Conditional Access einrichten: Microsoft 365 mit bedingtem Zugriff absichern

Conditional Access ist Microsofts Zero-Trust-Richtlinienmodul innerhalb von Microsoft Entra ID (ehemals Azure Active Directory). Jede Conditional Access Policy folgt dem Prinzip einer Wenn-Dann-Regel: Wenn ein Benutzer auf eine Ressource wie Microsoft 365 zugreifen möchte, dann muss er eine bestimmte Bedingung erfüllen - zum Beispiel eine Multi-Faktor-Authentifizierung durchführen oder ein über Microsoft Intune verwaltetes Gerät verwenden.

Conditional Access wertet bei jedem Anmeldeversuch Signale aus und trifft auf dieser Basis eine Zugriffs­entschei­dung. Zu diesen Signalen gehören:

• Benutzeridentität und Grup­penmit­glied­schaft
• IP-Adresse und geografischer Standort der Anmeldung
• Gerätestatus und Betriebs­system­version (über Microsoft Intune)
• Anwendung, auf die zugegriffen wird
• Echtzeit-Risikobewertung durch Microsoft Entra ID Protection
• Client-Applikation und Authen­tifi­zierungs­proto­koll

Basierend auf diesen Signalen wird der Zugriff gewährt, eine zusätzliche Verifikation verlangt (z. B. MFA) oder der Zugriff vollständig blockiert. Conditional Access Policies werden nach der ersten Authentifizierung ausgewertet - sie ersetzen kein Passwort, sondern ergänzen den Anmeldeprozess um kontextbasierte Sicher­heits­prüfungen. Conditional Access bildet damit das Herzstück jeder Microsoft 365 Security Strategie.

Conditional Access erfordert mindestens eine Microsoft Entra ID P1 Lizenz für jeden Benutzer, auf den eine Richtlinie angewendet wird. Entra ID P1 ist enthalten in:

• Microsoft 365 Business Premium - für Unternehmen bis 300 Benutzer die wirtschaftlichste Wahl
• Microsoft 365 E3 und E5
• Microsoft 365 F1 und F3
• Microsoft Entra ID P1 als Einzellizenz

Für risikobasierte Richtlinien, die das Anmelde- und Benutzerrisiko aus Microsoft Entra ID Protection auswerten, wird Entra ID P2 benötigt - enthalten in Microsoft 365 E5.

Business Basic und Business Standard bieten nur die Sicher­heits­stan­dards (Security Defaults) mit einer pauschalen MFA-Pflicht, aber keine eigenen Richtlinien. Als Microsoft Direct CSP lizenzieren wir das passende Abonnement direkt bei Microsoft.

Microsoft empfiehlt eine Reihe von Baseline-Policies, die in jeder Microsoft 365 Umgebung konfiguriert sein sollten. Die folgenden Richtlinien bilden das Fundament einer sicheren Zugriffs­konfi­gura­tion.

MFA für alle Benutzer erzwingen

Multi-Faktor-Authentifizierung ist die einzelne Maßnahme mit dem höchsten Sicherheitsgewinn. Microsoft gibt an, dass MFA über 99 Prozent aller kontobasierten Angriffe verhindert. Die empfohlene Konfiguration erfolgt über eine Conditional Access Policy statt über die ältere Per-User-MFA-Methode, da Policies mehr Kontrolle und Flexibilität bieten.

Empfohlene Konfiguration: Alle Benutzer einschließen, Notfallkonten (Break-Glass Accounts) ausschließen, als Zugriffs­anfor­derung MFA erzwingen. Als Authen­tifi­zierungs­methode sollten die Microsoft Authenticator App, Passkeys oder FIDO2-Sicher­heits­schlüssel verwendet werden - nicht SMS, da diese für SIM-Swapping-Angriffe anfällig ist.

Anmeldungen aus unbekannten Standorten blockieren (Geofencing)

Mit Conditional Access können Sie Anmeldestandorte gezielt steuern. Definieren Sie in Microsoft Entra ID unter „Benannte Standorte“ die IP-Bereiche Ihrer Unter­nehmens­stand­orte als vertrauenswürdige Standorte. Erstellen Sie anschließend eine Policy, die Anmeldungen von allen anderen Standorten blockiert oder MFA erzwingt.

