Das Burgtor ist die Identität: So sichern Sie Entra ID wirklich ab

Von Mirko Peters · 2025-11-18 · Aktualisiert 2026-03-24

Das Burgtor ist die Identität. Sichern Sie Entra ID mit MFA, Conditional Access und PIM, um Angriffe zu blockieren und Ihre Cloud vor Anmeldedaten-Bedrohungen zu schützen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Stellen Sie sich die Sicherheit Ihrer Organisation wie eine Burg vor. Das Burgtor ist stark. Angreifer klettern nicht mehr über die Mauern. Sie melden sich einfach an, wenn Ihre Abwehr schwach ist. Fast 60 % der Cloud-Bedrohungen nutzen gestohlene oder missbrauchte Identitäten.

• Angreifer nehmen es auf schwache Passwörter und falsch eingerichtete Konten ab.

• Sie nutzen das Vertrauen zwischen lokalen Systemen und der Cloud aus.

Aktuelle Angriffe nutzen raffinierte neue Methoden. Bedrohungsakteure suchen nach Schwachstellen in hybriden Umgebungen und offenen Endpunkten. Sie versuchen, sich als Benutzer auszugeben und Zugriff zu stehlen. Machen Sie die Identität zu Ihrer wichtigsten Verteidigungslinie, um Unbefugte fernzuhalten.

Das Wichtigste in Kürze

• Die Identität ist Ihr bester Schutz gegen Cloud-Bedrohungen. Sie müssen Ihr Burgtor bewachen, um Unbefugte fernzuhalten.

• Nutzen Sie Multi-Faktor-Authentifizierung (MFA) für alle. MFA verhindert mehr als 99 % aller Kontoeinbrüche.

• Nutzen Sie Conditional Access, um jede Anmeldung zu prüfen. Legen Sie Regeln auf Basis des Risikos, des Standorts und der Aufgabe fest.

• Nutzen Sie Privileged Identity Management (PIM), um Administratorzugriffe zu begrenzen. Vergeben Sie Berechtigungen nur bei Bedarf, um das Risiko zu senken.

• Prüfen und ändern Sie Ihre Sicherheitsrichtlinien regelmäßig. Stellen Sie sicher, dass nur die richtigen Personen Zugang zu Ihren Systemen erhalten.

Die Metapher des Burgtors in der Cloud-Sicherheit

Von Burggraben und Mauern zum identitätsbasierten Torwächter

Früher schützte man Netzwerke wie eine Burg. Der Burggraben und die Mauern hielten Angreifer fern. Firewalls und VPNs wirkten wie starke Barrieren. Für Cloud-Bedrohungen funktioniert das heute jedoch nicht mehr gut. Remote-Arbeit und BYOD haben die Abläufe verändert. Jetzt ist das Burgtor Ihr wichtigster Schutz. Angreifer brechen keine Mauern mehr auf. Sie suchen nach schwachen identitätsbezogenen Kontrollen und versuchen, sich anzumelden.

Zero Trust verändert die Art des Schutzes. Sie müssen jeden Benutzer, jedes Gerät und jede Aktion prüfen, bevor Sie Zugang gewähren. Niemandem sollten Sie allein deshalb vertrauen, weil er sich in Ihrem Netzwerk befindet. Sie müssen die Identität jedes Mal erneut überprüfen.

Die wichtigsten Unterschiede zwischen traditionellen und identitätsbasierten Perimetern sind:

• Traditionelle Perimeter setzen auf Netzwerkschutz. Identitätsbasierte Perimeter schützen Benutzerkonten.

• Zero Trust bedeutet, dass Sie Benutzer und Geräte ständig prüfen. Früher wurden Benutzer nach der Anmeldung vertraut.

• Sie müssen jede Aktion prüfen. Vertrauen entsteht heute nicht mehr dadurch, dass sich jemand innerhalb des Netzwerks befindet.

