In den Microsoft-365-Tenants, die wir übernehmen, ist Conditional Access meistens eingeschaltet. Er besteht dann aus einer Richtlinie, die MFA verlangt, und aus einer Ausnahmegruppe, in der über die Jahre ein halbes Dutzend Konten gelandet sind. Bei einzelnen davon weiss niemand mehr, warum sie drin stehen.
Das ist kein Nachlässigkeitsproblem. Conditional Access im KMU scheitert selten am Einrichten. Er scheitert daran, dass danach jemand die Ausnahmen verantworten muss, und diese Rolle ist in einem Betrieb mit 20 bis 150 Mitarbeitenden meistens nicht vergeben.
Conditional Access steckt in Microsoft 365 Business Premium und ist in vielen KMU-Tenants halb konfiguriert. Der Aufwand liegt nicht im Erstellen der Richtlinien, sondern im laufenden Entscheid über Ausnahmen. Fast jede Panne hinterlässt eine, und wegräumen tut sie selten jemand. Risikobasierte Richtlinien sind in Business Premium ohnehin nicht enthalten. Dagegen hilft selten eine zusätzliche Regel. Es hilft ein Termin im Quartal und jemand, der ihn verantwortet.
Was macht Conditional Access überhaupt?
Conditional Access ist die Zugriffskontrolle von Microsoft Entra ID. Microsoft beschreibt die Richtlinien im Kern als if-then-Anweisungen für den bedingten Zugriff: wer auf eine Ressource zugreifen will, muss dafür eine Bedingung erfüllen. Die Bedingungen kommen aus Signalen wie Benutzer, Standort, Gerät, Anwendung und Risiko. Am Ende steht eine von drei Entscheidungen: sperren, gewähren, oder gewähren unter Auflagen.
Die Auflagen machen den Unterschied zu einem reinen Passwort: ein zweiter Faktor, ein als konform gemeldetes Gerät oder eine verlangte Authentifizierungsstärke. Du kaufst dabei nichts. Du schreibst eine Reihe von Entscheidungen in deinem Tenant fest, und sie gelten für alle, die du nicht ausnimmst.
Eine Eigenschaft steht in derselben Dokumentation und wird in Verkaufsgesprächen gern weggelassen: Richtlinien für bedingten Zugriff greifen erst, wenn die erste Authentifizierung abgeschlossen ist. Microsoft hält ausdrücklich fest, dass bedingter Zugriff nicht als vorderste Verteidigungslinie gedacht ist. Die Richtlinie entscheidet über das, was nach dem Passwort kommt.
Warum bleibt Conditional Access in vielen KMU auf Standard?
Weil die erste strenge Richtlinie jemanden aussperrt, und meistens die falsche Person im falschen Moment. Danach korrigiert selten jemand die Richtlinie. Stattdessen trägt er eine Ausnahme ein, weil das schneller geht, als die Richtlinie zu verstehen. Die Ausnahme bleibt dann drin, auch wenn ihr Grund weggefallen ist.
Für das technische Risiko gibt es den Report-only-Modus, bei Microsoft "Nur melden": die Richtlinie läuft mit und protokolliert, blockiert aber nichts. Damit siehst du vor dem Scharfstellen, wen sie treffen würde. Das organisatorische Risiko löst kein Modus. Irgendwann muss jemand entscheiden, dass für die Geschäftsleitung dieselben Regeln gelten wie für den Lehrling, und diese Entscheidung ist unbequem, egal welche Software im Haus ist.
Dort bleibt das Härten im KMU stehen: beim ersten Widerspruch gegen die Richtlinie, nicht beim Entwurf.
Dass eine Richtlinie gelockert wurde, schreibt kaum jemand auf. Lockern tut sie trotzdem jemand, meistens die Person, die gerade den Anruf bekommt. Deshalb hält eine mittelstrenge Richtlinie, die jemand pflegt, länger als eine strenge, die niemandem gehört.
