Conditional Access für Microsoft 365: Zugriffe gezielt absichern

Ein Benutzer meldet sich morgens am verwalteten Firmen-Notebook im Büro bei Microsoft 365 an. Einige Stunden später erfolgt eine Anmeldung desselben Kontos von einem unbekannten Gerät oder aus einer ungewöhnlichen Umgebung.

Technisch handelt es sich in beiden Fällen um denselben Benutzer. Aus Sicht der IT-Sicherheit sind die Situationen jedoch nicht zwangsläufig gleich zu bewerten.

Genau hier setzt Microsoft Entra Conditional Access an. Unternehmen können damit Regeln definieren, die unterschiedliche Signale einer Anmeldung berücksichtigen und abhängig davon zusätzliche Sicherheitsmaßnahmen verlangen oder den Zugriff blockieren.

Conditional Access ist damit eine wichtige Ergänzung zu Multifaktor-Authentifizierung und einer zentralen Benutzerverwaltung.

Was ist Conditional Access?

Microsoft beschreibt Conditional Access als eine Policy Engine innerhalb von Microsoft Entra ID. Vereinfacht funktionieren die Richtlinien nach einem Wenn-Dann-Prinzip.

Ein einfaches Beispiel:

Wenn ein Benutzer auf Microsoft 365 zugreifen möchte, dann muss eine Multifaktor-Authentifizierung durchgeführt werden.

In komplexeren Umgebungen können weitere Bedingungen berücksichtigt werden. Dazu gehören beispielsweise der Benutzer, die aufgerufene Anwendung, das verwendete Gerät, Netzwerk- oder Standortinformationen und – abhängig von der Lizenzierung – bestimmte Risikosignale.

Conditional Access entscheidet also nicht einfach nur, ob ein Kennwort korrekt ist. Die Richtlinien bestimmen, unter welchen Bedingungen der Zugriff auf Unternehmensressourcen erlaubt wird.

MFA und Conditional Access sind nicht dasselbe

Multifaktor-Authentifizierung und Conditional Access werden häufig miteinander verwechselt.

MFA beschreibt zunächst die Art der Authentifizierung. Neben einem Passwort wird ein zusätzlicher Nachweis verlangt – beispielsweise ein Passkey, Windows Hello for Business oder eine andere registrierte Authentifizierungsmethode.

Conditional Access bestimmt dagegen, wann und unter welchen Bedingungen bestimmte Anforderungen erfüllt werden müssen.

So kann beispielsweise festgelegt werden, dass Benutzer für Microsoft 365 eine MFA benötigen oder dass besonders sensible Anwendungen nur mit einer bestimmten Authentifizierungsstärke verwendet werden dürfen.

Mehr zu modernen Authentifizierungsmethoden erklären wir im Beitrag Microsoft 365 MFA: Warum Unternehmen jetzt auf sichere Anmeldemethoden umsteigen sollten.

Welche Signale kann Conditional Access berücksichtigen?

Eine Conditional-Access-Richtlinie kann verschiedene Informationen einer Anmeldung miteinander kombinieren.

Dazu gehören unter anderem:

• Benutzer und Benutzergruppen
• administrative Rollen
• aufgerufene Anwendungen und Ressourcen
• Geräteplattformen
• Netzwerke und definierte Standorte
• Client-Anwendungen
• Geräteeigenschaften
• bestimmte Authentifizierungsabläufe
• Benutzer- oder Anmelderisiken bei entsprechender Lizenzierung

Aus diesen Signalen können anschließend konkrete Zugriffsentscheidungen entstehen.

Zugriff erlauben, einschränken oder blockieren

Conditional Access kann unterschiedliche Anforderungen stellen, bevor ein Zugriff erlaubt wird.

Typische Beispiele sind:

• Multifaktor-Authentifizierung verlangen
• eine bestimmte Authentifizierungsstärke verlangen
• ein als compliant eingestuftes Gerät verlangen
• bestimmte Gerätebedingungen berücksichtigen
• Zugriff vollständig blockieren

Mehrere Richtlinien können gleichzeitig auf eine Anmeldung zutreffen. Muss eine Richtlinie beispielsweise MFA verlangen und eine andere zusätzlich ein compliant verwaltetes Gerät, müssen beide Anforderungen erfüllt werden.

Genau deshalb sollte Conditional Access geplant und nicht einfach mit einigen schnell angelegten Regeln aktiviert werden.

Verwaltete Geräte können gezielt berücksichtigt werden

Ein Unternehmen kann den Zugriff auf bestimmte Ressourcen davon abhängig machen, ob ein Gerät bekannt und entsprechend verwaltet ist.

In Verbindung mit Microsoft Intune können Compliance-Richtlinien beispielsweise prüfen, ob ein Gerät definierte Anforderungen erfüllt.

Dadurch lassen sich Szenarien umsetzen, bei denen sensible Unternehmensdaten nur von kontrollierten Geräten aus erreichbar sein sollen.

Das kann beispielsweise für administrative Benutzer oder besonders schützenswerte Anwendungen interessant sein.

