Wiederholte Microsoft-Authenticator-Anmeldeanforderungen trotz Alias-Wechsel, MFA und passwortlosem Login – wie kann man MFA-Anfragen komplett verhindern?

Ich habe seit einiger Zeit ein sicherheitsrelevantes Problem mit meinem privaten Microsoft-Konto (Hotmail/Outlook). Mehrmals täglich (ca. 3–5× pro Tag) erhalte ich Microsoft-Authenticator-Push-Benachrichtigungen für Anmeldeanforderungen, obwohl ich diese Anmeldungen nicht selbst auslöse.

Die angezeigten Standorte der Anmeldeversuche liegen überwiegend in Deutschland und den Niederlanden, während ich mich physisch in der Schweiz befinde. Die Anfragen werden von mir konsequent abgelehnt und nie bestätigt.

Um das Problem zu lösen, habe ich bereits folgende Massnahmen umgesetzt:

Bereits durchgeführte Sicherheitsmassnahmen:

• Passwort des Microsoft-Kontos geändert (starkes, einzigartiges Passwort)
• Passwortloses Login aktiviert (Anmeldung nur noch über Microsoft Authenticator)

Multi-Faktor-Authentifizierung (MFA) aktiv

• Neuen Alias erstellt und als primären Anmelde-Alias gesetzt

Alter Hotmail-Alias explizit von der Anmeldung ausgeschlossen (nur noch E-Mail-Empfang)

• Alle bestehenden Sitzungen und Geräte abgemeldet
• Sicherheitsinformationen (Authenticator, Telefonnummer, Backup-Optionen) überprüft
• Keine MFA-Anfrage jemals bestätigt

Trotz all dieser Massnahmen kommen weiterhin regelmässig MFA-Push-Benachrichtigungen an.

Meine zentrale Frage: Welche zusätzliche oder alternative Massnahme ist notwendig, um bereits vor der MFA-Stufe zu verhindern, dass Anmeldeversuche so weit kommen, dass mir überhaupt eine Authenticator-Anfrage gesendet wird?

Konkret:

• Gibt es eine Möglichkeit, Anmeldeversuche mit unbekannten Standorten oder IPs komplett zu blockieren, bevor MFA getriggert wird?

Gibt es serverseitige Schutzmechanismen (z. B. Risk-Based Blocking, Geo-Blocking, strengere Anmelderichtlinien), die bei privaten Microsoft-Konten aktivierbar sind?

Weshalb ist es fuer Endnutzer nicht moeglich, eine detaillierte Historie der MFA-Push-Anfragen einzusehen (wer, wann, wo, wie oft), obwohl dies sicherheitsrelevant waere?

Mir ist bewusst, dass es sich sehr wahrscheinlich um automatisierte Login-Versuche (Credential Stuffing / Bot-Traffic) handelt. Ziel ist nicht nur Schadensbegrenzung, sondern das vollständige Unterbinden solcher MFA-Push-Anfragen, da diese auf Dauer sehr störend sind.

Ich wäre dankbar für eine technisch fundierte Erklärung oder eine Empfehlung, welche Schutzmassnahme hier noch fehlt oder ob dies eine systembedingte Einschränkung bei Microsoft-Konten ist.

Vielen Dank im Voraus für sachliche und konstruktive Rückmeldungen. Ich habe seit einiger Zeit ein sicherheitsrelevantes Problem mit meinem privaten Microsoft-Konto (Hotmail/Outlook). Mehrmals täglich (ca. 3–5× pro Tag) erhalte ich Microsoft-Authenticator-Push-Benachrichtigungen für Anmeldeanforderungen, obwohl ich diese Anmeldungen nicht selbst auslöse.

Die angezeigten Standorte der Anmeldeversuche liegen überwiegend in Deutschland und den Niederlanden, während ich mich physisch in der Schweiz befinde. Die Anfragen werden von mir konsequent abgelehnt und nie bestätigt.

Um das Problem zu lösen, habe ich bereits folgende Massnahmen umgesetzt:

Bereits durchgeführte Sicherheitsmassnahmen:

Passwort des Microsoft-Kontos geaendert (starkes, einzigartiges Passwort)

Passwortloses Login aktiviert (Anmeldung nur noch ueber Microsoft Authenticator)

Multi-Faktor-Authentifizierung (MFA) aktiv

Neuen Alias erstellt und als primaeren Anmeldealias gesetzt

Alter Hotmail-Alias explizit von der Anmeldung ausgeschlossen (nur noch E-Mail-Empfang)

Alle bestehenden Sitzungen und Geraete abgemeldet

• Sicherheitsinformationen (Authenticator, Telefonnummer, Backup-Optionen) überprueft
• Keine MFA-Anfrage jemals bestätigt

Trotz all dieser Massnahmen kommen weiterhin regelmässig MFA-Push-Benachrichtigungen an.

Meine zentrale Frage:
Welche zusätzliche oder alternative Massnahme ist notwendig, um bereits vor der MFA-Stufe zu verhindern, dass Anmeldeversuche so weit kommen, dass mir überhaupt eine Authenticator-Anfrage gesendet wird?

Konkret:

• Gibt es eine Möglichkeit, Anmeldeversuche mit unbekannten Standorten oder IPs komplett zu blockieren, bevor MFA getriggert wird?

Gibt es serverseitige Schutzmechanismen (z. B. Risk-Based Blocking, Geo-Blocking, strengere Anmelderichtlinien), die bei privaten Microsoft-Konten aktivierbar sind?

Weshalb ist es fuer Endnutzer nicht moeglich, eine detaillierte Historie der MFA-Push-Anfragen einzusehen (wer, wann, wo, wie oft), obwohl dies sicherheitsrelevant waere?

Mir ist bewusst, dass es sich sehr wahrscheinlich um automatisierte Login-Versuche (Credential Stuffing / Bot-Traffic) handelt. Ziel ist nicht nur Schadensbegrenzung, sondern das vollständige Unterbinden solcher MFA-Push-Anfragen, da diese auf Dauer sehr störend sind.

Ich wäre dankbar für eine technisch fundierte Erklärung oder eine Empfehlung, welche Schutzmassnahme hier noch fehlt oder ob dies eine systembedingte Einschränkung bei Microsoft-Konten ist.

Vielen Dank im Voraus für sachliche und konstruktive Rückmeldungen.