Conditional Access in Microsoft Entra ID meistern: Aufbau eines Zero-Trust-Perimeters

Von Mirko Peters · 2026-08-27

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Titelbild: Mastering Conditional Access in Microsoft Entra ID: Building a Zero Trust Perimeter

Willkommen zurück zum Podcast! Heute vertiefen wir ein Thema, das das absolute Fundament moderner Cloud-Sicherheit bildet: Conditional Access in Microsoft Entra ID. Falls Sie unsere letzte Folge gehört haben, wissen Sie, dass wir fast eine Stunde darauf verwendet haben zu erklären, warum der klassische Netzwerkperimeter ausgedient hat. Die Zeiten, in denen man allem vertrauen konnte, was hinter der Firewall des Unternehmens liegt, sind vorbei. In Zeiten von Remote-Arbeit, hybriden Umgebungen und allgegenwärtigen Cloud-Anwendungen ist Ihr Perimeter kein physischer Ort mehr – er ist die Identität.

Microsoft Entra ID Conditional Access ist die Engine, die diesen neuen Perimeter antreibt. Sie fungiert als intelligenter, automatisierter Sicherheitswächter für Ihre Organisation: Bei jeder einzelnen Zugriffsanfrage bewertet sie den Kontext, bevor sie entscheidet, ob der Zugriff gewährt, blockiert oder eine zusätzliche Verifizierung verlangt wird. In diesem Blogbeitrag gehen wir tief auf die Kernkomponenten von Conditional-Access-Richtlinien ein. Wir zeigen, wie Sie Signale auswerten, starke Authentifizierung erzwingen und eine robuste Zero-Trust-Sicherheitslage aufbauen, die Ihre Organisation schützt, ohne die Produktivität lahmzulegen.

Einführung in Conditional Access und Zero Trust

Um Conditional Access wirklich zu beherrschen, müssen wir zuerst unser Denken an den Prinzipien von Zero Trust ausrichten. Die Kernphilosophie von Zero Trust lässt sich in drei einfachen Worten zusammenfassen: niemals vertrauen, immer überprüfen. Früher setzten Organisationen auf eine Burg-und-Graben-Strategie. Gelang es einem Benutzer, die Burgmauern zu überwinden – sei es durch Einstecken in das Ethernet im Büro oder durch eine erfolgreiche Anmeldung über ein Unternehmens-VPN –, wurde ihm weitgehend vertraut, sich innerhalb des Netzwerks frei zu bewegen. Wie uns unzählige Cyberangriffe der letzten Jahre gezeigt haben, ist dieser Ansatz grundlegend fehlerhaft.

Zero Trust geht von einem bereits erfolgten Einbruch aus und überprüft jede Anfrage so, als stamme sie aus einem nicht vertrauenswürdigen Netzwerk. Jede Zugriffsanfrage muss authentifiziert, autorisiert und verschlüsselt werden, bevor der Zugriff gewährt wird. Doch die Überprüfung allein reicht nicht aus; sie muss intelligent sein und den Kontext berücksichtigen.

Genau hier kommt Microsoft Entra ID Conditional Access ins Spiel. Betrachten Sie Conditional Access als eine Wenn-dann-Engine: Sind bestimmte Bedingungen erfüllt, wird ein bestimmter Satz von Kontrollen durchgesetzt. Indem Signale aus verschiedenen Quellen ausgewertet werden – etwa wer sich anmeldet, von wo aus die Anmeldung erfolgt, welches Gerät verwendet wird und ob das Verhalten verdächtig wirkt –, trifft Conditional Access automatisierte Entscheidungen in Echtzeit, die Sicherheit und Benutzerfreundlichkeit in Einklang bringen. Es stellt sicher, dass die richtigen Benutzer unter den richtigen Bedingungen auf die richtigen Ressourcen zugreifen.

