Conditional Access Policy Plans: Was die neue Funktion in Microsoft Entra für Ihre Policies bringt

• Conditional Access Policy Plans sind eine neue Preview-Funktion in Microsoft Entra ID, die mehrere zusammengehörige Regeln unter gemeinsamen Zuweisungen und Bedingungen bündelt.
• Ausnahmen wie Notfallkonten werden einmal auf Plan-Ebene gepflegt und gelten automatisch für jede Regel im Plan, keine Regel kann sie aufheben.
• Bestehende Conditional Access Policies bleiben unverändert und werden parallel zu den Regeln der Plans ausgewertet.
• Der Migrationsassistent kopiert Policies in einen Plan, übernimmt Ausnahmen aber oft nicht automatisch, und Plans fehlen bisher in vielen Backup-Werkzeugen.
• Die InSys AG^® empfiehlt, Policy Plans jetzt im Modus Nur Bericht zu testen und erst nach der allgemeinen Verfügbarkeit produktiv umzustellen.

Conditional Access Policy Plans sind eine neue Ebene über den bekannten Conditional Access Policies in Microsoft Entra ID. Diese Policies entscheiden bei jeder Anmeldung, ob ein Zugriff erlaubt, blockiert oder an Bedingungen wie MFA oder ein konformes Gerät geknüpft wird. Ein Policy Plan bündelt mehrere zusammengehörige Regeln unter gemeinsamen Zuweisungen und Bedingungen und richtet sie auf ein Sicherheitsziel aus, zum Beispiel "konforme Geräte erzwingen" oder "KI-Agenten absichern". Die Funktion ist als Preview im Microsoft Entra Admin Center unter Conditional Access freigeschaltet, die offizielle Dokumentation hat Microsoft Ende Oktober 2026 veröffentlicht.

Ein Plan besteht aus drei Teilen:

• Plandetails: Name, Beschreibung, optionale Tags und Verantwortliche. Die Verantwortlichen dienen der Nachvollziehbarkeit, sie vergeben keine Bearbeitungsrechte und wirken sich nicht auf die Durchsetzung aus.
• Gemeinsame Bedingungen (Shared Conditions): Identitäten, Anwendungen, Benutzeraktionen, Authentifizierungskontext, Risikostufen, Geräteplattformen, Standorte und Client-Apps, die für alle Regeln des Plans gelten. Dieser Teil ist optional.
• Regeln: die einzelnen Szenarien mit eigenen Zuweisungen, Bedingungen sowie Grant- und Session-Controls. Jeder Plan braucht mindestens eine Regel.

Wie bedingter Zugriff grundsätzlich funktioniert und welche Policies jeder Tenant braucht, erklären wir auf unserer Seite Conditional Access einrichten.

In gewachsenen Tenants entstehen über die Jahre schnell 20, 30 oder mehr Conditional Access Policies. Viele davon enthalten dieselben Ausnahmen: Notfallkonten (Break-Glass-Konten), Dienstkonten oder privilegierte Admin-Arbeitsplätze. Jede Änderung an diesen Ausnahmen muss in jeder einzelnen Policy nachgezogen werden. Eine vergessene Ausnahme gehört laut Microsoft zu den häufigsten Ursachen für ungewollte Aussperrungen.

Mit einem Plan pflegen Sie solche Ausnahmen genau einmal auf Plan-Ebene. Sie gelten automatisch für jede Regel im Plan, und keine Regel kann sie versehentlich auslassen oder aufheben. Microsoft nennt dafür vier typische Einsatzfelder:

• Weniger Policy-Wildwuchs: Getrennte Regeln für Windows, macOS, iOS und Android mit identischer Zielgruppe teilen sich eine gemeinsame Zuweisung.
• Keine doppelten Ausnahmen: Notfall- und Dienstkonten werden zentral ausgeschlossen.
• Skalierung für Global Secure Access: Wer Microsoft Global Secure Access nutzt, braucht oft sehr viele netzwerkbezogene Regeln für dieselben Benutzer und Anwendungen.
• Einheitliche Regeln für KI-Agenten: Ein Plan kann eine gemeinsame Bedingung wie ein hohes Agentenrisiko festlegen und getrennte Regeln für Agenten enthalten, die im Namen eines Benutzers handeln, und für autonome Agenten.

Gemeinsame Bedingungen und Regelbedingungen addieren sich. Dabei gelten feste Spielregeln:

• Die Zielgruppe wird vererbt. Zielt der Plan auf Gruppe A, gilt das für jede Regel. Eine Regel kann diese Zielgruppe nicht einschränken, aber eigene Ausschlüsse ergänzen.
• Ausschlüsse summieren sich. Schließt der Plan die Gruppen A und B aus und eine Regel zusätzlich Gruppe C, sind A, B und C ausgeschlossen. Ein Ausschluss auf Plan-Ebene lässt sich in keiner Regel aufheben.
• "Alle Benutzer" und "Alle Ressourcen" nur in Regeln. Diese Zuweisungen sind auf Plan-Ebene nicht verfügbar.
• Keine gemischten Identitätstypen auf Plan-Ebene. Sollen Benutzer und Agenten im selben Plan behandelt werden, gehört die Identitätszuweisung in die einzelnen Regeln.

