Conditional Access: 7 Regeln, die jeder Microsoft-365-Tenant haben sollte
Conditional Access entscheidet pro Anmeldung, wer wie auf Microsoft 365 zugreifen darf. Diese sieben Baseline-Regeln schließen die häufigsten Lücken. Zu jeder Regel steht das Risiko, das sie adressiert.
Bünyamin Pollin
Geschäftsführung & Technische Leitung
Inhalt
Conditional Access ist die Regel-Engine von Entra ID. Sie bewertet jede Anmeldung an Microsoft 365 anhand von Signalen wie Standort, Gerät, Anwendung und Nutzerverhalten. Pauschales MFA für alle ist ein Anfang, unterscheidet aber nicht nach Situation. Die sieben Regeln unten gehören in nahezu jeden KMU-Tenant, jeweils mit dem Risiko, das sie schließen.
Erst im Report-Only-Modus testen
Jede neue Conditional-Access-Regel zuerst im Report-Only-Modus laufen lassen und die Anmelde-Protokolle prüfen, bevor sie scharf geschaltet wird. Eine falsch konfigurierte Regel kann legitime Nutzer aussperren, auch die Administratoren.
Regel 1: MFA für alle Nutzer erzwingen
Jede Anmeldung verlangt einen zweiten Faktor. Ein geleaktes oder erratenes Passwort reicht dann allein nicht mehr für den Zugang.
Risiko ohne diese Regel
Ein einziger erfolgreicher Phishing-Angriff oder ein Passwort aus einem Datenleck genügt für die Account-Übernahme. Daraus folgen Datenabfluss, Rechnungsbetrug oder ein Einstiegspunkt für Ransomware.
Regel 2: Klassische Authentifizierung blockieren
Legacy-Protokolle wie POP3, IMAP und SMTP-Basic kennen kein MFA. Solange sie aktiv sind, ist Regel 1 umgehbar. Diese Regel lehnt alle Anmeldungen über klassische Authentifizierung ab.
Risiko ohne diese Regel
Angreifer suchen gezielt Legacy-Endpunkte, weil sie dort MFA umgehen. Eine MFA-Pflicht ohne Legacy-Block lässt diesen Weg offen.
Regel 3: Geräte-Compliance für privilegierte Rollen
Administrative Konten dürfen sich nur von verwalteten, richtlinienkonformen Geräten anmelden (verwaltet über Intune). Der Zugriff auf Admin-Funktionen wird an den Gerätezustand gebunden.
Risiko ohne diese Regel
Ein Admin, der sich von einem privaten, ungepatchten oder kompromittierten Gerät anmeldet, öffnet die mächtigsten Rechte des Tenants für genau dieses unsichere Gerät.
Regel 4: Anmeldungen aus Hochrisiko-Ländern blockieren
Geografische Sperren für Länder, aus denen Ihr Unternehmen nie legitim arbeitet. Reisen und Ausnahmen werden über eine benannte Gruppe oder einen temporären Ausschluss geregelt.
Risiko ohne diese Regel
Automatisierte Angriffe kommen oft aus Regionen ohne Geschäftsbezug. Eine Geo-Sperre filtert diese Anmeldeversuche heraus, ohne den Alltag zu behindern.
Regel 5: Sitzungsdauer für nicht verwaltete Geräte begrenzen
Auf nicht verwalteten Geräten (etwa privatem Notebook im Homeoffice) wird die Sitzung zeitlich begrenzt und das Speichern der Anmeldung unterbunden. Auf verwalteten Firmengeräten bleibt der Komfort erhalten.
Risiko ohne diese Regel
Eine dauerhaft gespeicherte Sitzung auf einem privaten oder geteilten Gerät steht jedem offen, der später an dieses Gerät kommt.
Regel 6: Risiko-basierte Anmeldung erzwingen
Erkennt Entra ID eine anomale Anmeldung (unmögliche Ortswechsel, bekannte Angreifer-IP, ungewöhnliches Muster), wird zusätzliche Verifizierung oder ein Passwortwechsel verlangt. Setzt eine Entra-ID-P2-Lizenz voraus.
Risiko ohne diese Regel
Ohne Risiko-Bewertung fällt eine übernommene Sitzung erst auf, wenn Schaden entstanden ist. Mit ihr wird der verdächtige Login sofort zusätzlich geprüft.
Regel 7: Break-Glass-Konten von allen Regeln ausnehmen
Mindestens zwei Notfall-Konten werden von den Conditional-Access-Regeln ausgenommen, mit langem Passwort und FIDO2-Token gesichert und streng überwacht. Mit ihnen kommen Sie auch dann in den Tenant, wenn eine Regel alle anderen aussperrt.
Risiko ohne diese Regel
Sperrt eine fehlerhafte Regel oder ein MFA-Dienstausfall alle Admins aus, ist ohne Break-Glass-Konto der gesamte Tenant blockiert.
Break-Glass zuerst einrichten
Conditional Access kann sich selbst aussperren. Ohne mindestens ein überwachtes, von allen Regeln ausgenommenes Notfall-Konto riskieren Sie, nach einem Konfigurationsfehler keinen Weg zurück in den eigenen Tenant zu haben. Richten Sie diese Regel deshalb als erste ein.
Was die Baseline abdeckt
Die Baseline schließt die häufigsten Microsoft-365-Lücken: Passwort-only, Legacy-Auth, unsichere Admin-Geräte, Geo-Angriffe, gespeicherte Sitzungen und übernommene Logins. Visgenix richtet sie als Standard im 365°-Paket ein, inklusive Report-Only-Testlauf.
Quellen
Häufige Fragen
Welche Lizenz brauche ich für diese Conditional-Access-Regeln?
Die Regeln 1 bis 5 und 7 funktionieren mit Entra ID P1, enthalten in Microsoft 365 Business Premium. Nur Regel 6 (risiko-basierte Anmeldung über Identity Protection) setzt Entra ID P2 voraus. Für eine solide Baseline ist Business Premium der praktische Mindeststandard.
Sperre ich mit Geo-Blocking nicht meine reisenden Mitarbeiter aus?
Nein. Geblockt werden nur Länder ohne legitimen Geschäftsbezug. Für Reisen in andere Regionen richten Sie eine benannte Ausnahmegruppe oder einen temporären, zeitlich begrenzten Ausschluss ein. Der Alltag der Belegschaft bleibt unberührt.
Wie viele Break-Glass-Konten brauche ich?
Mindestens zwei, an unterschiedlichen Orten und mit unterschiedlichen Sicherungsmethoden hinterlegt. Beide werden überwacht, sodass jede Nutzung sofort auffällt. Zwei Konten verhindern, dass ein einzelner verlorener Token oder ein einzelnes vergessenes Passwort den Notfall-Zugang unbrauchbar macht.
Weitere Anleitungen
Umsetzung durch Visgenix
Conditional Access richtig aufgesetzt
Visgenix konfiguriert diese sieben Baseline-Regeln im Managed-Microsoft-365-365°-Paket, mit Report-Only-Testlauf, Break-Glass-Konten und laufender Überwachung.