Aufbau einer Break-Glass-MFA-Strategie für moderne Cloud-Sicherheit

Von Mirko Peters · 2026-04-26

Wenn in Ihrer Cloud- oder Hybridumgebung der Ernstfall eintritt – etwa eine massenhafte Aussperrung, ein Ausfall des MFA-Anbieters oder eine fehlerhafte Richtlinie –, werden diese wenig beachteten Break-Glass-Konten plötzlich zu Ihrer wichtigsten Rettungsleine. Im Zeitalter von Zero Trust und Multi-Cloud dürfen Notfallzugriffsstrategien nicht nachträglich bedacht werden. Sie gehören heute ins Zent

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Cover: Detect Microsoft 365 Attack Chains with Entra and Sentinel

Hier wird es jedoch schwierig: Sie müssen lückenlose Sicherheit mit der Realität in Einklang bringen, dass irgendjemand irgendwo manchmal sofortigen privilegierten Zugriff benötigt, um eine kritische Lage zu bereinigen. Eine Break-Glass-Strategie für die Multi-Faktor-Authentifizierung (MFA) zu entwerfen bedeutet nicht, das kleinere Übel zu wählen. Es geht darum, auch im Chaos sowohl Sicherheit als auch Geschwindigkeit zu gewährleisten. Dieser Leitfaden hilft Ihnen, dieses Gleichgewicht zu meistern, mit vertiefenden Einblicken in bewährte Verfahren, reale Szenarien und cloudspezifische Taktiken für Microsoft und darüber hinaus.

Was sind Break-Glass-Konten und warum sind sie wichtig?

Break-Glass-Konten lassen sich als das „Im Notfall Glas einschlagen“-Werkzeug der digitalen Welt verstehen. Es handelt sich um hochprivilegierte Konten, die nur dann verwendet werden sollen, wenn Ihre üblichen Administratorwege nicht verfügbar sind, etwa Ihre regulären Administratoren oder Single Sign-on. In kritischen Momenten sind diese Konten Ihr Weg zurück, um die Kontrolle wiederzuerlangen, Ausfälle zu beheben oder einen Sicherheitsvorfall zu stoppen, bevor die Lage eskaliert.

Stellen Sie sich folgendes Szenario vor: Ihr primärer Administrator ist nach einer fehlerhaften Konfiguration der bedingten Zugriffsrichtlinien ausgesperrt, oder Ihr MFA-Anbieter fällt genau im ungünstigsten Moment aus. Dann wird ein Break-Glass-Konto absolut entscheidend. Diese Konten müssen jederzeit verfügbar sein, egal wie schlecht die Lage an anderer Stelle geworden ist. Wenn Sie Microsoft 365, Azure AD oder eine Multi-Cloud-Umgebung betreiben, riskieren Sie ohne Break-Glass-Plan eine Situation, in der niemand mehr helfen kann – sei es bei Ransomware, einer missglückten Migration oder einem Supply-Chain-Angriff.

Break-Glass-Konten sind jedoch ein zweischneidiges Schwert. Ihre Macht macht sie zum Ziel für Angreifer und Insider-Bedrohungen. Deshalb müssen Sie diese Konten mit besonderer Sorgfalt verwalten – wie es die modernen Identitäts-Governance-Anforderungen verlangen, die auch für Angriffsketten mit AiTM-Token-Diebstahl und OAuth-Missbrauch in Microsoft-Umgebungen gelten. Richtig umgesetzt halten diese Konten Ihren Betrieb auch im Katastrophenfall am Laufen, ohne Angreifern eine Hintertür zu öffnen.

Das Sicherheitsparadoxon des Notfallzugriffs

Jede Organisation steht beim Notfallzugriff vor demselben Dilemma: Sperren Sie Break-Glass-Konten zu stark ab, funktionieren sie im Ernstfall womöglich nicht. Machen Sie sie aber zu offen oder dauerhaft aktiv, riskieren Sie, dass sie für alles Mögliche außerhalb eines Notfalls genutzt werden – vielleicht sogar aus böswilligen Motiven.

Dieses Spannungsfeld wird als "Sicherheitsparadoxon" bezeichnet. Sie benötigen ausreichend Richtlinien und Sicherheitskontrollen (etwa MFA und bedingten Zugriff), um Missbrauch oder unautorisierten Zugriff zu verhindern. Genau diese Kontrollen können Ihnen jedoch in einer Krise im Weg stehen. Deshalb stützt sich eine durchdachte Break-Glass-Strategie auf risikobasierte Entscheidungen sowie Rahmenwerke wie Zero Trust und konsequente Richtlinien für bedingten Zugriff, um die Konten sicher zu halten, ohne sie in kritischen Situationen unbrauchbar zu machen.

