Intune Multi Admin Approval gilt jetzt für Graph-API-Aufrufe

Mit dem Intune Service Release 2606 (Juni 2026) hat Microsoft etwas geändert, das Ihre Automatisierung über Nacht zum Erliegen bringen kann. Multi Admin Approval wird jetzt auch bei Microsoft Graph-API-Aufrufen erzwungen. Bisher wurden nur interaktive Änderungen im Admin Center abgefangen. Von nun an werden auch PowerShell-Skripte und Automatisierungs-Apps abgefangen, die geschützte Ressourcen wie Apps oder Skripte ändern. Wenn sie den neuen Genehmigungsablauf nicht verarbeiten, schlagen sie mit einem HTTP-403-Fehler fehl. In diesem Blogbeitrag erkläre ich, was sich geändert hat, warum Ihre Automatisierung plötzlich 403-Fehler bekommt, wie der Genehmigungsfluss für API-Aufrufe funktioniert und wie Sie Ihre Automatisierungs-Apps von der Durchsetzung ausschließen können.

Was ist Multi Admin Approval?

Multi Admin Approval (MAA) ist ein Schutz vor kompromittierten Administratorkonten. Sie erstellen eine Zugriffsrichtlinie für einen Ressourcentyp und von diesem Moment an benötigt jede Änderung an diesem Ressourcentyp einen zweiten Administrator, der sie genehmigt. Ein Administrator reicht die Änderung mit einer geschäftlichen Begründung ein, ein anderer Administrator genehmigt sie oder lehnt sie ab. Ein Administrator kann niemals seine eigene Anfrage genehmigen.

Intune unterstützt Zugriffsrichtlinien für diese Ressourcentypen:

• Apps (App-Bereitstellungen, keine App-Schutzrichtlinien)
• Compliance-Richtlinien
• Konfigurationsrichtlinien (Einstellungskatalog)
• Geräteaktionen (Löschen, Zurückziehen, Löschen)
• Rollenbasierte Zugriffskontrolle
• Skripte (Windows PowerShell-Skripte)
• Mandantenkonfiguration (Gerätekategorien)

Auch Änderungen an den Zugriffsrichtlinien selbst sind immer geschützt. Sie finden alles unter Mandantenverwaltung > Multi Admin Approval im Intune Admin Center.

Was hat sich im Juni 2026 geändert?

Vor dieser Änderung galt Multi Admin Approval nur für interaktive (delegierte) Administratoraktionen. Ein Skript mit einem Nur-App-Token könnte ohne Genehmigung geschützte Ressourcen erstellen oder ändern. Das war eine echte Lücke, denn eine kompromittierte App-Registrierung konnte den gesamten Schutz umgehen.

Mit dem Service Release 2606 wird diese Lücke geschlossen. Anwendungsauthentifizierte (app-auth) API-Aufrufe über Microsoft Graph werden jetzt auch von MAA abgefangen, wenn die Zielressource durch eine Zugriffsrichtlinie geschützt ist.

Wichtig zu wissen: Dies ist eine Opt-in-Option pro Workload. Es ändert sich nichts, wenn Ihr Mieter keine MAA-Zugriffsrichtlinien hat. Die Durchsetzung gilt nur für Mandanten, die bereits Zugriffsrichtlinien konfiguriert haben. MAA wird nirgendwo automatisch aktiviert.

Außerdem wichtig: MAA gilt nur für Vorgänge, die eine geschützte Ressource ändern (POST, PATCH, PUT, DELETE). Schreibgeschützte GET-Anfragen sind nicht betroffen.

Warum erhält meine Automatisierung eine 403?

Wenn Ihr Skript oder Ihre App Microsoft Graph mit einem Nur-App-Token aufruft und auf eine geschützte Ressource abzielt, wird der Anruf nicht mehr direkt weitergeleitet. Zwei Dinge können passieren:

1. Ohne den erforderlichen Begründungsheader schlägt die Anfrage mit der Fehlermeldung fehl, dass der x-msft-approval-justification-Header erforderlich ist.
2. Mit dem Begründungsheader gibt die Anfrage immer noch einen HTTP 403 zurück, jedoch mit dem Fehlercode ApprovalRequired. Dieser 403 wird erwartet. Es handelt sich nicht um ein Berechtigungsproblem. Auf diese Weise teilt Ihnen MAA mit, dass der Antrag eingegangen ist und nun auf die Genehmigung wartet.

Bevor Sie also mit dem Rotieren von Zertifikaten oder dem Hinzufügen von Graph-Berechtigungen beginnen, überprüfen Sie den Fehlertext. Wenn Sie ApprovalRequired sehen, sind Ihre Berechtigungen in Ordnung – MAA erledigt seinen Job. Wenn Sie andere Intune- und Graph-Fehlercodes schnell dekodieren möchten, kann ErrorHunter (ein von mir entwickeltes Tool) helfen: errorhunter.msnugget.com. Für einen allgemeinen Ansatz zu Intune-Fehlern habe ich auch den ultimativen Leitfaden zur Intune-Fehlerbehebung geschrieben.

Wie funktioniert der Genehmigungsablauf für API-Aufrufe?

