Das Scenario

[English Version] There is an english version available.

Sie haben bereits ein iPhone. Und gönnen sich ein Neues. Apple verspricht eine problemlose Übernahme der Daten. Nur die Geräte nebeneinander legen…
Apple lernt dazu. Es funktioniert fast alles. In der Vergangenheit hatte ich noch Probleme mit der WhatsUp App, es musste ein separates Backup aus WhatsUp durchgeführt und diese Daten dann am neuen iPhone importiert werden. Können wir vergessen. Die Signal App hat sich genau dem generellen Umzug aus Alt mach Neu angepasst. Neues und altes iPhone nebeneinanderlegen und dann werden alle verschlüsselten Daten vom alten iPhone auf das Neue übertragen.  Mein MVP-Kollege Raphael Köllner hat mir jedoch geflüstert, dass es mit dem Microsoft Authenticator Probleme gibt. Er schaufelt zwar die Konten von alten iPhone auf das Neue, aber auch ich habe nach dem Umzug im Microsoft Authenticator viele Warnungen gesehen.

Gerade IT Berater haben aber mehrere Mandanten, und daher ist es bei einem Wechsel die iPhone auf eine neue Version unumgänglich, die nachstehenden Informationen in Ruhe durchzulesen, bevor der Umzug beginnen soll.  Und da gerade Black Friday war, hat bestimmt der eine oder andere zugeschlagen. Deshalb hier der Artikel.

Entschuldigung: Je nachdem, auf welche Sprache die unterschiedlichen Tenants eingestellt sind, sind die Abbildungen in diesem Artikel in deutscher oder englischer Sprache abgebildet.

Flussdiagramm MFA Umzug

Hier ein stark vereinfachtes Modell des Umzuges vom Multifactor-Authentification (MFA):

Ich melde mich im Browser bei meinem Tenant an (1).
Dabei wird sowohl der Benutzername als auch das Passwort übermittelt (2).
Die von den Administratoren hinterlegten Voraussetzungen werden ausgelesen (3) und dargestellt. Dabei sind unterschiedliche Möglichkeiten möglich, z.B. Code muss auf einem anderen Gerät (5) der Code ausgelesen werden und auf dem Gerät (1) in ein Eingabefeld eingetragen werden. Oder aber es wird auf Gerät (1) eine Zahl angezeigt, und der Authenticator auf Gerät (4) muss diese Zahl eingegeben werden. Diese Information fließt dann wieder zurück bis zum Browser und dieser gewährt Zugriff (5 bis 8). Es gibt genügend technische Literatur über MFA im Internet., ich habe aber nichts für dem Umzug  gefunden.

Das ist auch nicht unser Problem. Denn in der Security Info ist ein oder mehrere Geräte und Methoden hinterlegt. Und mein neues iPhone ist da noch nicht hinterlegt. Deshalb erscheint eine oder mehrere Warnungen.

Lösung und Voraussetzungen:

• das alte iPhone -> hier iPhone OLD genannt.
• das neue iPhone – hier iPhone NEW genannt.
• eine Windows Gerät mit einem Browser, der Private Modus kann (Edge, Chrome).
• Internetverbindung.
• Zeit: Nehmen Sie sich genug Zeit, dann ist das ganze kein Problem.

Lösungsschritte:

[Update 26.12.23]

Start with -2-
-1- Beenden der Datensicherung in die Cloud
iPhone OLD: Zuerst beenden wir, falls noch nicht geschehen die Datensicherung in die Cloud in der Authenticator App: Hamburger Menü ->Einstellungen -> Sichern -iCloud Backup: Aus

-2- Anmelden im Browser

Windows Gerät: Starten Sie den Browser Ihres Windows Gerätes und wechseln Sie dort in den Privaten Modus. Die Browser Edge und Chrom behalten die Credentials auch über mehrere geöffneten Tabs bei, und im Private Mode sind sie zuerst nirgendwo angemeldet. Geben Sie die URL ein: https://www.office.com/

Klicken Sie auf Anmelden und Geben sie dann Anmeldenamen wie in der obigen Abbildung unter (1) zu sehen ein.

Nach Weiter erfolgt die Eingabe des Passwortes. Also nichts Besonderes. Da dieses Konto aber den MFA Regeln des Ziel-Tenants unterliegt, erscheint eine weitere Meldung im Browser:

Lassen Sie den Haken „Die nächsten 90 Tage nicht erneut fragen“ bestehen, wenn dieser angezeigt wird.

-3- MFA: Verifizieren durch Eingabe einer Nummer

iPhone OLD:  Ihr altes iPhone sollte sich bereits gemeldet haben, wenn nicht starten Sie die Microsoft Authenticator App:

Hier tragen Sie jetzt die Nummer vom Browser ihres Windows Gerätes ein und bestätigen sie mit „Ja“

-4- Aufruf der Seite Security Info

Zurück zum Windows Gerät. Öffnen Sie einen neuen Tab und geben dort den dynamischen Link https://aka.ms/mfasetup oder https://mysignins.microsoft.com/security-info ein. Es dauert einen Moment, bevor unter My Sign-Ins im Tab „Security Info“  (1) die unterschiedlichen Möglichkeiten der Authentifikation erscheinen.

