Conditional Access: So funktioniert bedingter Zugriff in Microsoft Entra ID

Conditional Access (bedingter Zugriff) ist die Richtlinienfunktion in Microsoft Entra ID, die bei jeder Anmeldung Signale auswertet und danach über den Zugriff entscheidet. Die Regeln sind Wenn-dann-Anweisungen: Wenn eine Person auf Microsoft 365 zugreifen möchte, muss sie sich mit einem zweiten Faktor anmelden. Ausgewertet werden etwa Benutzer, Gruppe, Standort, Gerät, Anwendung und Risiko; die Antwort lautet blockieren oder zulassen, meist mit Auflagen wie Mehrfaktor-Anmeldung oder einem konformen Gerät. Sie benötigen dafür mindestens Microsoft Entra ID P1, das auch in Microsoft 365 Business Premium enthalten ist. Risikobasierte Regeln erfordern P2.

Wenn Sie Conditional Access zum ersten Mal einrichten, lesen Sie vor dem Einschalten den Abschnitt zu Notfallkonten und zum Modus "Nur melden"; eine falsche Regel kann alle aussperren.

Was ist Conditional Access?

Microsoft bezeichnet Conditional Access als sein Zero-Trust-Richtlinienmodul. Es greift nach der ersten Anmeldestufe, also nachdem Benutzername und erstes Merkmal geprüft wurden. Für die Abwehr von Überlastungsangriffen ist es deshalb nicht gedacht. Sie finden es im Microsoft Entra Admin Center unter Entra ID > Conditional Access.

Signale und Entscheidungen

Die Entscheidung lautet entweder Zugriff blockieren oder Zugriff gewähren, oft mit Auflagen: Mehrfaktor-Anmeldung, eine bestimmte Authentifizierungsstärke, ein als konform gekennzeichnetes Gerät, eine App-Schutzrichtlinie, eine Kennwortänderung oder die Annahme von Nutzungsbedingungen. Sitzungssteuerungen legen zusätzlich fest, wie oft sich jemand neu anmelden muss.

Lizenz und Sicherheitsstandards

Sicherheitsstandards und eigene Conditional-Access-Regeln schließen sich aus: Wer eigene Regeln einsetzt, schaltet die Standards zuvor ab. Laufen die Lizenzen ab, werden Regeln laut Microsoft nicht automatisch gelöscht, lassen sich aber nicht mehr ändern.

Die Richtlinien, mit denen die meisten beginnen

1. Mehrfaktor-Anmeldung für Administratoren
2. Mehrfaktor-Anmeldung für alle Benutzer
3. Alte Authentifizierungsprotokolle blockieren, weil sie keine Mehrfaktor-Anmeldung können
4. Mehrfaktor-Anmeldung für Azure-Verwaltungsaufgaben
5. Zugriff aus Ländern blockieren, in denen Sie nicht arbeiten
6. Riskante Anmeldungen und Benutzer behandeln, wenn Sie P2 haben
7. Verwaltete oder konforme Geräte für sensible Anwendungen verlangen

Microsoft bietet dafür Vorlagen an. Sie finden eine englische Übersicht in unserem Beitrag zu Conditional-Access-Vorlagen (englisch).

Eine Richtlinie Schritt für Schritt

1. Notfallkonten anlegen: Richten Sie mindestens zwei reine Cloud-Konten ein, sichern Sie sie stark ab und nehmen Sie sie von allen Regeln aus. Überwachen Sie jede Anmeldung damit.
2. Richtlinie erstellen: Wählen Sie Benutzer, Zielressourcen und Bedingungen aus, und legen Sie die Auflage fest.
3. Modus "Nur melden" einstellen: Die Regel protokolliert dann, was sie getan hätte, ohne einzugreifen.
4. Protokolle prüfen: Sehen Sie sich in den Anmeldeprotokollen an, wen die Regel getroffen hätte. Achten Sie besonders auf Dienstkonten, Drucker und alte Mailprogramme.
5. "Was wäre wenn" nutzen: Das Werkzeug zeigt für einen bestimmten Fall, welche Regeln greifen würden.
6. Einschalten und beobachten: Beginnen Sie mit einer Pilotgruppe und erweitern Sie dann.

Geräte in Conditional Access

Die Auflage "als konform gekennzeichnet" setzt voraus, dass ein MDM den Gerätestatus an Microsoft Entra ID meldet. Das ist bei Intune direkt gegeben, bei anderen Produkten nur über eine unterstützte Partneranbindung. Fragen Sie jeden Anbieter, ob und wie er das tut. Alternativen sind die Auflage "hybrid eingebunden", Gerätefilter und App-Schutzrichtlinien für private Telefone.

