Vergleich · Microsoft Entra-Multi-Faktor-Authentifizierung

Notakey vs. Microsoft Entra MFA für VPN, RADIUS und Anmeldungen im eigenen Netz

Für Organisationen mit Microsoft 365, die sich fragen, ob Entra ID und Microsoft Authenticator auch VPN, Firewall, Linux-Server und Remotedesktop abdecken oder ob sich ein eigener Authentifizierungsserver im Haus lohnt.

Demo anfordernDemobank ausprobieren

Das Wichtigste in Kürze

Wenn alle Identitäten bereits in Entra ID liegen und Sie vor allem Anmeldungen bei Microsoft-Clouddiensten schützen, ist Entra MFA mit Microsoft Authenticator die naheliegende Wahl: Sie ist im Tenant enthalten, unterstützt Passkeys und Number Matching, und an die Richtlinien von Conditional Access reicht kaum etwas heran.

Bei VPNs und Systemen im eigenen Netz sieht es anders aus. RADIUS-Geräte erreichen Entra MFA nur über die NPS-Erweiterung. Diese setzt einen Windows-NPS-Server, nach Entra synchronisierte Benutzer, eine Lizenz für P1, P2 oder Enterprise Mobility + Security sowie eine Internetverbindung zu Microsoft voraus und unterstützt kein Number Matching. Notakey ist eine Appliance, die RADIUS selbst beantwortet, das lokale Active Directory direkt nutzt, über die Bestätigung auf Ihrem eigenen Server entscheidet (nur die Push-Zustellung läuft über die Dienste von Apple und Google) und zusätzlich Transaktionen signiert.

Anbieterangaben geprüft am 13. Oktober 2026. Die Preise sind die zu diesem Datum veröffentlichten Listenpreise der Anbieter und können sich ohne Ankündigung ändern.

Wo die Entscheidung fällt
NotakeyAuf Ihrer Appliance, im eigenen Haus oder von Notakey gehostet. Die Push-Benachrichtigung wird über die Dienste von Apple und Google zugestellt, das Telefon braucht dafür eine Internetverbindung; die Bestätigung selbst prüft Ihr Server.
Microsoft Entra-Multi-Faktor-AuthentifizierungIn der Microsoft-Cloud. Die NPS-Erweiterung auf Ihrem NPS-Server ruft Entra über TCP 443 auf, der NPS-Server braucht also eine Internetverbindung zu Microsoft.
Lizenzen (Listenpreis, pro Benutzer und Monat)
NotakeyCloud: die ersten 6 Benutzer kostenlos, danach 2,50 €. On-Premise: die ersten 10 Benutzer kostenlos, danach 0,80 €.
Microsoft Entra-Multi-Faktor-AuthentifizierungEntra ID Free (in Microsoft 365 und Azure enthalten) unterstützt MFA für Cloud-Anmeldungen. Die NPS-Erweiterung für RADIUS erfordert Entra ID P1 ($7) oder P2 ($10) bei jährlicher Abrechnung oder Enterprise Mobility + Security; verbrauchsbasierte Lizenzen pro Benutzer oder pro Authentifizierung sind damit nicht kompatibel.
VPN und Firewall über RADIUS
NotakeyDer Auth-Proxy in der Appliance sitzt vor jedem beliebigen RADIUS-Server, auch vor Microsoft NPS ohne Erweiterung, oder vor dem RADIUS-Plugin der Appliance.
Microsoft Entra-Multi-Faktor-AuthentifizierungDie NPS-Erweiterung auf einem domänenverbundenen Windows-NPS-Server; die Benutzer müssen mit Entra Connect nach Entra synchronisiert sein; der NPS-Server kann nicht an einen anderen RADIUS-Server weiterleiten. Microsoft empfiehlt einen VPN-Timeout von mindestens 60 Sekunden.
Schutz vor Push-Bombing über RADIUS
NotakeyDie Bestätigungskarte zeigt Dienst, Benutzernamen und, sofern geliefert, die anfragende IP-Adresse; der Benutzer lehnt eine Anmeldung ab, die er nicht selbst ausgelöst hat.
Microsoft Entra-Multi-Faktor-AuthentifizierungNumber Matching wird über NPS nicht unterstützt. Ist Number Matching für den gesamten Tenant erzwungen, werden RADIUS-Benutzer stattdessen nach einem TOTP-Code aus dem Authenticator gefragt; ohne registrierte TOTP-Methode sehen sie ein einfaches Approve/Deny.
Benutzerquelle
NotakeyLokales Active Directory oder LDAP direkt, eine RADIUS-Quelle oder im Notakey-Dashboard angelegte Benutzer. Keine Synchronisierung mit einem Cloud-Tenant nötig.
Microsoft Entra-Multi-Faktor-AuthentifizierungEntra ID. Benutzer aus dem lokalen AD müssen nach Entra synchronisiert werden; die Erweiterung identifiziert sie standardmäßig über den UPN.
Windows-Anmeldung
NotakeyWindows Credential Provider für lokale und Remotedesktop-Anmeldungen mit lokalem AD, auf Wunsch ausschließlich passwortlos.
Microsoft Entra-Multi-Faktor-AuthentifizierungWindows Hello for Business für in Entra eingebundene oder hybrid eingebundene Geräte; Remote Desktop Gateway kann die NPS-Erweiterung nutzen.
Transaktionssignierung
NotakeyJa: Eine lesbare Beschreibung der Zahlung, Bestellung oder Änderung wird auf dem Telefon signiert, mit Dynamic Linking nach PSD2.
Microsoft Entra-Multi-Faktor-AuthentifizierungKeine Funktion; der Authenticator bestätigt Anmeldungen.
Phishing-resistente Faktoren und Richtlinien
NotakeyKeine Passkeys oder FIDO2-Schlüssel; kein Gegenstück zu Conditional Access und keine Prüfung der Gerätekonformität.
Microsoft Entra-Multi-Faktor-AuthentifizierungPasskeys in Microsoft Authenticator, FIDO2-Sicherheitsschlüssel und zertifikatbasierte Authentifizierung; Conditional Access mit P1 und risikobasierte Richtlinien mit P2.
Linux-SSH, MikroTik, ältere Webanwendungen
NotakeyDokumentierte Integrationen: pam_radius für SSH und sudo, RouterOS-Skripte und RADIUS für MikroTik, ein SAML-Reverse-Proxy für ältere Webanwendungen.
Microsoft Entra-Multi-Faktor-AuthentifizierungAlles, was RADIUS spricht, kann über die NPS-Erweiterung laufen, mit den oben genannten Einschränkungen.