Entwurf einer sicheren Break-Glass-Kontostrategie mit MFA

Die Multi-Faktor-Authentifizierung (MFA) in Ihre Break-Glass-Strategie einzubinden, ist nicht so einfach wie das Umlegen eines Schalters. Sie müssen sicherstellen, dass die zusätzliche Sicherheit Sie im Ernstfall nicht versehentlich aussperrt. Ob Sie Microsoft 365, Azure oder eine Mischung aus Cloud- und lokalen Systemen betreiben: Wie Sie Ihre Notfallkonten entwerfen und steuern, ist sehr wichtig.

Das Fundament beginnt mit der Bewertung, wo Ihre Risiken und kritischen Abhängigkeiten liegen. Was passiert, wenn Ihr primäres MFA-System ausfällt? Welche Rollen benötigen tatsächlich Notfallzugriff, und wie verfolgen Sie im Nachhinein die Verantwortlichkeit? Die Antworten bestimmen Ihre Richtlinien, die MFA-Methoden, die Sie wählen, und die Art, wie Berechtigungen vergeben werden.

Dieser Abschnitt bereitet die praktischen Anleitungen vor. Er behandelt die Frage, ob Sie MFA für Break-Glass-Konten einsetzen sollten, sowie die Definition von Rollen und Berechtigungen. Letztlich ist Ihr Ziel ein System, das sowohl sicher als auch im Ernstfall sofort nutzbar ist, mit Richtlinien und Prozessen, die auf Ihre spezifische Kombination aus Plattformen und geschäftlichem Risiko zugeschnitten sind.

Kann man MFA für ein Break-Glass-Konto verwenden?

Ja, Sie können MFA für ein Break-Glass-Konto verwenden, sollten dabei aber mit Bedacht vorgehen. Entscheidend ist, dass Ihre MFA-Methode sowohl hochgradig sicher als auch jederzeit verfügbar ist, selbst wenn Ihre üblichen Systeme ausfallen. Hardware-Token oder Offline-TOTP-Codes sind zum Beispiel deutlich zuverlässiger als Cloud-basierte Authenticator-Apps oder SMS, die bei Störungen versagen können.

Für Break-Glass-Konten empfiehlt sich oft eine alternative oder redundante MFA-Methode, etwa spezielle Hardware-Token, die in einem gesicherten Speicher aufbewahrt werden, oder vorab generierte Backup-Codes. Microsoft rät ausdrücklich davon ab, diese Konten vollständig von Sicherheitskontrollen auszunehmen. Zu komplizierte MFA kann jedoch nach hinten losgehen, wenn sie legitimen Notfallzugriff blockiert. Entscheidend ist das richtige Gleichgewicht für Ihr Risikoprofil und Ihre Infrastruktur.

Least Privilege anwenden und Rollen definieren

Vergeben Sie nur unbedingt notwendige Berechtigungen. Notfallkonten sollten nur die minimal erforderlichen Berechtigungen besitzen, um den Zugriff wiederherzustellen oder Ihre Umgebung zu stabilisieren. Vergeben Sie globale Administratorrechte nur dann, wenn wirklich keine andere Rolle ausreicht.
Begrenzen Sie, wer auf Break-Glass-Konten zugreifen kann. Wählen Sie vertrauenswürdige, geschulte Personen aus, idealerweise nicht dieselben Administratoren, die den täglichen Betrieb verantworten. Das reduziert das Insider-Risiko.
Trennen Sie Aufgaben und erzwingen Sie die Dokumentation. Führen Sie ein schriftliches Protokoll darüber, wer verantwortlich ist, wer die Nutzung genehmigen darf und wann der Zugriff verwendet wurde. Dies sollte Teil Ihrer übergreifenden Identitäts-Governance sein, wie sie in Ressourcen wie Best Practices für Governance in Microsoft 365 beschrieben wird.
Überprüfen und validieren Sie Rollen regelmäßig. Lassen Sie keinen Zugriff nach dem Motto „nur für den Fall“ bestehen. Prüfen Sie die Berechtigungen und passen Sie sie an, wenn sich Ihre Organisation oder Technologie weiterentwickelt.

Best Practices für die Verwaltung von Break-Glass-Konten

Die Verwaltung von Break-Glass-Konten besteht aus mehr als dem Einrichten und dem Hoffen auf das Beste. Sie erfordert einen Lebenszyklus-Ansatz: starke Richtlinien erstellen, Anmeldeinformationen sorgfältig behandeln, alles aktuell halten und moderne digitale Werkzeuge statt veralteter Methoden wie physischer Tresore nutzen. Gute Verwaltungsrichtlinien legen fest, wann und wie diese Konten verwendet werden dürfen, wer die Nutzung genehmigt und wie Anmeldeinformationen rotiert und gespeichert werden.

