Identität als neuer Perimeter: Entra ID mit KI absichern

Von Mirko Peters · 2026-08-11 · Aktualisiert 2026-08-27

Willkommen zurück beim Begleitblog zum Podcast! Da moderne IT-Umgebungen über die klassischen physischen Netzwerkgrenzen hinauswachsen, erfordert die Absicherung des Unternehmens einen grundlegenden Wandel in unserem Denken über Sicherheitsperimeter. In diesem Deep Dive zeigen wir, wie Identität offiziell zum neuen Perimeter geworden ist und wie modernste künstliche Intelligenz die Art verändert,

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück beim Begleitblog zum Podcast! Da moderne IT-Umgebungen über die klassischen physischen Netzwerkgrenzen hinauswachsen, erfordert die Absicherung des Unternehmens einen grundlegenden Wandel in unserem Denken über Sicherheitsperimeter. In diesem Deep Dive zeigen wir, wie Identität offiziell zum neuen Perimeter geworden ist und wie modernste künstliche Intelligenz die Art verändert, wie wir sie schützen. Wenn Sie sich schon einmal von der schieren Menge an Anmeldeereignissen, auffälligem Verhalten und fragmentierten Protokollen überfordert gefühlt haben, sind Sie hier richtig. Heute sehen wir uns an, wie Microsoft Security Copilot die Identitätsabwehr in Microsoft Entra ID verändert, indem es Benutzerverhalten bewertet, schwache Signale korreliert und sofortige Abhilfemaßnahmen vorschlägt.

Einführung: Identität als neuer Perimeter

Jahrzehntelang wurde die Unternehmenssicherheit durch die vier Wände des Firmenbüros definiert. Firewalls, physische Teilnetze und Domänencontroller bildeten die klaren Grenzen zwischen vertrauenswürdigen internen Ressourcen und dem unsicheren Umfeld draußen. Doch als Remote-Arbeit, Cloud-Migration und mobile Geräte zum dauerhaften Standard im Betrieb wurden, hat sich dieser physische Perimeter aufgelöst. Heute melden sich Ihre Mitarbeitenden, Partner und externen Dienstleister aus Cafés, Homeoffices und Flughäfen auf der ganzen Welt an, mit einer breiten Palette privater und geschäftlicher Geräte. Die klassische Firewall ist daher nicht mehr der Ort, an dem der Kampf um die Unternehmenssicherheit gewonnen oder verloren wird.

Stattdessen ist die Identität an ihre Stelle als wichtigste Angriffsfläche getreten. Angreifer haben sich weitgehend von aufwendigen Techniken zum Durchbrechen des Perimeters abgewandt, denn oft ist es weitaus einfacher und lohnender, Zugangsdaten schlicht zu stehlen. Phishing, Credential Stuffing und Session Hijacking sind heute die bevorzugten Einstiegswege für Angreifer. Sobald ein Angreifer eine gültige Benutzeridentität kompromittiert hat, kann er sich seitwärts durch Cloud-Dienste bewegen, auf sensible Daten zugreifen und veraltete Erkennungsmechanismen umgehen, die davon ausgehen, dass ein angemeldeter Benutzer ein legitimer Mitarbeiter ist. Die Absicherung des modernen Unternehmens erfordert daher einen radikalen Wandel hin zu identitätszentrierter Sicherheit, bei der jede einzelne Authentifizierungsanfrage geprüft, in ihren Kontext eingeordnet und fortlaufend auf Risiken bewertet wird.

Anmeldeverhalten mit Security Copilot auswerten

Das Anmeldeverhalten im großen Maßstab auszuwerten ist eine enorme menschliche Herausforderung. Täglich verarbeiten Unternehmen Millionen von Authentifizierungen, von routinemäßigen Anmeldungen am Morgen bis zu programmatischen API-Aufrufen im Hintergrund. Von einem Sicherheitsanalysten zu erwarten, dass er Anmeldeprotokolle manuell prüft, IP-Adressen gegenüberstellt und für jedes einzelne auffällige Ereignis die Gerätekonformität kontrolliert, ist eine unmögliche Aufgabe. Hier kommen künstliche Intelligenz und insbesondere Microsoft Security Copilot ins Spiel, die das Spiel verändern.

