Microsoft Entra ID: Neuer Löschschutz lässt sich selbst von Administratoren nicht deaktivieren
Microsoft erweitert die Sicherheitsfunktionen von Entra ID um einen zusätzlichen Schutz gegen den versehentlichen oder unerlaubten Verlust wichtiger Benutzerkonten und anderer Verzeichnisobjekte. Die neue Funktion trägt den Namen Hard Deletion Protection und soll verhindern, dass besonders wichtige Einträge unmittelbar und unwiderruflich gelöscht werden können.
Das Besondere daran: Einmal aktiviert, lässt sich der Schutz für das jeweilige Objekt nicht mehr abschalten. Auch Administratoren mit weitreichenden Berechtigungen können diese Entscheidung nicht rückgängig machen.
Stattdessen schreibt Microsoft eine Wartezeit von sieben Tagen vor, bevor ein entsprechend geschütztes Objekt endgültig gelöscht werden darf.
Die Funktion befindet sich aktuell noch in der öffentlichen Vorschau und richtet sich vor allem an Unternehmen, die ihre Microsoft-Entra-Umgebung besser gegen Fehlbedienungen und gezielte Löschaktionen absichern möchten.
Was steckt hinter Hard Deletion Protection?
Microsoft Entra ID ist für viele Unternehmen die zentrale Plattform zur Verwaltung von Identitäten und Zugriffsrechten.
Hier werden unter anderem Benutzerkonten, Gruppen, Anwendungen und deren Berechtigungen verwaltet.
Gerade in größeren Umgebungen kann der Verlust eines wichtigen Objekts erhebliche Auswirkungen haben.
Wird beispielsweise ein Benutzerkonto oder eine geschäftskritische Anwendung gelöscht, können Anmeldungen, automatisierte Prozesse oder der Zugriff auf bestimmte Dienste beeinträchtigt werden.
Microsoft bietet deshalb bereits seit längerer Zeit eine Wiederherstellungsmöglichkeit für gelöschte Verzeichnisobjekte.
Normalerweise bleiben unterstützte Objekte nach dem Löschen zunächst für 30 Tage erhalten.
Dieser Vorgang wird als Soft Delete bezeichnet.
Während dieses Zeitraums können Administratoren die gelöschten Einträge wiederherstellen.
Allerdings gibt es bisher eine Schwachstelle in diesem Konzept: Ein ausreichend berechtigter Administrator kann ein solches Objekt auch vor Ablauf der 30 Tage dauerhaft entfernen.
Damit ist eine Wiederherstellung über die gewöhnliche Entra-ID-Löschfunktion nicht mehr möglich.
Genau hier setzt Hard Deletion Protection an.
Sieben Tage Schutz vor endgültigem Löschen
Wird Hard Deletion Protection für ein unterstütztes Objekt aktiviert, kann es weiterhin ganz normal vorläufig gelöscht werden.
Allerdings verhindert Microsoft anschließend für sieben Tage, dass der Eintrag endgültig entfernt wird.
Das bedeutet konkret:
Ein Administrator kann beispielsweise ein geschütztes Benutzerkonto löschen.
Das Konto verschwindet daraufhin aus der normalen Verwaltung und wird in den Bereich für gelöschte Objekte verschoben.
Dort bleibt es zunächst wiederherstellbar.
Selbst wenn ein Administrator versucht, das Konto unmittelbar danach dauerhaft zu löschen, wird dieser Vorgang innerhalb der ersten sieben Tage blockiert.
Erst nach Ablauf dieser Frist ist eine endgültige Löschung wieder möglich.
Der entscheidende Unterschied besteht also darin, dass auch privilegierte Administratoren die siebentägige Wartezeit nicht umgehen können.
Das verschafft Unternehmen zusätzliche Zeit, um einen möglicherweise versehentlichen oder unberechtigten Löschvorgang zu erkennen.
Warum lässt sich der Schutz nicht mehr deaktivieren?
Die ungewöhnlichste Eigenschaft der neuen Funktion ist ihre dauerhafte Aktivierung.
