Wie Conditional Access Defender-Signale nutzt, um Microsoft-Umgebungen zu schützen

Von Mirko Peters · 2026-04-26

Conditional Access in Microsoft Entra ist der Türsteher am Eingang: Es entscheidet, ob Sie hereinkommen, worauf Sie zugreifen dürfen und unter welchen Bedingungen. Durch die Einbindung von Signalen aus Microsoft Defender prüft es nicht nur Ihre Identität, sondern auch, ob Sie etwas Riskantes mitbringen. Diese enge Integration sorgt dafür, dass Ihre Organisation nicht auf Basis veralteter Regeln bl

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Cover: Fix Conditional Access Loopholes in Microsoft 365

Wenn Entra Conditional Access und Defender zusammenarbeiten, beziehen sie Informationen aus Benutzeridentitäten, dem Integritätszustand der Geräte und aktuellen Bedrohungsinformationen. Alle diese Signale fließen zusammen und bestimmen, mit welchen Ressourcen ein Benutzer oder ein Gerät interagieren darf. Das ist ein zentraler Bestandteil von Zero Trust: Niemand erhält einen Freifahrtschein, nur weil er einmal eingelassen wurde. Jede Anmeldung und jede Sitzung wird geprüft. In diesem Leitfaden zeigen wir Ihnen, wie dieser dynamische Ansatz Ihre Umgebung auch dann absichert, wenn sich die Bedrohungslage ständig verändert.

Grundlagen der Integration von Entra Conditional Access und Defender-Signalen

Moderne Cloud-Sicherheit basiert nicht auf Mauern, sondern auf intelligenten Schranken, die nur dann öffnen, wenn die Gesamtsituation vertrauenswürdig wirkt. Genau das erreichen Sie, wenn Sie Entra-Conditional-Access-Richtlinien mit Defender-Signalen verbinden. Statt starrer Pauschalregeln werden Zugriffsentscheidungen in Echtzeit auf Basis aktueller Daten zu Benutzern, Geräten, Standorten und aktiven Bedrohungsinformationen getroffen. Angreifer sollen blockiert werden, berechtigte Benutzer dagegen ohne Reibungsverluste arbeiten können. Darum geht es im Kern.

Dieses Modell achtet kontinuierlich auf relevante Veränderungen. Erkennt Defender for Endpoint beispielsweise Schadsoftware oder riskantes Verhalten, wird dieses Signal direkt in die Entscheidungslogik von Conditional Access übermittelt. Eine Anfrage, die noch vor einer Minute unbedenklich wirkte, wird dann unterbunden, bevor sie Schaden anrichten kann. Dieser Ablauf – von Signalen über Entscheidungen bis zur Durchsetzung – macht den Zugriffsschutz dynamisch und wirksam und passt zu den heutigen Bedrohungen und Compliance-Anforderungen.

In diesem Artikel zeigen wir Ihnen praxisnahe Wege, wie Conditional Access diese Signale nutzt, um intelligentere Zugriffskontrollen zu schaffen, verdächtige Aktivitäten zu unterbinden und adaptive Zero-Trust-Sicherheit zu unterstützen. Wenn Sie sich schon einmal gefragt haben, was den Cloud-Zugriff gleichzeitig sicher und praktikabel macht, ohne Ihre Mitarbeitenden auszusperren, finden Sie hier die Antwort. Wie Sie Vertrauenslücken behandeln und Richtlinien für reibungslose Einführungen abstimmen, erfahren Sie in diesem Leitfaden zu Vertrauensproblemen bei Conditional-Access-Richtlinien. Experten diskutieren Identitätsrisiken außerdem in diesem Podcast über Entra ID und Security-Loops.

Was ist Entra Conditional Access und wie funktioniert es?

Entra Conditional Access ist die Art von Microsoft, intelligente Sicherheitsleitplanken rund um Ihre Anwendungen und Daten zu legen. Im Kern handelt es sich um ein richtlinienbasiertes System, das anhand von Signalen entscheidet, ob der Zugriff eines Benutzers erlaubt, blockiert oder überprüft wird. Berücksichtigt werden dabei etwa die anmeldende Person, das verwendete Gerät und die jeweiligen Umstände.

