Bedingter Zugriff für Administratoren

Von Mirko Peters · 2026-04-26 · Aktualisiert 2026-07-18

Erfahren Sie, wie Sie mit bedingtem Zugriff privilegierte Konten schützen, phishingresistente Authentifizierung erzwingen und das administrative Risiko senken.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

Kritische Administratorkonten steuern in Microsoft 365 und Azure den Betrieb, und seien wir ehrlich: Genau diese Konten sind ein bevorzugtes Ziel von Angriffen. Der bedingte Zugriff ist Ihre Verteidigungslinie. Er schafft echte Sicherheitskontrollen, die sich nahtlos in die tägliche Arbeit von Administratoren einfügen. Dieser Leitfaden führt Sie durch alles Wesentliche: warum der Schutz von Administratoren so wichtig ist, die Einrichtung der Multifaktor-Authentifizierung (MFA), die Feinabstimmung von Richtlinien mit erweiterten Steuerungsoptionen und die sichere Einführung.

Wenn Sie als technischer Experte die Identitäten der Administratoren in Ihrer Organisation absichern möchten, finden Sie hier praxisnahe Schritt-für-Schritt-Techniken. Unser Ziel ist es, Ihnen zu helfen, bedingte Zugriffsrichtlinien sicher zu erstellen, zu testen und zu pflegen. So reduzieren Sie das Risiko, ohne den Arbeitsalltag zu bremsen. Bereit, die Admin-Türen abzusichern? Dann legen wir direkt los.

Sicherheitswirkung und Anforderungen der bedingten MFA für Administratoren verstehen

Wenn es um den Schutz von Administratorkonten in Microsoft 365 und Azure geht, steht viel auf dem Spiel. Diese privilegierten Rollen haben die Schlüssel zu Ihrem digitalen Reich: Sie können Konten anlegen, Kennwörter zurücksetzen, Dienste ändern und manchmal sogar Sicherheitstools deaktivieren. Gelangt ein Krimineller an eines dieser Konten, ist das nicht nur lästig, sondern eine Katastrophe, die nur darauf wartet, einzutreten. Die Folgen reichen von Datenabflüssen bis zu Systemausfällen.

Der bedingte Zugriff fungiert wie ein Türsteher am Eingang und sorgt dafür, dass nur die richtigen Personen unter den richtigen Bedingungen hineinkommen. Das Fundament bildet eine starke Authentifizierung, insbesondere die Multifaktor-Authentifizierung (MFA). Die MFA in Kombination mit bedingtem Zugriff stoppt Angreifer, die Kennwörter von Administratoren gestohlen oder erraten haben. Sie benötigen weiterhin einen zweiten Faktor, den nur der echte Administrator besitzt.

Bevor Sie etwas ausrollen können, sind jedoch einige Voraussetzungen zu erfüllen. Sie benötigen Microsoft Entra ID (früher Azure AD), da der bedingte Zugriff in diese Plattform integriert ist. Administratorkonten müssen im Verzeichnis klar definiert sein. Überlegen Sie, wer welche Berechtigungsstufe besitzt, vom globalen Administrator bis hin zu der Person, die Teams oder SharePoint betreut. Die passende Lizenzierung für die Funktionen des bedingten Zugriffs, in der Regel Azure AD Premium P1 oder P2, ist ebenfalls unverzichtbar.

Erstellen Sie außerdem ein Inventar Ihrer Anwendungen. Ermitteln Sie, auf welche Ressourcen Ihre Administratoren zugreifen, vom Microsoft 365 Admin Center bis zu Cloud-Apps und Hybridtools. Richtlinien für den bedingten Zugriff müssen genau diese kritischen Zugangspunkte abdecken, damit sich keine Berechtigungen unkontrolliert ausbreiten und keine übersehenen Lücken entstehen. Wenn Sie sich eingehender mit Problemen wie „Identity Debt“ und einer unübersichtlichen Richtlinienlandschaft befassen möchten, lohnt sich diese praxisnahe Podcast-Folge zur Skalierung des bedingten Zugriffs und zur Wahrung sicherer Grenzen. Das Fazit: Durchdachte Planung und klare Anforderungen schaffen die Grundlage für bedingte Zugriffsrichtlinien, die tatsächlich funktionieren und für Ruhe sorgen.

