Conditional Access für Microsoft Entra ID
Conditional Access entscheidet bei jeder Anmeldung, wer unter welchen Bedingungen an Ihre Daten kommt. Ich setze diese Richtlinien so auf, dass sie schützen, ohne jemanden auszusperren, und dokumentiere sie so, dass Ihr Team sie selbst weiterführen kann.
Typische Ausgangslage
Microsoft 365 ist von überall erreichbar
Wer Benutzername und Passwort kennt, kommt von jedem Gerät der Welt hinein. Die Frage ist nicht, ob das reicht, sondern wie man es ändert, ohne den Betrieb zu stören.
Zu viele administrative Berechtigungen ohne Kontrolle
Dauerhaft vergebene Admin-Rollen, historisch gewachsen, ohne starke Anmeldung und ohne Protokoll. Gerade diese Konten brauchen die strengsten Regeln.
Richtlinien, die niemand mehr erklären kann
Es gibt bereits einige Regeln, mit unklaren Namen und Ausnahmen, deren Grund niemand mehr kennt. Niemand traut sich, sie anzufassen.
Was ich umsetze
- Notfallkonten (Break-Glass): zwei Cloud-only-Konten, aus allen Richtlinien ausgenommen, Anmeldungen überwacht
- MFA für alle Benutzer und starke, phishingresistente MFA für Administratoren
- Blockieren von Legacy-Authentifizierung und Device-Code-Flow
- Zugriff nur von konformen Geräten, sobald die Geräte in Intune verwaltet sind
- Einheitliche Benennung, zum Beispiel CA01-MFA-AlleBenutzer, und begründete Ausnahmen
- Auswertung im Anmeldeprotokoll: wer wäre blockiert worden, und warum
Vorgehen
1. Verstehen
Bestehende Richtlinien exportieren und sichern, Lizenzstand und Admin-Rollen prüfen, Sonderfälle aufnehmen, etwa Scan-to-Mail oder Dienstkonten.
2. Entwerfen
Richtliniensatz, Namen, Zielgruppen und Ausnahmen festlegen. Die Gerätekonformität kommt in einem gewachsenen Mandanten zuletzt, weil sie voraussetzt, dass alle Geräte bereits verwaltet und konform sind.
3. Umsetzen
Erst die Notfallkonten, dann jede Richtlinie im Modus „Nur Bericht“. Für jeden Treffer im Anmeldeprotokoll wird entschieden: Ausnahme, Umstellung oder bewusst blockieren. Danach Pilotgruppe, dann Ausweitung in Wellen.
4. Übergeben
Runbook mit dem Rückweg für jede Richtlinie: auf „Aus“ gesetzt, wirkt sie ab der nächsten Tokenanforderung nicht mehr. Ihr Team weiß, was wofür da ist und wie es neue Fälle behandelt.
Was Sie bekommen
- Dokumentierte Richtlinien mit einheitlichen Namen
- Liste der Ausnahmen, jede mit Begründung
- Notfallkonten samt Überwachung der Anmeldungen
- Übergabe-Runbook mit Rückweg und Vorgehen für neue Anwendungen
Paket „Conditional-Access-Baseline“
- Ein Microsoft-365-Mandant mit Business Premium bzw. Entra ID P1, bis 150 Benutzer.
- Notfallkonten, Pilotgruppe und fünf Richtlinien: MFA für alle, Legacy-Authentifizierung blockieren, starke MFA für Admins, Device-Code-Flow blockieren, konformes Gerät. Alle werden zuerst im Berichtsmodus getestet. Die ersten vier gehen nach Ihrer Freigabe scharf; „konformes Gerät“ bleibt im Berichtsmodus bis nach dem Intune-Rollout (Folgeauftrag).
- Dokumentierte Richtlinien mit einheitlichen Namen, begründete Ausnahmen, Übergabe-Runbook.
- 3–4 Personentage. Festpreis auf Anfrage. Für Systemhäuser auch als White-Label-Lieferung.
Bezug zu Regelwerken
MFA, Zugriffskontrolle und Protokollierung gehören zu den typischen Anforderungen aus ISO 27001 und NIS2. Die Umsetzung liefert dafür technische Nachweise: Richtlinien, Anmeldeprotokolle und Runbooks. Sie ersetzt keine Compliance-Beratung und macht ein Unternehmen nicht allein konform.
Belegt durch
Das Rollout-Verfahren und die Compliance-Richtlinien für Windows und macOS sind im Lab dokumentiert. Die dortigen Richtlinien wurden im Modus „Nur Bericht“ ausgewertet, im inzwischen geschlossenen Testmandanten aber nicht mehr scharf geschaltet.
Häufige Fragen
Kann uns eine Richtlinie aussperren?
Eine falsch scharf geschaltete Richtlinie kann das, auch für Admins. Deshalb kommen zuerst die Notfallkonten, dann der Berichtsmodus und die Pilotgruppe, und für jede Richtlinie ist der Rückweg dokumentiert.
Welche Lizenz brauchen wir?
Conditional Access setzt Entra ID P1 voraus, das etwa in Microsoft 365 Business Premium enthalten ist. Ob Ihr Mandant das hat, prüfe ich als Erstes.
Haben Sie das schon beim Kunden umgesetzt?
Meine Entra-Praxis stammt aus eigenen Testmandanten, das Verfahren ist öffentlich dokumentiert, die Zertifizierung SC-300 beim Aussteller verifizierbar. Eine Kundenreferenz für Conditional Access kann ich noch nicht nennen.