Microsoft Entra ID erklärt: Die Identitätsgrundlage für Microsoft 365 und Azure

Von Mirko Peters · 2026-08-27 · Aktualisiert 2026-09-13

Verstehen Sie Microsoft Entra ID, früher Azure AD: Benutzer, Gruppen, Apps, SSO, MFA, bedingten Zugriff und Identitätsverwaltung in Microsoft 365 und Azure.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück, liebe Zuhörer und Leser, zu einem weiteren Deep Dive in die Welt der Cloud-Infrastruktur und der Sicherheit in Unternehmen. In unserer neuesten Podcast-Folge haben wir eines der wichtigsten Themen der modernen IT behandelt: Identitäts- und Zugriffsverwaltung. Im Mittelpunkt stand Microsoft Entra ID, früher bekannt als Azure Active Directory (Azure AD). Wir haben besprochen, wie dieser Dienst das zentrale Fundament für alles bildet, was Sie in Microsoft 365, Azure und Tausenden externer Software-as-a-Service-(SaaS)-Anwendungen tun.

Wenn Sie schon länger in der IT tätig sind, erinnern Sie sich vermutlich noch daran, als Identitäten an einen physischen Server im Serverraum gebunden waren, auf dem Windows Server Active Directory lief. Mit der Migration in die Cloud hat sich dieses Paradigma grundlegend verändert. Perimeterbasierte Sicherheit wurde nahezu über Nacht überholt. Heute wird der Netzwerkperimeter nicht mehr durch Firewalls und IP-Adressen definiert, sondern durch die Identität. Microsoft Entra ID orchestriert diesen neuen Perimeter. In diesem umfassenden Begleitbeitrag vertiefen wir die Kernkonzepte aus der Sendung: Wir betrachten Benutzer, Gruppen, Anwendungsverwaltung, Authentifizierungsmechanismen und Governance, damit Sie die Cloud-Umgebung Ihrer Organisation absichern und optimieren können.

Einführung in Microsoft Entra ID und moderne Identität

Um Microsoft Entra ID wirklich zu verstehen, müssen wir zunächst die Philosophie des modernen Identitätsmanagements betrachten. In der traditionellen Welt der lokalen Infrastruktur meldeten sich Benutzer an einem domänenbeigetretenen Computer an, der physisch mit dem lokalen Unternehmensnetzwerk (LAN) verbunden war. Active Directory prüfte, wer sie waren, und Zugriff wurde im Wesentlichen danach gewährt, ob der Datenverkehr aus dem Unternehmensnetz stammte.

Der moderne Arbeitsplatz sieht völlig anders aus. Mitarbeitende arbeiten von zu Hause, aus Cafés, Flughäfen und Kundenbüros, mit Laptops, Tablets und Smartphones. Sie greifen auf Ressourcen zu, die nicht nur in lokalen Rechenzentren gehostet werden, sondern in mehreren öffentlichen Clouds und bei SaaS-Plattformen von Drittanbietern wie Salesforce, ServiceNow und Zoom. In dieser dezentralen Welt ist die Identität die neue zentrale Sicherheitskontrollebene.

Microsoft Entra ID ist ein cloudbasierter Dienst für Identitäts- und Zugriffsverwaltung (IAM), der Identitäten in Hybrid- und Multi-Cloud-Umgebungen absichert und verwaltet. Er ist nicht einfach eine Cloud-Version von Windows Server Active Directory. Der Dienst wurde von Grund auf für Cloud-Workloads im Internetmaßstab, webbasierte Authentifizierungsprotokolle und API-basierte Integrationen entwickelt. Ob sich ein Mitarbeitender bei Microsoft 365 anmeldet, um Outlook zu öffnen, eine virtuelle Maschine in Azure startet oder sich bei einer externen HR-Anwendung authentifiziert: Microsoft Entra ID prüft, wer die Person ist, bewertet das Risiko der Verbindung und setzt die Richtlinien der Organisation in Millisekunden durch.

Kernkomponenten: Benutzer, Gruppen und Geräte

Im Kern dreht sich Microsoft Entra ID um drei zentrale Objekte: Benutzer, Gruppen und Geräte. Wer das Zusammenspiel dieser drei Elemente beherrscht, legt den ersten Grundstein für ein skalierbares und sicheres Verzeichnis.

