Sign-in-Risiko vs. Benutzerrisiko in Microsoft Entra ID: Was ist der Unterschied?

Von Mirko Peters · 2026-10-26

Erfahren Sie die entscheidenden Unterschiede zwischen Sign-in-Risiko und Benutzerrisiko in Microsoft Entra ID Protection und wie Sie Conditional Access richtig konfigurieren.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Sign-in-Risiko und Benutzerrisiko in Microsoft Entra ID Protection sind zwei eigenständige Sicherheitsmetriken. Das Sign-in-Risiko bewertet, ob ein einzelner Authentifizierungsversuch verdächtig ist, während das Benutzerrisiko ermittelt, ob die zentralen Anmeldedaten eines Kontos über mehrere Sitzungen hinweg kompromittiert wurden.

Das Wichtigste in Kürze

• Das Sign-in-Risiko gibt die Wahrscheinlichkeit an, dass ein bestimmter Authentifizierungsversuch nicht vom rechtmäßigen Kontoinhaber stammt.
• Das Benutzerrisiko bewertet, ob die Anmeldedaten eines Kontos dauerhaft kompromittiert oder in einem Datenleck offengelegt wurden.
• Ein einzelnes, nicht bearbeitetes Sign-in-Risiko kann sich mit der Zeit schrittweise summieren und zu einem als risikoreich markierten Benutzerstatus führen.
• Ein Sign-in-Risiko wird in der Regel sofort durch eine MFA-Aufforderung aufgelöst, während ein Benutzerrisiko häufig eine sichere Kennwortänderung erfordert.
• Um risikobasierte Richtlinien, den detaillierten Berichtsverlauf und die automatisierte Behebung vollständig zu nutzen, ist Microsoft Entra ID P2 erforderlich.

Den zentralen Unterschied verstehen

Wenn Administratoren Microsoft Entra ID Protection erstmals einsetzen, ist eine der häufigsten Verwechslungen die zwischen Sign-in-Risiko und Benutzerrisiko. Beide Metriken stützen sich auf das umfangreiche Signal-Intelligence-Netzwerk von Microsoft, das täglich Billionen von Signalen aus Consumer-Konten, Unternehmensmandanten und sogar Xbox-Diensten analysiert. Dennoch beantworten sie grundlegend unterschiedliche Fragen.

Ein Sicherheitssystem darf einen einzelnen ungewöhnlichen Anmeldevorgang nicht genauso behandeln wie ein tatsächlich gestohlenes Konto. Wenn ein Administrator jedes Mal eine pauschale Kontosperre auslöst, sobald sich jemand von einem unbekannten Standort oder über ein unerwartetes Netzwerk anmeldet, kommt die Produktivität praktisch zum Erliegen. Behandelt man ein wirklich kompromittiertes Konto dagegen nur mit einer einfachen, temporären MFA-Aufforderung, kann sich der hartnäckige Bedrohungsakteur nach Ablauf dieser Aufforderung erneut anmelden. Wer versteht, wie beide Metriken unabhängig voneinander funktionieren und wie sie zusammenwirken, schafft die Grundlage für eine ausgewogene Cloud-Sicherheitslage.

Was ist Sign-in-Risiko?

Das Sign-in-Risiko betrachtet ausschließlich einen einzigen Zeitpunkt: den genauen Moment, in dem ein Benutzer auf eine Ressource wie Microsoft Teams, SharePoint oder Outlook zugreifen möchte. Es geht ausschließlich um den Kontext dieses einzelnen Anmeldeversuchs und um nichts anderes. Das System prüft, ob die Eigenschaften dieser konkreten Anforderung dem üblichen Verhaltensmuster des Benutzers entsprechen.

Microsoft Entra ID Protection bewertet bei den Echtzeitprüfungen von Anmeldungen mehrere Variablen. Dazu gehören Verbindungen von anonymen IP-Adressen, die häufig genutzt werden, um geografische Standorte zu verschleiern, unmögliche Reisen, bei denen Anmeldungen aus geografisch weit entfernten Regionen in einem unrealistischen Zeitrahmen erfolgen, oder Anzeichen für einen Password-Spray-Angriff, bei dem ein Angreifer ein einzelnes gängiges Kennwort gleichzeitig über Tausende Unternehmenskonten testet. Auffällige Anmeldeeigenschaften werden außerdem dynamisch bewertet: Je ungewöhnlicher die Anforderung im Vergleich zu historischen Basiswerten erscheint, desto stärker steigt der Risikowert.

