MFA in Microsoft 365: Warum ein Passwort heute kein Sicherheitskonzept mehr ist

Es gibt Sätze, bei denen ich in der IT sofort hellhörig werde. Einer davon lautet: „Unsere Passwörter sind sicher genug.“ Das klingt beruhigend. Ist es aber meistens nicht.

Ein Passwort kann lang sein. Es kann Sonderzeichen enthalten. Es kann regelmäßig geändert werden. Es kann auf den ersten Blick ordentlich wirken. Und trotzdem kann es morgen in fremden Händen sein.

Nicht, weil der Mitarbeiter dumm war. Nicht, weil das Unternehmen fahrlässig gearbeitet hat. Sondern weil Passwörter heute ständig angegriffen werden: durch Phishing, gefälschte Microsoft-365-Anmeldeseiten, Datenlecks, wiederverwendete Passwörter, Schadsoftware, manipulierte Links, Angriffe auf private Geräte oder alte Zugangsdaten, die irgendwo im Netz landen.

Das Passwort ist nicht mehr der Tresor. Es ist oft nur noch der erste Schlüssel.

Und wenn dieser Schlüssel kopiert wurde, merkt man es häufig nicht sofort. Genau deshalb ist Mehr-Faktor-Authentifizierung, kurz MFA, kein technisches Extra mehr. MFA gehört heute zur Grundausstattung einer verantwortbaren Unternehmens-IT.

Microsoft 365 ist oft der wichtigste Zugang im ganzen Unternehmen

Viele Unternehmen denken bei IT-Sicherheit zuerst an Server, Firewall, Virenschutz oder Backup. Das ist alles wichtig. Aber in der täglichen Praxis ist ein Microsoft-365-Konto heute oft der zentrale Zugang zu fast allem.

• E-Mail, Teams, OneDrive und SharePoint
• Kalender, Kontakte, Dateien und interne Kommunikation
• Rechnungen, Angebote, Kundendaten und Personalthemen
• Freigaben, Weiterleitungen und externe Zusammenarbeit

Wenn ein Angreifer Zugriff auf ein Microsoft-365-Konto bekommt, hat er nicht einfach „nur E-Mail“. Er bekommt Einblick in Geschäftsabläufe. Er erkennt Kunden, Lieferanten, Projekte, Zahlungsflüsse, Zuständigkeiten und interne Abläufe. Er kann E-Mails mitlesen, Regeln einrichten, Weiterleitungen setzen, Dateien herunterladen und im Namen des Unternehmens schreiben.

Das ist der Punkt, den viele unterschätzen: Ein kompromittiertes Microsoft-365-Konto ist kein kleines Benutzerproblem. Es kann ein Unternehmensproblem werden.

Das Passwort ist nicht mehr die Grenze

Früher war das Sicherheitsdenken einfacher. Da gab es das Firmennetz, Server im Büro und Arbeitsplätze im Haus. Außen war das Internet. Innen war das Unternehmen.

Diese Grenze gibt es so nicht mehr. Heute wird von überall gearbeitet: im Büro, zuhause, unterwegs, auf dem Notebook, auf dem Smartphone, in Microsoft Teams, im Browser, über Apps, mit externen Dienstleistern, mit Kunden und mit Cloud-Diensten.

Die neue Grenze ist nicht mehr nur die Firewall. Die neue Grenze ist die Identität. Also die Frage: Wer meldet sich an? Von welchem Gerät? Von welchem Ort? Mit welchem Risiko? Auf welche Daten? Mit welchen Rechten?

Wenn diese Identität nur durch ein Passwort geschützt ist, ist das zu dünn. Denn ein Passwort kann gestohlen werden. Eine Identität muss stärker geschützt werden.

MFA ist kein Misstrauen gegenüber Mitarbeitern

Ein häufiger Einwand lautet: „Wir wollen unsere Mitarbeiter nicht nerven.“ Das verstehe ich. Niemand möchte unnötige Hürden einbauen. Niemand möchte, dass Mitarbeiter morgens zehn Minuten mit Anmeldungen kämpfen. Und niemand möchte eine IT, die den Betrieb ausbremst.

Aber MFA ist kein Misstrauen gegenüber Mitarbeitern. MFA ist Schutz für Mitarbeiter. Denn wenn ein Konto missbraucht wird, steht oft zuerst der Benutzer im Fokus. Dabei ist er häufig selbst Opfer.