Benutzer in der Cloud verwalten

Benutzer in Entra ID stehen für einzelne Identitäten, die Zugriff auf Ressourcen der Organisation benötigen. Dazu zählen interne Mitarbeitende, externe Auftragnehmer, Partnerorganisationen sowie automatisierte Dienstkonten und Anwendungen (häufig als Dienstprinzipale oder verwaltete Identitäten bezeichnet). Der Lebenszyklus von Benutzern muss sorgfältig gesteuert werden: von der Bereitstellung bei der Einstellung über Rollenwechsel während der Beschäftigung bis zur sofortigen Deaktivierung beim Ausscheiden.

Organisationen setzen für die Benutzerverwaltung in der Regel auf eines von zwei Modellen:

• Reine Cloud-Identitäten: Werden vollständig in Entra ID erstellt und verwaltet. Dies ist typisch für „Cloud-native“ Startups oder bestimmte Gastkonten.
• Hybride Identitäten: Werden mit Microsoft Entra Connect (oder Entra Cloud Sync) aus einer lokalen Active-Directory-Umgebung synchronisiert. So können Organisationen ihre bestehenden Domänencontroller weiter betreiben und Benutzeridentitäten nahtlos in die Cloud erweitern. Das ermöglicht ein Single Sign-on (SSO) über alle Anwendungen hinweg.

Die Stärke von Gruppen

Die Vergabe von Berechtigungen und Anwendungen an einzelne Benutzer wird schnell zu einem administrativen Albtraum. Hier kommen Gruppen ins Spiel. Entra ID unterstützt zwei grundlegende Gruppentypen:

• Zugewiesene Gruppen (statisch): Administratoren fügen Mitglieder manuell hinzu und entfernen sie wieder. Das eignet sich für kleine, unveränderliche Teams, skaliert aber schlecht.
• Dynamische Gruppen: Auf Basis von Regeln, die auf Benutzerattributen beruhen (etwa Abteilung, Berufsbezeichnung oder Bürostandort), fügt Entra ID Benutzer automatisch zu Gruppen hinzu und entfernt sie wieder. Sie können zum Beispiel eine Regel erstellen, nach der jeder Benutzer, dessen Abteilung gleich „Sales“ ist, automatisch in die globale Verteilerliste und Sicherheitsgruppe Sales aufgenommen wird. Das reduziert den administrativen Aufwand deutlich und minimiert das Risiko menschlicher Fehler bei Personalwechseln.

Geräte als vollwertige Bestandteile

In der klassischen IT waren Geräte passive Endpunkte. In Entra ID gelten Geräte als wichtige Bestandteile des Identitätsökosystems. Geräte können registriert, beigetreten oder hybrid Azure AD-beigetreten sein. Durch die Registrierung oder den Beitritt von Geräten zu Entra ID erhalten Organisationen umfassenden Einblick in die Hardware, die auf Unternehmensdaten zugreift. So können Administratoren Richtlinien durchsetzen, die besagen: „Sie können auf Microsoft 365 zugreifen, aber nur, wenn das Gerät, von dem aus Sie sich anmelden, firmeneigen, verschlüsselt und konform mit den Sicherheitsbaselines für Endpunkte ist.“

Verwaltung von Unternehmensanwendungen und SaaS-Integrationen

Eine der leistungsstärksten Funktionen von Microsoft Entra ID ist die Fähigkeit, als Identitätsanbieter (Identity Provider, IdP) für Tausende vorintegrierte Cloud-Anwendungen über die Entra application gallery zu fungieren. Ob Ihre Organisation auf Adobe, Zoom, Workday oder selbst entwickelte interne Webanwendungen setzt: Entra ID zentralisiert den Anwendungszugriff.

