Microsoft Entra Conditional Access einrichten: MFA, Geräte und Risiken gezielt steuern

Montagmorgen, ein Administrator aktiviert eine neue Conditional-Access-Richtlinie für alle Mitarbeitenden. Wenige Minuten später können sich Kolleginnen und Kollegen im Außendienst nicht mehr bei Microsoft 365 anmelden. Noch kritischer: Auch das Adminteam ist betroffen, weil die Ausnahmen nicht sauber definiert wurden. Solche Situationen vermeidest du nicht durch möglichst viele Richtlinien, sondern durch eine klare Planung, kontrollierte Tests und einen schrittweisen Rollout.

Microsoft Entra Conditional Access ist das zentrale Werkzeug, um Zugriffe auf Cloudanwendungen anhand von Signalen zu steuern. Dazu zählen unter anderem Benutzer, Gruppen, Rollen, Standort, Gerätetyp, Gerätezustand, Anwendung, Anmelderisiko und das verwendete Authentifizierungsverfahren. Das Ziel ist nicht, jede Anmeldung möglichst kompliziert zu machen. Du willst gezielt zusätzliche Sicherheit verlangen, wenn sie notwendig ist, und reguläre Arbeitsabläufe zuverlässig ermöglichen.

Infografik zu Microsoft Entra Conditional Access einrichten: MFA, Geräte und Risiken gezielt steuern (KI-generiert).

Conditional Access vor dem Aufbau richtig einordnen

Conditional Access setzt voraus, dass du weißt, welche Schutzmaßnahmen bereits aktiv sind und welche Identitäten besonders kritisch sind. Prüfe deshalb zuerst die aktuelle Ausgangslage in deinem Entra Mandanten.

Wichtige Fragen sind:

• Welche Administratorkonten besitzen weitreichende Rollen?
• Welche Anwendungen werden über Microsoft Entra ID genutzt?
• Welche MFA Methoden sind zugelassen und tatsächlich im Einsatz?
• Werden Geräte mit Microsoft Intune oder einer anderen Verwaltungslösung gesteuert?
• Gibt es Dienstkonten, Automatisierungen oder ältere Anwendungen mit besonderen Anmeldeanforderungen?
• Nutzen externe Gäste, Partner oder Dienstleister deine Anwendungen?
• Sind bereits Sicherheitsstandards oder bestehende Conditional-Access-Richtlinien aktiv?

Besonders wichtig ist die Frage nach überlappenden Regeln. Conditional Access wertet alle zutreffenden Richtlinien aus. Wenn eine Richtlinie MFA verlangt und eine andere zusätzlich ein konformes Gerät fordert, muss die Anmeldung beide Bedingungen erfüllen. Eine Ausschlussregel hebt keine andere Richtlinie auf. Sie verhindert nur, dass die betreffende Richtlinie auf das ausgeschlossene Objekt angewendet wird.

Dokumentiere vorab, welche Richtlinie welches Ziel verfolgt. Eine Richtlinie mit der Bezeichnung „Sicherheit für alle“ ist später kaum wartbar. Benenne stattdessen verständlich, etwa „CA 01 Admins MFA phishingresistent“ oder „CA 10 Microsoft 365 konformes Gerät“.

Notfallkonten einrichten und schützen

Bevor du produktive Richtlinien aktivierst, benötigst du mindestens zwei separate Notfallkonten mit sehr hohen Berechtigungen. Diese Konten werden ausschließlich verwendet, wenn reguläre Administratoren wegen einer Fehlkonfiguration keinen Zugriff mehr erhalten.

Für diese Konten gelten klare Regeln:

• Verwende ausschließlich cloudbasierte Konten, die nicht von lokaler Synchronisierung abhängen.
• Vergib lange, einzigartige Kennwörter und bewahre sie nach deinem internen Sicherheitsprozess geschützt auf.
• Nutze die Konten nicht für tägliche Verwaltungsaufgaben.
• Schließe sie zunächst gezielt aus den Conditional-Access-Richtlinien aus.
• Überwache jede Anmeldung dieser Konten über Benachrichtigungen und Anmeldeprotokolle.
• Prüfe regelmäßig, ob die Konten weiterhin funktionieren und die hinterlegten Zugangsdaten verfügbar sind.

Der Ausschluss von Notfallkonten ist keine Schwachstelle, wenn du ihn bewusst kontrollierst. Er ist deine Rückfallebene. Wichtig ist, dass die Ausnahmen eng bleiben. Schließe niemals pauschal große Gruppen wie „IT“ oder „Management“ aus, nur um eine Richtlinie schneller auszurollen.

