Microsoft Entra ID Governance einführen: Access Reviews und Joiner-Mover-Leaver automatisieren

Montagmorgen, ein Projektteam benötigt kurzfristig Zugriff auf einen Teams-Bereich, ein externer Dienstleister arbeitet noch in mehreren SharePoint-Sites mit und eine Kollegin hat nach einem Rollenwechsel weiterhin Berechtigungen aus ihrer alten Abteilung. Solche Fälle sind im Microsoft-365-Alltag normal. Gefährlich werden sie, wenn niemand mehr nachvollziehen kann, wer Zugriff hat, warum dieser Zugriff besteht und wer ihn regelmäßig prüfen soll. Genau hier setzt Microsoft Entra ID Governance an.

Identitäts-Governance ist keine einzelne Einstellung im Entra Admin Center. Sie ist ein Betriebsmodell für Identitäten und Zugriffe. Es verbindet technische Funktionen wie Access Reviews, Genehmigungsworkflows, Lifecycle Workflows und Privileged Identity Management mit klaren Verantwortlichkeiten im Fachbereich und in der IT. Ziel ist nicht, möglichst viele Prüfungen einzurichten. Ziel ist, Zugriffe nachvollziehbar, zeitlich passend und angemessen restriktiv zu vergeben.

Was Microsoft Entra ID Governance praktisch löst

In einer gewachsenen Umgebung entstehen Berechtigungen auf vielen Wegen: Gruppenmitgliedschaften, direkte Freigaben, Teams, SharePoint, Enterprise Applications, Azure-Rollen und Gastkonten. Besonders kritisch sind Zugriffe, die ursprünglich korrekt waren, später aber nicht mehr benötigt werden.

Entra ID Governance hilft dir vor allem in diesen Situationen:

• Neue Mitarbeitende benötigen zum Start die passenden Standardzugriffe.
• Bei einem Rollen- oder Abteilungswechsel müssen bisherige Rechte überprüft und neue Zugriffe vergeben werden.
• Beim Austritt müssen Konten, Gruppenmitgliedschaften und Anwendungszugriffe zuverlässig entzogen werden.
• Gäste erhalten einen klar begrenzten Zugang zu einzelnen Ressourcen.
• Verantwortliche aus Fachbereichen prüfen regelmäßig, ob Team- und Gruppenmitgliedschaften noch nötig sind.
• Administrative Berechtigungen werden nicht dauerhaft, sondern nur bei tatsächlichem Bedarf aktiviert.

Das passt zum Prinzip der minimalen Rechte. Ein Konto soll nur auf das zugreifen können, was für die jeweilige Aufgabe erforderlich ist. Für technische Grundlagen rund um Microsoft-Identitäten empfehlen wir auch unseren Beitrag Active Directory verstehen und sauber verwalten.

Vor der Automatisierung: Zugriffe und Verantwortliche klären

Viele Governance-Projekte scheitern nicht an der Technik, sondern an ungeklärten Zuständigkeiten. Wenn niemand Eigentümer einer Gruppe oder Anwendung ist, kann auch niemand fundiert über Zugriffe entscheiden. Bevor du Access Reviews oder Lifecycle Workflows konfigurierst, brauchst du deshalb eine belastbare Ausgangslage.

Erstelle zunächst eine Übersicht der wichtigsten Ressourcen. Starte nicht mit jeder einzelnen Gruppe im Verzeichnis, sondern mit Bereichen, die hohe Risiken oder viele Änderungen erzeugen.

Bereich	Typische Frage	Geeignete verantwortliche Rolle
Microsoft-365-Gruppen und Teams	Wer gehört noch zum Projekt oder Team?	Team- oder Gruppenbesitzer
SharePoint-Sites	Wer benötigt weiterhin Zugriff auf vertrauliche Inhalte?	Site Owner oder Fachverantwortliche
Enterprise Applications	Wer darf die Anwendung verwenden?	Anwendungsverantwortliche
Gastkonten	Arbeitet der externe Kontakt noch mit uns?	Einladende Person oder Projektleitung
Azure-Rollen	Wer braucht administrative Rechte tatsächlich?	Plattform- oder Sicherheitsverantwortliche

Prüfe außerdem die Qualität der Identitätsdaten. Lifecycle Workflows benötigen Attribute, anhand derer Ereignisse und Zielgruppen ermittelt werden können. Typische Beispiele sind Eintrittsdatum, Austrittsdatum, Abteilung, Standort, Vorgesetzte oder Beschäftigungsart. Fehlen diese Daten oder werden sie unzuverlässig gepflegt, kann eine Automatisierung falsche oder unvollständige Ergebnisse liefern.

Kläre dabei frühzeitig, welches System führend ist. Personalstammdaten sollten nicht parallel in mehreren Systemen manuell gepflegt werden. Ein verlässlicher Datenfluss aus dem führenden System nach Entra ID reduziert Fehler bei Eintritt, Wechsel und Austritt erheblich.

