Azure MFA Trouble

Ich steh an, liebe Leute!

Vor mir hab ich einen Azure Tenant mit einem seltsamen Fehlerbild.
Erstelle ich einen neuen User hat der User keine Möglichkeit MFA einzurichten, sondern wird aufgefordert CBA zu verwenden. Da denkt man sich, na dann dreh ich CBA eben ab, kein Thema. Nur funktioniert das nicht.

Folgende äußerst hilfreiche Fehlermeldung bekomm ich vor den Latz geknallt "Saving authentication methods The policy did not save successfully.":


Der Fehler tritt bei allen möglichen Einstellungen im Authentication methods Menü auf. Es lassen sich also keine - absolut keine - Einstellungen ändern. Wahrscheinlich seit August schon, wie wir die Authentication Methods von Legacy auf Unified Policy umgestellt haben. Das dürfte unter gegangen sein, weil keine neuen User dazu kamen. Für die bestehenden User, die schon einen Authenticator oder Anderes eingerichtet haben, hat sich nichts geändert.
Als Workaround wird manuell bei jedem neuen User eine Authentication method hinterlegt.

Seit einem Monat läuft nun da Support Ticket bei MS und mittlerweile durfte ich den dritten Support-Techniker von Vorne erklären was da abgeht.

Wissenswertes:
Security Defaults sind deaktiviert
Conditional Access Policies habe ich derweil ausgeschlossen
Per User MFA hat keinen Einfluss (works as intended, afaik)

Identity Protection, Conditional Access, Authentication Methods und Password Reset habe ich abgeglichen bei zwei anderen Tenants, wo zur selben Zeit die Änderung erfolgreich durchgeführt wurde. Also es scheint eine Bug seitens Microsofts zu sein. Layer8 kann ich aber nicht ausschließen.

Hat noch jemand eine Idee, was es da haben könnte? Oder vielleicht selbst schon dieses Phänomen?

TIA

CA Policies gesichert, gelöscht, Security Defaults aktiviert. Und nun lassen sie sich, auch nach erneutem Login, nicht wieder deaktivieren. Mal sehen wies morgen aussieht. Danke für den Tipp!
Lizenz ist Microsoft Entra ID P1, wie bei den anderen auch.

*edit
Hat etwas gedauert bis sich die Security Defaults wieder aktivieren lassen. An dem Problem mit den Authentication Methods hat sich leider nichts geändert.
Ich würde ja gern einen Workaround finden, aber solange sich da gar keine Einstellung speichern lässt, spielts nicht einmal das.

gute Sache, da bin ich mir dann fast sicher dass es ein legacy SSPR setting/policy ist/war - danke für die Erinnerung