So funktioniert es: Jeder Zugriffsversuch wird nach dem Ablauf „Signale → Entscheidungen → Durchsetzung“ bewertet. Signale stammen aus Benutzeridentitäten, der Gerätekonformität und Bedrohungserkennungen. Richtlinien werten diese Signale aus, treffen Zugriffsentscheidungen in Echtzeit und setzen sie in Microsoft 365, Azure AD oder verbundenen Apps durch. So erhalten nur legitime, gesunde und autorisierte Benutzer Zugriff auf die Ressourcen, die für Ihr Unternehmen am wichtigsten sind.

Wie Microsoft Defender Risikosignale für Conditional Access liefert

Microsoft Defender fungiert als Frühwarnsystem für Conditional Access. Defender for Endpoint und Defender for Cloud Apps senden Risikosignale in Echtzeit zum Integritätszustand von Geräten, aktiven Bedrohungen und verdächtigem Verhalten direkt an die Conditional-Access-Engine.

Defender kann beispielsweise ein Gerät aufgrund einer Malware-Erkennung als kompromittiert markieren oder verdächtiges Benutzerverhalten erkennen, das auf eine übernommene Sitzung hindeutet. Diese Signale fließen unmittelbar in die Zugriffsrichtlinien ein. Die bedingte Zugriffssteuerung kann so risikoreiche Sitzungen blockieren, eine zusätzliche Überprüfung verlangen oder Sitzungseinschränkungen durchsetzen. Mit Defender bleiben Ihre Zugriffsentscheidungen auf dem aktuellen Sicherheitsstatus, nicht nur auf dem Stand von gestern. Weitere Informationen zu kontinuierlicher Compliance und umsetzbaren Risikoerkenntnissen finden Sie unter wie Defender for Cloud die Überwachung in Echtzeit unterstützt.

Wichtige Signale für Entscheidungen der bedingten Zugriffssteuerung

Alles beginnt mit Signalen, also Echtzeit-Datenpunkten, die der bedingten Zugriffssteuerung ihre Intelligenz verleihen. Ohne diese Signale wäre die Zugriffskontrolle auf dem Stand der Steinzeit. Angreifer könnten unentdeckt durchschlüpfen, während Benutzer mit umständlichen, überzogenen Regeln ausgebremst würden. Was steckt also hinter diesen Entscheidungen? Es ist eine Kombination aus Gerätekonformitätsinformationen, Identitätsrisiken aus Anmeldungen, Bedrohungsinformationen sowie dem Kontext der beteiligten Anwendungen und Sitzungen.

Gerätekonformität ist mehr als die Frage „Ist ein Virenschutz vorhanden?“. Sie prüft, ob Ihre Endpunkte intakt sind, den Richtlinien entsprechen und nichts Verdächtiges tun. Identitäts- und Bedrohungssignale stammen dagegen aus Anmeldemustern eines Benutzers, aus der Erkennung kompromittierter Kennwörter oder aus ungewöhnlichen Standortwechseln. Wenn das Konto eines Benutzers Anzeichen einer Kompromittierung zeigt, ist das im System ein deutliches Warnsignal.

Die eigentliche Stärke entsteht, wenn diese Signale zusammenwirken und Sie Zugriffssteuerungen situativ anpassen können. Der Zugriff soll sich ändern, wenn ein Gerät während einer Sitzung kompromittiert wird oder Defender mitten in der Sitzung Malware erkennt. Genau das macht das Modell dynamisch. Im Folgenden erläutern wir, wie diese Signale in Richtlinienentscheidungen einfließen, damit Sie erkennen, welche davon für eine robuste, kontextbezogene Zugriffskontrolle unverzichtbar sind.

Wie Gerätekonformitätssignale die Zugriffssteuerung beeinflussen

Gerätekonformitätssignale sind das Fundament sicheren Zugriffs in Microsoft-Umgebungen. Sie werden von Microsoft Intune erzeugt und zeigen an, ob ein Gerät die Sicherheitsanforderungen Ihrer Organisation erfüllt, etwa bei Verschlüsselung, Patch-Stand und Malware-Schutz.