Welche Entscheidungen eine Richtlinie festhält
Die Zahl der Richtlinien sagt wenig. Die Entscheidungen darunter zählen, und die stehen in jedem Tenant, ob du sie bewusst getroffen hast oder nicht.
| Entscheidung | Was dahinter steht | Was sie im Betrieb kostet |
|---|---|---|
| Wer | Gilt eine Regel für alle oder nur für Konten mit Rechten | Jede Ausnahme braucht einen Eigentümer und ein Ablaufdatum |
| Woher | Zugriff aus beliebigen Netzen und Ländern, oder eingeschränkt | Rückfragen von Leuten, die unterwegs arbeiten |
| Womit | Beliebiges Gerät oder nur ein verwaltetes | Die Geräteverwaltung muss laufen, privat genutzte Handys werden zum Thema |
| Wie stark | Passwort plus Code, oder phishing-resistente Verfahren | Beschaffung und Einführung, danach weniger Supportaufwand |
Jede Zeile ist eine Risikoentscheidung und keine Konfiguration. Deshalb gehört sie nicht allein der IT. Wenn die Geschäftsleitung nicht weiss, dass sie den Zugriff aus beliebigen Ländern erlaubt, hat sie ihn nicht entschieden, sondern geerbt.
Eine Entscheidung fehlt in der Tabelle, weil sie keine Menschen betrifft: ältere Authentifizierungsprotokolle, die keinen zweiten Faktor kennen. Microsoft führt das Blockieren solcher Anmeldungen in der oben verlinkten Übersicht als eines der häufig verwendeten Muster. Menschen mit aktuellen Office-Apps merken davon nichts. Geräte schon. Oft hängt ein Multifunktionsdrucker oder ein altes Branchenprogramm daran, und dann wird aus einer Regel ein Beschaffungstermin.
Was kann Conditional Access mit Business Premium nicht?
Risikobasierte Richtlinien kann es nicht. In den Lizenzanforderungen von Microsoft steht, dass bedingter Zugriff Entra ID P1 braucht und dass Kunden mit Microsoft 365 Business Premium die Funktionen nutzen können. Richtlinien, die auf Anmelderisiko oder Benutzerrisiko reagieren, brauchen jedoch Microsoft Entra ID Protection, und das ist ein Feature von P2.
Praktisch heisst das: Die Richtlinie, die sich ein KMU vorstellt, wenn ein Anbieter "adaptiv" sagt, ist in der Lizenz nicht enthalten. Übrig bleiben statische Bedingungen, weniger elegant. Für ein Büro mit festen Standorten und bekannten Geräten deckt das den grössten Teil dessen ab, was im Jahr vorkommt. Wer dir risikobasierten Zugriff auf Business Premium anbietet, verkauft eine Lizenzstufe mit oder hat nicht nachgesehen.
So sieht das in einer Immobilienverwaltung mit 50 Mitarbeitenden aus
Der Betrieb läuft vollständig auf Microsoft 365 mit Business Premium. Den Support macht ein externer IT-Partner, intern kümmert sich eine Person mit Teilpensum um Beschaffung und Anwendungen. Conditional Access war aktiv: eine Richtlinie, MFA für alle, dazu eine Ausnahmegruppe mit sieben Konten.
Die sieben hatten einmal gute Gründe. Zwei davon gehörten der Geschäftsleitung, weil der Code auf dem Handy bei Besichtigungen störte. Eines war die Schnittstelle zur Buchhaltung, die keinen zweiten Faktor beherrscht, dazu kamen ein Tablet im Hausdienst und ein Testkonto aus der Einführung. Die letzten zwei gehörten Personen, die den Betrieb vor über einem Jahr verlassen hatten, deaktiviert zwar, aber noch in der Gruppe.
Wir haben dort keine einzige neue Richtlinie gebaut. Jede Ausnahme bekam drei Angaben: einen Grund, einen Namen, ein Ablaufdatum. Vier der sieben verschwanden innerhalb von zwei Wochen, weil der Grund nicht mehr existierte. Die Buchhaltungsschnittstelle bekam einen technischen Ersatz ohne Dauerausnahme. Die beiden Konten der Geschäftsleitung blieben vorerst drin, jetzt aber als befristeter Entscheid mit Datum, getroffen von der Geschäftsleitung selbst. Beim nächsten Ablaufdatum muss sie erneut entscheiden.
Der Tenant war danach nicht strenger konfiguriert als vorher. Er war zum ersten Mal erklärbar.