Eine moderne Break-Glass-Strategie setzt außerdem auf Cloud-Sicherheitsfunktionen und Compliance-Anforderungen. Dazu gehören Privileged Access Management, verschlüsselter Speicher, kontinuierliche Überwachung und zeitnahe Audits. Sie müssen wissen, ob diese Konten genutzt werden, von wem und aus welchem Grund. Mit cloudnativen Werkzeugen und Audit-Plattformen wie Microsoft Purview Audit haben Sie mehr Transparenz und Kontrolle denn je, sofern Sie wissen, wie Sie sie nutzen.

Im Folgenden erhalten Sie eine strukturierte, schrittweise Anleitung zur Erstellung von Richtlinien sowie einen detaillierten Blick darauf, was nötig ist, um von veralteter, manueller Break-Glass-Verwaltung zu Lösungen zu wechseln, die sich über heutige hybride und Multi-Cloud-Umgebungen skalieren lassen.

Eine sichere Richtlinie für Break-Glass-Konten erstellen

Legen Sie klare Verantwortlichkeiten und Zugriffskriterien fest. Dokumentieren Sie genau, wer das Konto unter welchen Umständen nutzen darf. Die Genehmigungsprozesse sollten klar beschrieben sein.
Stärken Sie die Verwaltung von Anmeldeinformationen. Verwenden Sie starke, eindeutige Passwörter, aktivieren Sie MFA und rotieren Sie Anmeldeinformationen regelmäßig. Die sichere Ausstellung und Speicherung von Anmeldeinformationen muss den Richtlinien und gesetzlichen Vorgaben Ihrer Organisation entsprechen.
Sorgen Sie für sichere Speicherung und Zugriffsbeschränkungen. Anmeldeinformationen – insbesondere Hardware-Token oder Backup-Codes – gehören in verschlüsselte Tresore oder sichere Offline-Safes, auf die nur berechtigtes Personal Zugriff hat.
Führen Sie umfassende Aktivitätsprotokolle. Jede Nutzung muss für Audits protokolliert werden. Regelmäßige formale Überprüfungen dieser Protokolle helfen Ihnen, Compliance-Vorgaben einzuhalten, etwa im Bereich der prüfbaren Umsatzsteuer-Compliance, wie sie in Microsoft Dynamics 365 VAT audit practices beschrieben wird.
Richtlinie regelmäßig prüfen und aktualisieren. Planen Sie in festen Abständen Audits und Überprüfungen der Richtlinie ein, damit sie zu neuen Cloud-Kontrollen und regulatorischen Änderungen passt.

Über den physischen Tresor hinaus: Moderne Praktiken für das Break-Glass-Management

Verschlüsselte digitale Tresore einsetzen. Verlagern Sie Anmeldedaten aus physischen Tresoren in Passwort-Manager für Unternehmen oder in dedizierte Lösungen für privilegierten Zugriff (Privileged Access Management, PAM). Das erhöht sowohl die Sicherheit als auch den Komfort.
Cloud-native Funktionen nutzen. Setzen Sie Azure AD- oder Microsoft 365-Werkzeuge ein, um für Break-Glass-Konten Just-in-Time-Zugriff, bedingte Richtlinien und überwachte Nutzung durchzusetzen. Funktionen wie Microsoft Purview und Bedingter Zugriff (wie hier beschrieben) halten das Setup zeitgemäß und nachvollziehbar.
Zwei-Personen-Prinzip und Genehmigungsworkflows aktivieren. Verlangen Sie für den Zugriff auf Break-Glass-Anmeldedaten das Zwei-Personen-Prinzip bzw. eine doppelte Autorisierung. So lassen sich Missbrauch durch eine einzelne Person oder Fehler leichter verhindern.
Multi-Cloud-, Hybrid- und Offline-Szenarien unterstützen. Vereinheitlichen Sie Ausgabe und Authentifizierung von Anmeldedaten für Break-Glass-Konten über AWS, GCP, Azure und lokale Systeme hinweg. Denken Sie an Hardware-Token und Offline-TOTP-Codes für lückenlose Abdeckung, auch in luftgetrennten Umgebungen.
Protokollierung und Alarmierung automatisieren. Jede Break-Glass-Aktion sollte sofort Benachrichtigungen auslösen und umfassende Protokolle für die spätere Prüfung erzeugen. Die Integration mit Microsoft Defender und Purview ergänzt die Überwachung um eine weitere Ebene.