Sobald Hard Deletion Protection für ein Objekt eingeschaltet wurde, bleibt diese Einstellung bestehen.
Microsoft erlaubt ausdrücklich keine spätere Deaktivierung.
Das gilt auch dann, wenn ein gelöschtes Objekt erfolgreich wiederhergestellt wird.
Wird dasselbe Objekt anschließend erneut gelöscht, beginnt automatisch eine neue Schutzfrist von sieben Tagen.
Damit verhindert Microsoft, dass jemand den Löschschutz einfach kurzfristig abschaltet, um ein wichtiges Objekt anschließend sofort endgültig zu entfernen.
Ich finde diesen Ansatz durchaus interessant.
Normalerweise haben Administratoren bei solchen Funktionen die Möglichkeit, Sicherheitseinstellungen nach Bedarf anzupassen.
Microsoft geht hier bewusst einen anderen Weg und macht die Entscheidung dauerhaft.
Aus Sicherheitssicht ist das nachvollziehbar.
Allerdings bedeutet es auch, dass Administratoren vor der Aktivierung sehr genau überlegen sollten, welche Objekte tatsächlich geschützt werden müssen.
Auch eine versehentliche Aktivierung lässt sich nicht rückgängig machen
Microsoft weist ausdrücklich darauf hin, dass Hard Deletion Protection nicht als vorübergehende Einstellung gedacht ist.
Wer den Schutz versehentlich aktiviert, kann ihn anschließend nicht einfach wieder entfernen.
Soll das betroffene Objekt trotzdem dauerhaft gelöscht werden, bleibt nur der reguläre Weg:
Zunächst muss es vorläufig gelöscht werden.
Anschließend ist die siebentägige Wartezeit einzuhalten.
Erst danach kann das Objekt endgültig entfernt werden.
Das kann beispielsweise bei Testkonten oder kurzfristig angelegten Anwendungen etwas unpraktisch sein.
Gerade in Entwicklungs- und Testumgebungen werden solche Objekte teilweise häufig erstellt und wieder gelöscht.
Deshalb würde ich die Funktion nicht ohne vorherige Planung auf möglichst viele Einträge anwenden.
Für besonders wichtige Konten oder Anwendungen kann die dauerhafte Sperre sinnvoll sein.
Bei normalen Testobjekten wäre ich dagegen zurückhaltender.
Welche Objekte lassen sich schützen?
In der aktuellen Vorschau unterstützt Microsoft mehrere Arten von Entra-ID-Objekten.
Dazu gehören:
Benutzerkonten: Beispielsweise wichtige administrative oder geschäftlich genutzte Konten.
Cloudbasierte Gruppen: Gruppen, die direkt innerhalb von Microsoft Entra ID verwaltet werden.
Anwendungen: Registrierte Anwendungen, die für bestimmte Dienste oder Integrationen benötigt werden.
Dienstprinzipale: Identitäten, über die Anwendungen und automatisierte Prozesse auf Ressourcen zugreifen können.
Nicht unterstützt werden derzeit Benutzerkonten, die aus einem lokalen Active Directory synchronisiert werden.
Diese Einschränkung ist besonders für Unternehmen mit hybriden IT-Umgebungen wichtig.
Dort werden viele Benutzerkonten weiterhin lokal verwaltet und anschließend mit Microsoft Entra ID synchronisiert.
Für solche Konten gelten andere Anforderungen an die Wiederherstellung.
Microsoft weist außerdem darauf hin, dass die neue Funktion bestimmte Entra-Agent-ID-Objekte über die zugrunde liegenden unterstützten Objekttypen abdecken kann.
Für wen ist der neue Löschschutz sinnvoll?
Besonders interessant dürfte Hard Deletion Protection für größere Unternehmen und Organisationen sein.
Dort gibt es häufig Benutzerkonten und Anwendungen, deren Verlust unmittelbare Auswirkungen auf wichtige Geschäftsprozesse hätte.
Ein Beispiel sind spezielle Administratorkonten, die für die Verwaltung einer Microsoft-365-Umgebung benötigt werden.