Der Ablauf für die Automatisierung besteht aus vier Schritten. Alle Details finden Sie in der offiziellen Dokumentation: Multi Admin Approval mit der Microsoft Graph-API verwenden.

1. Senden Sie die Anfrage mit einem Begründungsheader. Fügen Sie den x-msft-approval-justification-Header zu Ihrem Anruf hinzu. Der Wert muss Base64-kodiert sein.
2. Verarbeiten Sie die 403-Antwort. Die Antwort hat den Fehlercode ApprovalRequired und enthält einen x-msft-approval-code-Header mit einer Anforderungs-ID. Speichern Sie diesen Code.
3. Warten Sie auf die Genehmigung. Ein anderer Administrator muss die Anfrage im Intune Admin Center genehmigen. Anträge können keine MAA-Anträge genehmigen oder ablehnen. Sie können den Status mit GET /beta/deviceManagement/operationApprovalRequests?$filter=requestId eq '<code>' abfragen und warten, bis dieser approved ist.
4. Erneut mit dem Genehmigungscode einreichen. Senden Sie die ursprüngliche Anfrage erneut, ersetzen Sie jedoch den Begründungsheader durch den x-msft-approval-code-Header. Jetzt ist die Anfrage abgeschlossen.

Hier ist ein kurzes PowerShell-Beispiel für Schritt 1 und die 403-Erkennung:

# Send the change with a Base64-encoded business justification
$justification = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes("Deploy remediation script v2"))
$headers = @{ "x-msft-approval-justification" = $justification }

try {
    Invoke-MgGraphRequest -Method POST -Headers $headers `
        -Uri "https://graph.microsoft.com/beta/deviceManagement/deviceManagementScripts" `
        -Body $body -ContentType "application/json"
}
catch {
    # A 403 with error code "ApprovalRequired" is expected with MAA.
    # The request ID is returned in the x-msft-approval-code response header.
    Write-Warning $_.ErrorDetails.Message
}

Hinweis: Für diesen Ablauf ist ein Mensch auf dem Laufenden. Eine vollständig unbeaufsichtigte Pipeline kann sich nicht selbst genehmigen. Für eine reine Automatisierung ist daher der im nächsten Abschnitt beschriebene Ausschluss oft die realistischere Option.

Wie schließe ich meine Automatisierungs-App aus?

Wenn Sie Ihre Anwendung nicht sofort aktualisieren können, hat Microsoft der Zugriffsrichtlinie eine neue Registerkarte Ausschlüsse hinzugefügt. Damit können Sie bestimmte Anwendungen von der Multi Admin Approval-Durchsetzung ausschließen.

Die Schritte sind einfach:

1. Gehen Sie zu Mandantenverwaltung > Multi Admin Approval > Zugriffsrichtlinien.
2. Bearbeiten Sie die Zugriffsrichtlinie für den Workload „Ihre App-Anrufe“.
3. Fügen Sie die Anwendung auf der Registerkarte Ausschlüsse hinzu.
4. Ein zweiter Administrator muss diese Änderung genehmigen, bevor der Ausschluss wirksam wird.

Hinweis: Ausschlüsse gelten nur für App-Auth-Aufrufe, die vom ausgeschlossenen Dienstprinzipal durchgeführt werden. Interaktive Administratoraktionen für dieselben Ressourcen erfordern weiterhin eine Genehmigung. So bleibt der Schutz für den Menschen voll erhalten.

Was empfehle ich?

Folgendes würde ich in einem Mandanten mit MAA-Zugriffsrichtlinien tun:

1. Inventarisieren Sie zuerst Ihre Automatisierung. Finden Sie jedes Skript, jede Pipeline und jeden Drittanbieter Tool, der mit einem Nur-App-Token in Apps, Skripte oder Richtlinien schreibt. Das Intune-Überwachungsprotokoll zeichnet MAA-Ereignisse wie Genehmigen, Blockieren und Passen auf, sodass Sie sehen können, welche App-Authentifizierungsaufrufe MAA treffen.
2. Entscheiden Sie pro App. Implementieren Sie für Tools, bei dem eine menschliche Überprüfung sinnvoll ist, den Begründungs- und Genehmigungscodefluss. Für vertrauenswürdige, unbeaufsichtigte Automatisierung (Paketierungspipelines, Dienstkonten) verwenden Sie die Registerkarte „Ausschlüsse“.
3. Halten Sie die Ausschlussliste klein. Jede ausgeschlossene App ist eine Umgehung von MAA. Behandeln Sie diese App-Registrierungen wie privilegierte Konten und schützen Sie ihre Anmeldeinformationen gut.
4. Schalten Sie Multi Admin Approval nicht aus, nur weil die Automatisierung kaputt gegangen ist. Der 403 nervt einen Tag lang, aber der Schutz ist es wert.

In diesem Blogbeitrag habe ich Ihnen gezeigt, warum Multi Admin Approval die Graph-Automatisierung jetzt mit 403-Fehlern unterbricht, wie der neue Genehmigungsfluss für API-Aufrufe funktioniert und wie die Registerkarte „Ausschlüsse“ für Dienstkonten hilfreich ist. Ich hoffe, das ist eine kleine Hilfe.

Bleibt gesund, Grüße Jannik