Schritt für Schritt: Playbook für den Notfallzugriff

Formellen Notfallantrag stellen. Dokumentieren Sie den Grund für die Nutzung des Break-Glass-Kontos. Die Kommunikation sollte über einen sicheren, vorab festgelegten Kanal erfolgen. Halten Sie fest, wer die Anfrage gestellt hat und wann.
Notwendige Genehmigung einholen. Verlangen Sie die Freigabe durch eine vorab benannte Stelle, idealerweise im Zwei-Personen-Prinzip, bevor Anmeldedaten freigegeben werden. Eine schnelle, aber sichere Eskalation ist entscheidend.
Authentifizieren und auf Systeme zugreifen. Verwenden Sie die zugewiesenen Break-Glass-Anmeldedaten und MFA (Hardware-Token oder Offline-Codes) für die Anmeldung. Stellen Sie sicher, dass alle Aktionen nachvollziehbar sind.
Wesentliche administrative Aufgaben ausführen. Beschränken Sie Aktionen auf das, was nötig ist, um die Kontrolle wiederherzustellen oder die Krise einzudämmen. Zusätzliche Schritte sollten protokolliert und begründet werden.
Nachbereitung des Vorfalls und Aufräumen. Widerrufen oder rotieren Sie Anmeldedaten umgehend, dokumentieren Sie, wer worauf zugegriffen hat, und führen Sie eine Ursachen- und Auswirkungsanalyse durch. Fließen Sie die Erkenntnisse in Ihr Sicherheits-Playbook ein, um es kontinuierlich zu verbessern.

Wie Zero Trust Break-Glass-Konten in Microsoft Azure AD absichert

Den 'Blast Radius' minimieren. Gestalten Sie Konten mit eingeschränkten Berechtigungen und eingeschränkter Sichtbarkeit. Beschränken Sie Break-Glass-Konten in Azure AD auf das absolut Notwendige. So verhindern Sie, dass Angreifer sich seitlich im Netzwerk bewegen, wenn ein Konto kompromittiert wird.
Auf reine Cloud-Notfallkonten setzen. Erstellen Sie nicht föderierte, cloud-native Administratorkonten, die auch dann funktionieren, wenn Ihr regulärer Identitätsanbieter ausfällt. Microsofts Empfehlungen bewegen sich zunehmend in Richtung dieses Modells, weil es Ausfälle lokaler Systeme oder der Synchronisierung umgeht.
Ausnahmen für Bedingten Zugriff sparsam einsetzen. Wenn Sie Break-Glass-Konten ausnehmen müssen, tun Sie dies nur mit einer klaren geschäftlichen Begründung und überwachen Sie die Nutzung intensiv über Metriken und Alarmierung, wie in den Ressourcen zu Zero Trust by Design beschrieben.
Kontinuierliche Überprüfung und Alarmierung einrichten. Richten Sie automatisierte Benachrichtigungen für jede Anmeldung und Aktivität mit Notfallkonten ein. Sofortige Alarme verkürzen die Reaktionszeit auf Missbrauch und auf echte Notfälle.
Dokumentieren und Praxisszenarien testen. Verlassen Sie sich nicht nur auf die allgemeine Microsoft-Dokumentation. Testen Sie Ihre Break-Glass-Prozesse über Bedingten Zugriff, PIM und RBAC hinweg, um lücken spezifisch für Ihre Umgebung aufzudecken, wie in den Leitlinien zu Azure enterprise governance betont.

Überwachung, Prüfung und Verbesserung der Praktiken für Break-Glass-Konten

Ein Break-Glass-Prozess allein reicht nicht – er muss in Echtzeit überwacht und nach jeder Nutzung überprüft werden. Jede einzelne Aktion mit einem Break-Glass-Konto sollte eine verlässliche Nachvollziehbarkeit erzeugen. Nur so lassen sich Sicherheitsvorfälle untersuchen, Compliance-Prüfungen durchführen und Ihre Notfallzugriffe kontinuierlich verbessern.

Führende Organisationen setzen Werkzeuge wie Microsoft Purview Audit und weitere fortschrittliche Überwachungslösungen ein, um sowohl die normale als auch die Notfallkontoaktivität nachzuverfolgen. Diese Plattformen bieten Ihnen umfassende Transparenz über Benutzeraktionen und helfen, Risiken gezielt aufzudecken – besonders in regulierten Branchen oder in Umgebungen mit hohen Anforderungen.