Die zwei Konten, die draussen bleiben müssen
Je strenger die Richtlinien, desto wichtiger wird ein Detail, dem Microsoft eine eigene Anleitung widmet: Konten für den Notfallzugriff. Empfohlen sind mindestens zwei davon, und der heikle Teil ist nicht ihre Einrichtung. Es ist eine Bedingung, die leicht untergeht: Diese Konten müssen von Richtlinien ausgenommen sein, die die Anmeldung blockieren oder einschränken. Der Grund ist unspektakulär. Eine Richtlinie, die MFA oder ein konformes Gerät verlangt, kann genau in dem Notfall sperren, für den das Konto existiert.
Microsoft empfiehlt ausserdem, mindestens alle 90 Tage zu prüfen, ob sich diese Konten mit der aktuellen Konfiguration noch anmelden können. Diesen Test macht in unserer Erfahrung kaum jemand. Entweder existiert kein Notfallkonto, oder es existiert eines und das Passwort liegt im privaten Passwortmanager der Person, die gerade in den Ferien ist.
Der Preis ist ein Termin, kein Lizenzgeld
Lizenzgeld kostet die Pflege nichts, die Funktion ist in Business Premium schon bezahlt. Du bezahlst mit einem Termin pro Quartal, an dem jemand die Ausnahmeliste durchgeht, und mit der Bereitschaft der Geschäftsleitung, dabei über eigene Konten zu sprechen. Beides klingt billiger, als es sich im Kalender anfühlt.
Dafür braucht es keinen Anbieter. Es braucht einen Namen auf der Liste und ein Datum, an dem jemand fragt. Wo beides fehlt, weicht die beste Richtlinie mit jedem Zwischenfall weiter auf.
Was Conditional Access nicht leistet
Eine Zugriffsrichtlinie verhindert Anmeldungen. Erkennen gehört nicht zu ihren Aufgaben. Die Richtlinie entscheidet im Moment des Anmeldens und ist danach fertig. Was jemand mit einer gültigen Sitzung im Postfach anstellt, welche Weiterleitungsregel er setzt, welche Datei er herunterlädt, steht in Defender und in den Protokollen von Microsoft 365. Wie das abläuft, haben wir am Beispiel eines kompromittierten Kontos in Microsoft 365 aufgeschrieben.
Härten und Hinschauen sind zwei Aufgaben, und keine davon hört auf. Welche Sicherheitsfunktionen in deiner Lizenz dafür schon bezahlt sind, steht in unserem Beitrag zu den Sicherheitsfunktionen von Business Premium. Ob sich ein eigener Betrieb davon in deiner Grösse lohnt oder ob eine saubere Übergabe an den bestehenden IT-Partner reicht, ist eine Frage der Dimensionierung. Unsere Passt- und Passt-nicht-Kriterien stehen offen auf der Startseite, inklusive der Fälle, in denen wir abraten.
Eine Sache haben wir selbst nicht gelöst. Den Quartalstermin setzt dieselbe Person an, die beim nächsten Zwischenfall unter Druck die Ausnahme einträgt. Wir haben noch keinen Betrieb in dieser Grösse gesehen, in dem das über Jahre ohne Erinnerung von aussen hält. Wenn du einen kennst, würden wir gern wissen, wie er das macht.
Häufige Fragen
Sperrt Conditional Access unsere Leute aus?
Eine falsch gesetzte Richtlinie kann das. Darum gibt es den Report-only-Modus, in dem eine Richtlinie zuerst nur protokolliert, und darum gehören Notfallkonten von blockierenden Richtlinien ausgenommen. Das grössere Risiko liegt im Nachher. Wer die Ausnahmen nicht pflegt, hat irgendwann eine Regel, die für einen Teil der Geschäftsleitung nicht mehr gilt.
Reicht MFA für alle nicht?
MFA ist die wirksamste einzelne Massnahme, die in Business Premium schon enthalten ist, und sie gilt für jedes Konto, hinter dem ein Mensch steht. MFA entscheidet aber nur, wer sich anmeldet. Von welchem Gerät, aus welchem Netz und mit welcher Stärke, das sind weitere Entscheidungen. Diese Entscheidungen hält eine Zugriffsrichtlinie fest.
Brauchen wir Intune, damit Conditional Access etwas nützt?
Nur für Bedingungen, die sich auf den Zustand des Geräts beziehen. Wenn eine Richtlinie ein als konform gemeldetes Gerät verlangen soll, braucht es eine Geräteverwaltung, die diesen Zustand meldet. Intune ist in Business Premium enthalten. Bedingungen zu Benutzer, Anwendung und Standort funktionieren auch ohne.