Content Security Policy: Microsoft lässt Unternehmen keinen Opt-out

Microsoft verstärkt die Sicherheitsvorgaben für seinen zentralen Anmeldedienst im Web. Ab Mitte bis Ende Oktober 2026 erzwingt das Unternehmen eine sogenannte Content Security Policy auf der Browser-Sign-in-Seite login.microsoftonline.com. Die Maßnahme wird im Rahmen eines weltweiten Rollouts umgesetzt und ist Teil der unternehmenseigenen Sicherheitsinitiative Secure Future Initiative, wie aus einem Bericht vom 17. Oktober 2026 hervorgeht.

Mit diesem Schritt soll die Angriffsfläche auf der Anmeldeseite verringert werden, über die täglich Millionen von Identitätsprüfungen für Cloud-Dienste und Unternehmensanwendungen abgewickelt werden.

Strenge Vorgaben blockieren nicht autorisierte Skripte

Kern der technischen Umstellung ist eine rigorose Begrenzung der Skripte, die im Kontext der Entra-Anmeldeseite im Browser ausgeführt werden dürfen. Künftig lässt die Sicherheitsrichtlinie ausschließlich Script-Nonces sowie definierte Ursprünge von Microsoft-Domains zu. Jedes Skript, das diesen Kriterien nicht entspricht, wird vom Browser automatisch blockiert.

Diese Verschärfung hat unmittelbare Auswirkungen auf Webbrowser-Erweiterungen, die clientseitig Code in die aufgerufene Seite einbetten. Betroffen sind diverse Werkzeuge, die auf das Injizieren von JavaScript angewiesen sind.

Angesichts der zunehmenden Sicherheitsvorgaben bei großen Cloud-Anbietern wird die passwortlose Anmeldung als Alternative immer wichtiger. Dieser kostenlose Report zeigt, wie Sie moderne Passkeys bei Microsoft und anderen Diensten einrichten, um Ihre Konten optimal zu schützen. Was hinter der neuen Passkey-Technologie steckt, jetzt gratis nachlesen

Dazu zählen unter anderem Passwort-Manager, die Eingabefelder automatisch erkennen und befüllen, Overlays für barrierefreie Bedienung sowie Session-Recorder und Monitoring-Tools. Wenn solche Drittanbieter-Erweiterungen versuchen, externen Code in die Sign-in-Maske einzuschleusen, schlägt die Ausführung künftig fehl.

Bestimmte Schnittstellen und Konfigurationen bleiben ausgenommen

Die strikte Richtlinie gilt nach den vorliegenden Angaben jedoch nicht uneingeschränkt für alle Anmeldeszenarien im Microsoft-Ökosystem. Ausdrücklich nicht betroffen sind Konfigurationen von Entra External ID, bei denen benutzerdefinierte Domains oder CIAM-Domains genutzt werden.

Ebenso bleiben Authentifizierungsabläufe unberührt, die auf der Microsoft Authentication Library basieren und direkt mit den Schnittstellen des Entra Security Token Service interagieren. Auch Anmeldevorgänge außerhalb klassischer Webbrowser, etwa in nativen Desktop-Programmen oder mobilen Anwendungen, unterliegen diesen Beschränkungen nicht, sofern sie die Standard-Webseite nicht direkt einbinden.

Wer sich mit der Absicherung digitaler Identitäten befasst, sollte auch die wachsende Zahl gehackter Online-Konten im Blick behalten. Mit der neuen Passkey-Methode melden Sie sich sicher per Fingerabdruck oder Gesichtserkennung an und umgehen klassische Sicherheitsrisiken. Kostenlosen Passkey-Ratgeber hier herunterladen

Kein Opt-out für Unternehmen und Administratoren

Für IT-Abteilungen und Administratoren bedeutet die Umstellung eine feste Vorgabe. Ein Opt-out gegen die Durchsetzung der Content Security Policy steht nicht zur Verfügung. Unternehmen können die Richtlinie für ihre Mandanten folglich nicht deaktivieren oder anpassen, um inkompatible Erweiterungen weiterzubetreiben.

Der vorgegebene Zeitplan für den globalen Rollout stammt direkt von Microsoft. Der Konzern behält sich dabei vor, Anpassungen an der zeitlichen Umsetzung vorzunehmen, falls im weiteren Verlauf unvorhergesehene technische Hürden auftreten. Organisationen müssen sich dennoch darauf einstellen, Arbeitsabläufe anzupassen, falls interne Prozesse bisher auf das Auslesen oder Bearbeiten der Anmeldeseite über Browser-Erweiterungen angewiesen waren.