Identität als neuer Perimeter: Ihren MSP mit Entra ID und Zero Trust absichern

Von Mirko Peters · 2026-08-13

Willkommen zurück im Blog! In unserer Branche ist es keine Option, Sicherheitsentwicklungen immer einen Schritt voraus zu sein, sondern eine Frage des geschäftlichen Überlebens. Während sich der digitale Arbeitsplatz ausweitet…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Blog! In unserer Branche ist es keine Option, der Sicherheitsentwicklung einen Schritt voraus zu sein, sondern eine Frage des geschäftlichen Überlebens. Während sich der digitale Arbeitsplatz ausweitet und Cyberbedrohungen immer raffinierter werden, ist der klassische Netzwerkperimeter – die Firewall am Router des Büros – faktisch tot. Heute ist die Identität der neue Perimeter. Diesen Perimeter zu schützen erfordert ein tiefes Verständnis moderner Cloud-Architekturen, eine robuste Verwaltung von Anmeldeinformationen und ein kompromissloses Bekenntnis zu Zero-Trust-Prinzipien. In diesem Beitrag gehen wir detailliert auf die Funktionsweise von Microsoft Entra ID, bedingte Zugriffsrichtlinien und Zero-Trust-Architektur ein, damit Sie Benutzeranmeldeinformationen sicher verwalten und Ihre Infrastruktur vor fortgeschrittenen Identitätsbedrohungen schützen können.

Dieser Beitrag knüpft direkt an unsere aktuelle Podcast-Folge Building a Secure Microsoft-First MSP: Intune, Defender & Entra ID at Scale with Albin Klinaku [MVP] an, in der wir die praktische Umsetzung skalierter Sicherheit in Umgebungen mit mehreren Mandanten anhand nativer Microsoft-Werkzeuge aufschlüsseln.

Einführung in Identität als neuer Perimeter

Jahrzehntelang setzte die Unternehmenssicherheit auf eine Burg-und-Graben-Strategie. Hatte ein Benutzer die Unternehmens-Firewall passiert, konnte er sich innerhalb interner Dateifreigaben, Anwendungen und Server weitgehend frei bewegen. Der Aufstieg von Remote-Arbeit, Cloud-Nutzung und mobilem Computing hat diesen Graben jedoch zum Einsturz gebracht. Mitarbeitende, externe Dienstleister und Partner greifen heute von überall, auf jedem Gerät und über unterschiedlichste Netzwerke auf Unternehmensressourcen zu.

In dieser dezentralen Realität ist die Benutzeridentität der gemeinsame Nenner jeder Interaktion. Ob sich ein Benutzer aus einem Café bei einer SaaS-Anwendung anmeldet oder von einem Heimarbeitsplatz aus sensible Kundendatenbanken abfragt – seine digitale Identität bestimmt, was er sehen und tun kann. Ist diese Identität kompromittiert, ist die gesamte Infrastruktur gefährdet. Der Übergang zu einem identitätsbasierten Sicherheitsmodell bedeutet, jede Anmeldeanfrage so lange als nicht vertrauenswürdig zu behandeln, bis das Gegenteil nachgewiesen ist, und die Verteidigungslinie direkt auf das Benutzerkonto zu verlagern.

Die moderne Bedrohungslage für MSPs verstehen

Managed Service Provider (MSPs) stehen aufgrund ihrer Position besonders im Visier moderner Cyberkkrimineller. Da ein einzelner MSP oft die IT-Infrastruktur von Dutzenden – manchmal Hunderten – kleiner und mittelständischer Unternehmen (KMU) verwaltet, betrachten Angreifer MSPs als ultimative Hochwertziele. Ein erfolgreicher Einbruch in einen MSP kann bei einem klassischen Supply-Chain-Angriff nachgelagerten Zugriff auf ein großes Portfolio an Kundenumgebungen ermöglichen.

Aktuelle Threat-Intelligence-Daten zeigen einen alarmierenden Anstieg von Angriffen auf Dienstleister. Identitätsbasierte Angriffe, Credential Stuffing und ausgeklügelte Social-Engineering-Kampagnen haben klassische Malware-Injektionen als wichtigsten initialen Zugangsvektor abgelöst. Angreifer brechen nicht mehr nur ein; sie melden sich mit gestohlenen oder per Phishing erbeuteten Anmeldeinformationen an, die für herkömmliche Überwachungswerkzeuge völlig legitim aussehen. Um dem entgegenzuwirken, müssen MSPs von Flickwerk-Sicherheitslösungen abrücken und eine einheitliche, Microsoft-first ausgerichtete Verteidigungsstrategie einführen, die den Identitätsschutz als zentrale betriebliche Anforderung behandelt.

Die Funktionsweise von Microsoft Entra ID

Im Zentrum jeder modernen, identitätsbasierten Sicherheitsarchitektur im Microsoft-Ökosystem steht Microsoft Entra ID (früher Azure Active Directory). Entra ID dient als cloudbasierter Verzeichnis- und Identitätsverwaltungsdienst, der den Benutzerzugriff auf Unternehmensressourcen, Cloud-Anwendungen und externe Dienste steuert.