Warum Angreifer das Burgtor ins Visier nehmen

Angreifer wissen, dass das Burgtor der Schlüssel zu Ihrer Cloud ist. Sie nutzen viele Tricks, um es zu umgehen. Identitätsbasierte Angriffe nehmen von Jahr zu Jahr zu. Im Jahr 2024 waren diese Angriffe für 60 % der Cybervorfälle verantwortlich. Bedrohungsakteure nutzen KI, um gefälschte Nachrichten und Deepfakes zu erzeugen. Sie greifen Identitätsanbieter in der Lieferkette an. Angreifer setzen außerdem legitime Tools ein, um sich unbemerkt zu bewegen.

Gängige Methoden, mit denen Angreifer schwache identitätsbezogene Kontrollen ausnutzen:

• Sie stehlen Cookies, um sich Zugang zu Cloud-Konten zu verschaffen.

• Sie missbrauchen die OAuth-Zustimmung, um Berechtigungen zu erlangen.

• Sie finden fehlerhaft konfigurierte Dienstprinzipale, die als geheime Einstiegspunkte dienen.

• Sie nutzen langlebige Schlüssel, um monatelang unentdeckt zu bleiben.

Angreifer handeln oft wie echte Benutzer. Sie nutzen Living-off-the-Land-Techniken, um sich unauffällig einzufügen. Wenn Sie das Burgtor nicht schützen, können Angreifer auf alles in Ihrer Cloud zugreifen.

Passwörter – eine natürliche 1 würfeln

Schwachstellen bei Passwörtern und Angriffstaktiken

Sie halten ein Passwort vielleicht für ein starkes Schloss an Ihrem Burgtor. In Wirklichkeit gleichen die meisten Passwörter eher einer gewürfelten natürlichen 1 in einem Bosskampf – ein automatischer Fehlschlag. Angreifer wissen das und nutzen einfache Tricks, um einzudringen. Viele Menschen verwenden Passwörter mehrfach auf verschiedenen Websites. Angreifer sammeln diese Passwörter aus alten Datenlecks und probieren sie überall aus. Dies nennt man Credential Stuffing.

Phishing ist ein weiterer häufiger Angriff. Sie erhalten eine E-Mail, die echt aussieht. Sie klicken auf einen Link und geben Ihr Kennwort ein. Der Angreifer hat nun Ihren Schlüssel. Angreifer setzen außerdem Brute-Force-Tools ein. Diese Tools erraten jede Minute Tausende Kennwörter. Ist Ihr Kennwort schwach oder weit verbreitet, hält es nicht lange.

Tipp: Lange, einzigartige Kennwörter sind besser, aber selbst das beste Kennwort kann gestohlen oder per Phishing erbeutet werden.

Angreifer müssen die Mauern nicht einreißen. Sie melden sich einfach mit gestohlenen Anmeldedaten an. Wenn Sie sich nur auf Kennwörter verlassen, steht das Burgtor weit offen.

MFA als erstes echtes Schloss

Sie brauchen ein besseres Schloss für Ihr Tor. Mehrfaktor-Authentifizierung (MFA) fügt eine zweite Schutzebene hinzu. Selbst wenn ein Angreifer Ihr Kennwort stiehlt, kommt er ohne Ihr Telefon oder einen anderen Faktor nicht hinein. Das stoppt die meisten Angriffe zuverlässig.

• MFA kann über 99,2 % aller Angriffe auf Konten in Microsoft-Entra-ID-Umgebungen blockieren.

• Angreifer geben oft auf, sobald sie sehen, dass MFA erforderlich ist.

Sie können MFA mit einer App, einer SMS oder einem Hardware-Token einrichten. Wählen Sie die Methode, die für Ihre Benutzer am besten funktioniert. Machen Sie MFA für alle verpflichtend, nicht nur für Administratoren. Je mehr Personen MFA nutzen, desto stärker wird Ihr Burgtor.