Bedingte MFA zur Absicherung von Administratorkonten aktivieren

Die MFA mit bedingtem Zugriff für Ihre Administratorkonten zu aktivieren ist mehr als eine weitere IT-Aufgabe. Es handelt sich um eine strategische Verbesserung der Sicherheit. Angriffe auf privilegierte Benutzer werden zunehmend gezielter und hartnäckiger, daher reichen Standardkennwörter bei Weitem nicht aus. Mit dem bedingten Zugriff erzwingen Sie die MFA genau dort, wo sie am wichtigsten ist: beim Anmelden der Administratoren an sensiblen Microsoft-Portalen.

Diese Einrichtung betrifft nicht nur eine einzelne Anmeldung. Die Richtlinien, die Sie erstellen, wirken über Microsoft 365, Azure-Dienste und alle Cloud-Apps, die mit Ihrem Administrationsumfeld verbunden sind. Wenn Sie den bedingten Zugriff mit MFA kombinieren, erhalten Sie eine fein abgestufte Steuerung. Bei hohem Risiko, etwa bei unbekannten Geräten oder ungewöhnlichen Standorten, können Sie einen zusätzlichen Identitätsnachweis verlangen. Und wichtig: Sie können diese Anforderungen gezielt auf verschiedene Rollen oder Apps zuschneiden.

Nach der Durchsetzung bemerken Administratoren Veränderungen in ihrem Anmeldeablauf. Sie werden zu einer zusätzlichen Authentifizierung aufgefordert, je nach Konfiguration der Richtlinien teils häufiger. Auch Sitzungszeitüberschreitungen, die Gerätekonformität und sogar der Standort, von dem aus sie sich verbinden, können eine Rolle spielen. Das Ergebnis: Angreifer finden kaum noch einfache Wege, während echte Administratoren ein ausgewogenes Verhältnis von Sicherheit und Bedienbarkeit erhalten.

Im Folgenden zeigen wir Ihnen die Schritte zur Implementierung von Conditional Access mit MFA und wie Sie Microsoft-Vorlagen für eine schnelle, einheitliche Bereitstellung nutzen. Machen Sie sich bereit: Sie werden die Sicherheit für Administratoren deutlich stärken, und zwar mit weniger Aufwand, als Sie vielleicht erwarten.