Wenn sich ein Benutzer anmeldet, prüft die bedingte Zugriffssteuerung diese Konformitätssignale in Echtzeit. Nur als konform markierte Geräte können auf sensible Daten und Anwendungen zugreifen. Damit bleiben gehackte, veraltete oder nicht verwaltete Endpunkte außen vor. Die Durchsetzung der Gerätekonformität senkt das Risiko deutlich und stellt sicher, dass nur sichere, richtlinienkonforme Geräte Ihre kritischen Workloads verarbeiten.

Identitäts- und Bedrohungssignale aus Microsoft Defender nutzen

Microsoft Defender hat ein scharfes Auge für schädliches Verhalten. Es erkennt riskante Anmeldungen, kompromittierte Anmeldedaten und sogar verdächtige Aktivitäten wie Zustimmungs-Phishing oder die Installation von Malware auf Endpunkten. Diese Signale fließen direkt in Entra ID und die Richtlinien der bedingten Zugriffssteuerung ein.

Erkennt Defender ein Konto mit kompromittierten Anmeldedaten, kann der Benutzer zu einer zusätzlichen Authentifizierung aufgefordert oder so lange blockiert werden, bis das Risiko nachlässt. Wird eine Sitzung während der Nutzung riskant, etwa wenn Malware auftaucht oder ein Token nach Übernahme aussieht, kann die bedingte Zugriffssteuerung sofort Sitzungskontrollen durchsetzen oder die Abmeldung erzwingen. Das ist keine Theorie: Moderne Angriffsmuster, wie sie in dieser Analyse eines realen Microsoft-365-Angriffs beschrieben werden, zeigen, warum risikobasierte, dynamische Richtlinien gegen Token-Diebstahl und moderne Bedrohungen so wichtig sind.

Robuste Richtlinien der bedingten Zugriffssteuerung mit Defender-Integration aufbauen

Gute Richtlinien beginnen mit einem klaren Plan, der echten Benutzern die Arbeit ermöglicht und verdächtigen Datenverkehr konsequent stoppt. Der Schlüssel liegt in der Integration von Defender-Signalen und Intune-Konformität in die bedingte Zugriffssteuerung. So entstehen keine starren Regeln, sondern intelligente, mehrschichtige Schutzmechanismen, die auf die aktuelle Lage reagieren.

Der richtige Ansatz ist eine Kombination. Sie setzen Multi-Faktor-Authentifizierung ein, um Identitätsbedrohungen abzuwehren, verlangen, dass Geräte sowohl vertrauenswürdig als auch konform sind, und lassen den App-Zugriff erst zu, wenn alle Prüfpunkte erfüllt sind. So behalten Sie die Sicherheit im Griff, ohne Ihre eigenen Mitarbeiter bei der täglichen Arbeit auszubremsen.

Wenn Sie einen starken Datenschutz wollen, aber Beschwerden von Benutzern gering halten möchten, hilft es enorm, Richtlinien von Anfang an richtig zu konfigurieren. Einen praxisnahen Blick darauf, wie sich die Sicherheit verschärfen lässt, ohne Benutzer zu frustrieren, bietet dieser Leitfaden zu lückenlosen Sicherheitskonfigurationen für Microsoft 365. Im Folgenden erläutern wir die wesentlichen Richtlinien, warum sie wichtig sind und wie die Integration von Defender Ihren Schutz auf die nächste Stufe hebt.

