Wie Unternehmen Zugriffe kontextabhängig steuern und ihre Microsoft-365-Umgebung nachhaltig absichern

Multi-Faktor-Authentifizierung (MFA) gehört heute zu den wichtigsten Maßnahmen zum Schutz digitaler Identitäten. Sie beantwortet jedoch nur einen Teil einer entscheidenden Frage: Wer darf unter welchen Bedingungen auf welche Unternehmensdaten zugreifen?

Nachhaltiger Schutz entsteht durch klare Standards, mehrere aufeinander abgestimmte Schutzebenen und eine kontinuierliche Überprüfung.

Ein wesentlicher Bestandteil dieses Ansatzes ist die Absicherung von Identitäten und Zugriffen. Genau hier setzt Microsoft Entra Conditional Access an: Zugriffe werden nicht pauschal erlaubt, sondern anhand verschiedener Signale und definierter Richtlinien bewertet.

Früher verlief die Sicherheitsgrenze eines Unternehmens weitgehend zwischen internem Netzwerk und Internet. Wer sich im Büro befand und mit einem Unternehmensgerät arbeitete, galt häufig automatisch als vertrauenswürdig. Dieses Modell passt nicht mehr zu modernen Arbeitsweisen.

Mitarbeitende greifen aus dem Homeoffice, unterwegs oder beim Kunden auf Microsoft 365 zu. Anwendungen und Daten liegen in der Cloud, externe Partner arbeiten projektbezogen mit und Endgeräte befinden sich längst nicht mehr ausschließlich im Unternehmensnetzwerk.

Damit wird die Identität zu einem zentralen Kontrollpunkt der IT-Sicherheit. Entscheidend ist nicht mehr allein, von wo ein Zugriff erfolgt, sondern auch wer zugreift, auf welche Ressource, mit welchem Gerät und unter welchen Bedingungen.

Multi-Faktor-Authentifizierung reduziert das Risiko erheblich, dass ein gestohlenes oder erratenes Passwort unmittelbar zu einem erfolgreichen Angriff führt. Eine erfolgreiche MFA-Anmeldung bedeutet jedoch nicht automatisch, dass der gesamte Zugriff vertrauenswürdig ist.

Auch nach einer erfolgreichen Authentifizierung können zusätzliche Risiken bestehen. Beispiele sind Zugriffe von nicht verwalteten Geräten, Anmeldungen aus nicht erwarteten Netzwerken oder Regionen sowie Angriffe, bei denen Benutzer zur Freigabe einer Anmeldung verleitet oder bereits authentifizierte Sitzungen missbraucht werden.

Die richtige Schlussfolgerung ist deshalb nicht, MFA infrage zu stellen. Im Gegenteil: MFA bildet eine wichtige Grundlage, sollte aber Teil einer umfassenderen Zugriffsstrategie sein.

Conditional Access ergänzt die Authentifizierung um den Kontext der jeweiligen Zugriffssituation.

Microsoft Entra Conditional Access ermöglicht es, Zugriffe anhand definierter Richtlinien zu steuern. Das Grundprinzip lässt sich vereinfacht als Wenn-dann-Logik beschreiben:

Wenn ein bestimmter Benutzer unter bestimmten Bedingungen auf eine Ressource zugreifen möchte, dann gelten die dafür festgelegten Sicherheitsanforderungen.

Abhängig von der Richtlinie kann ein Zugriff blockiert oder an zusätzliche Anforderungen geknüpft werden. Dazu gehören beispielsweise MFA, bestimmte Authentifizierungsstärken oder ein als konform eingestuftes Gerät.

Conditional Access folgt damit einem zentralen Zero-Trust-Prinzip: Zugriff wird nicht allein aufgrund eines bereits erreichten Netzwerkstandorts oder einer erfolgreichen Anmeldung als vertrauenswürdig betrachtet.

Zugriff von einem nicht verwalteten Gerät

Ein Mitarbeiter meldet sich mit einem privaten oder bislang nicht verwalteten Gerät bei Microsoft 365 an.

Abhängig vom Schutzbedarf der jeweiligen Anwendung kann der Zugriff beispielsweise auf konforme beziehungsweise verwaltete Geräte beschränkt oder vollständig blockiert werden. In geeigneten Szenarien lassen sich Zugriffe zusätzlich über weitere Kontrollmechanismen einschränken.

So kann ein Unternehmen unterschiedliche Schutzanforderungen abbilden, ohne mobiles Arbeiten grundsätzlich auszuschließen.

Zugriff aus nicht erwarteten Regionen oder Netzwerken

Unternehmen können Standorte und Netzwerke definieren und diese in Conditional-Access-Richtlinien berücksichtigen.

So lässt sich beispielsweise festlegen, dass Zugriffe aus bestimmten Regionen oder Netzwerkbereichen blockiert werden oder zusätzliche Anforderungen erfüllen müssen.

Wichtig dabei: Ein ungewöhnlicher Standort ist nicht automatisch ein Beweis für einen Angriff. Standortinformationen sind vielmehr eines von mehreren Signalen, die in eine Zugriffsstrategie einfließen können.

Besonderer Schutz administrativer Konten

Administrative Konten besitzen weitreichende Rechte und sind deshalb besonders attraktive Angriffsziele. Für privilegierte Rollen sollten entsprechend strengere Anforderungen gelten als für reguläre Benutzer.

Dazu können beispielsweise phishingresistente Authentifizierungsmethoden, besonders abgesicherte Geräte und klar definierte administrative Zugriffspfade gehören.