Conditional Access MFA für Administratoren implementieren

Im Azure-Portal anmelden
Melden Sie sich zunächst unter portal.azure.com mit einem Konto an, das über die passenden Administratorberechtigungen verfügt. Dadurch erhalten Sie Zugriff auf Conditional Access in Microsoft Entra ID (früher Azure AD).
Zu den Conditional-Access-Richtlinien wechseln
Öffnen Sie „Microsoft Entra ID“ und wählen Sie anschließend „Sicherheit“ → „Conditional Access“. Hier sehen Sie alle Richtlinien und können sie erstellen und verwalten. Falls die Oberfläche zunächst unübersichtlich wirkt, geht es Ihnen wie vielen anderen: Die Oberfläche ist für die feine Steuerung im großen Maßstab ausgelegt.
Neue Richtlinie erstellen
Klicken Sie auf „Neue Richtlinie“ und vergeben Sie einen aussagekräftigen Namen, etwa „Admin-MFA-Erzwingung“. Ein sinnvoller Name ist wichtig, denn später sollten Sie auf einen Blick erkennen, welche Richtlinie was steuert.
Administratorrollen auswählen
Wählen Sie unter „Benutzer oder Workload-Identitäten“ die Option „Benutzer und Gruppen auswählen“. Wählen Sie anschließend „Verzeichnisrollen“ und markieren Sie die privilegierten Administratorgruppen, etwa Globaler Administrator, Sicherheitsadministrator, Exchange-Administrator und weitere. Gehen Sie gründlich, aber mit Bedacht vor: Nehmen Sie die Notfall-Zugriffskonten (Break-Glass-Konten) vorerst nicht auf.
Cloud-Apps und Aktionen festlegen
Wechseln Sie zu „Cloud-Apps oder Aktionen“ und wählen Sie die Administrationsportale bzw. Cloud-Ressourcen aus, die Ihr Team am häufigsten nutzt. So sichern Sie den Zugriff auf die wirklich wertvollen Ziele ab und nicht nur auf allgemeine Einstiegspunkte.
Bedingungen festlegen
Passen Sie die Richtlinie an, etwa anhand des Gerätestatus, der Standorte (vertrauenswürdig oder riskant) oder des Anmelderisikos. Für viele Organisationen ist es zunächst am sichersten, bei „Beliebiges Gerät, beliebiger Standort“ zu bleiben. Verfeinern Sie die Einstellungen, sobald Sie die Nutzungsmuster kennen.
MFA erforderlich machen
Wählen Sie unter „Zugriffssteuerung“ die Option „Zugriff gewähren“ und aktivieren Sie „Multifaktor-Authentifizierung erforderlich“. Wenn Ihre Sicherheitsanforderungen es verlangen, können Sie zusätzlich die Gerätekonformität vorschreiben.
Berichtsmodus aktivieren
Starten Sie im Modus „Nur Bericht“, um die Richtlinie zu simulieren, bevor Sie sie vollständig erzwingen. Dieser entscheidende Schritt hilft, Fehlkonfigurationen aufzudecken und eine Aussperrung von Administratoren zu vermeiden. Prüfen Sie Ihre Anmeldeprotokolle und sehen Sie sich die Auswirkungen an, bevor Sie sich festlegen. Mein Tipp: Überspringen Sie diesen Schritt nicht, egal wie sicher Sie sich fühlen.
Schrittweise einführen und überwachen
Starten Sie mit einer Pilotgruppe und überwachen Sie die Ergebnisse. Beheben Sie auftretende Probleme und weiten Sie die Richtlinie dann auf größere Administratorbereiche aus. Passen Sie die Richtlinie laufend an, sobald neue Anwendungsfälle auftreten. Die Feinabstimmung von Conditional-Access-Richtlinien ist ein fortlaufender Prozess und keine einmalige Aufgabe. Weitere Anregungen zu Governance und Skalierung finden Sie in diesem Beitrag zum Reduzieren von Risiken und der Verwaltung wuchernder Richtlinien.

Microsoft-Vorlagen für die schnelle Bereitstellung von Conditional Access MFA nutzen

Integrierte Vorlagen durchsuchen: Microsoft stellt fertige Conditional-Access-Vorlagen direkt im Azure-Portal und im Defender-Portal bereit. Achten Sie auf Optionen wie „MFA für Administratorrollen erforderlich“ oder ähnliche Bezeichnungen, die für privilegierte Konten gedacht sind.
Auswählen und anpassen: Wählen Sie die Vorlage, die am besten zu Ihren Anforderungen passt. Passen Sie die Einstellungen an Ihre Administratorrollen, Apps und Sicherheitslage an, also etwa die betroffenen Benutzer, die erforderlichen Steuerelemente und die Auswahl der Apps.
Prüfen und zügig bereitstellen: Die Vorlagen vereinfachen die Einrichtung und übernehmen Microsofts Standardeinstellungen nach bewährten Methoden. Prüfen Sie die Einstellungen auf Richtigkeit und wenden Sie sie an. Verwenden Sie den Berichtsmodus, um die Auswirkungen vor der Ausweitung der Änderungen auf Ihren Mandanten zu prüfen.
Schnell skalieren und konsistent bleiben: Vorlagen erleichtern es, den Schutz ohne vergessene Schritte schneller auszuweiten. Das ist besonders hilfreich für Organisationen unter Zeitdruck oder mit begrenzten Ressourcen.