Vielleicht hat er auf eine täuschend echte Mail geklickt. Vielleicht hat er seine Zugangsdaten auf einer gefälschten Seite eingegeben. Oder sein Passwort wurde aus einem alten Datenleck übernommen. MFA sorgt dafür, dass ein gestohlenes Passwort allein nicht reicht.

Der klassische Denkfehler: „Unsere Leute klicken nicht auf sowas“

Doch. Irgendwann klickt jemand. Das ist keine Beleidigung. Das ist Realität. Phishing-Mails sind heute nicht mehr nur schlecht übersetzte Nachrichten mit Prinzen, Erbschaften und offensichtlichen Fehlern.

Viele Angriffe sehen inzwischen professionell aus. Sie nutzen echte Logos, bekannte Dienste, glaubwürdige Absendernamen, aktuelle Themen, Zeitdruck und perfekte Nachbauten von Microsoft-Anmeldeseiten. Manchmal kommt der Angriff sogar aus einem echten, bereits kompromittierten Konto eines Geschäftspartners.

Im Tagesgeschäft, zwischen Telefon, Kunden, Terminen und Druck, reicht ein Moment. Deshalb ist die Aussage „Unsere Mitarbeiter fallen darauf nicht rein“ kein Sicherheitskonzept. Der bessere Ansatz lautet: Wir bauen unsere IT so auf, dass ein Fehler nicht direkt zum offenen Tor wird.

Was MFA eigentlich macht

MFA bedeutet: Für die Anmeldung reicht nicht nur ein Faktor. Ein Passwort ist etwas, das man weiß. Ein zweiter Faktor kann etwas sein, das man besitzt: ein Smartphone, eine Authenticator-App, ein Sicherheitsschlüssel oder ein Gerät. Oder etwas, das man ist beziehungsweise lokal bestätigt: Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Das Prinzip ist einfach: Ein Angreifer kann vielleicht ein Passwort erbeuten. Aber er hat nicht automatisch auch das zweite Element. Dadurch wird der Angriff deutlich schwieriger.

MFA macht ein Konto nicht unverwundbar. Das wäre eine falsche Versprechung. Aber MFA hebt die Hürde erheblich und verhindert viele Angriffe, die mit nur einem Passwort erfolgreich wären.

Nicht jede MFA ist gleich gut

Viele sagen: „Wir haben MFA aktiviert.“ Das ist gut. Aber es reicht nicht als Aussage. Man muss genauer hinschauen.

• Welche Methode wird genutzt?
• Für welche Benutzer ist MFA aktiv?
• Gilt MFA auch für Administratoren?
• Gilt MFA auch für externe Zugänge?
• Gibt es Ausnahmen?
• Sind alte Anmeldeprotokolle deaktiviert?
• Wer kann MFA zurücksetzen?
• Was passiert bei Handyverlust?
• Sind Notfallkonten sauber geregelt?
• Gibt es Schutz gegen MFA-Müdigkeit durch dauernde Push-Anfragen?

MFA ist nicht automatisch sauber eingeführt, nur weil irgendwo eine App-Abfrage erscheint. Eine halbherzig eingeführte MFA kann ein gutes Gefühl erzeugen, ohne wirklich konsequent zu schützen.

SMS ist besser als nichts, aber nicht die beste Lösung

Viele Unternehmen starten mit SMS-Codes. Das ist immer noch besser als gar keine MFA. Aber SMS ist aus Sicherheitssicht nicht ideal.

SMS kann über SIM-Swap-Angriffe, Mobilfunkprobleme, Weiterleitungen oder Phishing-Szenarien angreifbar sein. Außerdem ist SMS im Unternehmensalltag schwerer sauber zu kontrollieren, wenn private Rufnummern, Gerätewechsel und Mitarbeiterwechsel dazukommen.

Eine Authenticator-App ist in vielen Fällen der bessere Einstieg. Noch stärker sind phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys, wenn sie sauber eingeführt werden. Nicht jedes Unternehmen muss sofort mit der maximalen Lösung starten. Aber es braucht eine MFA-Strategie, die konsequent genug ist, um wirklich zu schützen.

Administratoren sind keine Ausnahme. Sie sind Priorität.