Ebenso wichtig ist es, Ihre Überprüfung des Break-Glass-Prozesses als kontinuierliche Rückkopplungsschleife zu verstehen. Was Sie aus jedem Notfall lernen – ob er reibungslos verlief oder unerwartete Hürden offenbarte –, sollte direkt in Ihre Richtlinien und technischen Kontrollen zurückfließen. Der folgende Abschnitt zeigt die praktischen Schritte für die Nachbereinigung nach einem Vorfall, die laufende Überwachung und Strategien für die tägliche Verantwortlichkeit.

Verantwortlichkeit durch Überwachung und Nachbereinigung nach Vorfällen sicherstellen

Alle Audit-Protokolle nach der Nutzung prüfen. Nutzen Sie Lösungen wie Microsoft Purview Audit, um genau nachzuvollziehen, welche Aktionen während des Notfallzugriffs ausgeführt wurden. Achten Sie auf Auffälligkeiten, Richtlinienverstöße oder Hinweise auf Missbrauch.
Ursachen- und Auswirkungsanalyse durchführen. Dokumentieren Sie nach jedem Vorfall, was das Ereignis ausgelöst hat und wie sich der Break-Glass-Prozess bewährt hat. Setzen Sie die gewonnenen Erkenntnisse in aktualisierte Kontrollen oder Reaktionspläne um.
Alle verwendeten Anmeldedaten rotieren. Sobald der Notfall vorbei ist, ändern Sie umgehend alle Kennwörter, deaktivieren verwendete Backup-Codes und sichern Hardware-Token neu, um wieder eine sichere Ausgangsbasis herzustellen.
Verantwortliche und Zugriffsrichtlinien aktualisieren. Halten Sie die Dokumentation aktuell. Entfernen Sie nicht benötigte Zugriffe und überprüfen Sie, wer als berechtigtes Personal für Notfallzugriffe hinterlegt ist.
Kontinuierliche Verbesserung umsetzen. Nutzen Sie die Erkenntnisse aus Vorfällen und Audits, um Richtlinien, Genehmigungsworkflows und Überwachungssysteme zu verfeinern. Gleichbleibende Disziplin hält Ihre Break-Glass-Strategie langfristig widerstandsfähig und compliant.

Fazit und Handlungsempfehlungen für eine sichere Break-Glass-MFA-Strategie

Kurz gesagt: Ein Break-Glass-Konto ist Ihre letzte Option, wenn alles andere versagt – deshalb ist sorgloser Umgang damit eine Einladung zu Problemen. Richtig umgesetzt verbinden Sie lückenlose Richtlinien, robuste MFA-Technologie und die Einsatzbereitschaft Ihres Teams in der Praxis, egal ob Sie Azure AD, Google, AWS oder klassische On-Premises-Umgebungen betreiben. Wenn Sie regelmäßige Überprüfungen vernachlässigen oder Notfallzugriffe nur als Pflichtpunkt abhaken, öffnen Sie Angreifern – oder Fehlern in einer echten Krise – Tür und Tor.

Hybride und Multi-Cloud-Umgebungen machen die Sache komplizierter, machen aber einheitliche Richtlinien und plattformübergreifende MFA umso wichtiger. Lücken zwischen Plattformen können Sie sich nicht leisten, und Sie sollten auch nicht davon ausgehen, dass Ihr MFA-System niemals ausfällt. Redundanz und widerstandsfähige Offline-Authentifizierung – etwa Hardware-Token oder sicher gespeicherte zeitbasierte Codes – sind für den Ernstfall unverzichtbar.

Vergessen Sie nicht den menschlichen Faktor. Tritt ein Vorfall ein, liegen die Nerven blank. Deshalb brauchen Sie klare Rollen, definierte Eskalationswege und regelmäßige Übungen. Tabletop-Übungen oder Red-Team-Simulationen sorgen dafür, dass Ihre Mitarbeitenden auf Zack bleiben und Ihre Prozesse in der Praxis funktionieren – nicht nur auf dem Papier.

Dokumentieren Sie Ihre Break-Glass-Prozesse für jede Umgebung (Cloud, On-Premises, hybrid, OT) und aktualisieren Sie sie regelmäßig.
Standardisieren Sie die Methoden der Multi-Faktor-Authentifizierung und erstellen Sie Ausweichpläne für Situationen, in denen Online-MFA nicht verfügbar ist.
Sichern Sie die Speicherung von Anmeldedaten mit physischen Doppelkontroll-Tresoren oder manipulationssicheren Systemen ab.
Legen Sie fest, wer Notfallzugriffe genehmigt, auslöst und widerruft, und üben Sie dies mit Incident-Simulationen.
Überwachen, prüfen und verbessern Sie Ihren Break-Glass-Ansatz kontinuierlich, um sich gegenüber neuen Bedrohungen zu behaupten.