Erweiterte Administratorsteuerung: Benannte Standorte und Ausnahmen für Verzeichnisrollen in Conditional Access

Sobald Sie MFA-Richtlinien eingerichtet haben, lohnt sich der nächste Schritt mit erweiterten Administratorsteuerungen. Nicht jede Umgebung oder jedes Szenario passt in starre, für alle gleiche Sicherheitsregeln. Benannte Standorte ermöglichen es Ihnen, vertrauenswürdige IP-Bereiche zu definieren, etwa Ihr lokales Büronetzwerk oder ein gesichertes VPN. So können Sie je nach Verbindungsort der Administratoren unterschiedliche Conditional-Access-Regeln anwenden.

Diese Flexibilität ist besonders wertvoll, wenn Ihr Team Dienste aus Remote- oder Hybrid-Umgebungen verwaltet. Sie könnten zum Beispiel bestimmte Aktionen ohne MFA zulassen, wenn sich Benutzer im lokalen Netzwerk befinden, und MFA sofort verlangen, wenn Anmeldungen von unbekannten oder internationalen Standorten erfolgen. Im Blatt für Bedingten Zugriff können Sie benannte Standorte definieren, indem Sie IP-Adressbereiche oder sogar geografische Regionen angeben. So erhalten Ihre Richtlinien einen realen Kontext und Sie behalten die Kontrolle.

Gleichzeitig sollten Sie Ausnahmen für kritische Administratorkonten einplanen. Wenn Sie alles zu streng absichern, sperren Sie unter Umständen versehentlich Ihre eigenen globalen Administratoren oder privilegierten Notfallkonten („Break-Glass“-Konten) aus. Das möchte um 3 Uhr morgens niemand erleben. Stattdessen können Sie Ausnahmen für Verzeichnisrollen nutzen, um bestimmte Rollen während der Einführung oder Testphasen gezielt auszunehmen. So verschärfen Sie die Kontrollen, ohne Ihren obersten Zugriff lahmzulegen.

Diese Kombination aus benannten Standorten und gezielten Ausnahmen hilft Ihnen, den Spagat zwischen starker Sicherheit und reibungslosem Betrieb zu meistern. Es geht nicht nur darum, Angreifer abzuwehren, sondern auch darum, dass Ihre Administratoren ohne unnötige Reibungsverluste arbeiten können. Wenn Sie diese erweiterten Einstellungen feinjustieren, dokumentieren Sie jede Ausnahme und halten Sie Ihr Team auf dem Laufenden. Gute Richtlinienplanung zahlt sich hier aus, besonders wenn Ihre Organisation wächst und Ihre Konfiguration für Bedingten Zugriff komplexer wird.

Neue Richtlinien für Bedingten Zugriff im Berichtsmodus testen

Berichtsmodus aktivieren: Wählen Sie beim Erstellen oder Bearbeiten einer neuen Richtlinie für Bedingten Zugriff die Option „Nur Bericht“ anstelle von „Ein“. Dadurch wird die Durchsetzung nur simuliert. Niemand wird blockiert, Sie sehen aber genau, was passieren würde, wenn Sie die Richtlinie live schalten.
Anmeldeprotokolle überwachen: Prüfen Sie die Anmeldeprotokolle im Azure-Portal, um die simulierten Ergebnisse für Administratoren zu analysieren. Sie sehen, welche Anmeldungen eine MFA ausgelöst oder blockiert hätten. So erkennen Sie frühzeitig mögliche Störungen für Benutzer.
Anpassen und feinjustieren: Nutzen Sie die Telemetriedaten, um Lücken, Fehlalarme oder zu restriktive Richtlinien zu erkennen. Passen Sie Zielgruppen, Bedingungen oder Ausnahmen entsprechend an, bevor Sie den Durchsetzungsmodus für alle Administratoren aktivieren.
Mit Pilotgruppen starten: Weisen Sie neue Richtlinien zunächst einer kleinen Gruppe von Testadministratoren zu. Bitten Sie um Feedback und notieren Sie operative Probleme, damit breitere Rollouts reibungslos verlaufen und niemand unerwartet ausgesperrt wird.