Wesentliche Richtlinien für Azure Conditional Access

Legacy-Authentifizierung blockieren: Ältere Protokolle wie IMAP und POP unterstützen kein MFA und sind bei Angreifern sehr beliebt. Erzwingen Sie Richtlinien, die diese Legacy-Authentifizierungsmethoden blockieren, um ein wesentliches Risiko in Ihrer Umgebung zu beseitigen. Das bildet die Grundlage für jede sichere Microsoft 365- oder Azure-Bereitstellung.
MFA für Benutzer und Administratoren erzwingen: Mehrstufige Authentifizierung verhindert die meisten Diebstähle von Anmeldedaten. Erzwingen Sie MFA für alle Benutzer und verlangen Sie für privilegierte oder risikoreiche Szenarien eine Step-up-Authentifizierung (nach Möglichkeit phishing-resistent). So wird eine seitliche Bewegung im Netzwerk nach einer Kompromittierung verhindert.
Gerät muss als konform markiert sein: Stellen Sie sicher, dass nur verwaltete und fehlerfreie Endgeräte, die über Intune-Richtlinien zur Gerätekonformität erfasst werden, auf vertrauliche Apps wie Exchange Online oder SharePoint zugreifen können. So werden Daten davor geschützt, dass infizierte oder nicht verwaltete Geräte etwa im Homeoffice ins Unternehmen gelangen.
Zugriffsstandorte steuern: Beschränken Sie den Zugriff auf kritische Apps auf vertrauenswürdige Netzwerkstandorte und lösen Sie zusätzliche Authentifizierung aus, wenn sich Benutzer von ungewöhnlichen oder unerwarteten Orten aus anmelden. Das passt gut zu den Prinzipien von Zero Trust: Vertrauen Sie nicht allein deshalb, weil Benutzername und Kennwort korrekt sind.
App-Steuerung und Sitzungsrichtlinien verwenden: Hängen Sie über Defender for Cloud Apps Sitzungssteuerungen an, um festzulegen, was Benutzer innerhalb der Anwendung tun dürfen. Sie können Downloads einschränken, auf Datenabfluss prüfen oder riskante Vorgänge blockieren und dennoch Lesezugriff erlauben, besonders auf nicht verwalteten Endgeräten.

Wenn Sie in Richtung Zero Trust gehen, sollten Sie die abgestimmte Richtlinienplanung berücksichtigen, die in diesem Podcast zu Zero Trust by Design betont wird. Dort geht es um adaptive Zugriffsrichtlinien und kontinuierliche Auswertung über Microsoft 365 und Dynamics 365 hinweg.

MFA und phishing-resistente Authentifizierung für Benutzer erzwingen

MFA für alle Benutzer: Machen Sie MFA zum Standard und decken Sie jedes Konto ab, nicht nur die Administratoren. Für einen schnellen Start nutzen Sie die integrierten Conditional Access-Richtlinien.
Phishing-resistente Optionen: Setzen Sie auf FIDO2-Sicherheitsschlüssel und Windows Hello for Business als primäre Faktoren. So sinkt das Risiko durch Phishing und Token-Replay-Angriffe.
Administratoren und Gruppen mit hohem Risiko: Verlangen Sie für Administratorkonten und für Benutzer, die auf vertrauliche Apps zugreifen, immer eine Step-up-Authentifizierung, da diese Konten bevorzugte Ziele von Angriffen sind.
Notfallzugriffskonten: Behalten Sie ein sicheres, überwachtes Ausnahmekonto für Notfallwiederherstellungen bei, schränken Sie es aber stark ein und protokollieren Sie seine Nutzung lückenlos, um Missbrauch zu verhindern.

Vertrauenswürdige und konforme Geräte als Zugriffsvoraussetzung

Konforme Geräte verlangen: Beschränken Sie den Zugriff so, dass nur Intune-konforme Geräte, die den Richtlinien entsprechen, Zugriff auf vertrauliche Geschäftsdaten erhalten.
Hybrid- oder Entra ID-Beitritt erzwingen: Erlauben Sie in anspruchsvollen Szenarien den Zugriff nur von Geräten, die hybrid mit Entra ID verbunden oder vollständig bei Entra ID registriert sind. Das stellt eine weitere Ebene der Identitätsbindung dar.
Geräte- und Benutzerrisiko kombinieren: Ergänzen Sie die Gerätekonformität um Signale zum Benutzerrisiko. So lässt sich auch ein konformes Gerät blockieren, wenn das zugehörige Benutzerkonto oder die Sitzung plötzlich verdächtig wirkt.

Bewährte Methoden und häufige Fehler bei der Bereitstellung von Conditional Access

Conditional Access ist nur so gut wie seine Bereitstellung: Ist sie zu streng, sperren Sie alle aus; ist sie zu lasch, entstehen überall Lücken. Entscheidend ist ein sicherer Rollout und die Vermeidung typischer Anfängerfehler, die den Geschäftsbetrieb stören oder Sie cleveren Angreifern ausliefern können.

