Default vor, oder wenn man die "Security Standards Policy" deaktiviert lässt sie sich für einzelne User aktivieren oder deaktivieren. Es wird aber erst mal nur rein das Protokoll deaktiviert, MFA wird separat konfiguriert. Was bedeutet das nun? Nun, jegliche Software die kein ModernAuthentcation(OAuth) unterstützt um sich an einem Microsoft Online Konto anzumelden wird nicht mehr in Kombination mit M365 funktionieren. Outlook in den aktuellen Varianten haben das schon lange eingebaut, ein Office 2010 aber bspw. kann das nicht, denn es supported kein Modern Auth über OAuth!
Standardauthentifizierung übermittelt die Credentials generell immer im Klartext, das heißt aber nicht das diese jeder lesen könnte, da der Kanal in der Regel immer durch einen Https-Tunnel gekapselt ist! Das Problem hierbei ist das sich ein Angreifer in diese Kommunikation einklinken kann und dort die im Klartext lesbaren Credentials auslesen kann. Das will MS verhindern! Auch das diese Credentials von anderen Standorten aus genutzt werden können.
Wie funktioniert das nun mit OAuth? Nun, wenn sich ein User als bspw. mit Outlook mit seinem Account einloggen möchte, poppt der bekannte Web-Login-Dialog auf welcher schon als Teil von OAuth zu sehen ist. Im Hintergrund enthält dieser aufgerufene Weblink bereits ein Anwendungsspezifisches Token der für Outlook eindeutig ist. Der User loggt sich nun mit seinen Credentials ein und berechtigt die Anwendung (Outook) auf sein Konto zuzugreifen. Darauf hin sendet M365 ein Token (langer zufällig generierter String) an den Client welches dieser nun in seinem Keyring (Anmeldeinformationsverwaltung) ablegt. Dieses Token nutzt der Client von nun an für das Anmelden seines Kontos an Outlook. Diese Token hat auch nur eine gewisse Gültigkeit. Wenn die Gültigkeit abgelaufen ist gibt es ein sogenanntes Refresh Token mit dem Outlook nach dem Timeout des vorherigen Tokens ein neues bei den M365 Servern anfordern kann.
Der Vorteil hierbei, es werden dabei in keinster Weise mehr die eigentlichen Credentials im Klartext übermittelt sondern immer nur ein Token das dabei abhängig ist vom Computer, der Anwendung und dem Zeitpunkt. Ein Angreifer der das Token abfängt kann damit also nichts anfangen.

Für User selber ändern sich also nichts, so lange diese aktuelle Software einsetzen die Moderne Authentifizierung über OAuth supportet. Für Geräte die M365 über SMTP Auth als Smarthost benutzen wie bspw. Drucker, Router usw. ändert sich ebenfalls nichts wenn es noch aktive Geräte in dem jeweiligen Tenant gibt die es nutzen!

Für IMAP & SMTP, POP & Co. hat MS übrigens eine Erweiterungen eingeführt (SASL XOAUTH2) die diese Protokolle ebenfalls Token-Fähig machen. Als User von einem aktuellen Outlook merkt man davon nichts da Outlook erkennt wenn man sich via IMAP mit einem M365 Konto verbinden möchte, dann nutzt es im Hintergrund automatisch diese Erweiterung des IMAP/POP Protokolls.

Um herauszufinden welcher eurer Benutzer noch Software und Logins mit Basic-Auth verwendet filtert die Anmeldeereignisse der Benutzer im Azure Portal folgendermaßen


Damit kann man dann die alten Clients ausmerzen bis keine Anmeldungen dieser mehr auftauchen. Anschließend kann man Basic Auth endültig gefahrlos deaktivieren.

Hoffe das war jetzt mit dem Background darüber etwas verständlicher was "Standardauthentifizierung" tatsächlich bedeutet.

Grüße Uwe

Ja.
Davon würde ich ehrlich gesagt nicht ausgehen.
Immer gerne .

Das ist i.O. ROPC ist schon OAuth, Für OL 2016 siehe auch
Konfigurationsanforderungen für die moderne Authentifizierung für den Übergang von Office 365 dedizieren/ITAR zu vNext

Du kannst im Filter zusätzlich noch "Authentifizierungsprotokoll" auf "keine" setzen dann verschwinden die auch noch hatte ich vergessen (ist aber oben ergänzt) .