Wenn MFA eingeführt wird, gibt es manchmal eine gefährliche Ausnahme: „Für Admin-Konten machen wir das später.“ Das ist falsch herum. Gerade Administratoren müssen besonders geschützt werden.

Ein normales Benutzerkonto ist schon kritisch. Aber ein Administratorkonto ist deutlich gefährlicher. Damit können Einstellungen geändert, Benutzer angelegt, Sicherheitsregeln angepasst, Postfächer verwaltet, Weiterleitungen gesetzt, Datenbereiche freigegeben oder Schutzmaßnahmen ausgehebelt werden.

• MFA verpflichtend
• keine tägliche Arbeit mit Admin-Konto
• getrennte Benutzer- und Administrationskonten
• nur notwendige Rechte
• keine Rechte auf Vorrat
• regelmäßige Prüfung
• Notfallzugänge klar dokumentiert und abgesichert
• Protokollierung wichtiger Änderungen

Adminrechte sind kein Komfortmerkmal. Sie sind Verantwortung.

MFA ohne Rechtekonzept bleibt nur die halbe Wahrheit

MFA schützt die Anmeldung. Aber sie löst nicht automatisch alle Probleme. Wenn ein Benutzer nach erfolgreicher Anmeldung Zugriff auf zu viele Daten hat, bleibt das Risiko groß.

Deshalb gehört MFA immer mit einem Rechtekonzept zusammen. Wer braucht Zugriff auf welche Daten? Wer darf externe Freigaben setzen? Wer darf Postfächer anderer öffnen? Wer darf SharePoint-Berechtigungen ändern? Wer darf neue Benutzer anlegen? Wer ist globaler Administrator?

Wenn alle alles dürfen, schützt MFA nur den Eingang. Dahinter ist dann immer noch Chaos. Eine gute Sicherheitsstruktur besteht aus mehreren sauberen Schichten: MFA, Rechteverwaltung, Backup, Firewall, Patch-Management, Dokumentation, Notfallplan, Schulung und Monitoring.

Conditional Access: Nicht jede Anmeldung ist gleich riskant

In Microsoft-365-Umgebungen mit den passenden Lizenzen kann man mit bedingtem Zugriff arbeiten. Technisch heißt das Conditional Access.

Das Prinzip ist einfach: Nicht jede Anmeldung wird gleich behandelt. Eine Anmeldung vom bekannten Firmengerät aus dem Büro kann anders bewertet werden als eine Anmeldung aus einem fremden Land, von einem unbekannten Gerät, mitten in der Nacht, auf ein besonders sensibles Konto.

Gute IT-Sicherheit muss nicht heißen, alle Benutzer ständig maximal zu nerven. Gute IT-Sicherheit unterscheidet: Wer meldet sich an? Von welchem Gerät? Von welchem Standort? Auf welche Anwendung? Mit welchem Risiko? Ist das Gerät bekannt? Ist die Anmeldung ungewöhnlich?

Auf dieser Grundlage kann man Regeln definieren: MFA immer für Administratoren, MFA für Zugriffe außerhalb des Unternehmens, Blockieren alter Authentifizierungsverfahren, Einschränkungen für bestimmte Länder, zusätzliche Anforderungen bei riskanten Anmeldungen oder Zugriff nur von verwalteten Geräten für besonders sensible Bereiche.

Die alten Protokolle sind oft das vergessene Risiko

Ein wichtiger Punkt wird bei MFA gerne übersehen: alte Authentifizierungsverfahren. Man kann moderne MFA aktivieren und trotzdem alte Wege offenlassen, über die MFA nicht sauber greift. Das ist wie eine neue Sicherheitstür an der Vorderseite, während hinten noch ein altes Kellerfenster offensteht.

Gerade bei alten E-Mail-Clients, älteren Geräten, Scannerlösungen, Kopierern, Multifunktionsgeräten oder Spezialsoftware können noch veraltete Anmeldemethoden im Einsatz sein.

Deshalb reicht es nicht, MFA einfach nur einzuschalten. Man muss prüfen: Welche Apps und Geräte melden sich an? Welche Protokolle werden genutzt? Gibt es alte Clients? Gibt es SMTP-Relays? Gibt es Scanner, die E-Mails versenden? Gibt es Dienstkonten? Welche Ausnahmen wurden eingerichtet? Sind diese Ausnahmen wirklich nötig?