Für Unternehmen mit Mitarbeitenden im Ausland lassen sich länderspezifische Ausnahmen definieren. Ein Beispiel: Der Zugriff wird generell auf Deutschland beschränkt, für einzelne Benutzer aber auch aus dem jeweiligen Einsatzland erlaubt.

Nur konforme Geräte zulassen (Devicefencing)

In Kombination mit Microsoft Intune stellt Conditional Access sicher, dass nur verwaltete und richt­lini­enkon­forme Geräte auf Unternehmensdaten zugreifen können. Ein Gerät gilt als konform, wenn es die in Intune definierten Compliance-Richtlinien erfüllt - beispielsweise aktuelles Betriebssystem, aktivierte Fest­plat­tenver­schlüs­selung und aktiver Virenschutz.

Geräte, die diese Anforderungen nicht erfüllen, werden automatisch blockiert oder erhalten nur eingeschränkten Zugriff über den Browser.

Legacy-Authen­tifi­zierung blockieren

Ältere Authen­tifi­zierungs­proto­kolle wie POP3, IMAP und SMTP Auth unterstützen keine Multi-Faktor-Authentifizierung. Solange diese Protokolle erlaubt sind, kann ein Angreifer mit gestohlenen Zugangsdaten MFA umgehen. Die Lösung: Erstellen Sie eine Conditional Access Policy, die Anmeldungen über Legacy-Protokolle für alle Benutzer blockiert.

Prüfen Sie vorab in den Entra ID Sign-in Logs, ob noch Anwendungen Legacy-Protokolle nutzen. Typische Kandidaten sind ältere Druckersysteme, CRM- oder ERP-Systeme und Outlook-Versionen vor 2016.

Separate Regeln für Admi­nistra­torkonten

Admi­nistra­torkonten sind das wertvollste Ziel für Angreifer. Konfigurieren Sie für alle Konten mit administrativen Rollen verschärfte Policies: Phishing-resistente MFA (Passkeys oder FIDO2), Anmeldung ausschließlich von konformen Geräten und Einschränkung auf vertrauenswürdige Standorte.

Ein kompromittierter Admin-Account kann zu vollständigem Datenverlust führen. Der Stryker-Vorfall, bei dem über einen einzigen kompromittierten Admin-Account 80.000 Geräte gelöscht wurden, zeigt die Tragweite.

Die Konfiguration von Conditional Access erfolgt im Microsoft Entra Admin Center unter Entra ID → Conditional Access → Policies → Neue Richtlinie.

Jede Policy besteht aus drei Elementen:

• Zuweisungen: Für welche Benutzer, Gruppen und Ziel-Anwendungen gilt die Richtlinie?
• Bedingungen: Unter welchen Umständen wird die Policy ausgelöst? (Standort, Geräteplattform, Client-App, Risikostufe)
• Zugriffs­steu­erung: Was passiert, wenn die Bedingungen erfüllt sind? (Zugriff gewähren mit MFA, Zugriff blockieren, eingeschränkten Zugriff gewähren)

Wichtig: Aktivieren Sie neue Policies immer zunächst im Modus „Nur Bericht“ (Report-Only). So können Sie die Auswirkungen analysieren, bevor die Richtlinie tatsächlich greift. Erst nach erfolgreicher Validierung sollte die Policy auf „Ein“ gestellt werden.

Richten Sie außerdem mindestens zwei Notfallkonten (Break-Glass Accounts) ein, die von allen Conditional Access Policies ausgeschlossen sind. Diese Konten dienen als Zugang, falls Sie sich durch eine fehlerhafte Policy selbst aussperren.