Die meisten Probleme entstehen durch Overblocking (eine zu strikte Richtlinie), fehlerhaft konfigurierte MFA-Einrichtungen oder Richtlinien, die miteinander kollidieren und so Angriffsfenster öffnen oder, schlimmer noch, Ihre Benutzer im Alltag frustrieren. Es geht nicht nur um Tools: Starke Governance, klare Verantwortlichkeiten und ein durchdachtes Lebenszyklusmanagement für Richtlinien spielen eine entscheidende Rolle, damit Ihr Identitätsperimeter stabil und vorhersehbar bleibt.

Bevor Sie loslegen, klären Sie die Voraussetzungen, den Lizenzbedarf und all die kleinen technischen Eigenheiten, besonders in Hybrid- und Multi-Cloud-Umgebungen mit komplexen Benutzerkreisen. Und unterschätzen Sie das Monitoring nicht: Automatisierung hilft nur bis zu einem gewissen Punkt, wenn niemand auf Richtlinienabweichungen oder neue Lücken achtet. Um diese Fallstricke in großen Microsoft-365-Umgebungen besser zu verstehen, lesen Sie diesen Überblick über häufige Governance-Fehler, oder informieren Sie sich über Probleme mit kollaborativen Plattformen in diesem governance-orientierten Leitfaden.

Häufige Conditional-Access-Fehler und Konflikte vermeiden

Richtlinien vor dem vollständigen Rollout testen: Nutzen Sie den Modus „Nur Bericht“ oder Pilotgruppen, um die reale Auswirkung zu sehen. Vermeiden Sie Überraschungen, indem Sie Änderungen testen, bevor Sie sie unternehmensweit erzwingen.
Auf Richtlinienkonflikte achten: Überlappende Richtlinien können den Zugriff unerwartet blockieren oder mehr Rechte gewähren, als Sie beabsichtigt haben. Überprüfen Sie Ihre Conditional-Access-Matrix regelmäßig, um widersprüchliche Regeln zu vermeiden, besonders wenn mehrere Administratoren beteiligt sind.
MFA-Einstellungen sorgfältig abstimmen: Eine fehlerhafte MFA-Konfiguration kann legitime Benutzer (auch Administratoren) aussperren oder Lücken öffnen, wenn veraltete Protokolle durchrutschen. Halten Sie stets ein sicheres, überwachtes Notfallkonto („Break-Glass“-Konto) als Sicherheitsnetz bereit.
Kontinuierlich überwachen und prüfen: Beobachten Sie Live-Protokolle und Nutzerfeedback und passen Sie Einstellungen laufend an. Automatisierte Überwachung in Verbindung mit einer klaren Reaktion auf Vorfälle hilft Ihnen, Probleme zu erkennen, bevor sie eskalieren.

Eine andere Perspektive auf die Integration Ihrer Sicherheitsstrategie über Apps und Plattformen hinweg, ohne veraltete Fehler zu wiederholen, bietet dieser Deep Dive zu DLP und Sicherheits-Governance in Microsoft Power Platform.

Voraussetzungen für die Bereitstellung und Dienstbeschränkungen

Administrative Rollen: Sie benötigen ausreichende Berechtigungen, in der Regel die Rolle Globaler Administrator oder Sicherheitsadministrator in Entra ID, um Conditional-Access-Richtlinien zu erstellen und zu verwalten.
Lizenzanforderungen: Die meisten Conditional-Access-Funktionen erfordern mindestens eine Lizenz für Microsoft Entra ID P1 oder P2. Defender-Integrationen können weitere Lizenzstufen erfordern. Planen Sie dies von Anfang an ein.
Infrastrukturvoraussetzungen: Stellen Sie sicher, dass Ihre Geräte in Intune registriert sind, Identitäten bereinigt sind (keine Duplikate oder veralteten Konten) und Ihr Verzeichnis für Synchronisierung und Überwachung bereit ist.
Dienstbeschränkungen: Nicht alle älteren oder Drittanbieter-Apps unterstützen die Durchsetzung von Conditional Access, und Dienstkonten bzw. verwaltete Identitäten erfordern oft eine Sonderbehandlung. Lesen Sie die Dokumentation sorgfältig, damit nichts durchs Raster fällt.