Der Aufbau einer Richtlinie: Zuweisungen und Bedingungen

Eine wirksame Conditional-Access-Richtlinie setzt ein gründliches Verständnis ihrer Architektur voraus. Jede Richtlinie in Microsoft Entra ID gliedert sich grundsätzlich in zwei Hauptphasen: Zuweisungen und Zugriffssteuerungen. In der Phase der Zuweisungen legen Sie fest, für wen die Richtlinie gilt und auf was diese Personen zugreifen wollen. Schauen wir uns diese grundlegenden Elemente im Einzelnen an.

Zunächst gibt es Benutzer und Gruppen. Hier legen Sie den Geltungsbereich der Richtlinie fest. Soll sie für alle Benutzer der gesamten Organisation gelten oder nur für bestimmte Abteilungen wie die Finanzabteilung oder IT-Administratoren? Bewährte Methoden empfehlen in der Regel, Richtlinien zunächst mit Pilotgruppen zu testen, bevor sie breit ausgerollt werden. Letztlich sollten kritische Sicherheitsgrundlagen jedoch alle Benutzer abdecken.

Als Nächstes betrachten wir Cloud-Apps oder Aktionen. Hier legen Sie fest, welche Ressourcen die Richtlinie schützt. Sie können gezielt Anwendungen wie Microsoft Exchange Online, SharePoint oder eigene Unternehmensanwendungen ansprechen, die in Entra ID integriert sind. Ebenso können Sie Richtlinien auf alle Cloud-Apps anwenden. Das ist ein wirkungsvoller Weg, um eine Sicherheitsbasis für jede SaaS-Anwendung durchzusetzen, die Ihre Organisation nutzt.

Neben dem Wer und Was kommen die Bedingungen ins Spiel. Bedingungen ermöglichen es Ihnen, den Geltungsbereich der Richtlinie anhand kontextbezogener Auslöser einzugrenzen. Dazu gehören:

Benutzerrisiko und Anmelderisiko

Mithilfe des umfangreichen Bedrohungsinformationsnetzwerks von Microsoft berechnet Entra ID fortlaufend die Wahrscheinlichkeit, dass ein Benutzerkonto kompromittiert wurde (Benutzerrisiko), oder dass eine bestimmte Anmeldeanforderung von einem Angreifer stammt (Anmelderisiko). Mit Bedingungen können Sie Richtlinien gezielt auslösen, sobald ein mittleres oder hohes Risiko erkannt wird.

Gerätplattformen

Sie können Richtlinien anhand des Betriebssystems des verwendeten Geräts gezielt anwenden, egal ob Windows, macOS, iOS, Android oder Linux. So können Sie je nach Gerätetyp unterschiedliche Sicherheitsanforderungen festlegen.

Standorte

Mit Conditional Access können Sie vertrauenswürdige IP-Adressbereiche definieren, etwa die Netzwerke Ihrer Unternehmensstandorte, oder benannte Standorte auf Basis von Ländercodes einbinden. Diese Standortsignale nutzen Sie, um den Zugriff aus Hochrisikoländern zu blockieren oder die Multifaktor-Authentifizierung nur dann zu verlangen, wenn Benutzer von außerhalb des vertrauenswürdigen Unternehmensperimeters zugreifen.

Echtzeitsignale auswerten: Standort, Risiko und Gerätekonformität

Die eigentliche Stärke von Conditional Access liegt in der Auswertung von Echtzeitsignalen. In einer klassischen IT-Umgebung waren Sicherheitsrichtlinien statisch. Wenn Sie den richtigen Benutzernamen und das richtige Kennwort hatten, kamen Sie hinein, egal ob Sie sich von einem verwalteten Firmenlaptop in New York anmeldeten oder von einem kompromittierten öffentlichen Terminal in einem fremden Land um 3:00 Uhr morgens. Conditional Access verändert diese Dynamik grundlegend, indem es die Anmeldung zu einer fortlaufenden Risikobewertung macht.