Ein privates Gerät und ein verwaltetes Firmen-Notebook müssen damit nicht zwangsläufig dieselben Zugriffsrechte erhalten.

Standorte und Netzwerke sind nur ein Teil der Entscheidung

Conditional Access kann auch Netzwerk- und Standortinformationen berücksichtigen. Unternehmen können beispielsweise bekannte Netzwerkbereiche als Named Locations definieren.

Dadurch lassen sich bestimmte Regeln abhängig davon anwenden, aus welchem Netzwerk eine Anmeldung erfolgt.

Allerdings sollte die IP-Adresse nicht als alleiniger Sicherheitsmechanismus betrachtet werden. Moderne Arbeitsweisen mit Homeoffice, mobilen Mitarbeitern, VPNs und Cloud-Anwendungen machen eine rein standortbasierte Sicherheitsstrategie zunehmend unzureichend.

Conditional Access ist gerade deshalb interessant, weil Standortinformationen mit Identität, Gerät und weiteren Signalen kombiniert werden können.

Administratorkonten besonders absichern

Administratorkonten benötigen einen wesentlich stärkeren Schutz als normale Benutzerkonten.

Ein kompromittiertes Benutzerkonto kann erheblichen Schaden verursachen. Wird dagegen ein Konto mit weitreichenden Administratorrechten übernommen, kann ein Angreifer unter Umständen Einstellungen, Benutzer, Anwendungen und Sicherheitsrichtlinien verändern.

Für privilegierte Konten können deshalb strengere Conditional-Access-Regeln sinnvoll sein.

Dazu gehören beispielsweise:

• phishingresistente Multifaktor-Authentifizierung
• Zugriff nur von verwalteten Geräten
• stärkere Authentifizierung für administrative Aktionen
• getrennte Benutzer- und Administratorkonten
• Überwachung administrativer Anmeldungen

Das Ziel ist nicht, Administratoren möglichst viele Hindernisse in den Weg zu stellen. Entscheidend ist vielmehr, besonders mächtige Konten entsprechend ihres Risikos stärker abzusichern.

Authentication Strengths ermöglichen unterschiedliche Sicherheitsstufen

Nicht jede MFA-Methode bietet denselben Schutz.

Mit sogenannten Authentication Strengths können Unternehmen festlegen, welche Authentifizierungsmethoden für bestimmte Zugriffe akzeptiert werden.

Dadurch kann beispielsweise für besonders sensible Anwendungen eine phishingresistente Authentifizierung verlangt werden, während für andere Bereiche weniger strenge Anforderungen gelten.

Zu den phishingresistenten Methoden zählen unter anderem Passkeys beziehungsweise FIDO2-basierte Verfahren und Windows Hello for Business.

Conditional Access ermöglicht damit eine deutlich differenziertere Sicherheitsstrategie als ein einfaches „MFA an oder aus“.

Legacy Authentication sollte nicht vergessen werden

Alte Authentifizierungsverfahren gehören zu den häufigsten Altlasten gewachsener Microsoft-Umgebungen.

Bestimmte ältere Protokolle unterstützen moderne Sicherheitsmechanismen nur eingeschränkt oder gar nicht.

Microsoft führt das Blockieren von Legacy Authentication deshalb als eine typische Conditional-Access-Richtlinie auf.

Vor einer Abschaltung sollte jedoch geprüft werden, ob noch ältere Anwendungen, Scanner, Multifunktionsgeräte oder andere Systeme von solchen Verfahren abhängig sind.

Auch hier gilt: erst analysieren, dann gezielt umstellen.

Conditional Access darf nicht zum Administrator-Lockout führen

Conditional Access ist leistungsfähig – und genau deshalb können falsch konfigurierte Richtlinien erhebliche Auswirkungen haben.

Eine zu breit konfigurierte Block-Regel kann im schlimmsten Fall auch Administratoren vom eigenen Tenant aussperren.

Microsoft empfiehlt deshalb unter anderem, Emergency-Access- beziehungsweise Break-Glass-Konten aus entsprechenden Richtlinien auszunehmen.

Solche Konten sind für Situationen vorgesehen, in denen reguläre administrative Zugänge nicht mehr funktionieren.

Sie sollten ausschließlich für Notfälle eingesetzt, besonders geschützt und überwacht werden.

Neue Richtlinien zuerst im Report-only-Modus testen

Eine der wichtigsten Funktionen bei der Einführung von Conditional Access ist der Report-only-Modus.

Eine Richtlinie kann damit ausgewertet werden, ohne ihre Zugriffsentscheidung bereits vollständig durchzusetzen.

Administratoren können dadurch sehen, welche Benutzer oder Anmeldungen von einer geplanten Regel betroffen wären.

Microsoft empfiehlt, neue Richtlinien zunächst zu testen und ihre Auswirkungen zu beobachten, bevor sie produktiv aktiviert werden.

Gerade bei größeren Benutzergruppen oder geschäftskritischen Anwendungen reduziert das die Gefahr, unbeabsichtigt legitime Zugriffe zu blockieren.