Erweiterte Kontrollen und die Integration von Sicherheitstools

Sobald die Grundlagen von Conditional Access rund laufen, folgt die nächste Stufe: Sitzungssteuerung, Token-Schutz und die Integration weiterer Sicherheitsplattformen. Hier wird das Prinzip der minimalen Berechtigungen granular: Sie legen fest, was Benutzer tun dürfen, nachdem sie die Tür bereits passiert haben, und Sie stellen sicher, dass Token nicht gestohlen und anderswo wiederverwendet werden können.

Die tiefe Integration mit Microsoft Intune, Defender und anderen Sicherheitsprodukten von Drittanbietern bedeutet, dass Sie nicht im Blindflug unterwegs sind. Einheitliche Telemetrie liefert Feedback in Echtzeit und macht die Erkennung und Reaktion auf Bedrohungen zu einem laufenden Prozess statt zu einem nachlaufenden. Das ist entscheidend für den Schutz sensibler Workloads und die Einhaltung von Compliance-Vorgaben, besonders in stark regulierten Branchen.

Kontinuierliches Monitoring und adaptive Steuerungen helfen zusätzlich, Compliance-Abweichungen zu verhindern, etwa mit Defender for Cloud und Tools wie Power BI. Praktische Ansätze für laufende Compliance-Automatisierung und eine einheitliche Transparenz finden Sie in diesem praxisnahen Leitfaden zum Monitoring mit Defender for Cloud. Schauen wir uns nun die wichtigsten Steuerungen und Integrationsstrategien an, mit denen Sie Sicherheit und Benutzerfreundlichkeit gleichermaßen maximieren.

Session-Steuerung und Token-Schutz auf verwalteten Geräten

Anmeldehäufigkeit: Legen Sie fest, wie oft sich Benutzer erneut authentifizieren müssen. Kürzere Intervalle für sensible Apps verkleinern das Zeitfenster, in dem ein gestohlenes Token missbraucht werden kann.
App-Schutzrichtlinien: Beschränken Sie Aktionen wie Kopieren und Einfügen, Speichern unter oder Freigeben, wenn Benutzer über mobile oder nicht konforme Endgeräte auf Daten zugreifen. So verhindern Sie, dass vertrauliche Daten abfließen.
Token-Schutz: Binden Sie Authentifizierungstoken an bestimmte, verifizierte Geräte. Dadurch können Angreifer Token nicht auf anderen Rechnern wiederverwenden, selbst wenn sie gestohlen wurden.
Ausgewogene Benutzerfreundlichkeit: Testen Sie Steuerungen mit echten Benutzern, um sie nicht zu überfordern. Verschärfen Sie die Vorgaben schrittweise nach Bedarf und Risiko, nicht nach Vermutung.

Integration von Sicherheitstools und Überlegungen zu App-Clients

Integration von Microsoft Intune: Verknüpfen Sie die Geräteverwaltung direkt mit der bedingten Zugriffssteuerung, damit aktuelle Signale zu Compliance und Gesundheitszustand der Endpunkte vorliegen.
Defender for Endpoint/Cloud Apps: Nutzen Sie Defender, um Bedrohungs- und Sitzungssignale bereitzustellen, die die bedingte Zugriffssteuerung für adaptive Richtlinien in Echtzeit auswerten kann.
Sicherheitslösungen von Drittanbietern: Binden Sie SIEM, CASB oder Lösungen für die Endpunktverwaltung bei Bedarf ein, prüfen Sie die Kompatibilität aber sorgfältig.
Unterstützung durch App-Clients: Prüfen Sie, ob App-Clients, insbesondere ältere oder mobile Apps, die Durchsetzung der bedingten Zugriffsrichtlinien und die Telemetrieberichterstattung vollständig unterstützen, um blinde Flecken zu vermeiden.

Tiefergehende Informationen zur Absicherung von Microsoft Power Platform und zum Umgang mit Connector-Risiken finden Sie in diesen Best Practices zur Governance von Power Platform.