Wichtig ist aber die Zeile „Microsoft Authenticator“ (2), wo nämlich das iPhone OLD erscheint, hier mit dem Namen „iPhone von Mr.OneDrive“(3). Natürlich ist es nicht der Name, der hier wichtig ist, hinterlegt ist dort ein Token. Die Seite dieses Tenants kennt also mein neues iPhone NEW nicht. Zeit das zu ändern.

-5- Neue Add sign-In Methode hinzufügen

Klicken Sie auf das +Zeichen bei Add sign-in Method (4) Methode und wählen dann die gleiche Methode aus, die beim iPhone OLD (2) hinterlegt war, also Authenticator app.

Dabei kann es jedoch zu einer Fehlermeldung kommen.

Es können nicht mehr als fünf Authenticator-Apps oder Methoden hinterlegt werden. Das ist mir bei einer Testumgebung in einer Citrix Umgebung passiert.

Hier musste ich also zuerst mein iPhone OLD löschen. Dies kommt jedoch nicht sehr häufig vor. Nach der Auswahl wird es Zeit zum neuen iPhone NEW zu greifen und den dort zur gleichen Meldung navigieren, die in den Warnungen angezeigt werden.

-6- Windows Gerät: QR Code zuweisen

Wir bleiben im Browser unseres Windows Gerätes. Den optionalen Download können wir überspringen.

Auf dem Bildschirm erscheint der Initial Meldung Set up your Account und wir überspringen mit Next um zum ersten von insgesamt vier Messages zu kommen.

Und nach dem Next erscheint jetzt der QR Code.

Wechseln zum iPhone NEW. Ein TAB auf die richtige Meldung, wo Ihr Eingreifen erforderlich ist, und auch bei der nächsten Meldung erscheint nach Ihrem TAB Ihre Kamera zum Scannen:

Das iPhone NEU zeigt jetzt den Scan-Modus. Scannen Sie jetzt den QR-Code aus dem Browser des Windows Gerätes.

-7- Fehlermeldung

Zwei Dinge, die auftreten können. Wenn keine Push Benachrichtigung aktiviert ist, kann dies nicht funktionieren. War aber auf dem iPhone OLD die Push Benachrichtigung aktiviert, so wird diese auch auf iPhone NEW übertragen. Lässt man sich aber zu viele Zeit, dann sollte man den Microsoft Authenticator beenden und neu starten.

-8- Testen des Authenticator

Im Browser unseres Windows Gerätes erscheint jetzt die Möglichkeit, diese Verbindung zu testen:

Im Browser des Windows-Gerätes zeigt den ersten von zwei Meldungen. Die Zahl merken wir und geben diese dann auf Ihrem iPhone NEW ein und dann sollten sie auch die Erfolgsmeldung sehen:

Danach wird das neue Gerät im Browser des Windows Gerätes angezeigt. Vollständig aber erst, wenn ein Refresh des Browsers (F5) durchgeführt wird.

Im Authenticator auf dem iPhone NEW sieht es dann so aus:

Es ist keine Warnung mehr zu sehen, dieses Konto wurde erfolgreich auf das neue iPhone umgestellt.

-9- Aufräumen

Man kann in der Security Info jetzt noch das iPhone OLD heraus löschen. Dann besteht keine Verbindung mehr zum iPhone OLD mehr, was das Authentifizieren mit diesem Konto angeht.

Wenn weitere Fehlermeldung diese Art auf dem iPhone NEW existieren, dann sollten wir die Private Browser Seseion auf dem Windows Gerät schließen und wieder bei -2- Anmelden im Browser beginnen.

Zusammenfassung

Ich habe das mit mehreren Konten, die alle die rote Warnung angezeigt haben, so durchgeführt. Beim ersten hat es länger gedauert, weil mir die Suchmaschine kein Ergebnis zum Problem zurückgebracht hat. Dann kam ich auf die Idee. Und dann ging es schnell. Nur beim Schreiben des Artikels hat es wieder etwas länger gedauert. Im Nachhinein ist mir auch klar geworden, warum das niemals automatisch ablaufen kann. Weil ja die Methode im jeweiligen Tenant und dem neuen iPhone miteinander bekannt gemacht werden müssen.

Mit dem Abarbeiten der obigen Punkte ist das ja relativ einfach:

• -2- Anmelden im Browser
• -3- MFA: Verifizieren durch Eingabe einer Nummer
• -4- Aufruf der Seite Security Info
• -5- Neue Add sign-In Methode hinzufügen
• -6- Windows Gerät: QR Code zuweisen
• -7- Fehlermeldung
• -8- Testen des Authenticator
• -9- Aufräumen

Links zu MFA

• Gewusst wie: Microsoft Entra-Multifactor-Authentifizierung
• Tutorial: Schützen von Anmeldeereignisasen für Benutzer mit MFA