Entscheidend ist: Ein Anmelderisiko bezieht sich ausschließlich auf den jeweiligen Anmeldeversuch. Besteht ein Benutzer während dieser konkreten Anmeldung die Aufforderung zur Multi-Faktor-Authentifizierung (Step-up), wird das mit dieser Anmeldung verbundene Risiko sofort entschärft. Der Benutzer kann danach ohne dauerhafte Einschränkung seines Kontostatus weiterarbeiten.

Was ist ein Benutzerrisiko?

Das Benutzerrisiko bezieht sich dagegen nicht auf eine einzelne Anmeldung. Es betrifft den Zustand und die Integrität des Kontos selbst. Es geht um die Frage, ob die Anmeldeinformationen des Kontos in unbefugte Hände gelangt sind. Ein Angreifer besitzt dann sozusagen den Generalschlüssel und kann jederzeit zurückkehren, um auf Daten zuzugreifen.

Der wichtigste Auslöser für ein Benutzerrisiko ist das Auftauchen von Anmeldeinformationen in bekannten Datenlecks. Wenn Benutzernamen und Kennwörter im Dark Web veröffentlicht oder durch informationsstehlende Malware abgegriffen werden, kennzeichnet die Bedrohungsintelligenz von Microsoft diese Anmeldeinformationen umgehend. Weitere Hinweise sind verifizierte Infrastruktur von Bedrohungsakteuren, die direkt mit dem Benutzerprofil interagiert, oder auffällige Aktivitätsmuster, die auf einen anhaltenden unbefugten Zugriff hindeuten.

Wenn ein Konto wegen eines Benutzerrisikos markiert ist, bleibt die Bedrohung auch nach der Abmeldung des Benutzers bestehen. Da ein Angreifer das Kennwort möglicherweise außerhalb normaler Sitzungsgrenzen erlangt hat, reicht eine MFA-Abfrage allein selten aus, um ein hohes Benutzerrisiko vollständig zu beheben. Die zugrunde liegende Schwachstelle muss beseitigt werden.

So werden Risikostufen berechnet

Sowohl das Anmelderisiko als auch das Benutzerrisiko werden in drei klare Vertrauensstufen eingeteilt: niedrig, mittel und hoch. Diese Stufen sind maschinelle Schätzungen der Bedrohungswahrscheinlichkeit und keine absoluten binären Wahrheiten.

Ein hohes Risiko bedeutet, dass die automatisierten Systeme von Microsoft belastbare, verifizierte Hinweise auf eine Kompromittierung haben, etwa eindeutig geleakte Anmeldeinformationen, die mit Datenbanken aus dem Dark Web übereinstimmen, oder verifizierte bösartige IP-Signaturen. Ein mittleres Risiko spiegelt mäßige Anzeichen verdächtiger Aktivitäten mit geringerer absoluter Sicherheit wider. Ein niedriges Risiko weist auf anomales Verhalten hin, das von üblichen Mustern abweicht, aber keine eindeutigen Hinweise auf Schadabsichten enthält.

Ein wichtiges administratives Detail ist, wie diese Einträge mit der Zeit altern. Einträge mit niedrigem Risiko laufen automatisch nach etwa sechs Monaten ab, damit die Dashboards übersichtlich bleiben. Einträge mit mittlerem und hohem Risiko veralten jedoch nicht von selbst. Sie bleiben im Admin Center bestehen, bis eine automatisierte Richtlinie oder ein Administrator sie ausdrücklich untersucht, behebt oder verwirft.

Der Übertragungseffekt: Wie beides zusammenhängt

Anmelderisiko und Benutzerrisiko bewerten zwar unterschiedliche Dinge, sind in Berichterstattung und Durchsetzung aber eng miteinander verknüpft. Ein einzelnes Anmelderisiko, das vollständig unbeachtet oder ungeprüft bleibt, kann sich mit der Zeit aufsummieren und letztlich zum gesamten Benutzerrisiko beitragen.

