Defend · Conditional Access
Microsoft 365
In Microsoft 365 ist Conditional Access ein Satz von Richtlinien in Microsoft Entra ID. Das sind die, die wir setzen, und die Reihenfolge, in der wir sie einschalten.
Richtlinien, kein einzelner Schalter.
Microsoft 365 kommt mit Sicherheitsstandards: ein zweiter Faktor für alle, für Admin-Rollen bei jeder Anmeldung, und veraltete Anmeldeverfahren gesperrt. Was sie nicht können, sind Bedingungen: nichts nach Gerät, Ort oder Anwendung, keine Ausnahmen und kein Beobachtungsmodus, der zeigt, was eine Regel stoppen würde, bevor sie jemanden stoppt. Conditional Access in Microsoft Entra ID löst die Standards durch benannte Richtlinien ab, von denen jede sagt, für wen sie gilt, unter welchen Bedingungen und was sie verlangt. Die Regeln selbst stehen auf der Seite zu Conditional Access; diese Seite zeigt, wie sie in Entra ID aussehen und in welcher Reihenfolge sie scharf gehen.
Die Richtlinien
Die Richtlinien, mit denen wir anfangen.
Fünf Richtlinien, und die Reihenfolge, in der sie scharf gehen. Was Ihr Unternehmen darüber hinaus braucht, legen wir mit Ihnen fest und halten es schriftlich fest.
-
Fünf Richtlinien, so wie Entra ID sie nennt
Multi-Faktor-Authentifizierung für alle Nutzer; für Admin-Rollen bei jeder Anmeldung; veraltete Anmeldeverfahren gesperrt; ein konformes Gerät für Unternehmensdaten; Anmeldung nur von benannten Standorten. Jede wird so exportiert, wie sie gesetzt ist, mit Datum, und der Export kommt in Ihre Nachweismappe.
-
Veraltete Anmeldeverfahren im ganzen Tenant gesperrt
Die Sperre trifft die älteren Protokolle, die keinen zweiten Faktor abfragen können. So öffnet ein Passwort allein nichts, egal in welcher Anwendung es eingetippt wird. Bevor sie scharf geht, zeigt das Anmeldeprotokoll, welche Geräte und Postfächer sie noch nutzen, und die werden zuerst umgestellt.
-
Benannte Standorte
Ihre Büros und die Länder, aus denen Ihre Leute arbeiten, sind in Entra ID benannte Standorte, nach Adressbereich oder nach Land, und die Ortsregel verweist darauf. Eine Reise ist ein Eintrag mit Anfangs- und Enddatum, keine abgeschaltete Richtlinie.
-
Die Lizenzstufe, die es braucht
Conditional Access gehört zu einer Entra-ID-Stufe, die nicht in jedem Microsoft-365-Plan enthalten ist. Wir prüfen, auf welchem Plan Ihre Lizenzen laufen, bevor die erste Richtlinie scharf geht. So scheitert keine Regel an einer Lizenz.
-
Notfallzugang zuerst, und aus jeder Regel heraus
Bevor die erste Richtlinie scharf geht, wird ein Notfallzugang eingerichtet: aus jeder Regel ausgenommen, die Zugangsdaten im Tresor, jede Anmeldung damit löst eine Meldung aus. Über ihn kommen wir wieder hinein, falls eine Richtlinie je alle anderen aussperrt.
-
Die Reihenfolge beim Einschalten
Jede Richtlinie läuft zuerst im Beobachtungsmodus. Wir lesen, was sie gestoppt hätte, dann schalten wir sie ein: zuerst für Admins, dann für alle, und Geräteregeln erst, wenn jeder Laptop registriert ist.
Schriftlich festgehalten
Schriftlich festgehalten für Microsoft 365.
- Jede Richtlinie, exportiert so, wie sie gesetzt ist, mit Datum
- Die benannten Standorte und die Geräteregeln
- Die Ausnahmen, jede mit Grund, Verantwortlichem und Prüfdatum
- Der Anmeldebericht, den Entra ID führt, für die Frage eines Versicherers oder Mandanten
Was wir in übernommenen Tenants finden.
-
Sicherheitsstandards aus, nichts an ihrer Stelle
Jemand hat die Standards abgeschaltet, um eine Ausnahme zu machen. Der zweite Faktor ging mit.
-
Richtlinien seit einem Jahr im Beobachtungsmodus
Einmal eingerichtet, nie eingeschaltet. Der Bericht zeigt, was hätte gestoppt werden müssen.
-
Eine Richtlinie, die alle Wichtigen ausnimmt
So viele Ausnahmen, dass genau die Leute mit dem meisten Zugriff nicht darunterfallen.
Häufige Fragen
Wir haben die Sicherheitsstandards schon an. Reicht das nicht?
Die Sicherheitsstandards geben allen einen zweiten Faktor, verlangen ihn von Admins bei jeder Anmeldung und sperren veraltete Anmeldeverfahren, und das ist ein guter Anfang. Sie können aber keine Bedingung nach Gerät, Ort oder Anwendung setzen, keine Ausnahme zulassen und nicht zuerst im Beobachtungsmodus laufen. Conditional Access kann das, und es löst die Standards ab. Darum wird der Wechsel geplant, nicht einfach umgelegt.
Wie lange dauert das Einschalten?
Die Richtlinien selbst sind schnell gesetzt. Zeit brauchen der Beobachtungsmodus und die Geräte: Jeder Laptop muss registriert sein, bevor eine Geräteregel scharf geht, sonst sperrt sie genau die Leute aus, die sie schützen soll. Diese Reihenfolge planen wir mit Ihnen.
Kann uns eine Richtlinie aus dem eigenen Tenant aussperren?
Das kann sie. Deshalb wird ein Notfallzugang eingerichtet, bevor die erste Richtlinie scharf geht, aus jeder Regel herausgehalten und überwacht. Admins zuerst, Beobachtungsmodus zuerst, dann alle: Die Reihenfolge hält die Tür offen.
Start
Was sagen Ihre Richtlinien heute?
Im Erstgespräch sehen wir uns die Richtlinien Ihres Tenants an, wie sie sind: was im Beobachtungsmodus steht und welche Konten durchfallen.
- Kein First Level
- Keine Überraschungen
- Erst testen, dann entscheiden