Best Practices für die Einführung einer Baseline für Bedingten Zugriff und die Finalisierung Ihrer Administrator-Sicherheitsstrategie

Eine ausgereifte Administrator-Sicherheit erreicht man nicht mit dem Prinzip „einrichten und vergessen“. Entscheidend sind klare, nachhaltige Schutzmaßnahmen, die sich im Laufe der Zeit anpassen. Beginnen Sie mit einer soliden Baseline von Richtlinien für Bedingten Zugriff, die MFA für alle privilegierten Rollen erzwingt. Vergessen Sie dabei nicht die kritischen Schritte, etwa Konten für Break-Glass- oder Notfallzugriff auszunehmen. Diese Konten sollten sorgfältig verwaltet werden, mit strenger Überwachung und dokumentierten Verfahren, damit sie nicht missbraucht werden, die Notfalloptionen aber verfügbar bleiben.

Machen Sie laufende Wartung zur Gewohnheit. Überprüfen Sie Ihre Richtlinien regelmäßig auf Drift, also die schleichende Ansammlung von Ausnahmen oder die Aufweichung von Kontrollen, wenn sich Geschäftsanforderungen ändern. Halten Sie die Dokumentation aktuell, einschließlich der Konten und Rollen, die erfasst sind, der bestehenden Ausnahmen sowie des Zeitpunkts und der Gründe für Änderungen. Ergänzen Sie außerdem klare Anleitungen zum Importieren, Exportieren und Anpassen von Richtlinien für Bedingten Zugriff, damit die Administratorabdeckung in Diensten wie Intune, Teams, Exchange, SharePoint und weiteren Diensten gewährleistet ist.

Bei größeren Organisationen oder bei häufigen Änderungen lohnt sich der Blick auf Automatisierung und Überwachung. Nutzen Sie KPIs, Warnmeldungen und regelmäßige Richtlinienprüfungen, damit Ihre Leitplanken auch langfristig halten. Wie im Leitfaden zum Umgang mit Vertrauensproblemen bei Bedingtem Zugriff hervorgehoben wird, verhindern straff gehaltene Richtlinien und deren kontinuierliche Überwachung Sicherheitslücken, die durch zu weit gefasste Ausnahmen entstehen.

Schließlich sollten Sie eine Kultur der Abstimmung fördern. Stellen Sie sicher, dass alle Beteiligten – IT, Sicherheit und Geschäftsführung – bei den Regeln für Administratorzugriffe, dem Umgang mit Notfallkonten und Richtlinienaktualisierungen auf demselben Stand sind. Mit einer soliden Dokumentation, regelmäßigen Überprüfungen und einer grundlegenden Bereitstellung haben Sie ein Conditional-Access-Programm, das nicht nur schützt, sondern sich auch an Ihre Organisation anpasst. Mehr zum Thema Governance und zur Vermeidung von Abweichungen finden Sie unter Azure-Governance-Strategien für Unternehmen, die die Bedeutung nachhaltig durchgesetzter Richtlinien herausstellen.

Das könnte Sie auch interessieren

Wenn Sie sich mit Conditional Access für Administratoren beschäftigen, bieten diese Episoden zusätzlichen praktischen Kontext zu Identitätssicherheit, Governance und zuverlässigen Microsoft-365-Abläufen.

Conditional Access – Simply Explained — Erfahren Sie, wie Identität, Gerät, Standort und Risikosignale Zugriffsentscheidungen beeinflussen.
Privileged Identity Management – Simply Explained — Sehen Sie, wie Just-in-Time-Berechtigungen und Genehmigungsworkflows das administrative Risiko verringern.
Microsoft Defender XDR – Simply Explained — Verbinden Sie Identitätssignale mit Erkennung, Untersuchung und Incident Response.
Microsoft Teams Governance – Simply Explained — Erfahren Sie, wie klare Verantwortlichkeiten und Lebenszyklusregeln die sichere Zusammenarbeit nachhaltig machen.

Diese Episoden helfen Ihnen, die technischen Schritte in eine umfassendere Strategie für Identität und Governance zu übersetzen.