Das bedeutet, dass eine Person im Dashboard von Entra ID als riskanter Benutzer erscheinen kann, obwohl ihre letzten Anmeldeversuche völlig unauffällig waren. Das System erkennt eine kumulierte Historie verdächtigen Verhaltens, die die Wahrscheinlichkeit einer langfristigen Kompromittierung erhöht. IT-Administratoren sollten beide Berichte gleichzeitig prüfen, statt sie als getrennte Silos zu behandeln.

Automatisierte Behebung über Bedingten Zugriff

Damit Sicherheitsteams nicht in manuellen Warnmeldungen untergehen, schließt Microsoft Entra Bedingter Zugriff die Lücke zwischen Risikobewertungen und automatisierter Durchsetzung. Organisationen können gezielte Richtlinien konfigurieren, die ausgelöst werden, wenn niedrige, mittlere oder hohe Risikoschwellen überschritten werden.

Beim Anmelderisiko können Richtlinien Maßnahmen wie die Anforderung von MFA, die Erzwingung einer neuen Anmeldesitzung oder die vollständige Blockierung des Zugriffs durchsetzen. Erfüllt ein Benutzer eine MFA-Abfrage erfolgreich, wird das Risiko sofort behoben.

Beim Benutzerrisiko verlangen Richtlinien in der Regel eine sichere Kennwortänderung oder eine automatisierte Risikobehebung. Das Besondere an der Risikobehebung ist ihre Anpassungsfähigkeit: Meldet sich der Benutzer mit einem herkömmlichen Kennwort an, fordert das System eine sichere Kennwortänderung und macht alle bestehenden Sitzungen sofort ungültig. Meldet sich der Benutzer dagegen über kennwortlose Methoden an, werden aktive Sitzungen beendet und ein neuer Authentifizierungsablauf gestartet. Diese automatisierte Reaktion verringert das Ticketaufkommen im Helpdesk deutlich und stoppt Angreifer wirksam.

Fazit

Wer den Unterschied zwischen Anmelderisiko und Benutzerrisiko versteht, kann als Cloud-Architekt präzise, differenzierte Sicherheitsrichtlinien entwickeln. Diese schützen Unternehmensdaten, ohne alltägliche Benutzer unnötig zu behindern. Wenn die Automatisierung gängige Behebungsaufgaben übernimmt, können sich IT-Teams auf die Untersuchung echter Bedrohungen konzentrieren. Um tiefer in die Funktionsweise dieser Schutzebenen in modernen Cloud-Umgebungen einzutauchen, hören Sie sich die vollständige Episode des Podcasts an. Dort finden Sie eine ausführliche Übersicht zu Best Practices für die Konfiguration, Lizenzanforderungen und praxisnahen Administrationsstrategien.

Häufige Fragen

Was passiert, wenn ein Anmelderisiko ausgelöst wird?

Wird ein Anmelderisiko erkannt, kann Microsoft Entra Conditional Access den Versuch automatisch blockieren, den Zugriff erlauben oder den Benutzer mit einer Multi-Faktor-Authentifizierung (MFA) auffordern, seine Identität zu bestätigen.

Wie lange bleiben Ereignisse mit niedrigem Risiko in den Berichten von Entra ID Protection?

Erkennungen mit niedrigem Risiko veralten automatisch und verschwinden nach etwa sechs Monaten aus den Berichten. Einträge mit mittlerem und hohem Risiko bleiben dagegen bestehen, bis ein Administrator sie bereinigt oder sie per Selbstbehebung aufgelöst werden.

Können Gastkonten die automatisierte Behebung von Benutzerrisiken nutzen?

Nein, der vollständige automatisierte Ablauf zur Behebung von Risiken funktioniert nicht für Gast- und externe Benutzer. Microsoft Entra ID widerruft die Sitzungen dieser externen Konten nicht auf die gleiche Weise wie bei internen Mitgliedern.

Worin unterscheiden sich „Als sicher bestätigen“ und „Verwerfen“ in den Admin-Berichten?

Mit „Als sicher bestätigen“ teilen Sie dem System mit, dass die Warnung ein Fehlalarm war, der durch normales Verhalten ausgelöst wurde. „Verwerfen“ bedeutet dagegen, dass die Warnung technisch ein echter Treffer war, in diesem speziellen Kontext jedoch harmlos ist, etwa bei einem geplanten Sicherheitstest.