Entra ID geht über die Grenzen des klassischen lokalen Active Directory hinaus. Der Dienst bietet eine skalierbare, cloudnative Grundlage für hybride und remote arbeitende Belegschaften. Er übernimmt von Haus aus die Bereitstellung von Benutzern, die Selbstverwaltung von Kennwörtern, die Anwendungsintegration und eine erweiterte Risikobewertung. Durch die zentrale Verwaltung von Identitäten erhalten MSPs granulare Transparenz darüber, wer worauf zugreift, woher diese Anfragen stammen und ob ein Benutzer auffällige Verhaltensmuster zeigt.

Darüber hinaus lässt sich Entra ID über branchenübliche Protokolle wie SAML und OIDC nahtlos mit Anwendungen von Drittanbietern integrieren. So lassen sich die Sicherheitsrichtlinien einer Organisation einheitlich durchsetzen, unabhängig davon, ob ein Benutzer auf Microsoft 365, Salesforce oder eine intern entwickelte Web-App zugreift.

Sicherheit mit bedingten Zugriffsrichtlinien durchsetzen

Ein zentrales Identitätsverzeichnis ist nur der erste Schritt. Außerdem müssen Sie steuern, wie und wann sich diese Identitäten mit Ihren Ressourcen verbinden dürfen. Genau hier kommen die bedingten Zugriffsrichtlinien von Entra ID ins Spiel. Der bedingte Zugriff fungiert als automatisierte Entscheidungsinstanz Ihres Sicherheitsperimeters: Er wertet Signale in Echtzeit aus, bevor er Zugriff gewährt.

Stellen Sie sich den bedingten Zugriff als intelligenten, digitalen Türsteher am Eingang eines Clubs vor. Versucht ein Benutzer, sich anzumelden, bewertet Entra ID gleichzeitig mehrere Signale:

• Benutzer- oder Gruppenzugehörigkeit: Handelt es sich um einen Administrator, einen regulären Mitarbeiter oder einen externen Gast?
• Standort: Stammt die Anmeldeanfrage aus einem vertrauenswürdigen Unternehmens-IP-Bereich oder aus einem Land mit hohem Risiko?
• Gerätestatus: Ist das verwendete Gerät konform zu den unternehmensinternen Compliance-Vorgaben und wird es über Microsoft Intune verwaltet?
• Sensibilität der Anwendung: Versucht der Benutzer, auf ein unkritisches Newsletter-Tool oder auf das zentrale Hauptbuch der Finanzabteilung zuzugreifen?
• Echtzeitrisiko: Stuft Microsoft Entra ID Protection dieses konkrete Anmeldeverhalten als auffällig oder als Hinweis auf Credential Dumping ein?

Auf Basis dieser Signale kann die Richtlinie verschiedene Kontrollen durchsetzen. Sie kann den Zugriff ohne Weiteres erlauben, eine Multi-Faktor-Authentifizierung (MFA) verlangen, eine Kennwortzurücksetzung anfordern oder die Zugriffsanfrage vollständig blockieren. Mit robusten bedingten Zugriffsrichtlinien können MSPs die Angriffsfläche deutlich verkleinern, ohne die Produktivität der Endbenutzer zu beeinträchtigen.

Zero-Trust-Architektur umsetzen

Die Grundprinzipien von Zero Trust lassen sich in drei zentralen Leitsätzen zusammenfassen: explizit verifizieren, Zugriff nach dem Least-Privilege-Prinzip gewähren und von einer Kompromittierung ausgehen. Entra ID bildet zusammen mit Geräteverwaltungstools wie Microsoft Intune und Endpoint-Protection-Plattformen wie Microsoft Defender den technologischen Grundstock, mit dem sich Zero Trust im großen Maßstab umsetzen lässt.

Explizit verifizieren: Authentifizieren und autorisieren Sie stets auf Basis aller verfügbaren Datenpunkte, darunter Benutzeridentität, Standort, Gerätezustand, Dienst bzw. Workload, Datenklassifizierung und Anomalien. Kennwörter allein reichen nicht mehr aus. Moderne Implementierungen setzen phishingresistente MFA voraus, etwa FIDO2-Sicherheitsschlüssel oder Windows Hello for Business.

Least-Privilege-Zugriff gewähren: Beschränken Sie den Benutzerzugriff mithilfe von Just-In-Time-(JIT-) und Just-Enough-Access-(JEA-)Modellen. Mit Entra ID Privileged Identity Management (PIM) arbeiten Administratoren für alltägliche Aufgaben mit Standardbenutzerkonten und erhöhen ihre Berechtigungen nur dann, wenn es unbedingt nötig ist, und nur für ein begrenztes Zeitfenster.

Von einer Kompromittierung ausgehen: Begrenzen Sie den Schaden eines Angriffs, indem Sie den Zugriff nach Netzwerk, Benutzer, Geräten und Anwendungskontext segmentieren. Verschlüsseln Sie durchgängig und nutzen Sie Analysen, um Transparenz zu gewinnen, Bedrohungen zu erkennen und Ihre Abwehrmaßnahmen kontinuierlich zu verbessern.