Auch Anwendungen, über die automatisierte Prozesse oder externe Dienste auf Microsoft Entra zugreifen, können geschäftskritisch sein.
Werden solche Objekte unbeabsichtigt gelöscht, kann das erhebliche Störungen verursachen.
Noch problematischer wird es, wenn ein Angreifer Zugriff auf ein privilegiertes Administratorkonto erhält.
Unter Umständen könnte dieser versuchen, wichtige Identitäten oder Anwendungen dauerhaft aus dem Verzeichnis zu entfernen.
Die neue Schutzfunktion kann einen solchen endgültigen Verlust zumindest während der ersten sieben Tage verhindern.
Allerdings sollte man den Schutz nicht überschätzen.
Hard Deletion Protection verhindert nicht, dass ein Objekt zunächst gelöscht wird oder dass dadurch Dienste vorübergehend ausfallen.
Die Funktion sorgt lediglich dafür, dass eine endgültige Löschung nicht unmittelbar möglich ist.
Unternehmen benötigen deshalb weiterhin geeignete Berechtigungsmodelle, Überwachung und Wiederherstellungsverfahren.
So wird Hard Deletion Protection aktiviert
Microsoft hat die Verwaltung direkt in das Entra Admin Center integriert.
Für die Aktivierung wird mindestens die Rolle Microsoft Entra Backup Administrator benötigt.
Anschließend erfolgt die Einrichtung über die Verwaltungsoberfläche.
Die einzelnen Schritte sehen folgendermaßen aus:
Im Microsoft Entra Admin Center anmelden.
Den Bereich Backup and recovery öffnen.
Hard deletion protection auswählen.
Auf Add protection klicken.
Den gewünschten Objekttyp auswählen.
Die zu schützenden Objekte suchen und markieren.
Den Hinweis zur dauerhaften Aktivierung sorgfältig lesen.
Die Auswahl mit Save bestätigen.
Pro Vorgang können bis zu 20 Objekte desselben Typs ausgewählt werden.
Bereits geschützte Objekte werden bei der erneuten Auswahl nicht mehr angeboten.
Nach der Aktivierung zeigt die Verwaltungsoberfläche an, wie viele Objekte geschützt sind.
Zusätzlich lassen sich die geschützten Einträge nach Objekttyp aufrufen.
Microsoft protokolliert die Aktivierung außerdem in den Entra-Auditprotokollen.
Keine zusätzliche Lizenz für die derzeit unterstützten Objekte notwendig
Eine erfreuliche Nachricht betrifft die Lizenzierung.
Microsoft erklärt in seiner Dokumentation, dass für die derzeit unterstützten Objekttypen keine zusätzliche Lizenz erforderlich ist.
Das macht die Funktion gerade für Unternehmen interessant, die ihre bestehenden Schutzmaßnahmen erweitern möchten.
Allerdings befindet sich Hard Deletion Protection weiterhin in der öffentlichen Vorschau.
Microsoft kann deshalb bis zur allgemeinen Verfügbarkeit noch Änderungen an der Funktion vornehmen.
Ein offizieller Termin für die endgültige Veröffentlichung wurde bislang nicht genannt.
Wer die Funktion bereits jetzt einsetzen möchte, sollte deshalb die Voraussetzungen und Hinweise zur Preview-Version berücksichtigen.
Was passiert nach Ablauf der sieben Tage?
Ein wichtiger Punkt wird bei solchen Schutzfunktionen leicht missverstanden.
Die sieben Tage bedeuten nicht, dass ein Objekt danach automatisch endgültig gelöscht wird.
Vielmehr endet nach sieben Tagen lediglich die zusätzliche Sperre gegen eine vorzeitige endgültige Löschung.
Die gewöhnliche Wiederherstellungsfrist von bis zu 30 Tagen bleibt grundsätzlich bestehen.
Ein entsprechend berechtigter Administrator kann nach Ablauf der Schutzfrist allerdings wieder eine endgültige Löschung auslösen.