Unternehmensanwendungen vs. App-Registrierungen

Beim Arbeiten mit Anwendungen in Entra ID ist es entscheidend, den Unterschied zwischen Unternehmensanwendungen und App-Registrierungen zu verstehen:

• Unternehmensanwendungen: Dabei handelt es sich um die lokalen Repräsentationen (bzw. Dienstprinzipale) von Anwendungen, die so konfiguriert sind, dass sie Entra ID für Single Sign-On vertrauen. Hier weisen IT-Administratoren Benutzer und Gruppen zu, konfigurieren bedingte Zugriffsrichtlinien für bestimmte Apps und verwalten die Benutzerbereitstellung.
• App-Registrierungen: Sie stellen die globale Definition einer Anwendung dar, die innerhalb Ihrer Organisation von Entwicklern erstellt wird. Sie legen fest, wie die App in die Microsoft-Identitätsplattform integriert wird, welche Berechtigungen sie benötigt und welche Authentifizierungsgeheimnisse oder Zertifikate sie verwendet.

Single Sign-On (SSO) und Föderation

Die Zeiten, in denen Benutzer sich ein Dutzend verschiedener Passwörter für ein Dutzend unterschiedlicher Arbeitsanwendungen merken mussten, sind vorbei. Entra ID unterstützt moderne Authentifizierungsprotokolle wie Security Assertion Markup Language (SAML) 2.0 und OpenID Connect (OIDC) für nahtloses Single Sign-On. Benutzer melden sich einmal bei Entra ID an, und vertrauenswürdige SaaS-Anwendungen akzeptieren dieses Authentifizierungstoken und gewähren sofort sicheren Zugriff.

Außerdem ermöglicht die automatisierte Benutzerbereitstellung (häufig auf Basis des SCIM-Standards) es Entra ID, Benutzerkonten in Drittanbieter-SaaS-Anwendungen automatisch zu erstellen, zu aktualisieren und zu löschen. Verlässt ein Mitarbeiter das Unternehmen und wird sein Entra ID-Konto deaktiviert, wird er automatisch von allen verbundenen SaaS-Plattformen entfernt. So werden potenzielle Sicherheitslücken sofort geschlossen.

Absicherung der Authentifizierung und Zugriffskontrolle

Die Authentifizierung ist das Tor zu Ihrer Cloud-Umgebung. Sicherzustellen, dass Benutzer tatsächlich die sind, für die sie sich ausgeben, ist von zentraler Bedeutung. Allein auf Passwörter zu setzen, ist jedoch der direkte Weg in die Katastrophe. Passwörter können erraten, per Phishing erbeutet, mehrfach verwendet oder abgefangen werden.

Multi-Faktor-Authentifizierung (MFA)

Die Aktivierung der Multi-Faktor-Authentifizierung ist wohl die wirkungsvollste Sicherheitsmaßnahme, die eine Organisation umsetzen kann. Microsoft Entra ID macht die MFA-Bereitstellung flexibel und benutzerfreundlich. Unterstützt werden unter anderem die Microsoft Authenticator-App (mit Push-Benachrichtigungen und Zahlenabgleich), FIDO2-Sicherheitsschlüssel, Hardware-Token sowie SMS- oder Sprachanrufe. Letztere sind jedoch angesichts der Anfälligkeit für SIM-Swapping-Angriffe deutlich weniger empfehlenswert als app-basierte Push-Benachrichtigungen und Hardware-Schlüssel.

Um Passwörter vollständig abzuschaffen, unterstützt Entra ID passwortlose Authentifizierungsmethoden, darunter Windows Hello for Business, FIDO2-Sicherheitsschlüssel und die Anmeldung per Telefon über die Microsoft Authenticator-App. Passwortlose Authentifizierung bietet ein deutlich besseres Benutzererlebnis und entschärft gleichzeitig den Diebstahl von Anmeldedaten.

Bedingter Zugriff: Die intelligente Richtlinien-Engine

Die Authentifizierung sollte kein statisches Alles-oder-nichts-Ereignis sein. Eine Anmeldung von einem verwalteten Firmenlaptop im gesicherten Büro in London sollte andere Sicherheitsanforderungen stellen als eine Anmeldung von einem unbekannten Gerät über öffentliches WLAN im Ausland.

Hier kommt Microsoft Entra Conditional Access ins Spiel. Conditional Access fungiert als intelligente Richtlinien-Entscheidungsengine. Sie wertet Signale aus – darunter Benutzeridentität, Gerätestatus, Standort, Risikostufe und Sensibilität der Anwendung – und setzt Zugriffsentscheidungen in Echtzeit durch.