Ergänzend bleibt das Prinzip der geringsten Rechte entscheidend: Benutzer und Administratoren sollten nur die Berechtigungen erhalten, die sie für ihre Aufgaben tatsächlich benötigen.

Blockieren veralteter Authentifizierungsverfahren

Ältere Authentifizierungsverfahren können moderne Sicherheitsmechanismen teilweise umgehen oder unterstützen diese nicht ausreichend.

Eine konsequente Strategie sollte deshalb sicherstellen, dass nicht mehr benötigte Legacy-Authentifizierungsverfahren blockiert werden. Conditional Access kann hierbei ein wichtiger Bestandteil der technischen Durchsetzung sein.

Kontrollierter Zugriff für Gäste und Partner

Externe Zusammenarbeit gehört in Microsoft 365 zum Alltag. Gastzugriffe sollten jedoch nicht außerhalb des Sicherheitskonzepts stehen.

Abhängig von Anwendung, Schutzbedarf und Art der Zusammenarbeit können auch für externe Identitäten zusätzliche Anforderungen gelten. Entscheidend ist, dass der Zugriff bewusst definiert wird und nicht allein deshalb weniger streng behandelt wird, weil ein Benutzer außerhalb der eigenen Organisation arbeitet.

Conditional-Access-Richtlinien greifen unmittelbar in den Arbeitsalltag ein. Eine ungetestete Aktivierung für alle Benutzer kann deshalb zu unnötigen Supportfällen oder im schlimmsten Fall zu einer Aussperrung führen.

Ein strukturierter Rollout reduziert dieses Risiko deutlich.

Auch die Lizenzierung sollte bereits während der Konzeption berücksichtigt werden.

Für die Nutzung von Conditional Access wird grundsätzlich eine geeignete Microsoft-Entra-ID-Lizenz benötigt; viele zentrale Conditional-Access-Funktionen sind Bestandteil von Microsoft Entra ID P1. Microsoft 365 Business Premium enthält entsprechende Entra-ID-P1-Funktionen.

Weitergehende risikobasierte Funktionen, insbesondere die automatisierte Nutzung von Benutzer- und Anmelderisiken aus Microsoft Entra ID Protection, sind an weitergehende Lizenzanforderungen wie Microsoft Entra ID P2 gebunden.

Welche Lizenz tatsächlich benötigt wird, hängt deshalb von den geplanten Richtlinien und dem eingesetzten Microsoft-365-Lizenzmodell ab. Die Lizenzprüfung gehört in die Konzeptionsphase und nicht erst in den Rollout.

Mit der Aktivierung der Richtlinien ist die Arbeit nicht abgeschlossen.

Cloud-Umgebungen verändern sich kontinuierlich: Neue Anwendungen werden eingeführt, Mitarbeitende wechseln Aufgabenbereiche, Geräteplattformen verändern sich und ursprünglich zeitlich begrenzte Ausnahmen bleiben möglicherweise länger bestehen als geplant.

Gleichzeitig entwickelt Microsoft die Plattform weiter und auch Angriffsmethoden verändern sich.

Ohne regelmäßige Kontrolle verliert deshalb selbst ein gutes Conditional-Access-Konzept schrittweise an Wirksamkeit. Richtlinien, Ausschlüsse, Anmeldeereignisse und Änderungen sollten Bestandteil eines kontinuierlichen Security-Betriebs sein.

Nur so bleibt transparent, welche Zugriffe tatsächlich geschützt werden, wo Ausnahmen bestehen und an welchen Stellen Handlungsbedarf entsteht.

Wir betrachten Conditional Access nicht als isolierte Sammlung technischer Einstellungen.

Ausgangspunkt ist ein abgestimmtes Sicherheitsziel für die gesamte Microsoft-365-Umgebung. Daraus entwickeln wir ein reproduzierbares Baseline-Konzept, das Schutzbedarf, Benutzerfreundlichkeit und organisatorische Anforderungen miteinander verbindet.

Dazu gehören eine nachvollziehbare Richtlinienstruktur, abgesicherte Notfallzugänge, ein kontrollierter Rollout und eine belastbare Dokumentation.

Im laufenden Betrieb prüfen wir definierte Standards regelmäßig auf Abweichungen und bewerten, ob neue Funktionen, regulatorische Anforderungen oder veränderte Angriffsmuster Anpassungen erforderlich machen.

So entsteht keine statische Konfiguration, sondern ein Sicherheitsniveau, das nachvollziehbar, skalierbar und dauerhaft anpassungsfähig bleibt.

MFA ist und bleibt eine der wichtigsten Maßnahmen zum Schutz digitaler Identitäten. Allein kann sie jedoch nicht entscheiden, ob ein Zugriff unter den jeweiligen Rahmenbedingungen tatsächlich zugelassen werden sollte.

Conditional Access ergänzt die Authentifizierung um diese kontextabhängige Entscheidungsebene.

Unternehmen profitieren dadurch von klar definierten und automatisiert durchgesetzten Zugriffskontrollen, einer reduzierten Angriffsfläche und einer besseren Nachvollziehbarkeit ihrer Sicherheitsmaßnahmen.

Voraussetzung ist allerdings ein strukturiertes Konzept, das Richtlinien nicht nur einführt, sondern dauerhaft überprüft und weiterentwickelt.

Denn auch beim Identitäts- und Zugriffsschutz gilt: Sicherheit ist kein Zustand, sondern ein fortlaufender Prozess.

Dieser Text wurde mit Unterstützung von KI formuliert und durch einen unserer Technik erstellt.