Erfolgt dies, ist eine Wiederherstellung über den normalen Papierkorb von Entra ID nicht mehr möglich.
Wird das geschützte Objekt dagegen innerhalb der Frist wiederhergestellt, bleibt Hard Deletion Protection weiterhin aktiviert.
Bei einer späteren erneuten Löschung beginnt die siebentägige Schutzfrist von vorn.
Damit ist die Funktion besonders für dauerhaft wichtige Identitäten und Anwendungen geeignet.
Mehr Sicherheit bedeutet auch weniger Flexibilität
Ich sehe in der neuen Funktion einen sinnvollen Ansatz, allerdings mit einer klaren Einschränkung.
In vielen IT-Umgebungen ist es üblich, dass Administratoren Einstellungen jederzeit wieder ändern können.
Das bietet Flexibilität, schafft aber auch Risiken.
Wenn ein Administrator versehentlich eine falsche Einstellung vornimmt oder ein Angreifer entsprechende Berechtigungen erhält, können wichtige Schutzmechanismen möglicherweise deaktiviert werden.
Microsoft unterbindet das bei Hard Deletion Protection bewusst.
Einmal aktiviert, bleibt die Schutzfunktion erhalten.
Das erhöht die Sicherheit gegen bestimmte Löschszenarien.
Gleichzeitig nimmt es Administratoren die Möglichkeit, diese Entscheidung später unkompliziert zu korrigieren.
Aus meiner Sicht ist das bei besonders wichtigen Objekten durchaus vertretbar.
Allerdings sollte die Aktivierung deshalb Teil eines geplanten Sicherheitskonzepts sein und nicht einfach nebenbei erfolgen.
Gerade in größeren Organisationen wäre es sinnvoll, vorab festzulegen, welche Konten und Anwendungen den zusätzlichen Schutz tatsächlich benötigen.
Fazit: Sinnvoller Schutz mit einer ungewöhnlichen Besonderheit
Mit Hard Deletion Protection führt Microsoft eine interessante Sicherheitsfunktion für Entra ID ein.
Geschützte Benutzerkonten, Gruppen, Anwendungen und Dienstprinzipale können künftig nicht mehr unmittelbar endgültig gelöscht werden.
Stattdessen gilt nach einer vorläufigen Löschung eine feste Wartezeit von sieben Tagen.
Besonders bemerkenswert ist dabei, dass sich die Funktion nach der Aktivierung nicht mehr abschalten lässt.
Auch Administratoren können diese Einstellung nicht rückgängig machen.
Ich halte diesen Ansatz für sinnvoll, wenn es um besonders wichtige Identitäten und Anwendungen geht.
Gerade bei versehentlichen Löschungen oder einem möglichen Angriff auf privilegierte Konten kann die zusätzliche Wartezeit entscheidend sein.
Allerdings sollte man genau wissen, was man aktiviert.
Die Funktion verhindert schließlich keine vorläufige Löschung und ersetzt auch keine umfassende Backup- oder Sicherheitsstrategie.
Für Unternehmen, die ihre Microsoft-Entra-Umgebung besser absichern möchten, ist Hard Deletion Protection trotzdem eine interessante Ergänzung.
Jetzt bleibt abzuwarten, wann Microsoft die Funktion aus der Vorschauphase entlässt und allgemein verfügbar macht.
Quellen
Neowin – Ivan Jenic, 12. November 2026
Microsoft introduces Entra security feature that even admins can't disable
https://www.neowin.net/news/microsoft-introduces-entra-security-feature-that-even-admins-cant-disable/
Microsoft Learn – Configure Hard Deletion Protection in Microsoft Entra (Preview)
Offizielle Dokumentation zur Einrichtung, den unterstützten Objekten und den Einschränkungen.
https://learn.microsoft.com/en-us/entra/backup/configure-hard-deletion-protection
Microsoft Learn – Backup, Difference Report and Recovery Model
Informationen zur Wiederherstellung und zum Umgang mit endgültig gelöschten Entra-ID-Objekten.
https://learn.microsoft.com/en-us/entra/backup/backup-difference-report-recovery-model