Eine falsch konfigurierte Richtlinie kann ein ganzes Unternehmen aussperren. Diese Regeln haben sich in unseren Projekten bewährt:

• Zuerst im Modus „Nur Bericht“: Jede neue Richtlinie läuft zunächst im Report-Only-Modus. In den Anmel­depro­tokollen sehen Sie, wen sie getroffen hätte - erst danach wird sie scharf geschaltet.
• What-If-Tool nutzen: Mit dem What-If-Tool im Entra Admin Center prüfen Sie vorab, welche Richtlinien für einen bestimmten Benutzer, ein Gerät oder einen Standort greifen.
• Zwei Notfallkonten: Mindestens zwei Notfallkonten (Break-Glass-Konten) bleiben von allen Richtlinien ausgeschlossen, werden mit FIDO2-Schlüsseln geschützt und auf jede Anmeldung überwacht.
• Gruppen statt Einzelpersonen: Richtlinien werden Gruppen zugewiesen, Ausnahmen ebenfalls über eigene Gruppen - so bleiben sie nachvollziehbar.
• Klare Namens­konven­tion: Ein einheitliches Schema wie „CA01 - Alle Benutzer - MFA erzwingen“ macht Richtlinien auch nach Jahren verständlich.
• Authen­tifi­zierungs­stärken verwenden: Für Administratoren nicht nur „MFA“, sondern phishing-resistente MFA vorschreiben.

Die häufigsten Fehler

• Admi­nistra­toren aussperren: Richtlinien ohne Notfallkonto oder mit fehlerhaften Standortregeln.
• Dienstkonten vergessen: Scanner, Multi­funk­tions­geräte und ältere Anwendungen nutzen oft Legacy-Protokolle und fallen beim Blockieren aus.
• Zu großzügige Ausnahmen: Ausschlüsse, die einmal „vorübergehend“ eingerichtet wurden und nie wieder entfernt werden.
• Keine laufende Pflege: Microsoft ergänzt regelmäßig neue Bedingungen und Empfehlungen. Richtlinien, die nicht überprüft werden, veralten - genau das übernimmt der Microsoft Secure Score Managed Service.

Conditional Access ist das zentrale Richtlinienmodul einer Zero-Trust-Architektur in Microsoft 365. Das Zero-Trust-Prinzip „Nie vertrauen, immer verifizieren“ wird durch Conditional Access technisch umgesetzt: Jeder Zugriff wird unabhängig vom Netzwerkstandort geprüft, Identitäten werden bei jedem Zugriff verifiziert und der Zugriff wird auf das notwendige Minimum beschränkt.

In Kombination mit Microsoft Defender XDR, Microsoft Intune und Microsoft Purview bildet Conditional Access die Klammer um den gesamten Microsoft Security Stack. Die InSys AG^® konfiguriert diese Komponenten als ganzheitliche Sicher­heits­archi­tektur - nicht als isolierte Einzelmaßnahmen.

Unsere Security System Engineers planen und konfigurieren Ihre Richtlinien für den bedingten Zugriff - abgestimmt auf Ihre Standorte, Geräte und Anwendungen:

1. Analyse: Auswertung Ihrer Entra-ID-Konfiguration und der Anmeldeprotokolle.
2. Richt­lini­enkon­zept: Ein Regelwerk auf Basis der Microsoft-Empfehlungen und Ihrer Anforderungen.
3. Test: Konfiguration im Report-Only-Modus und Prüfung mit dem What-If-Tool.
4. Aktivierung: Schrittweise Umstellung mit begleitender Kommunikation an Ihre Mitarbeitenden.
5. Betrieb: Laufende Überwachung und Anpassung im Microsoft Secure Score Managed Service.

Die Einrichtung beauftragen Sie als Dienst­leis­tungs­ticket nach Aufwand. Wie gut Ihr Tenant heute abgesichert ist, zeigt unser Microsoft 365 Tenant Check. Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie unser Kontaktformular.

Ob Sie Conditional Access erstmalig einführen, bestehende Policies optimieren oder die fortlaufende Überwachung an einen erfahrenen Partner übergeben möchten - unsere Microsoft Security Spezialisten beraten Sie persönlich. Vereinbaren Sie jetzt ein unverbindliches Erstgespräch - telefonisch, per Microsoft Teams oder vor Ort in Bielefeld oder Hamburg.