Was ist bedingter Zugriff?

Einfach erklärt

Bedingter Zugriff ist ein Regelwerk für die Anmeldung bei Microsoft 365. Es prüft bei jeder Anmeldung die Umstände: wer, mit welchem Gerät, von wo, für welches Programm. Danach entscheidet es: zulassen, einen zweiten Faktor verlangen oder sperren. Man kann es sich wie einen Pförtner vorstellen, der nicht nur den Ausweis ansieht, sondern auch, ob jemand nachts mit einem fremden Laptop vor der Tür steht.

Was das für Ihren Betrieb bedeutet

Übliche Regeln sind zum Beispiel:

• Zwei-Faktor-Anmeldung für alle.
• Administratoren nur mit besonders sicheren Verfahren wie Passkeys.
• Anmeldungen aus Ländern sperren, in denen niemand aus dem Team arbeitet.
• Veraltete Anmeldeverfahren blockieren, die keinen zweiten Faktor kennen.

Was Sie dafür brauchen

Bedingter Zugriff setzt die Lizenz Microsoft Entra ID P1 voraus. Mit Microsoft 365 Business Premium ist er enthalten. Ohne diese Lizenz gibt es die kostenlosen Sicherheitsstandards: Zwei-Faktor-Anmeldung für alle und Sperre veralteter Verfahren, aber ohne Ausnahmen und Feineinstellungen. Beides zusammen ist nicht vorgesehen, Sie nutzen entweder das eine oder das andere.

Was Sie tun können

Lassen Sie Ihren IT-Dienstleister neue Regeln zuerst im Modus „Nur melden“ laufen. Dann sieht er, wen eine Regel getroffen hätte, ohne dass jemand ausgesperrt wird. Wichtig sind außerdem die Notfallkonten: Sie bleiben von sperrenden Regeln ausgenommen. Mehr zur Absicherung: Microsoft 365.

Achtung: Eine falsch gesetzte Regel kann alle aussperren, auch die Administratoren. Deshalb gehören Test und Notfallkonto vor das Einschalten.

Was bedingter Zugriff nicht kann

Er wirkt nur auf Anmeldungen über Microsoft Entra ID, also bei Microsoft 365 und angebundenen Programmen. Programme mit eigener Anmeldung sieht er nicht. Außerdem greift er erst nach der Passwortprüfung. Ein schwaches Passwort macht er nicht stärker.

Aufbau einer Richtlinie

Eine Richtlinie ist eine Wenn-dann-Regel aus Zuweisungen und Zugriffssteuerungen. Ausgewertet wird nach der Erstauthentifizierung.

• Zuweisungen: Benutzer, Gruppen, Rollen oder Workload-Identitäten, Zielressourcen (Apps, Benutzeraktionen, Authentifizierungskontext), Netzwerk und Bedingungen wie Geräteplattform, Client-App oder Anmelderisiko.
• Gewähren: blockieren oder zulassen mit Anforderungen wie MFA, Authentifizierungsstärke, konformem Gerät, genehmigter App oder Nutzungsbedingungen.
• Sitzung: etwa Anmeldehäufigkeit, persistente Browsersitzung, Continuous Access Evaluation.

Lizenz: Entra ID P1, enthalten in Microsoft 365 Business Premium. Risikobasierte Richtlinien (Anmelde- und Benutzerrisiko) brauchen Entra ID P2. Je Mandant sind 240 Richtlinien möglich, in jedem Zustand mitgezählt.

Wichtig für die Planung: Löst keine Richtlinie eine Zugriffssteuerung aus, wird das Token ausgestellt. Was keine Richtlinie erfasst, ist also erlaubt. Microsoft empfiehlt deshalb, jede App mit mindestens einer Richtlinie abzudecken, am einfachsten über „Alle Ressourcen“.

{
  "displayName": "CA01 - Alle Ressourcen - MFA - Alle Benutzer",
  "state": "enabledForReportingButNotEnforced",
  "conditions": {
    "users": { "includeUsers": ["All"], "excludeGroups": ["<ID der Gruppe Notfallkonten>"] },
    "applications": { "includeApplications": ["All"] },
    "clientAppTypes": ["all"]
  },
  "grantControls": { "operator": "OR", "builtInControls": ["mfa"] }
}

enabledForReportingButNotEnforced ist der Modus „Nur melden“ in Microsoft Graph.

Typische Fehler

• Notfallkonten nicht ausgenommen. Die erste blockierende Richtlinie sperrt alle Administratoren aus.
• Legacy-Authentifizierung nicht blockiert. Alte Protokolle umgehen MFA. In Microsofts Einführungsplan steht die Sperre als erste Richtlinie der ersten Phase.
• Ausnahmen nicht getestet. Für ausgenommene Benutzer verlangen andere Richtlinien womöglich trotzdem MFA. Ebenso kann es sein, dass für sie gar keine Richtlinie mehr greift.
• Sicherheitsstandards aus, Richtlinien noch im Berichtsmodus. Dann erzwingt keine Regel des Mandanten MFA für die Benutzer.
• Gerätecodefluss offen. Er lässt sich für Phishing missbrauchen. Microsoft blockiert ihn in den Sicherheitsstandards und bietet dafür eine Richtlinie an.

Prüfen

Im Microsoft Entra Admin Center unter Entra ID > Bedingter Zugriff > Richtlinien simuliert das Werkzeug „What If“ eine Anmeldung und zeigt, welche Richtlinien greifen. In den Details jeder Anmeldung zeigen die Registerkarten „Bedingter Zugriff“ und „Nur melden“ das Ergebnis je Richtlinie. Per PowerShell:

Connect-MgGraph -Scopes "Policy.Read.All"
Get-MgIdentityConditionalAccessPolicy | Select-Object DisplayName, State