Conditional Access ist in Microsoft-Umgebungen der zentrale Baustein, um das Prinzip Zero Trust umzusetzen. Statt einer einzigen Regel für alle Anmeldungen entscheiden Richtlinien je nach Situation: Eine Anmeldung vom verwalteten Firmenlaptop wird anders behandelt als ein Zugriff von einem unbekannten Gerät im Ausland. Die Funktion setzt eine passende Lizenz für Microsoft Entra ID voraus. Ohne diese Lizenz bieten die Sicherheitsstandards von Microsoft einen einfacheren Grundschutz.
Wie funktioniert Conditional Access?
Jede Richtlinie folgt einem Wenn-Dann-Muster:
- Wer und was: Für welche Personen, Gruppen oder Rollen und für welche Anwendungen gilt die Richtlinie. Ausnahmen lassen sich gezielt festlegen.
- Bedingungen: Zum Beispiel Standort oder IP-Bereich, Geräteplattform, Art der Anwendung oder, je nach Lizenz, ein von Microsoft berechnetes Anmelderisiko.
- Zugriffssteuerung: Der Zugriff wird blockiert oder nur unter Auflagen gewährt, etwa mit Multi-Faktor-Authentifizierung oder von einem Gerät, das in Microsoft Intune als konform gilt.
- Sitzungssteuerung: Regeln für die laufende Sitzung, etwa wie oft eine erneute Anmeldung nötig ist.
Conditional Access greift nach der ersten Anmeldestufe: Erst wenn Benutzername und erster Faktor geprüft sind, entscheiden die Richtlinien über weitere Anforderungen oder eine Sperre. Gelten mehrere Richtlinien, müssen alle erfüllt sein. Eine blockierende Richtlinie hat Vorrang. Neue Richtlinien lassen sich im Nur-Bericht-Modus testen, der die Auswirkungen protokolliert, ohne sie durchzusetzen.
Typische Beispiele
- Multi-Faktor-Authentifizierung für alle Personen und alle Anwendungen.
- Strengere, phishing-resistente Anmeldemethoden für administrative Rollen.
- Zugriff auf E-Mail und Dateien nur von verwalteten, konformen Geräten.
- Blockieren veralteter Anmeldeverfahren, die keine Multi-Faktor-Authentifizierung unterstützen.
- Blockieren von Anmeldungen aus Ländern, in denen das Unternehmen nicht tätig ist.
Worauf Unternehmen achten sollten
- Notfallzugänge vorsehen: Mindestens ein besonders geschütztes Notfallkonto von einschränkenden Richtlinien ausnehmen, damit sich die IT bei Fehlkonfigurationen nicht selbst aussperrt.
- Erst testen, dann erzwingen: Neue Richtlinien im Nur-Bericht-Modus prüfen und anhand der Anmeldeprotokolle bewerten.
- Lücken vermeiden: Richtlinien möglichst für alle Anwendungen definieren, Ausnahmen dokumentieren und regelmäßig überprüfen.
- Standort nicht überbewerten: IP-Adressen und Länder sind ein Signal, für sich allein aber kein verlässlicher Schutz.
- Laufend überwachen: Anmeldeprotokolle zeigen, welche Richtlinien greifen und wo Anmeldungen scheitern.