Bei der Anmeldung wird jede Regel zusammen mit den gemeinsamen Bedingungen wie eine eigenständige Policy ausgewertet und erscheint separat in den Anmeldeprotokollen. Ihre bestehenden Conditional Access Policies bleiben unverändert und werden parallel geprüft. Für einen Zugriff müssen alle zutreffenden Policies und alle zutreffenden Regeln erfüllt sein, eine Rangfolge zwischen beiden gibt es nicht.

Im Entra Admin Center bietet Microsoft unter Conditional Access einen Assistenten, der ausgewählte Policies in einen Plan überführt. Gemeinsamkeiten wandern in die Shared Conditions, jede Policy wird zu einer Regel. Die Original-Policies bleiben unverändert, die neuen Regeln starten im Status Aus.

Erste Praxisberichte aus der Admin-Community zeigen drei Punkte, die Sie vor einer Migration kennen sollten:

• Ausnahmen werden oft nicht übernommen. Benutzerzuweisungen wandern nur in den Plan, wenn sie in allen Policies vollständig identisch sind und nicht "Alle Benutzer" lauten. Bei typischen Baseline-Policies müssen Sie die Notfallkonten deshalb selbst auf Plan-Ebene ausschließen.
• Backups sehen die Plans noch nicht. Plans und ihre Regeln erscheinen nicht in den bisherigen Graph-Abfragen für Conditional Access Policies und damit nicht in vielen Backup- und Dokumentationswerkzeugen. Sie haben einen eigenen Endpunkt, der derzeit nur in der Beta-Version der Microsoft Graph API verfügbar ist.
• Zwei Stände nach der Migration. Regeln und Original-Policies sind danach getrennte Objekte. Wer während der Testphase die Originale ändert, erzeugt zwei auseinanderlaufende Konfigurationen.

Hinzu kommt eine von Microsoft dokumentierte Einschränkung der Preview: Regeln mit einer Standortbedingung für Benutzer erhalten einstündige Zugriffstoken ohne die sofortige IP-Prüfung durch Continuous Access Evaluation. Verlässt ein Benutzer einen erlaubten Standort, kann es also bis zu einer Stunde dauern, bis die Regel greift.

Für Policy Plans gelten die normalen Lizenzanforderungen von Conditional Access. Nötig ist mindestens Microsoft Entra ID P1, enthalten zum Beispiel in Microsoft 365 Business Premium, E3 und E5. Risikobasierte Bedingungen setzen Microsoft Entra ID P2 voraus. Für Conditional Access auf KI-Agenten über Microsoft Entra Agent ID brauchen Sie zusätzlich eine Lizenz für Microsoft Agent 365, kombiniert mit mindestens Entra ID P1 oder Microsoft 365 E3, oder Microsoft 365 E7. Plans anlegen, ändern und löschen darf die Rolle Conditional Access Administrator.

Die Policy Plans lösen ein Problem, das wir in vielen Kunden-Tenants sehen: zahlreiche Conditional Access Policies mit kopierten Ausnahmelisten, bei denen niemand mehr sicher sagen kann, ob überall dieselben Notfallkonten ausgeschlossen sind. Weil die Funktion aber noch Preview ist und Backup sowie Migration Lücken haben, empfehlen wir als Microsoft Solutions Partner für Security folgendes Vorgehen:

1. Bestand aufnehmen: Welche Policies haben dieselbe Zielgruppe, dieselben Ausnahmen oder dasselbe Schutzziel? Sinnvoll ist eine Gruppierung nach geschützter Ressource, nach Personengruppe oder nach gemeinsamer Bedingung wie Standort oder Risiko.
2. Einen Testplan anlegen: am besten für einen unkritischen Bereich, mit den Notfallkonten als Ausschluss auf Plan-Ebene.
3. Im Modus Nur Bericht testen: Regeln auf Report-only setzen und die Ergebnisse in den Anmeldeprotokollen mit den Original-Policies vergleichen.
4. Backup und Dokumentation anpassen: Plans und Regeln gemeinsam sichern, da Regeln die geerbten Bedingungen nicht selbst enthalten.
5. Erst nach der allgemeinen Verfügbarkeit umstellen: zuerst die Regeln einschalten, dann die Original-Policies ausschalten, nie umgekehrt. Sonst entsteht ein Zeitfenster ohne Schutz.

Wie aufgeräumt Ihre Conditional Access Policies heute sind, zeigt unser Microsoft Tenant Sicherheitscheck. Die Ergebnisse stellen wir Ihnen persönlich vor. Alle Leistungen rund um den sicheren Betrieb Ihres Tenants finden Sie im Bereich Microsoft 365 Security.