Phishingresistente MFA als Zielbild planen

Klassische MFA mit SMS oder Einmalcodes erhöht die Sicherheit deutlich, schützt aber nicht in jedem Szenario vor modernen Phishingangriffen. Angreifer können Echtzeitphishing nutzen und eingegebene Kennwörter sowie Einmalcodes unmittelbar weiterreichen. Phishingresistente Verfahren binden die Anmeldung stärker an Gerät, Schlüssel oder Zertifikat und erschweren solche Angriffe erheblich.

In Microsoft Entra ID kannst du dafür Authentifizierungsstärken einsetzen. Eine Authentifizierungsstärke legt fest, welche MFA Methoden eine Richtlinie akzeptiert. Damit kannst du für besonders sensible Zugriffe gezielt stärkere Verfahren verlangen, ohne sie sofort für jede gewöhnliche Anmeldung vorzuschreiben.

Geeignete Einsatzbereiche sind:

• Rollen mit umfangreichen Verwaltungsrechten
• Zugriffe auf sicherheitskritische Verwaltungsportale
• Anwendungen mit vertraulichen Daten
• Freigaben für privilegierte Aufgaben
• externe Zugriffe mit erhöhtem Risiko

Zu den gängigen phishingresistenten Methoden gehören abhängig von deiner Konfiguration beispielsweise FIDO2 Sicherheitsschlüssel, Passkeys, Windows Hello for Business und zertifikatbasierte Authentifizierung. Welche Methode sinnvoll ist, hängt von Gerätebestand, Betriebssystemen, mobilen Einsatzszenarien und vorhandener Public-Key-Infrastruktur ab.

Beginne mit Administratoren. Lege dafür eine eigene Richtlinie an, die alle relevanten Verzeichnisrollen einbezieht. Fordere eine passende Authentifizierungsstärke und schließe ausschließlich die vorbereiteten Notfallkonten aus. Teste die Anmeldung mit mindestens zwei unterschiedlichen Administratorkonten und den vorgesehenen Endgeräten.

Achte darauf, dass die gewählte Methode tatsächlich registriert und nutzbar ist. Eine Richtlinie ist technisch korrekt, hilft aber nicht, wenn die betroffenen Personen noch keinen Sicherheitsschlüssel, Passkey oder eine passende Windows-Hello-Konfiguration besitzen.

Gerätekonformität sinnvoll einsetzen

Eine Richtlinie für konforme Geräte ist besonders wirksam, wenn du den Zugriff auf Unternehmensdaten von verwalteten Endgeräten abhängig machen willst. Das Signal „als konform markiertes Gerät erforderlich“ stammt in typischen Microsoft-Umgebungen aus Intune. Das Gerät muss also registriert, verwaltet und anhand deiner Konformitätsrichtlinien bewertet werden.

Dabei solltest du zwischen unterschiedlichen Anforderungen unterscheiden:

• Ein konformes Gerät eignet sich für den Schutz von Daten und Anwendungen auf verwalteten Unternehmensgeräten.
• Ein hybrid in Microsoft Entra eingebundenes Gerät kann in klassischen Windows-Umgebungen sinnvoll sein.
• App-Schutzrichtlinien können für private Mobilgeräte eine Alternative sein, wenn du nicht das gesamte Gerät verwalten willst.
• Gerätefilter helfen dir, Regeln auf bestimmte Gerätetypen, Betriebssysteme oder Eigenschaften einzugrenzen.

Verlange nicht sofort für alle Anwendungen ein konformes Gerät. Prüfe zuerst, welche Arbeitsabläufe betroffen sind. Mitarbeitende im Vertrieb benötigen möglicherweise Zugriff von mobilen Geräten. Externe Gäste besitzen in der Regel keine Geräte, die in deinem Mandanten als konform bewertet werden. Auch Besprechungsräume, gemeinsam genutzte Geräte oder technische Spezialgeräte können abweichende Anforderungen haben.

Ein praxistauglicher Einstieg ist der Schutz ausgewählter Anwendungen mit sensiblen Daten. Definiere außerdem, was „konform“ konkret bedeutet. Mindestversionen für Betriebssysteme, Festplattenverschlüsselung, aktueller Sicherheitsstatus und ein aktivierter Bildschirmsperrcode sind typische Kriterien. Zu strenge Vorgaben ohne Übergangsphase führen allerdings schnell zu unnötigen Supportfällen.