Access Reviews sinnvoll beginnen

Access Reviews sind regelmäßige Überprüfungen von Mitgliedschaften und Zuweisungen. Sie eignen sich besonders für Microsoft-365-Gruppen, Teams, Sicherheitsgruppen, Enterprise Applications und Azure-Rollenzuweisungen. Eine Prüfung ist dann hilfreich, wenn Berechtigungen nicht allein über feste Regeln gesteuert werden können.

Beginne mit einem klar abgegrenzten Anwendungsfall. Gute erste Kandidaten sind:

• Gastmitglieder in sensiblen Teams oder SharePoint-Gruppen
• Mitglieder von Projektgruppen mit befristeter Laufzeit
• Benutzerzugriffe auf eine geschäftskritische Anwendung
• privilegierte Gruppen mit administrativen Rechten

Lege für jede Review fest, wer entscheidet. Gruppenbesitzer kennen den fachlichen Bedarf häufig besser als die IT. Bei sensiblen Anwendungen kann dagegen ein zentraler Anwendungsverantwortlicher die bessere Wahl sein. Selbstbewertungen durch die betroffenen Benutzer können ergänzen, sollten aber nicht die einzige Kontrollinstanz sein.

Wichtig ist auch die Folgeentscheidung. Ein Review ohne konsequente Umsetzung erzeugt nur Arbeit. Definiere daher, was passiert, wenn ein Zugriff abgelehnt wird oder keine Antwort erfolgt. In weniger kritischen Bereichen kann ein erneuter Hinweis sinnvoll sein. Bei abgelaufenen Projektzugriffen oder externen Gästen ist ein automatischer Entzug nach Ablauf der Frist oft angemessen. Teste dieses Verhalten zunächst mit einer Pilotgruppe.

Access Reviews nicht zu breit ausrollen

Eine vierteljährliche Prüfung von Tausenden Mitgliedschaften überfordert Fachbereiche und führt zu ungenauen Bestätigungen. Verantwortliche klicken dann häufig durch Listen, ohne einzelne Zugriffe zu bewerten. Besser sind kurze, nachvollziehbare Prüfungen mit einem konkreten Kontext.

Gib in Benachrichtigungen verständliche Informationen an: Welche Ressource wird geprüft? Welche Berechtigung besteht? Wofür wird sie genutzt? Bis wann ist eine Entscheidung erforderlich? Je klarer diese Angaben sind, desto besser wird die Qualität der Entscheidung.

Joiner-Mover-Leaver mit Lifecycle Workflows vorbereiten

Der Joiner-Mover-Leaver-Prozess beschreibt drei zentrale Veränderungen im Lebenszyklus einer Identität:

• Joiner: Eine Person tritt ein und benötigt Konto, Basiszugriffe und Informationen für den Start.
• Mover: Eine Person wechselt Rolle, Team, Standort oder Verantwortungsbereich.
• Leaver: Eine Person verlässt das Unternehmen oder beendet eine Zusammenarbeit.

Lifecycle Workflows in Entra ID können Aufgaben anhand solcher Ereignisse auslösen. Dazu gehören beispielsweise Benachrichtigungen, Gruppenmitgliedschaften, Kontodeaktivierungen oder die Vorbereitung von Offboarding-Schritten. Sie ersetzen aber keine durchdachte Prozessgestaltung.

Beim Eintritt lohnt sich ein standardisierter Grundzugriff: etwa die passende Lizenzierung, Basisgruppen, Kommunikationsinformationen und eventuell eine zeitgesteuerte Erinnerung an die Führungskraft. Gib jedoch nicht automatisch jede Fachanwendung frei. Für Anwendungen mit erhöhtem Schutzbedarf bleibt ein Antrags- und Genehmigungsprozess sinnvoll.

Bei Rollenwechseln ist der Entzug alter Zugriffe oft schwieriger als die Vergabe neuer Rechte. Ein Abteilungsattribut allein sagt nicht immer zuverlässig, welche Berechtigungen entfernt werden müssen. Deshalb funktioniert eine Kombination gut: Automatisiere eindeutige Standardänderungen und löse für nicht eindeutige Zugriffe eine Access Review oder eine Aufgabenbenachrichtigung aus.

Beim Austritt zählt vor allem die Reihenfolge. Das Konto muss rechtzeitig gesperrt werden, aktive Sitzungen und Zugriffe müssen berücksichtigt werden, und fachlich relevante Daten dürfen nicht ungeplant verloren gehen. Kläre mit Personalbereich, Führungskräften, IT und Informationssicherheit, welches Ereignis den Prozess auslöst und welche Fristen gelten. Unterscheide auch zwischen geplantem und kurzfristigem Austritt.

Genehmigungen über Entitlement Management steuern

Wenn Mitarbeitende oder Externe Zugriffe selbst anfordern können sollen, ist Entitlement Management ein zentraler Baustein. Statt Gruppenmitgliedschaften per Ticket oder Zuruf zu vergeben, bündelst du Ressourcen in Zugriffspaketen. Ein Zugriffspaket kann beispielsweise eine Gruppe, eine Teams-Mitgliedschaft und eine Anwendung zusammenfassen.