MFA muss benutzerfreundlich eingeführt werden

Eine schlechte MFA-Einführung erzeugt Widerstand. Wenn Mitarbeiter plötzlich nicht mehr arbeiten können, wenn niemand erklärt, was passiert, wenn Handys nicht vorbereitet sind, wenn Notfallprozesse fehlen oder wenn jede Anmeldung unnötig nervt, dann wird MFA als Störung empfunden.

Das muss nicht sein. Eine gute Einführung läuft geordnet: Umgebung prüfen, Benutzergruppen planen, Admin-Konten priorisieren, Methoden auswählen, Pilotbenutzer testen, sauber kommunizieren, Mitarbeiter begleiten, Ausnahmen dokumentieren und nachschärfen.

Mitarbeiter brauchen keine technische Vorlesung. Sie brauchen klare Antworten: Warum machen wir das? Was muss ich tun? Welche App nutze ich? Was passiert beim Handywechsel? Was ist eine verdächtige Anmeldeaufforderung? Wann soll ich nicht bestätigen?

„MFA-Müdigkeit“ ist real

Manche Angreifer versuchen, Benutzer mit wiederholten Anmeldebestätigungen zu überfluten. Irgendwann klickt jemand auf „Genehmigen“, nur damit die Meldung verschwindet. Das nennt man oft MFA-Fatigue oder Push-Bombing.

Deshalb ist die Art der MFA wichtig. Eine reine Push-Bestätigung ohne weitere Prüfung ist schwächer als Verfahren, bei denen der Benutzer eine Zahl bestätigen, den Kontext sehen oder eine phishing-resistentere Methode nutzen muss.

Für Unternehmen bedeutet das: MFA einführen ist Schritt eins. MFA richtig konfigurieren ist Schritt zwei. MFA regelmäßig prüfen ist Schritt drei.

Geschäftsführung und Buchhaltung besonders schützen

Nicht jedes Konto hat dasselbe Risiko. Ein Konto der Geschäftsführung ist besonders wertvoll. Ein Konto der Buchhaltung ist besonders wertvoll. Ein Konto mit Zugriff auf Bankkommunikation, Personalunterlagen oder Administrationsrechten ist besonders wertvoll.

Angreifer interessieren sich nicht nur für technische Administratoren. Sie interessieren sich für Menschen, die Entscheidungen treffen, Zahlungen freigeben, Rechnungen verarbeiten oder Vertrauen nach außen ausstrahlen. Wenn eine gefälschte Zahlungsanweisung aus einem echten Geschäftsführungs-Postfach kommt, ist der Schaden nicht theoretisch.

Externe Freigaben und Gästezugriffe nicht vergessen

Microsoft 365 macht Zusammenarbeit leicht. Das ist gut. Aber einfache Zusammenarbeit darf nicht zur unkontrollierten Tür werden. SharePoint, OneDrive und Teams ermöglichen externe Freigaben. Kunden, Partner, Steuerberater, Dienstleister oder Projektbeteiligte können eingebunden werden.

Aber wer prüft diese Freigaben? Welche externen Benutzer existieren? Welche Gäste sind noch aktiv? Welche Links wurden geteilt? Welche Daten sind extern erreichbar? Welche Gäste brauchen MFA? Wer räumt alte Zugänge auf?

MFA ist nicht nur eine Frage der internen Benutzer. Auch externe Zusammenarbeit braucht Regeln.

MFA und Backup gehören zusammen gedacht

Auf den ersten Blick haben MFA und Backup wenig miteinander zu tun. In der Praxis hängen sie eng zusammen. MFA soll verhindern, dass Angreifer überhaupt Zugriff bekommen. Backup sorgt dafür, dass man nach Fehlern, Angriffen oder Löschungen wiederherstellen kann.

Ein Unternehmen mit MFA, aber ohne getestetes Backup, ist nicht ausreichend vorbereitet. Ein Unternehmen mit Backup, aber ohne MFA, lässt einen der häufigsten Angriffswege unnötig offen. Gute IT-Sicherheit besteht nicht aus Einzelmaßnahmen. Sie besteht aus Zusammenspiel.

