In diesem Artikel 7 Abschnitte
Conditional Access, auf Deutsch bedingter Zugriff, entscheidet bei einer Anmeldung anhand definierter Signale, ob der Zugriff erlaubt, zusätzlich abgesichert oder blockiert wird. Für KMU muss daraus kein Grossprojekt werden. Ein kleiner, getesteter Regelsatz schützt mehr als zahlreiche Ausnahmen, deren Wirkung niemand mehr überblickt.
Was Conditional Access leistet
Eine Richtlinie verbindet Bedingungen mit einer Zugriffskontrolle: Wenn sich beispielsweise ein Benutzer ausserhalb eines verwalteten Geräts anmeldet, dann ist eine zusätzliche Authentifizierung erforderlich oder der Zugriff wird eingeschränkt. Microsoft Entra kann dafür unter anderem Benutzer, Anwendung, Gerätezustand, Standort und Anmelderisiko berücksichtigen. Welche Signale und Funktionen verfügbar sind, hängt von den eingesetzten Lizenzen ab.
Das folgt dem Zero-Trust-Grundsatz, Zugriffe nicht allein wegen eines internen Netzwerks oder eines bekannten Standorts zu vertrauen. Jede Anfrage wird im Kontext bewertet. Das bedeutet jedoch nicht, dass jede Anmeldung möglichst unbequem werden soll. Gute Regeln verlangen genau dort mehr Sicherheit, wo das Risiko höher ist.
Für Conditional Access ist mindestens Microsoft Entra ID P1 erforderlich; Microsoft 365 Business Premium enthält die Funktion ebenfalls. Risikobasierte Bedingungen für Benutzer- oder Anmelderisiko setzen Entra ID Protection und damit Entra ID P2 voraus. Gerätekonformität, App-Schutz und weitere angebundene Kontrollen benötigen zusätzlich die jeweils passenden Lizenzen, etwa für Microsoft Intune. Lizenzieren Sie die betroffenen Benutzer gemäss den aktuellen Microsoft-Bedingungen, bevor Sie Richtlinien entwerfen.
Vor der ersten Richtlinie: zwei Voraussetzungen
Erstens brauchen Sie mindestens zwei cloudbasierte Notfallkonten für den Fall, dass eine fehlerhafte Richtlinie reguläre Administratoren aussperrt. Microsoft empfiehlt dafür nicht föderierte, nicht mit einem lokalen Verzeichnis synchronisierte Konten mit der Rolle «Globaler Administrator» und phishing-resistenter Authentifizierung. Diese Konten werden streng geschützt, überwacht und von allen durchgesetzten Conditional-Access-Regeln ausgenommen, die eine Anmeldung blockieren oder einschränken könnten. Die Ausnahme ist kein Freipass: Nutzung und Anmeldeversuche müssen auffallen und einen Alarm auslösen; die Konten sind regelmässig zu testen.
Zweitens brauchen Sie eine Übersicht der Identitäten und Anwendungen. Neben Mitarbeitenden existieren oft Dienstkonten, Scanner, ältere Mailprogramme oder Integrationen. Eine pauschale Richtlinie ohne Bestandsaufnahme kann solche Abläufe unterbrechen. Besser ist es, veraltete Abhängigkeiten gezielt zu ersetzen, statt dauerhaft breite Ausnahmen einzubauen.
Ein sinnvoller Start für KMU
Beginnen Sie mit wenigen Richtlinien, die ein klares Ziel haben:
- Mehrfaktor-Authentifizierung für alle interaktiven Benutzer: Ein gestohlenes Kennwort allein darf nicht genügen. Für privilegierte Konten und besonders sensible Zugriffe sind phishing-resistente Methoden wie FIDO2-Sicherheitsschlüssel oder Passkeys vorzuziehen.
- Ältere Authentifizierungsverfahren blockieren: Legacy-Protokolle unterstützen moderne Kontrollen teilweise nicht und können MFA umgehen. Prüfen Sie vor der Aktivierung, ob Geräte oder Anwendungen noch davon abhängen.
