# Erster Arbeitstag ohne weiterleitbaren Nachweis
Typ: Checkliste
Herkunft: microsoft-entra-m365 / credentials-passwordless / microsoft-entra-creds-onboarding-sequence
Version: microsoft-entra-creds-onboarding-sequence-2026-09-12
Geprüft: 2026-09-12

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Eine neue Kollegin soll sich vom ersten Tag an phishing-resistent anmelden. Ein Anfangskennwort soll es nicht geben, und die Zugriffsregel für ihre Anwendungen verlangt bereits die eingebaute Stärke.

## Schritte
1. Prüfen, dass die Person in `includeTargets` der Pass-Richtlinie eingeschlossen ist
2. Standardgültigkeit und einmalige Verwendung der Richtlinie auf den Erstzugang zuschneiden
3. Den Pass bei der persönlichen Übergabe von Ausweis und Gerät ausstellen
4. Die Person registriert damit ihren Sicherheitsschlüssel
5. Ein zweites starkes Verfahren auf dem Firmengerät registrieren
6. Anmeldung mit dem Schlüssel testen und den Pass entziehen

## Begründung
Warum: Wer eine Brücke baut, prüft ihre Tragfähigkeit vor dem Betreten, nicht danach. Die Einstellungen der Übergangslösung gehören deshalb vor die Ausstellung — sonst gilt für den ersten Fall genau der Standardwert, den niemand bewusst gewählt hat.
Folgen: **+** Der Erstzugang hängt an einer persönlichen Identitätsprüfung statt an einem verschickten Geheimnis, und am Ende des Tages gibt es kein offenes Übergangsmittel mehr. **−** Der Ablauf verlangt räumliche und zeitliche Nähe zwischen ausstellender Stelle und neuer Person; bei Fernanstellungen braucht es einen gleichwertigen Ersatz für die Prüfung, und den zu bauen ist der eigentliche Aufwand.

## Quellen
1. https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-temporary-access-pass
2. https://learn.microsoft.com/en-us/graph/api/resources/temporaryaccesspassauthenticationmethodconfiguration
3. https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passwordless