Nehmen wir zum Beispiel den Gerätestatus. Über die Integration mit Microsoft Intune oder unterstützten MDM-Lösungen (Mobile Device Management) von Drittanbietern kann Conditional Access prüfen, ob ein Gerät den Sicherheitsstandards Ihrer Organisation entspricht. Ist das Betriebssystem auf dem neuesten Stand? Ist die Datenträgerverschlüsselung aktiviert? Wird das Gerät von der Organisation verwaltet, oder handelt es sich um ein nicht verwaltetes privates Gerät (Bring Your Own Device, kurz BYOD)? Indem Sie den Gerätestatus in Echtzeit auswerten, stellen Sie sicher, dass Unternehmensdaten nur zu gesunden, sicheren Endpunkten gelangen.

Die Risikobewertung geht noch einen Schritt weiter. Microsoft Entra ID Protection analysiert jeden Tag Billionen von Signalen, etwa unmögliche Reisen, untypische Anmeldehäufigkeiten, kompromittierte Anmeldedaten und anonyme IP-Adressen. Versucht ein Benutzer, sich anzumelden, bewertet Entra ID diese Signale sofort. Meldet sich ein Benutzer normalerweise aus London an und versucht zehn Minuten später, von einer verdächtigen IP-Adresse auf der anderen Hemisphäre auf Ressourcen zuzugreifen, wird das Anmelderisiko als hoch eingestuft. Die Conditional-Access-Richtlinie kann diese Anfrage dann abfangen, die Überprüfungsanforderungen verschärfen oder den Zugriffsversuch vollständig blockieren, bevor Daten abfließen können.

Standortbasierte Signale bieten eine zusätzliche Kontextebene. Netzwerkperimeter sind zwar nicht mehr das A und O der Sicherheit, doch der geografische Kontext bleibt äußerst wertvoll. Sie können Richtlinien konfigurieren, die den Zugriff aus Ländern vollständig blockieren, in denen Ihr Unternehmen keine legitimen Geschäftstätigkeiten unterhält. So reduzieren Sie die Angriffsfläche gegenüber automatisierten Credential-Stuffing-Angriffen aus bekannten Hotspots von Bedrohungsakteuren deutlich.

Sicherheit durchsetzen: Gewährungssteuerungen und Authentifizierungsstärken

Sobald Ihre Richtlinie die Zuweisungen und Echtzeitbedingungen ausgewertet hat, erreicht sie die Durchsetzungsphase: die Gewährungssteuerungen (Grant Controls). Hier legt die Richtlinie fest, was geschehen muss, bevor der Zugriff auf die Cloudanwendung formal gewährt wird.

Administratoren haben unter den Gewährungssteuerungen mehrere Optionen. Sie können den Zugriff vollständig blockieren, was sich bei Hochrisikoszenarien oder nicht autorisierten Gerätestatus anbietet. Alternativ können Sie den Zugriff nur dann gewähren, wenn bestimmte Anforderungen erfüllt sind. Dazu gehören:

Multifaktor-Authentifizierung (MFA) verlangen
Verlangen, dass das Gerät als konform markiert ist
Verlangen, dass ein Microsoft Entra hybrid beigetretenes Gerät verwendet wird
Verlangen, dass eine genehmigte Clientanwendung verwendet wird
Verlangen, dass eine App-Schutzrichtlinie (Mobile Application Management) angewendet wird
Kennwortänderung für Hochrisikobenutzer verlangen

Eine besonders leistungsstarke Funktion, die Microsoft eingeführt hat, sind die Authentifizierungsstärken (Authentication Strengths). Früher wurde MFA oft als binäre Entscheidung behandelt: Entweder man nutzte MFA oder nicht. Doch nicht alle Authentifizierungsmethoden bieten das gleiche Sicherheitsniveau. Phishing-Angriffe haben sich weiterentwickelt und umgehen herkömmliche SMS, Sprachanrufe und sogar einfache Push-Benachrichtigungen mithilfe ausgeklügelter Adversary-in-the-Middle-Angriffe.

