Bedingter Zugriff: absichern, ohne jemanden auszusperren
Vier Richtlinien decken den Anfang ab, jede davon startet im Nur-Bericht-Modus, und die Notfallkonten entstehen vor der allerersten Regel.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die gefährlichste Fehlkonfiguration sperrt die Administration aus
Eine Richtlinie für die zweite Anmeldestufe ist in zehn Minuten angelegt. Der Geltungsbereich steht auf alle Konten, gespeichert wird ohne Nur-Bericht-Modus, und bei der nächsten Anmeldung kommt niemand mit Administrationsrolle mehr hinein. Ohne ausgenommene Notfallkonten führt der Weg zurück über den Support des Anbieters, und der dauert.
Die vorsichtige Variante kostet allerdings genauso. Solange gewartet wird, bleiben die veralteten Anmeldeverfahren offen. Sie kennen keine zweite Stufe und sind deshalb das beliebteste Einfallstor für automatisierte Anmeldeversuche, gegen die ein langes Kennwort allein wenig ausrichtet.
Der Aufwand im Alltag entsteht danach bei den Ausnahmen: Dienstkonten für Sicherungen und Schnittstellen, Multifunktionsgeräte, die Mails versenden, Gäste aus Partnerorganisationen. Jede Ausnahme, die ohne Grund und ohne Datum eingetragen wird, überlebt jede spätere Umstellung, und irgendwann kann niemand mehr sagen, wofür sie einmal gedacht war.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Notfallkonten und ihre Aufbewahrung | IT-Leitung gemeinsam mit der Informationssicherheit | Administration legt die Konten an, die Zugangsdaten liegen physisch getrennt | Ein Konto, dessen Anmeldung seit zwei Jahren niemand getestet hat, ist im Ernstfall genau das Konto mit abgelaufenem Kennwort. |
| Geltungsbereich einer Richtlinie | Informationssicherheit | Administration in Microsoft Entra ID | Administrationskonten werden über eine Gruppe adressiert, dann fehlen alle Rollen, die später vergeben werden. |
| Umstellung von den Sicherheitsstandards | IT-Leitung | Administration, in einem Zug | Solange die Sicherheitsstandards aktiv sind, lassen sich keine eigenen Richtlinien nutzen. Eine Übergangsphase mit beidem gibt es nicht. |
| Ausnahmen für Dienstkonten und Geräte | Informationssicherheit, auf Antrag der betroffenen Fachabteilung | Administration, mit Grund und Datum in der Dokumentation | Für Multifunktionsgeräte, die per SMTP versenden, ist bedingter Zugriff der falsche Hebel. |
| Änderungen an bestehenden Richtlinien | Informationssicherheit im Vier-Augen-Prinzip | Administration, mit Export der Richtlinien vor und nach der Änderung | Ohne gesicherte Fassung zum Vergleich lässt sich nach einer Störung nicht sagen, was sich überhaupt geändert hat. |
Notfallkonten und ihre Aufbewahrung
- Wer entscheidet
- IT-Leitung gemeinsam mit der Informationssicherheit
- Wer setzt um
- Administration legt die Konten an, die Zugangsdaten liegen physisch getrennt
- Stolperfalle
- Ein Konto, dessen Anmeldung seit zwei Jahren niemand getestet hat, ist im Ernstfall genau das Konto mit abgelaufenem Kennwort.
Geltungsbereich einer Richtlinie
- Wer entscheidet
- Informationssicherheit
- Wer setzt um
- Administration in Microsoft Entra ID
- Stolperfalle
- Administrationskonten werden über eine Gruppe adressiert, dann fehlen alle Rollen, die später vergeben werden.
Umstellung von den Sicherheitsstandards
- Wer entscheidet
- IT-Leitung
- Wer setzt um
- Administration, in einem Zug
- Stolperfalle
- Solange die Sicherheitsstandards aktiv sind, lassen sich keine eigenen Richtlinien nutzen. Eine Übergangsphase mit beidem gibt es nicht.
Ausnahmen für Dienstkonten und Geräte
- Wer entscheidet
- Informationssicherheit, auf Antrag der betroffenen Fachabteilung
- Wer setzt um
- Administration, mit Grund und Datum in der Dokumentation
- Stolperfalle
- Für Multifunktionsgeräte, die per SMTP versenden, ist bedingter Zugriff der falsche Hebel.
Änderungen an bestehenden Richtlinien
- Wer entscheidet
- Informationssicherheit im Vier-Augen-Prinzip
- Wer setzt um
- Administration, mit Export der Richtlinien vor und nach der Änderung
- Stolperfalle
- Ohne gesicherte Fassung zum Vergleich lässt sich nach einer Störung nicht sagen, was sich überhaupt geändert hat.
Sechs Schritte bis zur ersten wirksamen Richtlinie
- 01 Zwei Notfallkonten entstehen und werden von allen Richtlinien ausgenommen.
- 02 Die Lizenzen werden geprüft, denn es braucht eine Premium-Stufe von Microsoft Entra ID.
- 03 Die Sicherheitsstandards werden abgelöst, denn beides gleichzeitig geht nicht.