Denken Sie daran: Kennwörter allein reichen nicht aus. MFA ist Ihr erstes echtes Schloss. Warten Sie nicht auf einen Sicherheitsvorfall, um die Initiative zu ergreifen. Sichern Sie Ihr Tor jetzt.

Intelligente Wächter und starke Schlüssel für Entra ID

Bedingter Zugriff als Entscheidungsebene

Sie brauchen mehr als ein Schloss am Burgtor. Sie brauchen einen klugen Wächter, der jeden prüft, bevor er ihn einlässt. Bedingter Zugriff funktioniert wie dieser Wächter. Er prüft jede Anmeldung und entscheidet, ob der Benutzer Zugriff erhalten soll. Sie können Regeln auf Basis von Risiko, Standort, Gerät und Benutzerrolle festlegen. So werden Angreifer abgewehrt, die sich mit gestohlenen Anmeldedaten einschleichen wollen.

Richtlinien für bedingten Zugriff helfen, Bedrohungen abzuwehren und unerwünschten Zugriff zu verhindern. Hier sind einige bewährte Einsatzmöglichkeiten dieser Richtlinien:

1. Blockieren Sie die veraltete Authentifizierung, um unsichere Altanmeldungen zu stoppen.

2. Verlangen Sie MFA für riskante Anmeldungen, um ungewöhnliche Aktivitäten zusätzlich abzusichern.

3. Lassen Sie den Zugriff nur von konformen (Intune-verwalteten) Geräten zu, um Endpunkte sicherer zu machen.

4. Beschränken Sie den Zugriff nach Standort oder IP-Bereich, um Anmeldungen aus vertrauenswürdigen Netzwerken zu steuern.

5. Wenden Sie strengere Richtlinien auf Administratorkonten an, um wichtige Benutzer zu schützen.

Sie können außerdem Ihre Richtlinien für bedingten Zugriff schützen. Beispielsweise können Sie Authentifizierungskontexte einrichten, sodass nur globale Administratoren diese Richtlinien ändern können. So verhindern Sie, dass Angreifer Ihre Abwehr verändern, falls sie eindringen.

Bedingter Zugriff ist nicht nur ein Wächter. Er ist ein weiser Richter, der weiß, wann er jemanden durchlassen und wann er Alarm schlagen muss. Nutzen Sie ihn, damit nur die richtigen Personen Ihr Burgtor passieren.

Privileged Identity Management (PIM)

Administratorkonten sind wie Generalschlüssel. Gelangt ein Angreifer an einen davon, kann er jede Tür Ihrer Burg öffnen. Privileged Identity Management (PIM) hilft Ihnen, diese mächtigen Schlüssel zu schützen. PIM gewährt Administratoren Just-in-Time-Zugriff. Das bedeutet, Administratoren erhalten besondere Berechtigungen nur dann, wenn sie diese tatsächlich benötigen. Nach Abschluss der Aufgabe entfallen die zusätzlichen Zugriffsrechte wieder.

So verringert PIM das Risiko:

Mit PIM können Sie eine Genehmigung verlangen, bevor jemand Administratorrechte erhält. Außerdem können Sie prüfen, wer den Administratorzugriff wann genutzt hat. Dadurch wird es Angreifern deutlich erschwert, sich nach einem Eindringen weiterzubewegen. Sie verwandeln Ihre Generalschlüssel in zeitlich begrenzte Passierscheine und machen Ihre Burg so deutlich sicherer.

Sichere SSO und zentrale Steuerung

Single Sign-On (SSO) ermöglicht es Benutzern, sich einmal anzumelden und viele Apps zu nutzen. Das erleichtert die Arbeit Ihres Teams und macht Ihre Organisation sicherer. Mit SSO reduzieren Sie die Anzahl der Passwörter, die sich Benutzer merken müssen. Das senkt das Risiko von Passwortdiebstahl und Phishing.