Risiken, Standorte und Sitzungen gezielt steuern

Conditional Access kann auch Risikosignale aus Microsoft Entra ID Protection berücksichtigen. Dabei unterscheidet Entra unter anderem Anmelderisiko und Benutzerrisiko. Ein erhöhtes Anmelderisiko kann auf ungewöhnliche Muster, verdächtige IP-Adressen oder bekannte Angriffstechniken hinweisen. In solchen Fällen kannst du MFA verlangen oder den Zugriff blockieren.

Setze risikobasierte Richtlinien erst dann produktiv ein, wenn dein Team die Auswirkungen verstanden hat. Prüfe zunächst im Berichtsmodus, welche Anmeldungen betroffen wären. Analysiere anschließend Fehlklassifizierungen und kläre, ob bekannte Unternehmensstandorte, VPN-Ausgänge oder Reiseaktivitäten berücksichtigt werden müssen.

Standorte sollten ebenfalls mit Bedacht verwendet werden. Benannte Standorte können für vertrauenswürdige Netzwerkbereiche oder Länderregionen sinnvoll sein. Eine IP-Adresse allein ist aber kein Identitätsnachweis. Nutze Standortbedingungen daher nicht als Ersatz für MFA oder Gerätekonformität.

Auch Sitzungseinstellungen verdienen Aufmerksamkeit. Anmeldehäufigkeit, persistente Browsersitzungen und Einschränkungen für Webzugriffe können Sicherheitsniveau und Benutzerfreundlichkeit beeinflussen. Teste Änderungen immer mit realistischen Nutzungsszenarien. Gerade bei Anwendungen, die häufige Neuanmeldungen schlecht verarbeiten, können aggressive Sitzungsvorgaben unnötige Unterbrechungen verursachen.

Rollout ohne Aussperren durchführen

Der Berichtsmodus ist dein wichtigstes Werkzeug für einen kontrollierten Start. Eine Richtlinie im Berichtsmodus wird ausgewertet, aber nicht durchgesetzt. Du erkennst in den Anmeldeprotokollen, ob die Richtlinie gegriffen hätte und welche Zugriffssteuerung angewendet worden wäre.

Gehe in dieser Reihenfolge vor:

• Erstelle die Richtlinie mit eindeutigem Namen und dokumentiertem Zweck.
• Schließe die kontrollierten Notfallkonten gezielt aus.
• Begrenze den Geltungsbereich zunächst auf eine Pilotgruppe.
• Aktiviere den Berichtsmodus.
• Prüfe die Anmeldeprotokolle für typische Benutzer, Administratoren, Gäste und Servicezugriffe.
• Kläre unerwartete Treffer und fehlende Voraussetzungen.
• Informiere die Pilotgruppe über Änderungen und unterstütze bei der Registrierung neuer MFA Methoden.
• Schalte die Richtlinie für die Pilotgruppe auf „Ein“.
• Werte Supportfälle und Protokolle aus.
• Erweitere den Geltungsbereich schrittweise.

In den Anmeldeprotokollen siehst du pro Anmeldung, welche Conditional-Access-Richtlinien bewertet wurden, welche Bedingungen zutrafen und warum eine Steuerung erfolgreich oder nicht erfolgreich war. Diese Informationen sind bei Problemen wertvoller als Vermutungen. Prüfe insbesondere den verwendeten Client, die Zielanwendung, den Gerätestatus und die gewählte Authentifizierungsmethode.

Passende Seminare und Termine findest du bei uns auf cmt.de.

Ausnahmen klein halten und regelmäßig prüfen

Ausnahmen sind manchmal notwendig, etwa für technische Konten, besondere Geräte oder Übergangsszenarien. Jede Ausnahme erweitert jedoch die Angriffsfläche. Lege deshalb für jede Ausnahme fest, warum sie erforderlich ist, wer sie genehmigt hat, welche Alternative geprüft wurde und wann du sie erneut bewertest.

Vermeide Sammelausnahmen über große Gruppen. Besser ist eine klar abgegrenzte Gruppe mit wenigen Mitgliedern und nachvollziehbarem Zweck. Für Anwendungen oder Automatisierungen solltest du außerdem prüfen, ob moderne, nicht interaktive Authentifizierungsverfahren verwendet werden können. Benutzerkonten mit dauerhaft hinterlegten Kennwörtern sind für Automatisierungen keine tragfähige Dauerlösung.

Conditional Access ist kein einmaliges Projekt. Neue Anwendungen, geänderte Geräteverwaltung, neue MFA Methoden und veränderte Bedrohungslagen beeinflussen deine Regeln. Wenn du Richtlinien verständlich strukturierst, im Berichtsmodus testest und Ausnahmen konsequent begrenzt, schaffst du einen wirksamen Schutz, ohne den Arbeitsalltag unnötig zu blockieren.