- Administrative Zugriffe stärker absichern: Administratoren verwenden getrennte Konten und greifen nur mit starken Authentifizierungsmethoden zu. Je nach Umgebung kann zusätzlich ein konformes oder verwaltetes Gerät verlangt werden.
- Nicht verwaltete Geräte bewusst behandeln: Statt pauschal alles zu erlauben oder zu sperren, können Sie den Zugriff auf besonders schützenswerte Anwendungen begrenzen oder nur Webzugriff mit passenden Sitzungskontrollen zulassen.
Standortregeln können ergänzen, sollten aber nicht das Fundament bilden. IP-Adressen ändern sich, Heimarbeit gehört zum Alltag und auch ein vermeintlich vertrauenswürdiges Netzwerk kann kompromittiert sein. Identität, starke Authentifizierung und Gerätezustand sind belastbarere Signale.
Erst beobachten, dann durchsetzen
Neue Richtlinien gehören zunächst in den Modus Nur Bericht. Dadurch können Sie in den Anmeldeprotokollen sehen, wie die Regel gewirkt hätte, ohne den Zugriff bereits zu blockieren. Testen Sie danach mit einer kleinen, repräsentativen Gruppe: Büro, Homeoffice, Mobilgerät, Gastzugriff und geschäftskritische Anwendungen.
Dokumentieren Sie für jede Richtlinie:
- Schutzziel und verantwortliche Person
- eingeschlossene Benutzer und Anwendungen
- begründete Ausnahmen mit Ablaufdatum
- erwartetes Verhalten in typischen Anmeldesituationen
- Rückweg, falls eine Aktivierung Probleme verursacht
Aktivieren Sie erst, wenn unerwartete Auswirkungen geklärt sind. Nach der Einführung bleibt die Arbeit überschaubar, wenn Sie Ausnahmen und Anmeldeprotokolle regelmässig prüfen. Eine Ausnahme ohne Verantwortliche und Enddatum wird sonst schnell zur dauerhaften Sicherheitslücke.
Standards erhalten die Wahlfreiheit
Conditional Access ist eine Kontrollschicht innerhalb von Microsoft Entra. Ihre digitale Souveränität hängt deshalb auch davon ab, wie stark Identitäten und Anwendungen an proprietäre Mechanismen gebunden sind. Wo es fachlich passt, sollten neue Anwendungen etablierte Standards wie OpenID Connect, OAuth 2.0 oder SAML unterstützen. Für starke Anmeldung sind FIDO2 und WebAuthn wichtige offene Standards.
Standards machen einen Plattformwechsel nicht automatisch einfach. Sie reduzieren aber Sonderlösungen und erleichtern es, Anwendungen später mit einem anderen Identitätsanbieter zu verbinden. Halten Sie deshalb App-Registrierungen, Rollen, benötigte Claims und Abhängigkeiten nachvollziehbar fest. Exportierbare Konfigurationen und versionierte Dokumentation helfen zusätzlich, Richtlinien nicht nur im Portal sichtbar zu machen.
Open Source kann die Wahlfreiheit bei einzelnen Komponenten erhöhen, ist aber kein Selbstzweck. Entscheidend sind prüfbare Sicherheitsfunktionen, gepflegte Schnittstellen, ein tragfähiges Betriebsmodell und ein realistischer Exit. Eine proprietäre Lösung kann passend sein, wenn Daten, Identitäten und Konfigurationen kontrolliert übertragbar bleiben.
Typische Fehler vermeiden
Zu viele Richtlinien mit überlappenden Bedingungen sind schwer zu testen. Ebenso riskant sind globale Ausschlüsse für ganze Abteilungen, blind als vertrauenswürdig markierte Standorte und gemeinsam verwendete Administratorkonten. Verlassen Sie sich auch nicht darauf, dass MFA jede Angriffsart stoppt: Geräteschutz, Patch-Management, minimale Rechte und die Überwachung auffälliger Anmeldungen bleiben notwendig.
Conditional Access wirkt am besten als Teil eines gepflegten Arbeitsplatzes. Informationen zur Verbindung von Identität, Endgeräten und Zusammenarbeit finden Sie unter Modern Workplace.