Mit den Authentication Strengths legen Sie genau fest, welche Authentifizierungsmethoden für besonders schützenswerte Ressourcen oder Hochrisikoszenarien zulässig sind. Sie können beispielsweise eine Richtlinie erstellen, die phishingresistente MFA verlangt, etwa FIDO2-Sicherheitsschlüssel oder Windows Hello for Business, und weniger sichere Methoden wie SMS oder klassische Telefonanrufe ausschließt. So setzen Sie ein differenziertes, risikoabgestuftes Authentifizierungsmodell um: Für alltägliche Apps genügt Standard-MFA, während Verwaltungsportale und sensible Finanzsysteme phishingresistente Anmeldeinformationen erfordern.

Bewährte Vorgehensweisen für Entwurf und Test Ihrer Richtlinien

Die Implementierung von Conditional Access kann Ihre Sicherheitslage deutlich verbessern. Bei fehlerhafter Konfiguration kann sie jedoch auch Ihre gesamte Organisation aussperren, einschließlich der globalen Administratoren. Wie es so schön heißt: Große Macht bringt große Verantwortung mit sich. Damit Sie sich nicht selbst aus dem Konzept bringen, stellen wir Ihnen die wichtigsten Vorgehensweisen für Entwurf, Test und Verwaltung Ihrer Conditional-Access-Richtlinien vor.

Das Wichtigste zuerst: Sperren Sie sich niemals selbst aus. Schließen Sie mindestens ein Notfallzugriffskonto (Break-Glass-Konto, also ein Notfall-Administratorkonto nur in der Cloud mit einem starken, sicher aufbewahrten Kennwort) von Ihren zentralen Conditional-Access-Richtlinien aus. Stellen Sie außerdem sicher, dass Ihre Administratorkonten gründlich getestet und umfassend überwacht werden. Behalten Sie dabei ein Sicherheitsnetz bei, damit Sie sich jederzeit wiederherstellen können, falls eine Richtlinie fehlschlägt.

Zweitens: Setzen Sie auf einen schrittweisen Rollout. Erstellen Sie keine restriktive Richtlinie und wenden Sie sie sofort auf alle Benutzer an. Verwenden Sie stattdessen den Modus „Nur Bericht“. In diesem Modus können Sie die Auswirkungen einer Richtlinie bewerten, ohne sie tatsächlich durchzusetzen. Entra ID protokolliert in den Anmeldeprotokollen, ob die Richtlinie den Zugriff blockiert oder zugelassen hätte. So erkennen Sie mögliche Beeinträchtigungen für Benutzer oder unterbrochene Arbeitsabläufe, bevor die Richtlinie in Kraft tritt.

Wenn Sie die Richtlinie durchsetzen möchten, beginnen Sie mit einer Pilotgruppe, etwa Ihrer IT-Abteilung oder einem kooperativen Geschäftsbereich. Analysieren Sie deren Anmeldeprotokolle, sammeln Sie Feedback, verfeinern Sie die Bedingungen und erweitern Sie den Geltungsbereich schrittweise, bis die Richtlinie die gesamte Organisation abdeckt.

Dokumentieren Sie Ihre Richtlinien schließlich klar verständlich und überprüfen Sie sie regelmäßig. Geschäftliche Anforderungen ändern sich, Mitarbeitende wechseln ihre Aufgaben und Sicherheitsbedrohungen entwickeln sich weiter. Eine Richtlinie, die vor zwei Jahren sinnvoll war, kann heute unnötig restriktiv oder gefährlich veraltet sein. Ein fester Rhythmus für die Überprüfung Ihrer Conditional-Access-Konfiguration stellt sicher, dass Ihr Zero-Trust-Perimeter belastbar, wirksam und auf die Ziele Ihrer Organisation abgestimmt bleibt.

Vielen Dank, dass Sie eingeschaltet und mitgelesen haben! Conditional Access zu beherrschen ist ein Weg, der Zeit braucht. Wenn Sie diese Schritte umsetzen, sind Sie aber auf dem besten Weg, einen belastbaren Zero-Trust-Perimeter in Microsoft Entra ID aufzubauen. Abonnieren Sie den Podcast, um weitere ausführliche Beiträge zur Cloud-Sicherheit zu erhalten. Wir hören uns in der nächsten Folge wieder!