Echtzeit-Reaktion auf Bedrohungen mit Defender-Signalen

Sicherheit in der Cloud bedeutet nicht mehr, Richtlinien festzulegen und auf das Beste zu hoffen. Dank der Microsoft-Defender-Signale, die mit der bedingten Zugriffssteuerung integriert sind, erhalten Sie eine dynamische Reaktion auf Bedrohungen, und zwar nicht erst Tage später, sondern in Echtzeit. Wenn Defender for Endpoint Malware-Aktivitäten oder einen laufenden Angriff erkennt, kann die bedingte Zugriffssteuerung sofort reagieren, Sitzungen widerrufen oder umgehend strengere Authentifizierungen verlangen.

Diese Automatisierung verkürzt die Verweildauer von Angreifern deutlich, unterbindet seitliche Bewegungen im Netzwerk und minimiert Datenverluste. Sie müssen das nicht manuell erledigen: Telemetriedaten von Defender fließen direkt in die Risikobewertung in Entra ID ein und passen die Risikostufe für Benutzer, Gerät oder Sitzung an. Das Ergebnis? Eine bessere Reaktion auf Vorfälle, weniger Arbeit für Ihr Sicherheitsteam und eine deutlich schwierigere Umgebung für Angreifer. Das ist besonders im Zero-Trust-Modell wichtig, in dem jede Sitzung und jeder Kontext zählt.

Die folgenden Abschnitte zeigen, wie dynamische Richtlinienanpassungen tatsächlich ablaufen und wie die Informationen von Defender die Risikobewertung verbessern, sodass die bedingte Zugriffssteuerung intelligenter und kontextbezogen reagieren kann. Adaptive Sicherheit ist mehr als ein Schlagwort. Hier zeigt sie einen echten, messbaren Nutzen.

Dynamische Richtlinienanpassung mit Defender for Endpoint

Malware-Erkennung löst Zugriffsänderungen aus: Erkennt Defender for Endpoint Malware auf einem Gerät, kann die bedingte Zugriffssteuerung dieses Gerät sofort von allen Unternehmensressourcen sperren oder vom Benutzer eine zusätzliche Authentifizierung verlangen.
Verdächtige Prozesse oder Bedrohungen: Wird riskante Prozessaktivität erkannt, etwa ein bekannter Exploit oder Ransomware-Verhalten, erhöht dieses Signal das Risiko des Geräts. Die bedingte Zugriffssteuerung reagiert darauf, indem sie aktive Sitzungen widerruft oder strengere Steuerungen anwendet, bis der Vorfall behoben ist.
Automatischer Sitzungswiderruf: Statt darauf zu warten, dass ein Administrator das Problem bemerkt, lösen Live-Warnungen von Defender automatisch Richtliniendurchsetzungen aus: Quarantäne, Abmeldung oder Umstellung des Benutzerzugriffs auf Nur-Lesen, und das ohne Verzögerung.
Sofortige, koordinierte Reaktion: Diese Funktionen beschleunigen die Reaktion auf Vorfälle erheblich. Sie blockieren Angreifer in Echtzeit und reduzieren das Risiko einer Ausbreitung oder eines Datenabflusses.

Risikostufen von Identity Protection mit Defender-Informationen anreichern

Defender setzt nicht nur Warnsignale für Endpoints. Gerätrisiko, Sitzungsanomalien und Bedrohungssignale fließen auch in die Risikobewertung von Entra Identity Protection ein. Jede Anmeldung und jede Sitzung erhält dadurch eine aktuelle Risikostufe, die Live-Telemetriedaten von Defender for Endpoint und Defender for Cloud Apps berücksichtigt.

Dieses angereicherte Modell ermöglicht es Conditional Access, wirklich risikobasierte Zugriffskontrollen umzusetzen. Der Zugriff wird automatisch blockiert oder eine Authentifizierung mit zusätzlichem Faktor erzwungen, wenn das tatsächliche Risiko dies erfordert und nicht nur starre Regeln. Das Ergebnis: Ihre Zero-Trust-Richtlinien bleiben adaptiv, reagieren auf sich schnell ändernde Risiken und verhindern wesentlich wirksamer, dass Angreifer Schaden anrichten können, bevor sie gestoppt werden.