Zentrale Steuerung gibt Ihnen die Kontrolle über alle Ihre Apps an einem Ort. Sie können Sicherheitsrichtlinien festlegen, MFA erzwingen und Zugriffe schnell verwalten. Hier sind einige zentrale Vorteile von sicherem SSO und zentraler Steuerung:

• Zentrale Authentifizierung bedeutet, dass Benutzer seltener Passwörter eingeben müssen. Das verringert die Gefahr von Anmeldedatendiebstahl.

• Eine MFA-Abfrage am Anmeldebildschirm bietet jeder App eine zusätzliche Schutzebene.

• Ein einziger, sicherer Anmeldepunkt erleichtert die Verwaltung von Benutzern und die Steuerung von Zugriffen.

• Die automatische Erstellung von Vorfällen hilft Ihnen, schneller auf Bedrohungen zu reagieren.

• Bessere Warnmeldungen und Benutzerkontext helfen Ihnen, Probleme schnell zu untersuchen.

Außerdem können Sie sichere Protokolle wie SAML 2.0 für die passwortlose Authentifizierung verwenden. Das macht Ihren Anmeldeprozess zugleich stark und einfach. Wenn Sie SSO mit zentraler Steuerung kombinieren, schaffen Sie eine starke Verteidigung, die jedes Tor Ihrer Burg abdeckt.

Tipp: Überprüfen Sie Ihre SSO-Einrichtung regelmäßig. Stellen Sie sicher, dass nur die richtigen Personen Zugriff auf jede App haben. Entfernen Sie alte Konten und passen Sie Ihre Richtlinien an, wenn sich Ihre Anforderungen ändern.

Mit Bedingtem Zugriff, PIM und sicherem SSO machen Sie Ihre Entra ID zu einer echten Festung. Sie geben Ihrem Burgtor kluge Wächter, starke Schlüssel und einen wachsamen Blick auf jeden Zugangspunkt.

Entra ID Härtungs-Checkliste

MFA für alle Benutzer

Sie sollten jedes Konto mit Multi-Faktor-Authentifizierung (MFA) schützen. Das verhindert, dass Angreifer mit gestohlenen Passwörtern Zugriff erhalten. Bei MFA müssen sich Benutzer auf zwei Arten ausweisen: mit etwas, das sie wissen, und mit etwas, das sie besitzen. Sie können Authenticator-Apps, Textnachrichten oder Hardware-Token verwenden.

Viele Organisationen haben Probleme, wenn sie MFA aktivieren. Manche Benutzer werden häufig abgemeldet. Automatisierungen und DevOps-Pipelines können durch MFA-Abfragen unterbrochen werden. Ältere Apps funktionieren mitunter nicht mit tokenbasierter Authentifizierung. Planen Sie für diese Probleme und helfen Sie Ihren Benutzern, sich an die Änderungen zu gewöhnen.

Sie sollten Benutzer dazu bringen, sich für MFA zu registrieren. Das verringert das Risiko, dass Konten gestohlen werden. Sicherheitsexperten empfehlen, die Self-Service-Kennwortzurücksetzung (SSPR) zu aktivieren. Damit können Benutzer ihre Passwörter selbst zurücksetzen.

Veraltete Authentifizierung blockieren und Basisrichtlinien

Ältere Authentifizierungsmethoden funktionieren nicht mit MFA. Angreifer nehmen diese alten Verfahren ins Visier, weil sie Passwörter im Klartext übertragen. Moderne Authentifizierung nutzt Verschlüsselung und ermöglicht detaillierte Berechtigungen. Sie sollten die alte Authentifizierung blockieren, um Ihre Umgebung abzusichern.

Aktivieren Sie Basis-Sicherheitsrichtlinien, um gängige Angriffe zu stoppen. Diese Regeln verpflichten Benutzer zur Nutzung von MFA, blockieren veraltete Protokolle und fordern Benutzer auf, sich für MFA zu registrieren. Mit den Sicherheitsstandards können Sie einen Rückgang gestohlener Konten um bis zu 80 % erreichen.