Benutzeranmeldeinformationen verwalten und fortgeschrittene Identitätsbedrohungen abwehren

Fortgeschrittene Identitätsbedrohungen wie Phishing-Kits nach dem Adversary-in-the-Middle-Prinzip (AiTM), Token-Diebstahl und Session Hijacking sind darauf ausgelegt, herkömmliche Aufforderungen zur Multi-Faktor-Authentifizierung zu umgehen. Gelingt es einem Angreifer, ein Sitzungstoken abzufangen, kann er sich als legitimer Benutzer ausgeben, ohne dessen Kennwort erraten oder den SMS-Code abfangen zu müssen.

Um diese ausgeklügelten Bedrohungen abzuwehren, müssen MSPs innerhalb von Entra ID fortschrittliche Strategien für die Verwaltung von Anmeldeinformationen umsetzen:

• Auf phishingresistente MFA umstellen: Setzen Sie Hardware-Sicherheitsschlüssel oder plattformgebundene Anmeldeinformationen ein, die die Authentifizierungssitzung kryptografisch an das Gerät und die spezifische Ursprungs-Website binden. Dadurch laufen AiTM-Proxy-Angriffe ins Leere.
• Dienstprinzipale und App-Registrierungen überwachen: Angreifer missbrauchen zunehmend Azure-Dienstprinzipale und Unternehmensanwendungen, um dauerhaften Zugriff zu behalten. Überprüfen Sie API-Berechtigungen und OAuth-Zustimmungen in Ihrem Mandanten regelmäßig.
• Entra ID Protection nutzen: Nutzen Sie durch maschinelles Lernen gestützte Risikoerkennungen, um kompromittierte Konten automatisch zu bereinigen, indem Sie Kennwortzurücksetzungen erzwingen oder risikoreiche Sitzungen sofort blockieren.

Praktische Schritte zur Implementierung für MSPs

Die Umstellung Ihres MSP und Ihrer Kunden auf eine identitätszentrierte Zero-Trust-Sicherheitsstrategie kann zunächst überwältigend wirken. Damit der Übergang gut machbar bleibt, folgen Sie einem strukturierten, phasenweisen Implementierungsfahrplan:

1. Bestehende Identitäten prüfen: Erfassen Sie alle aktiven Benutzerkonten, Gastkonten, Dienstkonten und verwaisten Anmeldeinformationen in Ihren Mandanten. Bereinigen Sie inaktive Konten und entfernen Sie veraltete Berechtigungen.
2. Basis-MFA erzwingen: Beseitigen Sie veraltete Authentifizierungsprotokolle (wie POP3, IMAP und ältere SMTP-Authentifizierung), die keine moderne MFA erzwingen können. Erzwingen Sie sichere MFA-Anforderungen für 100 % aller Benutzerkonten.
3. Basis-Bedingter-Zugriff bereitstellen: Rollen Sie Basisrichtlinien für den bedingten Zugriff zunächst im Nur-Bericht-Modus aus. Überwachen Sie die Protokolle, damit legitime Arbeitsabläufe nicht unterbrochen werden, bevor Sie die Richtlinien global erzwingen.
4. Endpunkt-Compliance integrieren: Verknüpfen Sie die Compliance-Status von Microsoft Intune-Geräten direkt mit Ihren Richtlinien für bedingten Zugriff in Entra ID, damit nicht verwaltete oder nicht konforme Geräte keinen Zugriff auf Unternehmensdaten erhalten.
5. Laufende Überwachung und Optimierung: Prüfen Sie regelmäßig Anmeldeprotokolle, Überwachungsberichte und Microsoft Secure Score-Kennzahlen, um neue Lücken zu erkennen und Ihre Sicherheitslage kontinuierlich zu verbessern.

Fazit und Zusammenfassung

Die Absicherung eines modernen Managed Service Providers erfordert einen grundlegenden Mentalitätswechsel. Wer den veralteten Gedanken eines physischen Netzwerkperimeters aufgibt und Identität als neue Sicherheitsgrenze begreift, kann viele der heute häufigsten Cyberbedrohungen für Unternehmen wirksam neutralisieren. Durch die gezielte Kombination aus Microsoft Entra ID, intelligenten Richtlinien für bedingten Zugriff, Endpunktverwaltung mit Microsoft Intune und Bedrohungsschutz mit Microsoft Defender lässt sich ein belastbares, skalierbares Sicherheitsframework aufbauen, das Ihr Unternehmen schützt und das uneingeschränkte Vertrauen Ihrer Kunden gewinnt.

Wenn Sie tiefer in diese Konzepte einsteigen und praxisnahe Strategien für die Skalierung der Sicherheit in Ihren MSP-Abläufen kennenlernen möchten, hören Sie sich unbedingt unsere zugehörige Podcast-Episode an: Building a Secure Microsoft-First MSP: Intune, Defender & Entra ID at Scale with Albin Klinaku [MVP]. Bleiben Sie sicher, bleiben Sie innovativ, und wir sehen uns im nächsten Beitrag!