Ein typischer Ablauf einer Conditional-Access-Richtlinie sieht so aus:

• Wenn ein Benutzer versucht, auf eine hochsensible Finanzanwendung zuzugreifen …
• Und sein Anmelderisiko von Microsoft Entra Identity Protection als mittel oder hoch eingestuft wird …
• Dann gewähren Sie den Zugriff, verlangen dabei jedoch Multi-Factor Authentication und ein Zurücksetzen des Kennworts, oder Sie blockieren den Zugriff vollständig, bis das Risiko behoben ist.

Conditional Access hilft Organisationen, sich von starrer Perimeter-Sicherheit hin zu einer robusten Zero-Trust-Architektur zu bewegen – niemals vertrauen, immer überprüfen und von einem Angriff ausgehen.

Berechtigungen, Rollen und Delegation verstehen

Was darf ein Benutzer tun, nachdem er sich erfolgreich authentifiziert und alle Prüfungen des bedingten Zugriffs bestanden hat? Die Verwaltung der Autorisierung in Microsoft Entra ID erfordert ein tiefes Verständnis von Berechtigungen, administrativen Rollen und Delegationsmodellen.

Integrierte Microsoft Entra-Rollen

In der Vergangenheit tappten Organisationen häufig in die Falle, zu weitreichende administrative Berechtigungen zu vergeben, etwa indem jeder IT-Helpdesk-Mitarbeiter zum Domänenadministrator gemacht wurde. In der Cloud ist die Einhaltung des Prinzips der minimalen Berechtigungen (Principle of Least Privilege, PoLP) nicht verhandelbar. Benutzer sollten nur über das Mindestmaß an Zugriff verfügen, das sie für ihre konkreten Aufgaben benötigen.

Entra ID bietet eine große Anzahl granularer integrierter Administratorrollen. Zum Beispiel:

• Benutzeradministrator: Kann alle Aspekte von Benutzern und Gruppen verwalten, einschließlich des Zurücksetzens von Kennwörtern für Nicht-Administratoren.
• Helpdesk-Administrator: Kann Kennwörter für Nicht-Administratoren und bestimmte Helpdesk-Rollen zurücksetzen, kann jedoch keine Benutzer anlegen oder globale Sicherheitseinstellungen ändern.
• Administrator für bedingten Zugriff: Kann Richtlinien für bedingten Zugriff erstellen und verwalten, ohne Zugriff auf Benutzerkonten oder Abrechnungsdaten zu haben.
• Globaler Administrator: Die höchste administrative Rolle mit vollem Zugriff auf alle Verzeichnisfunktionen. Diese Rolle sollte strikt auf eine sehr kleine Anzahl von Personen (idealerweise weniger als fünf) beschränkt und intensiv überwacht werden.

Privileged Identity Management (PIM)

Selbst mit granularen Rollen stellt dauerhaft verfügbarer administrativer Zugriff ein erhebliches Sicherheitsrisiko dar. Werden die Anmeldedaten eines globalen Administrators kompromittiert, hat ein Angreifer die Schlüssel zum gesamten Reich. Hier kommt Microsoft Entra Privileged Identity Management (PIM) ins Spiel.

PIM ermöglicht bedarfsgesteuerten privilegierten Zugriff (Just-In-Time, JIT). Administratoren verfügen nicht dauerhaft über Berechtigungen, sondern ihre Konten bleiben im Alltag normale Benutzerkonten. Muss eine administrative Aufgabe ausgeführt werden, beantragt der Benutzer die Aktivierung der jeweiligen Rolle über PIM. Das System kann Genehmigungsworkflows, eine verpflichtende Begründung und Multi-Faktor-Authentifizierung verlangen, bevor es die Berechtigungen des Benutzers für ein begrenztes Zeitfenster (z. B. zwei Stunden) erhöht. Nach Ablauf der Zeit werden die Berechtigungen automatisch entzogen. PIM verwandelt dauerhafte Privilegien in temporäre, nachvollziehbare Ereignisse.