Entra MFA ist die richtige Wahl, wenn

  • Ihre Benutzer und Geräte bereits in Entra ID sind und Sie Microsoft 365, Azure sowie an Entra angebundene SaaS-Anwendungen schützen.
  • Sie Conditional Access, Gerätekonformität oder risikobasierte Anmelderichtlinien brauchen.
  • Passkeys oder FIDO2-Schlüssel für Administratoren Pflicht sind.
  • Sie bereits P1- oder P2-Lizenzen besitzen und NPS betreiben, sodass Sie der RADIUS-Weg nur die Erweiterung kostet.

Notakey ist die richtige Wahl, wenn

  • Die Identitäten im lokalen Active Directory bleiben oder die Bestätigung auf Ihrem eigenen Server statt in einem Cloud-Tenant entschieden werden soll.
  • Sie RADIUS-VPNs und Firewalls, MikroTik, Linux-Server, Remotedesktop und ältere Webanwendungen schützen wollen.
  • Der Benutzer bei jeder VPN-Anmeldung sehen soll, was er bestätigt, ohne den Umweg über TOTP-Codes.
  • Sie Transaktionssignierung brauchen oder aus Audit-Gründen einen EU-Anbieter und Daten im eigenen Haus.

Was Notakey nicht kann

  • Kein Ersatz für Entra ID als Identitätsanbieter für Microsoft 365.
  • Keine Richtlinien für Conditional Access oder Gerätekonformität.
  • Keine Passkeys oder FIDO2-Schlüssel.
  • Kein zweiter Faktor per Telefonanruf oder SMS.

Häufig gestellte Fragen

Kann Notakey unseren vorhandenen Microsoft-NPS-Server nutzen?
Ja, ganz ohne Erweiterung. Der Notakey Auth-Proxy sitzt vor NPS, lässt NPS das Passwort gegen Active Directory prüfen und holt dann die Bestätigung auf dem Telefon des Benutzers ein. NPS behält seine Richtlinien.
Funktioniert Entra MFA für ein VPN auch ohne P1-Lizenz?
Nicht über die NPS-Erweiterung: Laut Microsoft erfordert sie Entra ID P1, P2 oder Enterprise Mobility + Security. Entra ID Free deckt MFA für Cloud-Anmeldungen ab, nicht für RADIUS-Geräte.
Warum fragt die NPS-Erweiterung nach einem Code statt Number Matching zu verwenden?
NPS unterstützt kein Number Matching. Ist Number Matching für alle Benutzer erzwungen, fragt die Erweiterung stattdessen nach einem TOTP-Code aus Microsoft Authenticator; Benutzer ohne registrierte TOTP-Methode erhalten weiterhin ein einfaches Approve/Deny. Notakey verwendet ebenfalls kein Number Matching; seine Bestätigungskarte zeigt den Kontext der Anmeldung.

Quellen

Produktnamen sind Marken ihrer jeweiligen Inhaber und werden nur zur Kennzeichnung der verglichenen Produkte verwendet.

← Alle Vergleiche

Ihre erste passwortlose Anmeldung – noch diese Woche

30 Minuten mit einem Ingenieur statt einer Vertriebspräsentation. Gemeinsam planen wir, wie in Ihrer VPN-, SSO- oder Windows-Umgebung ein funktionierendes Pilotprojekt an den Start geht.

Demo anfordernDemobank ausprobieren