Häufige Fehler

• Keine Notfallkonten, sodass ein Fehler den ganzen Mandanten aussperrt
• Regeln direkt einschalten, ohne "Nur melden"
• Zu viele überlappende Regeln. Wenn eine einzige Regel blockiert, ist die Anmeldung blockiert
• Veraltete Ausnahmen, die nie überprüft werden
• Dienstkonten und Gäste vergessen
• Benutzer nicht vorab zur Registrierung eines zweiten Faktors auffordern
• Länderregeln als Firewall verstehen. Sie prüfen nur die Anmeldung und halten niemanden von der Anmeldeseite fern

Fehlersuche

Wenn jemand blockiert wird, öffnen Sie den fehlgeschlagenen Eintrag in den Anmeldeprotokollen. Die Registerkarte Conditional Access zeigt, welche Regeln gegriffen haben und welche Auflage fehlte. Häufig liegt es an einem nicht registrierten Faktor, einem Gerät ohne Konformitätsstatus oder einer IP-Adresse außerhalb des benannten Standorts, etwa einer fehlenden IPv6-Adresse des Büros.

Datenschutz und Mitbestimmung

Anmeldeprotokolle enthalten Daten von Beschäftigten, darunter Standorte. Halten Sie Zweck und Aufbewahrungsdauer fest, und beziehen Sie in Betrieben mit Betriebsrat diesen ein, weil solche Systeme zur Verhaltenskontrolle geeignet sein können (§ 87 Abs. 1 Nr. 6 BetrVG). Das ist eine Orientierung und keine Rechtsberatung.

Beispiele für Richtlinien im Detail

Geben Sie Richtlinien sprechende Namen, etwa "Alle: Blockieren: alte Protokolle". Bei einem Dutzend Regeln spart das viel Zeit bei der Fehlersuche.

Wie Richtlinien zusammenwirken

Alle zutreffenden Richtlinien gelten gemeinsam, eine Reihenfolge gibt es nicht. Blockiert eine davon, schlägt die Anmeldung fehl, ganz gleich, was die anderen erlauben. Verlangen mehrere Richtlinien unterschiedliche Auflagen, müssen alle erfüllt sein. Deshalb lässt sich eine zu weit gefasste Blockade auch nicht mit einer zweiten, erlaubenden Regel aufheben. Sie müssen die Ausnahme in der blockierenden Regel selbst festlegen.

Besondere Fälle

• Gäste und Partner: Sie unterliegen Ihren Regeln beim Zugriff auf Ihre Anwendungen. Über Einstellungen für den mandantenübergreifenden Zugriff können Sie Mehrfaktor-Nachweise aus dem Heimatmandanten anerkennen.
• Dienstkonten: Sie können in der Regel keine Mehrfaktor-Anmeldung durchführen. Prüfen Sie, ob verwaltete Identitäten oder Workload-Identitäten möglich sind, statt Ausnahmen zu sammeln.
• Gemeinsam genutzte Geräte: Häufige Anmeldungen vieler Personen brauchen ein passendes Verfahren, etwa Sicherheitsschlüssel oder Passkeys.
• Registrierung des zweiten Faktors: Sichern Sie auch diesen Schritt ab, damit nicht jemand mit gestohlenem Passwort seinen eigenen Faktor hinterlegt.
• KI-Agenten: Microsoft weitet Conditional Access in einer Vorschau auch auf Agentenidentitäten aus.

Conditional Access laufend pflegen

Richtlinien veralten. Prüfen Sie vierteljährlich die Ausnahmegruppen, denn dort landen Personen und bleiben. Alarmieren Sie bei jeder Änderung an Richtlinien und bei jeder Anmeldung mit einem Notfallkonto. Die Registerkarte für die Abdeckung im Admin Center zeigt, welche Anwendungen in den letzten sieben Tagen ohne Richtlinie genutzt wurden. Sichern Sie die Regeln außerdem außerhalb des Portals, etwa über die Microsoft Graph API, damit Sie sie nach einem Fehler wiederherstellen können.

Verwaltung auf vielen Geräten

Conditional Access entscheidet, wer sich anmelden darf. Die Geräte müssen trotzdem verwaltet werden. trio.so synchronisiert Benutzer und Gruppen aus Microsoft Entra ID, unterstützt SCIM 2.0 mit Entra ID und SAML Single Sign-on und zeigt den Verschlüsselungsstatus jedes Geräts. Einen Konformitätsstatus an Entra ID meldet trio.so nicht, planen Sie dafür also eine andere Regel.

Weiterführend: Least Privilege, ZTNA und ABAC.