- 04 Die neue Richtlinie läuft zuerst im Nur-Bericht-Modus, ohne zu wirken.
- 05 Das Anmeldeprotokoll zeigt, wen die Richtlinie getroffen hätte.
- 06 Erst danach wird sie für eine Pilotgruppe scharf geschaltet.
Was du danach sicher aufsetzt
Du gehst mit einem kleinen Satz Richtlinien heraus, der die häufigsten Einfallstore schließt, und mit einem Vorgehen, mit dem sich jede weitere Regel gefahrlos einführen lässt.
Notfallkonten zuerst
Du legst zwei reine Cloud-Konten an, die keiner Person zugeordnet sind, nimmst sie von deinen eigenen Richtlinien aus und lässt jede Anmeldung sofort melden. Von der zweiten Stufe befreit sie das nicht, denn für die Verwaltungsoberflächen verlangt Microsoft sie ohnehin. Deshalb bekommt jedes dieser Konten einen FIDO2-Sicherheitsschlüssel oder ein Zertifikat, getrennt vom Kennwort aufbewahrt.
Mit vier Richtlinien anfangen
Zweite Anmeldestufe für alle Administrationsrollen, Sperre für die veralteten Anmeldeverfahren, zweite Stufe für alle übrigen Konten in Wellen und eine Sitzungsbegrenzung für nicht verwaltete Geräte.
Über Rollen adressieren
Du richtest die Richtlinie für Administrationskonten auf die Rollen und nicht auf eine Gruppe. Damit sind auch Rollen erfasst, die erst Monate später vergeben werden.
Im Nur-Bericht-Modus mitlesen
Du lässt jede neue Richtlinie eine Woche auswerten, ohne dass sie wirkt, und liest in der eigenen Registerkarte des Anmeldeprotokolls ab, wen sie getroffen hätte.
Sitzung begrenzen statt sperren
Für nicht verwaltete Geräte erzwingst du eine erneute Anmeldung nach festgelegter Zeit und verbietest das dauerhafte Angemeldetbleiben im Browser, statt den Zugriff ganz zu untersagen.
Ausnahmen befristen
Jede Ausnahme bekommt einen Grund und ein Datum. Für Geräte, die per SMTP versenden, greifst du zu den Authentifizierungsrichtlinien in Exchange Online statt zum bedingten Zugriff.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Signal, Bedingung, Steuerung
Jede Richtlinie folgt demselben Bauplan. Zuerst legst du fest, für wen sie gilt, also für Personen, Gruppen oder Rollen, und auf welche Ressource sie zielt. Dann kommen die Bedingungen: Gerätetyp, Client, Netzwerk oder Standort, bei entsprechender Lizenzstufe auch das eingeschätzte Risiko einer Anmeldung. Am Ende steht die Steuerung, also gewähren unter Auflage oder blockieren.
Auf der Steuerungsseite stehen mehr Möglichkeiten als nur die zweite Anmeldestufe: ein als konform gemeldetes Gerät, eine genehmigte Client-App, eine App-Schutzrichtlinie oder die Zustimmung zu Nutzungsbedingungen. Dazu kommen Sitzungssteuerungen, etwa eine erzwungene erneute Anmeldung nach einer festgelegten Zeit oder das Verbot, im Browser angemeldet zu bleiben. Gerade die Sitzungssteuerungen sind der elegante Weg für nicht verwaltete Geräte, weil sie den Zugriff nicht verbieten, sondern begrenzen.
Mehrere Auflagen lassen sich verbinden: Entweder müssen alle erfüllt sein, oder es genügt eine davon. Diese kleine Auswahl entscheidet über die Wirkung der ganzen Richtlinie und wird beim schnellen Anlegen gern übersehen.
Die vier Richtlinien, mit denen fast alle anfangen
Erstens brauchst du die zweite Anmeldestufe für alle Konten mit Administrationsrollen, adressiert über die Rollen und nicht über eine Gruppe, damit auch später vergebene Rollen erfasst sind. Zweitens sperrst du die veralteten Anmeldeverfahren über die Bedingung für andere Clients, weil diese Protokolle keine zweite Stufe kennen und deshalb das beliebteste Einfallstor für automatisierte Anmeldeversuche sind.
Drittens folgt die zweite Anmeldestufe für alle übrigen Konten, eingeführt in Wellen statt an einem einzigen Tag. Und viertens brauchst du eine Sitzungsbegrenzung für Zugriffe von nicht verwalteten Geräten, damit ein offener Browser in einem Hotel nicht wochenlang angemeldet bleibt.
Zwei Randbedingungen gehören dazu. Solange die Sicherheitsstandards im Mandanten aktiv sind, lassen sich keine eigenen Richtlinien nutzen, das Umschalten muss also in einem Zug passieren. Und Microsoft verteilt inzwischen eigene, verwaltete Richtlinien in die Mandanten, die zunächst im Nur-Bericht-Modus stehen. Sieh dir an, welche davon bei dir liegen, bevor du eigene daneben baust.