Ausrichtung auf Zero Trust

Zero Trust bedeutet, dass Sie niemandem sofort vertrauen. Sie prüfen Benutzer und Geräte immer, bevor Sie sie einlassen. Sie benötigen eine starke Identitäts- und Zugriffsverwaltung. Bedingter Zugriff berücksichtigt Benutzerdetails und Risiko, bevor er Personen Zugang gewährt.

Zero Trust verhindert, dass sich Angreifer in Ihrem Netzwerk frei bewegen. Sie können nicht überall hingelangen, wohin sie wollen. Sie segmentieren Ihr Netzwerk und steuern, wie der Datenverkehr fließt. Daten, Apps und Endgeräte schützen Sie durch starke Prüfungen und kontinuierliche Überwachung.

Ihr Castle Gate bleibt stark, wenn Sie Entra ID mit Zero Trust kombinieren. So senken Sie das Risiko und halten Angreifer draußen.

Sie müssen Identität zu Ihrem wichtigsten Schutzschild machen. Das Castle Gate sichert Ihre Cloud jetzt ab. Angreifer nehmen Identitätssysteme ins Visier, weil die meisten Sicherheitsverletzungen auf gestohlene Anmeldedaten zurückgehen. Mehr als die Hälfte der Unternehmen gibt an, bereits Identitätsangriffe erlebt zu haben. Wenn Entra ID schwach konfiguriert ist, können Sie sich mit diesen Problemen konfrontiert sehen:

Beginnen Sie sofort mit dem Schutz von Entra ID:

1. Überprüfen Sie Ihre Berechtigungen.

2. Erstellen Sie eine Conditional-Access-Richtlinie mit kennwortloser MFA.

3. Vergeben Sie geschützte Aktionen.

4. Testen Sie Ihre Richtlinien.

Prüfen Sie, wer sich anmeldet und wie das geschieht. Handeln Sie jetzt, damit Ihre Cloud sicher bleibt.

Häufige Fragen

Was ist Microsoft Entra ID?

Microsoft Entra ID ist ein Clouddienst. Er hilft Ihnen, Benutzerkonten zu verwalten, und Sie steuern, wer Zugriff erhält. Er schützt die Daten Ihres Unternehmens und setzt auf starke Sicherheitsmechanismen, um Angreifer fernzuhalten.

Warum sollten Sie MFA für alle Benutzer aktivieren?

MFA fügt eine zusätzliche Schutzebene hinzu. Sie verhindert die meisten Angriffe mit gestohlenen Kennwörtern. Angreifern fällt es deutlich schwerer, sich als Ihre Benutzer anzumelden.

Tipp: Beginnen Sie mit Administratoren und wichtigen Konten. Erweitern Sie MFA danach auf alle Benutzer.

Wie verbessert Conditional Access die Sicherheit?

Conditional Access prüft jede Anmeldung. Sie legen Regeln für Risiko, Standort oder Gerät fest. Verdächtige Anmeldungen werden blockiert, vertrauenswürdige zugelassen. Sie entscheiden, wer Ihr Castle Gate passieren darf.

Was ist Privileged Identity Management (PIM)?

PIM ermöglicht Administratoren erhöhten Zugriff nur bei Bedarf. Sie begrenzen, wie lange jemand über starke Berechtigungen verfügt. Dadurch sinkt die Wahrscheinlichkeit, dass Angreifer gestohlene Administratorkonten missbrauchen.

Wie blockieren Sie veraltete Authentifizierung?

Schalten Sie alte Anmeldemethoden in den Entra-ID-Einstellungen ab. Angreifer können dann keine schwachen Protokolle mehr nutzen. Nur sichere, moderne Authentifizierung ist zulässig.