Für jedes Paket definierst du unter anderem:

• Wer darf den Zugriff anfordern?
• Ist eine Begründung erforderlich?
• Wer genehmigt den Antrag?
• Wie lange gilt der Zugriff?
• Muss die Berechtigung verlängert oder erneut beantragt werden?
• Soll nach Ablauf automatisch eine Überprüfung erfolgen?

Ein gutes erstes Zugriffspaket ist ein zeitlich begrenzter Gastzugriff für ein konkretes Projekt. Damit testest du Antrag, Genehmigung, Ablauf und Entzug in einem überschaubaren Szenario. Erst danach solltest du komplexere Pakete für interne Fachanwendungen oder mehrere Ressourcentypen aufbauen.

Für den sicheren Umgang mit Gästen, Geräten und risikobasierten Zugriffen ergänzt Microsoft Entra Conditional Access einrichten: MFA, Geräte und Risiken gezielt steuern die Governance-Perspektive sinnvoll. Conditional Access entscheidet über die Bedingungen einer Anmeldung. Governance steuert dagegen, ob ein Zugriff grundsätzlich bestehen soll. Beides gehört zusammen, löst aber unterschiedliche Aufgaben.

Privilegierte Zugriffe getrennt behandeln

Administrative Rechte benötigen einen strengeren Prozess als gewöhnliche Gruppenmitgliedschaften. Dauerhafte Administratorrollen erhöhen das Risiko bei Fehlkonfigurationen, kompromittierten Konten und unbemerktem Missbrauch. Privileged Identity Management, kurz PIM, ermöglicht eine zeitlich begrenzte Aktivierung berechtigter Rollen.

Für privilegierte Rollen solltest du mindestens diese Punkte festlegen:

• Welche Rollen dürfen grundsätzlich berechtigt sein?
• Wer genehmigt die Aktivierung?
• Ist eine Begründung erforderlich?
• Wie lange bleibt die Rolle aktiv?
• Welche Rollen müssen besonders häufig überprüft werden?
• Welche Konten dürfen keine privilegierten Rechte erhalten?

Trenne normale Benutzerkonten und administrative Konten, wenn deine Betriebsanforderungen dies vorsehen. Eine Rollenaktivierung ist kein Ersatz für sichere Anmeldung, Geräteschutz und Protokollierung. Sie reduziert aber die Zeit, in der weitreichende Rechte aktiv sind.

Ein realistischer Einführungsplan

Statt alle Funktionen gleichzeitig zu aktivieren, empfehlen wir einen schrittweisen Ablauf:

1. Wähle einen klaren Pilotbereich, etwa Gastzugriffe auf Projektteams.
2. Benenne Ressourcen- und Prozessverantwortliche.
3. Bereinige unklare Gruppen, verwaiste Eigentümer und nicht benötigte Mitgliedschaften.
4. Konfiguriere einen Access Review mit überschaubarer Teilnehmerzahl.
5. Dokumentiere Entscheidungen, Fristen und den Umgang mit ausbleibenden Antworten.
6. Prüfe die Ergebnisse gemeinsam mit Fachbereich und IT.
7. Ergänze anschließend Zugriffspakete oder Lifecycle Workflows.
8. Übertrage das Vorgehen auf weitere Ressourcen und privilegierte Rollen.

Plane nach jeder Ausbaustufe eine kurze Auswertung ein. Wie viele Zugriffe wurden bestätigt, abgelehnt oder nicht beantwortet? Waren die Verantwortlichen passend gewählt? Haben automatische Entzüge fachliche Probleme verursacht? Diese Erkenntnisse verbessern die nächste Stufe deutlich stärker als ein großer Einmal-Rollout.

Governance als wiederkehrende Betriebsaufgabe

Microsoft Entra ID Governance ist kein Projekt, das nach der Ersteinrichtung abgeschlossen ist. Neue Anwendungen, Reorganisationen, M&A-Szenarien, externe Zusammenarbeit und veränderte Sicherheitsanforderungen verändern die Berechtigungslandschaft fortlaufend. Prüfe daher regelmäßig deine Zugriffspakete, Review-Zyklen, Rollenmodelle und Datenqualität.

Wenn du den Einstieg in Cloud-Rollen und passende Lernwege planst, hilft dir unser Beitrag Cloud-Zertifizierung: Azure oder AWS lernen. Für Teams, die mehrere Themen von Entra ID bis Microsoft 365 abgestimmt entwickeln wollen, findest du außerdem praktische Hinweise in Weiterbildung fürs IT-Team planen: so geht’s.

Bei uns vermitteln wir die Funktionen nicht als isolierte Klickfolge, sondern anhand typischer Betriebsfälle: Gastzugriff, Gruppenverwaltung, Anwendungszugriffe, Rollenwechsel und privilegierte Administration. Passende Seminare und Termine findest du bei uns auf cmt.de.