Security Copilot agiert als intelligente Schicht, die direkt in Microsoft Entra ID und das gesamte Microsoft-Sicherheitsökosystem eingebettet ist. Sobald sich ein Benutzer anmeldet, beginnt Copilot sofort, die Verhaltensbasislinien auszuwerten. Dabei wird nicht nur geprüft, ob das Kennwort korrekt war, sondern der gesamte Kontext des Anmeldeversuchs betrachtet. Meldet sich der Benutzer von einem ungewohnten geografischen Standort an? Greift er auf ein Gerät zu, das nie in seinem Profil registriert wurde? Ist die Geschwindigkeit der Ortswechsel zwischen zwei aufeinanderfolgenden Anmeldungen physisch unmöglich? Indem Security Copilot diese Verhaltensmuster fortlaufend mit historischen Daten abgleicht, kann es Anmeldungen mit hohem Risiko sofort kennzeichnen, die sonst an statischen Richtlinien für den bedingten Zugriff vorbeigerutscht oder im Meer der Routineprotokolle untergegangen wären.

Schwache Signale zu aussagekräftigen Risikoszenarien verknüpfen

Eine der heikelsten Eigenschaften moderner Cyberbedrohungen ist die Abhängigkeit von gering gewichteten, fragmentierten Indikatoren. Für sich genommen wirken einzelne Ereignisse – etwa eine geringfügige Anforderung zum Zurücksetzen des Kennworts, ein nicht erkannter User-Agent-String des Browsers oder eine kurze Anmeldung über ein kommerzielles VPN – völlig harmlos. Herkömmliche SIEM-Systeme erzeugen für jedes dieser Vorkommnisse oft eigene Warnmeldungen, was wesentlich zur unablässigen Alarmmüdigkeit in modernen Security Operations Centern beiträgt.

Security Copilot glänzt als kognitive Brücke zwischen diesen unterschiedlichen Datenpunkten. Statt isolierte Ereignisse als Sackgassen zu betrachten, korreliert Copilot automatisch mehrere schwache Signale über Benutzer, Geräte und Anwendungen hinweg und fügt sie zu einem stimmigen, aussagekräftigen Risikobild zusammen. Meldet sich ein Konto etwa außerhalb der üblichen Zeiten von einem neuen Gerät an, folgt darauf ein schneller Versuch, das Kennwort zu ändern, und unmittelbar danach werden sensible Kundendaten abgefragt, dann verknüpft Copilot diese Ereignisse miteinander. Aus rohen, unübersichtlichen Telemetriedaten wird eine klare Erzählung in natürlicher Sprache, die genau erklärt, wie ein Angreifer versucht, eine Identität zu kompromittieren. Das mühsame manuelle Zusammensetzen des Kontexts entfällt, und Analysten erfassen den Schweregrad einer Situation sofort.

Sofortige Behebungsmaßnahmen bei Hochrisiko-Anmeldungen

Eine Bedrohung zu erkennen ist nur die halbe Miete. Entscheidend ist, sie zu stoppen, bevor Schaden entsteht, denn erst dann zeigt sich die Sicherheitslage wirklich. In Stresssituationen erhöht jede Minute, die verstreicht, während über die richtige Reaktion entschieden oder durch komplexe Verwaltungskonsolen navigiert wird, das Risiko von Datenexfiltration oder seitlicher Bewegung im Netzwerk. Security Copilot schließt die Lücke zwischen Erkennung und Reaktion, indem es direkt im Arbeitsablauf der Analysten kontextbezogene Behebungsvorschläge anbietet.