Notfallkonten entstehen zuerst
Zwei Konten, die nur in der Cloud existieren, keiner Person zugeordnet sind und von den Richtlinien ausgenommen werden, sind die Versicherung gegen die eigene Fehlkonfiguration. Ohne sie kann eine einzige Richtlinie mit falschem Geltungsbereich die gesamte Administration aussperren, und der Weg zurück führt dann über den Support.
Die Zugangsdaten bewahrst du getrennt und physisch gesichert auf, etwa geteilt auf zwei Umschläge im Tresor. Wichtiger als jede Aufbewahrungsform ist eine Benachrichtigung, die bei jeder Anmeldung dieser Konten sofort ausgelöst wird, denn ein Notfallkonto meldet sich außerhalb eines Notfalls nie an. Microsoft empfiehlt inzwischen, solche Konten mit phishingresistenten Verfahren abzusichern, statt sich allein auf ein langes Kennwort zu verlassen.
Und dann musst du die Nutzung üben. Ein Notfallkonto, dessen Anmeldung seit zwei Jahren niemand getestet hat, ist im Ernstfall genau das Konto, dessen Kennwort abgelaufen ist. Zweimal im Jahr ein Test, dokumentiert mit Datum, reicht.
Nur-Bericht-Modus, Anmeldeprotokolle und die Ausnahmen
Im Nur-Bericht-Modus wird die Richtlinie bei jeder Anmeldung ausgewertet, ohne zu wirken. Das Ergebnis landet im Anmeldeprotokoll in einer eigenen Registerkarte, wo du siehst, wen die Richtlinie getroffen hätte. Eine Woche mitlesen deckt zuverlässig die Fälle auf, an die beim Entwurf niemand gedacht hat. Für einzelne Fragen gibt es zusätzlich das Werkzeug, mit dem sich eine Anmeldung durchspielen lässt.
Die Treffer, die dabei auffallen, sind fast immer dieselben: Dienstkonten für Sicherungen und Schnittstellen, Multifunktionsgeräte, die Mails versenden, Gäste aus Partnerorganisationen und die Konten der Administration selbst. Für Geräte, die per SMTP versenden, ist bedingter Zugriff der falsche Hebel; das löst du über die Authentifizierungsrichtlinien in Exchange Online und ein eigenes Konto mit engen Rechten.
Jede Ausnahme, die du einträgst, braucht einen Grund und ein Datum. Ausnahmen überleben sonst jede Umstellung und stehen Jahre später noch drin, ohne dass jemand sagen kann, wofür sie einmal gedacht waren.
Betrieb: Namen, Sicherung, Änderungen
Vergib von Anfang an sprechende Namen nach einem festen Muster, etwa aus laufender Nummer, Zielgruppe, Ressource und Wirkung. Bei fünf Richtlinien wirkt das übertrieben, bei zwanzig ist es der Unterschied zwischen Pflege und Ratespiel.
Sichere die Richtlinien regelmäßig als Datei, indem du sie über die Programmierschnittstelle exportierst. Damit hast du eine Fassung zum Vergleich, wenn nach einer Änderung etwas nicht mehr funktioniert, und zugleich die Dokumentation, die bei Prüfungen verlangt wird.
Bedingter Zugriff setzt eine Premium-Stufe von Microsoft Entra ID voraus. In den kleineren Microsoft-365-Paketen für Unternehmen ist sie nicht enthalten, deshalb gehört die Prüfung der eigenen Lizenzen an den Anfang der Planung und nicht in die Woche, in der die erste Richtlinie stehen soll.
Dazu passende Kurse
Den Aufbau solcher Richtlinien und den Umgang mit den Anmeldeprotokollen üben Administrationskurse zu Identität und Zugriff .
Wer die Dienste dahinter erst noch kennenlernt, findet Kurse für den Alltag mit Microsoft 365 .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Ich bin sehr zufrieden, alles wurde klar erklärt. Insgesamt war der Kurs sehr informativ und sehr empfehlenswert.
Referent und Inhalt sehr gut und vor allem durch den kleinen Teilnehmerkreis sehr hilfreich.
Gut verständlich erklärt, weitere Möglichkeiten und Optionen aufgezeigt. Die Teilnehmer hatten bereits sehr unterschiedliche Vorkenntnisse, da hat der Veranstalter aber keinen Einfluss.
Häufige Fragen
Was ist der Unterschied zwischen Sicherheitsstandards und bedingtem Zugriff?
Wie verhindere ich, dass ich mich selbst aussperre?
Gilt bedingter Zugriff auch für Gäste?
Passt thematisch dazu
Warum eine Anmeldung aus dem Firmennetz nicht automatisch vertrauenswürdiger ist als eine von unterwegs, begründet das Modell hinter der Prüfung jedes einzelnen Zugriffs .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Microsoft 365-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Richtlinien, die schützen und trotzdem niemanden aussperren
Notfallkonten, Nur-Bericht-Modus und der Weg von der Pilotgruppe zur Ausweitung stehen in den cmt-Kursen zur Administration von Microsoft 365 und Microsoft Entra ID auf dem Programm.