Kontoschutz
MFA allein reicht nicht: Conditional Access richtig nutzen.
Mehrfaktor-Anmeldung, Geräte, Standorte und Risiken sollten gemeinsam betrachtet werden. Conditional Access in Microsoft Entra ID kann daraus überprüfbare Zugriffsregeln ableiten.
Microsoft-365-Sicherheit · München
Redaktion: Seven Consulting · Veröffentlicht am · Fachlich geprüft am
Warum klassische MFA nicht mehr das ganze Problem löst
Viele Unternehmen aktivieren Mehrfaktor-Authentifizierung und gehen danach davon aus, dass Microsoft 365 ausreichend geschützt ist. MFA ist ein wichtiger Baustein, aber kein vollständiges Sicherheitskonzept. Moderne Angriffe arbeiten mit gefälschten Microsoft-Anmeldeseiten, dem Diebstahl von Sitzungsschlüsseln, Gerätewechseln, unsicheren Altprotokollen oder kompromittierten Endgeräten.
Conditional Access in Microsoft Entra ID setzt genau dort an. Nicht nur das Passwort und ein zweiter Faktor entscheiden, sondern auch Kontext: Wer meldet sich an, von welchem Gerät, aus welchem Netzwerk, mit welchem Risiko und auf welche Anwendung?
Mehrfaktor-Anmeldung und Conditional Access ergänzen sich. Conditional Access bewertet Zugriffsbedingungen und kann bestimmte Anmeldeverfahren verlangen; es ersetzt weder den Schutz der Endgeräte noch die Untersuchung eines Vorfalls.
Typische Regeln, die in Microsoft 365 fast immer geprüft werden sollten
- Veraltete Anmeldeverfahren ohne moderne Mehrfaktor-Prüfung erfassen und nach Prüfung der Abhängigkeiten blockieren.
- Administratoren mit phishing-resistenter MFA, separaten Konten und klaren Rollen absichern.
- Unbekannte Länder, ungewöhnliche Standorte oder riskante Anmeldungen gezielt prüfen.
- Zugriff auf Exchange Online, SharePoint Online und Teams an Einhaltung der Gerätevorgaben koppeln.
- Gastzugriffe, externe Zusammenarbeit und Unternehmensanwendungen bewusst steuern.
- Notfallkonten mit eigenen, phishing-resistenten Anmeldeverfahren schützen und von Conditional-Access-Richtlinien ausnehmen, die ihre Anmeldung blockieren oder einschränken könnten. Ihre Nutzung wird überwacht und der Zugang regelmäßig geprüft.
Grundlage für Notfallzugänge: Microsofts Empfehlungen zu Notfallkonten.
Phishing-resistente MFA für sensible Rollen
Für besonders kritische Konten sollte gezielt eine phishing-resistente Mehrfaktor-Anmeldung verlangt werden. Microsoft Entra unterstützt dafür Authentifizierungsstärken, etwa mit FIDO2-Sicherheitsschlüsseln, Windows Hello for Business oder geeigneter zertifikatbasierter Mehrfaktor-Authentifizierung. Microsoft erläutert die unterstützten Kombinationen und Voraussetzungen.
Gerade bei Global Admins, Exchange Admins, SharePoint Admins und Security-Rollen sollte geprüft werden, ob stärkere Verfahren, Privileged Identity Management und reduzierte Dauerberechtigungen sinnvoll sind. Das Ziel ist nicht maximale Komplexität, sondern ein sauberer Schutz der Konten, mit denen ein Angreifer den größten Schaden anrichten könnte.
Eine Richtlinie mit konkreten Anmeldungen prüfen
Für den Pilot sollten mehrere reale Arbeitssituationen vereinbart werden: ein verwaltetes Notebook, ein zugelassenes Mobilgerät, ein Gastkonto und eine administrative Anmeldung. Prüfen Sie nicht nur den erfolgreichen Zugang, sondern auch den erwarteten Ausschluss eines unzulässigen Geräts. Im Anmeldeprotokoll müssen Zielanwendung, ausgewertete Richtlinien und Ergebnis zusammenpassen.
„Nur Bericht“ erzwingt die Zugriffsregel nicht. Bei Regeln zur Gerätekonformität kann auf macOS, iOS und Android dennoch eine Zertifikatsauswahl erscheinen. Solche Auswirkungen gehören in den Pilot und in die Information an die Nutzer. Ein angezeigtes „Benutzeraktion erforderlich“ ist deshalb anders zu bewerten als eine tatsächlich erzwungene MFA-Abfrage.
Dokumentieren Sie vor der Aktivierung die getesteten Konten und Geräte, nötige Ausnahmen, einen Rückweg und die zuständige Person. Microsoft erklärt die Auswertung und Grenzen des Berichtsmodus.
Einführung ohne Chaos im Tagesgeschäft
Neue Conditional-Access-Regeln sollten zunächst mit einer geeigneten Pilotgruppe geprüft werden. Im Modus „Nur Bericht“ lässt sich ihre Wirkung auswerten, bevor sie Zugriffe tatsächlich einschränken. Dokumentieren Sie Ausnahmen und Notfallzugänge und erklären Sie den betroffenen Personen die geplante Änderung. Prüfen Sie vorab die Lizenzen: Conditional Access benötigt grundsätzlich Microsoft Entra ID P1; risikobasierte Funktionen erfordern zusätzliche Voraussetzungen. Microsoft beschreibt Funktionsweise und Lizenzanforderungen.
Seven Consulting unterstützt bei der Bewertung bestehender Entra-ID-Richtlinien, beim Aufbau überprüfbarer Zugriffsregeln und bei der Umsetzung praxistauglicher Conditional-Access-Konzepte für Unternehmen in München und deutschlandweit per Fernzugriff.
Wenn Sie Microsoft 365, Entra ID, MFA und Conditional Access strukturiert härten möchten, ist eine Prüfung der Microsoft-365-Umgebung ein sinnvoller Einstieg.