Wird eine Hochrisiko-Anmeldung markiert und als schädlich oder hochgradig verdächtig bestätigt, zeigt Copilot nicht nur das Problem auf, sondern bietet konkrete Behebungswege an. Analysten können sofort Befehle ausführen, um eine erneute Verifizierung per Multi-Faktor-Authentifizierung zu erzwingen, ein sofortiges Zurücksetzen des Kennworts zu veranlassen, aktive OAuth-Token zu widerrufen oder die riskante Sitzung vorübergehend vollständig zu blockieren. Da diese Aktionen direkt in Microsoft Entra ID und Defender-Tools integriert sind, sinken die Reaktionszeiten drastisch. Was früher eine mehrstufige Untersuchung und manuelle administrative Eingriffe erforderte, lässt sich nun in wenigen Klicks entschärfen. Das verkürzt das Zeitfenster der Gefährdung für die Organisation erheblich.

Die moderne Unternehmensumgebung absichern mit KI-gestützter Identitätsabwehr

Da Cyberbedrohungen zunehmend automatisiert und raffiniert werden, können sich menschliche Verteidiger nicht allein auf manuelle Prozesse, veraltete Werkzeuge und reaktive Haltungen verlassen. Indem Identität als neue Perimeter-Grenze begriffen und KI-Assistenten wie Microsoft Security Copilot eingesetzt werden, können Organisationen das Blatt gegen hartnäckige Angreifer endlich wenden. Die Korrelation schwacher Verhaltenssignale, die Verkürzung der Untersuchungszeiten und die Automatisierung von Behebungsmaßnahmen sorgen dafür, dass Sicherheitsteams sich vom ständigen Feuerlöschen lösen und hin zu einer proaktiven, widerstandsfähigen Abwehr entwickeln.

Wenn Sie mehr darüber erfahren möchten, wie künstliche Intelligenz den Betrieb von Security Operations verändert und Teams dabei hilft, die Alarmmüdigkeit im SOC zu überwinden, hören Sie sich die passende Podcast-Folge an: Security Copilot for SOC Operations: Reduce Alert Fatigue.

Mit welchen Herausforderungen sehen sich Sicherheitsanalysten bei der aktuellen Menge an Warnmeldungen konfrontiert?
Sicherheitsanalysten werden von einer Flut an Warnmeldungen überrollt, oft sind es über 200, bevor der Arbeitstag überhaupt beginnt. Dieses Volumen führt zu Verzögerungen und Ineffizienz und erschwert es, aktive Bedrohungen wirksam zu beantworten.

Wie verbessert Security CoPilot den Workflow von Sicherheitsteams?
Security CoPilot ist direkt in bestehende Sicherheitstools eingebettet und ermöglicht Analysten, KI-Unterstützung zu nutzen, ohne ihren Arbeitsfluss zu unterbrechen. Diese Integration hilft, den Fokus auf die Lösung von Sicherheitsproblemen zu behalten, statt zwischen verschiedenen Systemen zu wechseln.

Inwiefern verbessert CoPilot das Verständnis von Sicherheitswarnungen?
Copilot liefert umfassende Zusammenfassungen von Warnmeldungen, die komplexe technische Signale in verständliche Erzählungen übersetzen. Es erläutert Kontext und Schweregrad der Warnungen und verwandelt sie so in verwertbare Lageberichte.

Welche proaktiven Funktionen bietet Security CoPilot Sicherheitsteams?
Copilot kann Muster über mehrere Risikosignale hinweg erkennen und versetzt Sicherheitsteams so in die Lage, identitätsbasierte Bedrohungen proaktiv aufzuspüren, statt nur auf Warnmeldungen mit hoher Konfidenz zu reagieren. Der Fokus verlagert sich damit von einer reagierenden Abwehr hin zur proaktiven Bedrohungssuche.

Wie unterstützt Copilot bei der Geräteverwaltung und der Erstellung von Richtlinien?
Copilot automatisiert Analysen auf Expertenniveau, indem es Erkenntnisse darüber liefert, wie sich Änderungen an Sicherheitsrichtlinien sowohl auf die Sicherheitslage als auch auf die Benutzerfreundlichkeit auswirken. So können Administratoren fundierte Entscheidungen treffen, die Sicherheitsanforderungen und Produktivität der Benutzer in Einklang bringen.

Erhalten Sie vollen Zugriff auf M365 Show - Microsoft 365 Digital Workplace Daily unter m365.show/subscribe