Der häufigste Fehler: MFA nur teilweise aktivieren

Viele Unternehmen aktivieren MFA irgendwann für einige Benutzer. Dann bleibt es dabei. Ein Teil ist geschützt. Ein Teil nicht. Einige Altgeräte brauchen Ausnahmen. Ein altes Konto bleibt offen. Dienstleisterzugänge werden vergessen. Administratoren haben Sonderregeln. Ein Notfallkonto wird nicht sauber kontrolliert. Externe Benutzer sind unklar.

So entsteht Flickwerk. Und Flickwerk ist in der IT gefährlich, weil es schwer zu überblicken ist. Besser ist ein klarer Plan: Welche Konten gibt es? Welche sind kritisch? Welche MFA-Methoden sind erlaubt? Welche Ausnahmen existieren? Wer genehmigt Ausnahmen? Wie lange gelten Ausnahmen? Wann werden sie geprüft? Wie werden neue Benutzer eingerichtet? Wie werden ausgeschiedene Benutzer entfernt?

Was Geschäftsführer dazu wissen müssen

Als Geschäftsführer müssen Sie keine Conditional-Access-Regel selbst schreiben. Aber Sie sollten die richtigen Fragen stellen.

• Ist MFA für alle Microsoft-365-Benutzer aktiv?
• Ist MFA für Administratoren verpflichtend?
• Gibt es Ausnahmen und sind diese dokumentiert?
• Welche MFA-Methoden werden genutzt?
• Sind SMS-Codes noch im Einsatz?
• Sind alte Anmeldeprotokolle deaktiviert?
• Gibt es getrennte Admin-Konten?
• Sind Gäste und externe Freigaben geregelt?
• Gibt es einen Ablauf bei Handyverlust?
• Wer kann MFA zurücksetzen?
• Wer prüft verdächtige Anmeldungen?
• Sind Geschäftsführung und Buchhaltung besonders geschützt?

MFA ist auch ein Signal an Kunden und Versicherer

IT-Sicherheit ist nicht mehr nur intern relevant. Kunden fragen nach. Versicherer fragen nach. Geschäftspartner fragen nach. Ausschreibungen fragen nach. Datenschutzbeauftragte fragen nach. Manchmal auch Banken, Steuerberater oder andere Beteiligte.

MFA ist dabei einer der Punkte, die schnell auf den Tisch kommen. Weil MFA verständlich ist. Weil MFA wirksam ist. Und weil fehlende MFA heute schwer zu erklären ist.

Was wir bei EDV Systeme Donner darunter verstehen

Wir betrachten MFA nicht als Häkchen in Microsoft 365. Wir betrachten MFA als Teil eines sauberen Sicherheits- und Betriebskonzepts. Die entscheidende Frage lautet nicht: „Ist irgendwo MFA eingeschaltet?“ Die bessere Frage lautet: Sind unsere Identitäten, Zugänge und sensiblen Konten so abgesichert, dass ein gestohlenes Passwort nicht mehr ausreicht?

Dazu schauen wir auf die gesamte Umgebung: Benutzer, Administratoren, Lizenzen, Microsoft-365-Dienste, Altgeräte, alte Protokolle, externe Freigaben, MFA-Methoden, besonders sensible Konten, Ausnahmen und Prozesse für neue Mitarbeiter, Handywechsel und ausgeschiedene Mitarbeiter.

Eine saubere Einführung läuft nicht nebenbei

Man kann MFA schnell einschalten. Aber ob das klug ist, hängt von der Umgebung ab. In kleinen, einfachen Strukturen kann es schnell gehen. In gewachsenen Umgebungen braucht es vorher Prüfung.

Sonst passiert genau das, was Unternehmen fürchten: Ein Scanner sendet keine Mails mehr. Ein altes Outlook funktioniert nicht mehr. Ein Dienstkonto fällt aus. Ein Mitarbeiter hat kein vorbereitetes Gerät. Ein Administrator sperrt sich aus. Ein externes Tool kann sich nicht anmelden.

Das sind lösbare Themen. Aber man sollte sie vorher sehen. Deshalb arbeiten wir strukturiert: Bestandsaufnahme, Risikoanalyse, MFA-Strategie, Pilotphase, Kommunikation, Einführung, Dokumentation, Nachkontrolle und regelmäßige Prüfung.