Mit einer Pilotgruppe beginnen

Conditional Access sollte nicht zwangsläufig sofort auf alle Mitarbeiter eines Unternehmens angewendet werden.

Eine schrittweise Einführung bietet mehrere Vorteile:

• technische Abhängigkeiten werden früher sichtbar
• Benutzer können Erfahrungen mit neuen Anmeldeverfahren sammeln
• Probleme mit Anwendungen lassen sich vor dem breiten Rollout erkennen
• Supportaufwand lässt sich besser kontrollieren
• Richtlinien können vor der endgültigen Aktivierung angepasst werden

Microsoft empfiehlt bei der Einführung ebenfalls Pilotgruppen, registrierte Authentifizierungsmethoden und eine schrittweise Aktivierung der Richtlinien.

Conditional Access benötigt die passende Lizenzierung

Für die Nutzung von Conditional Access wird grundsätzlich Microsoft Entra ID P1 benötigt. Diese Funktionalität ist beispielsweise Bestandteil verschiedener Microsoft-365-Lizenzmodelle.

Einige weiterführende risikobasierte Funktionen benötigen dagegen Microsoft Entra ID P2.

Deshalb sollte vor der Planung geprüft werden, welche Microsoft-365- beziehungsweise Entra-Lizenzen im Unternehmen vorhanden sind und welche Sicherheitsfunktionen tatsächlich verfügbar sind.

Security Defaults oder Conditional Access?

Kleinere Unternehmen benötigen nicht zwangsläufig sofort eine umfangreiche Sammlung eigener Conditional-Access-Richtlinien.

Microsoft stellt mit Security Defaults einen Basisschutz bereit, der grundlegende Sicherheitsmaßnahmen für Microsoft-Entra-Tenants aktiviert.

Conditional Access wird interessant, wenn ein Unternehmen granularer entscheiden möchte.

Beispiele dafür sind:

• unterschiedliche Anforderungen für Benutzer und Administratoren
• Zugriff nur von verwalteten Geräten
• bestimmte Regeln für einzelne Anwendungen
• phishingresistente Authentifizierung für sensible Ressourcen
• standort- oder netzwerkabhängige Richtlinien

Eine komplexere Lösung ist allerdings nicht automatisch eine bessere Lösung. Die Richtlinien sollten zur Größe, Arbeitsweise und tatsächlichen Risikosituation des Unternehmens passen.

Conditional Access ist Teil einer größeren Sicherheitsstrategie

Conditional Access schützt den Zugriff auf Cloud-Ressourcen. Es ersetzt jedoch keine vollständige IT-Sicherheitsstrategie.

Weitere Bausteine bleiben beispielsweise:

• Endpoint-Schutz
• regelmäßige Updates
• sichere Benutzer- und Rechteverwaltung
• Backup
• Monitoring
• Netzwerksegmentierung
• Schutz lokaler Server
• Dokumentation und Notfallplanung

Unter IT-Sicherheit & Backup finden Unternehmen weitere Informationen zu unseren Lösungen rund um Schutz und Wiederherstellung.

Microsoft 365 und lokale IT gehören zusammen betrachtet

In vielen Unternehmen besteht die Infrastruktur heute aus einer Kombination aus lokalen Servern, Windows-Arbeitsplätzen und Microsoft-365-Cloud-Diensten.

Identität verbindet diese Systeme miteinander.

Ein Benutzer kann beispielsweise mit demselben Konto auf E-Mail, SharePoint, Teams und weitere Dienste zugreifen. Gleichzeitig arbeitet er auf einem verwalteten Unternehmensgerät innerhalb eines lokalen Netzwerks.

Deshalb sollten Microsoft 365, Geräteverwaltung, Benutzerrechte, Netzwerk und lokale Server nicht als voneinander getrennte Inseln geplant werden.

Weitere Informationen finden Sie unter Microsoft 365 & Cloud.

Fazit: Zugriff abhängig vom tatsächlichen Kontext absichern

Ein Passwort alleine ist heute kein ausreichendes Sicherheitskonzept. Aber auch eine pauschale MFA-Anforderung bildet nicht jede Situation eines Unternehmens ab.

Conditional Access ermöglicht es, unterschiedliche Signale einer Anmeldung zusammenzuführen und daraus passende Zugriffsanforderungen abzuleiten.

Entscheidend ist dabei nicht, möglichst viele Richtlinien zu erstellen. Eine gute Conditional-Access-Strategie ist nachvollziehbar, dokumentiert, getestet und auf die tatsächliche Arbeitsweise des Unternehmens abgestimmt.

Wer mit Pilotgruppen, Report-only-Modus, Notfallkonten und einer klaren Richtlinienstruktur arbeitet, kann Microsoft 365 wesentlich gezielter absichern, ohne Benutzer unnötig einzuschränken.

---

Quellen: Microsoft Learn – Conditional Access, Conditional Access Grant Controls, Authentication Strengths sowie Microsoft-Empfehlungen zur Planung und Einführung von Conditional-Access-Richtlinien.