Bewährte Methoden für die Verwaltung von Entra ID im Unternehmen

Zum Abschluss dieses umfangreichen Leitfadens werfen wir einen Blick auf konkrete bewährte Methoden, die jeder IT-Administrator, Sicherheitsexperte und Cloud-Architekt bei der Verwaltung von Microsoft Entra ID umsetzen sollte.

1. Phishing-resistente MFA für alle erzwingen

Warten Sie nicht auf einen Sicherheitsvorfall, um Multi-Faktor-Authentifizierung (MFA) vorzuschreiben. Erzwingen Sie MFA in Ihrer gesamten Organisation, zuerst für Administratoren und privilegierte Benutzer und dann zügig für alle Mitarbeitenden. Wo immer möglich, sollten Sie Benutzer von SMS-basierter MFA weg- und hin zu App-basierten Push-Benachrichtigungen mit Zahlenabgleich oder FIDO2-Sicherheitsschlüsseln lenken. So schützen Sie sich vor modernen Adversary-in-the-Middle-Angriffen (AiTM-Phishing).

2. Zero Trust umsetzen mit Baselines für den bedingten Zugriff

Implementieren Sie umgehend eine Basiskonfiguration von Richtlinien für den bedingten Zugriff. Blockieren Sie mindestens die veralteten Authentifizierungsprotokolle (die moderne Sicherheitskontrollen nicht unterstützen), verlangen Sie konforme Geräte für den Zugriff auf Unternehmensdaten, und richten Sie risikobasierte Richtlinien ein, die sich bei verdächtigem Anmeldeverhalten dynamisch anpassen.

3. Globale Administratoren prüfen und auf ein Minimum reduzieren

Führen Sie regelmäßig eine Überprüfung Ihrer privilegierten Rollen durch. Stellen Sie sicher, dass höchstens zwei bis vier Konten die Rolle des globalen Administrators innehaben. Für Katastrophenfälle benötigen Sie außerdem Notfallkonten (Break-Glass-Konten): reine Cloud-Notfallkonten mit starken, hardwaregeschützten Anmeldedaten, die sicher aufbewahrt werden.

4. Privileged Identity Management (PIM) nutzen

Wenn Ihre Lizenzstufe es erlaubt (typischerweise Microsoft Entra ID P2 oder Microsoft 365 E5), führen Sie PIM umgehend ein. Beseitigen Sie dauerhaft zugewiesene administrative Zugriffe und verlangen Sie für alle sensiblen Rollenaktivierungen eine Begründung sowie Genehmigungsworkflows.

5. Gastzugriff und B2B-Zusammenarbeit regelmäßig überprüfen

Externe Zusammenarbeit ist für moderne Unternehmen unverzichtbar, doch unverwaltete Gastkonten stellen einen großen blinden Fleck in der Sicherheit dar. Richten Sie in Entra ID Zugriffsüberprüfungen ein, die regelmäßig prüfen, ob externe Gastbenutzer weiterhin Zugriff auf Ihre Unternehmensressourcen benötigen. Entfernen Sie Gastbenutzer automatisch, die keinen Zugriff mehr brauchen.

Fazit

Microsoft Entra ID ist weit mehr als ein Benutzerverzeichnis. Es ist die grundlegende Sicherheitsebene für Ihr gesamtes Cloud-Ökosystem. Wenn Sie verstehen, wie Sie Benutzer, Gruppen, Geräte und Unternehmensanwendungen verwalten und dabei strenge Authentifizierung, bedingten Zugriff und Berechtigungen nach dem Least-Privilege-Prinzip durchsetzen, können Sie die Identität von einer Schwachstelle in die stärkste Verteidigungslinie Ihrer Organisation verwandeln.

Vielen Dank, dass Sie unseren Podcast einschalten und diesen Blogbeitrag lesen. Wenn Ihnen diese Zusammenfassung geholfen hat, teilen Sie sie gerne mit Ihren IT-Kolleginnen und -Kollegen, abonnieren Sie den Podcast für weitere Einblicke in Cloud-Architekturen und schreiben Sie uns, wenn Sie Fragen haben oder Themen für kommende Folgen vorschlagen möchten. Bleiben Sie sicher!