Typische Warnzeichen

• Microsoft 365 wird ohne MFA genutzt.
• MFA ist nur für einige Benutzer aktiv.
• Administratorkonten haben keine besonders starke Absicherung.
• SMS ist die einzige oder wichtigste MFA-Methode.
• Es gibt alte Outlook-Versionen oder alte Geräte, die Sonderwege nutzen.
• Externe Freigaben und Gästezugriffe sind nicht dokumentiert.
• Niemand weiß genau, wer MFA zurücksetzen darf.
• Es gibt keine klare Regel für Handyverlust oder Mitarbeiterwechsel.
• Verdächtige Anmeldungen werden nicht aktiv geprüft.
• Geschäftsführung und Buchhaltung sind nicht besonders abgesichert.
• Alte Dienstkonten oder ehemalige Mitarbeiterkonten existieren noch.

Der richtige erste Schritt

Der richtige erste Schritt ist nicht, blind irgendeine Einstellung zu aktivieren. Der richtige erste Schritt ist eine saubere Prüfung: Welche Konten gibt es? Welche Konten sind besonders kritisch? Welche MFA-Methoden sind aktuell aktiv? Welche Benutzer haben noch keine MFA? Welche Admin-Konten existieren? Welche alten Protokolle sind aktiv? Welche Anwendungen könnten betroffen sein? Welche Gäste und externen Zugriffe gibt es?

Danach kann man sauber entscheiden. Nicht hektisch. Nicht übertrieben. Nicht nach Bauchgefühl. Sondern so, dass Sicherheit steigt und der Betrieb weiterläuft.

Mein Fazit

Ein Passwort allein ist heute kein tragfähiges Sicherheitskonzept mehr. Nicht für Microsoft 365. Nicht für Administratoren. Nicht für Geschäftsführung. Nicht für Buchhaltung. Nicht für VPN. Nicht für externe Zugriffe. Nicht für Unternehmen, die E-Mail, Teams, SharePoint und OneDrive ernsthaft nutzen.

MFA ist kein Luxus. MFA ist Grundschutz. Aber MFA muss sauber eingeführt werden: nicht halbherzig, nicht nur für einige Benutzer, nicht ohne Blick auf alte Protokolle, Admin-Konten, Gästezugriffe, Ausnahmen und Wiederherstellungsprozesse.

Die entscheidende Frage lautet nicht: „Haben wir irgendwo MFA?“ Die entscheidende Frage lautet: Sind unsere wichtigsten Zugänge so geschützt, dass ein gestohlenes Passwort nicht mehr reicht?

Wenn Sie diese Frage nicht klar beantworten können, sollten wir miteinander sprechen – nicht erst nach einem Phishing-Vorfall, nicht erst, wenn ein Konto missbraucht wurde, nicht erst, wenn die Versicherung nachfragt, sondern jetzt, solange man geordnet handeln kann.

Häufige Fragen zu MFA in Microsoft 365

Ist MFA in Microsoft 365 wirklich notwendig?

Ja. Microsoft 365 ist in vielen Unternehmen der zentrale Zugang zu E-Mail, Teams, OneDrive, SharePoint, Dateien und Geschäftsprozessen. Ein Passwort allein ist dafür heute zu schwach.

Reicht SMS als MFA-Methode aus?

SMS ist besser als gar keine MFA, aber nicht die beste Lösung. Häufig ist eine Authenticator-App der bessere Einstieg, während phishing-resistente Verfahren wie FIDO2-Schlüssel oder Passkeys noch stärker sein können.

Muss MFA auch für Administratoren gelten?

Ja, gerade Administratorkonten müssen besonders geschützt werden. Sie haben weitreichende Rechte und sollten verpflichtend MFA nutzen, getrennt von normalen Benutzerkonten geführt und regelmäßig geprüft werden.

Was ist Conditional Access?

Conditional Access bedeutet bedingter Zugriff. Anmeldungen können abhängig von Benutzer, Gerät, Standort, Risiko und Anwendung unterschiedlich behandelt werden, zum Beispiel mit zusätzlicher MFA oder Blockierung.

Was ist der wichtigste erste Schritt?

Der wichtigste erste Schritt ist eine Bestandsaufnahme: Welche Konten gibt es, welche sind kritisch, welche MFA-Methoden sind aktiv, welche Ausnahmen bestehen und welche alten Protokolle oder Geräte könnten betroffen sein?