Datenschutz in Microsoft Entra ID

Microsoft Entra ist weit mehr als nur der Nachfolger des klassischen Verzeichnisdienstes (ehemals Azure AD). Im einheitlichen Administrationsportal hast du die volle Kontrolle: Hier steuerst du Identitäten, Berechtigungen und Zugriffsrechte zentral an einem Ort.

Für dich als Administrator bedeutet das vor allem eins: Maximale Transparenz und ein massiver Gewinn an Sicherheit für deine Umgebung. Gerade im Hinblick auf den Datenschutz (DSGVO) und moderne Zero-Trust-Architekturen ist Entra das Herzstück deiner IT-Strategie.

In dieser Artikelserie führen wir dich Schritt für Schritt durch die wichtigsten Konfigurationen – von den Basics bis zur Profi-Governance.

🆕 Update: Da sich die Cloud ständig wandelt, prüfen wir diesen Guide fortlaufend. Dennoch ist der Blick in die offizielle Microsoft-Dokumentation Pflicht, um bei kritischen Änderungen auf dem neuesten Stand zu bleiben.

📅 Stand | 23.12.2025

Entra Admin Center

Die Startseite des Microsoft Entra Admin Centers liefert dir schnelle Einblicke (z. B. ablaufende Client-Secrets oder Anzahl der Global Admins), praxisnahe Empfehlungen und Verknüpfungen zu Lernmodulen.

Nutze diese Dashboards aktiv, um den Datenschutz in deiner Organisation nicht nur zu verwalten, sondern nachhaltig zu stärken.

» Zum Artikel: Microsoft Entra ID – Der Einstieg

Benutzereinstellungen

Die Verwaltung von Benutzerberechtigungen ist oft eine Gratwanderung: Gibst du zu viel frei, entstehen Sicherheitslücken. Beschränkst du zu stark, leidet die Produktivität und deine Mailbox quillt über vor Tickets.

Wir konfigurieren die drei wichtigsten Bereiche: Die Internen Berechtigungen, die Externe Zusammenarbeit (Gäste) und die Benutzerfeatures.

» Zum Artikel: Benutzereinstellungen konfigurieren

Gruppeneinstellungen

Effektive Kontrollmechanismen sind bei der Verwaltung von Gruppen unerlässlich. Eine „Gruppe“ ist selten nur eine Liste von Namen – dahinter hängen oft Teams, SharePoint-Seiten und ganze Dateiablagen. Ohne Pflege entstehen hier massive Datenschutzrisiken (Schatten-IT, verwaiste Daten).

Wir klären drei Dinge: Die Erstellung (Wer darf?), das Ende (Wann wird gelöscht?) und die Ordnung (Welche Namen sind tabu?).

» Zum Artikel: Gruppeneinstellungen & Lifecycle

Geräteeinstellungen und Sicherheit

Geräte sind der neue Sicherheits-Perimeter. Egal ob Firmenlaptop oder privates Smartphone (BYOD) – sobald ein Gerät auf deine Daten zugreift, muss es verwaltet sein. In diesem Artikel härten wir den „Beitritt“ von Geräten und sorgen dafür, dass Benutzer nicht versehentlich zu vollen Administratoren auf ihren PCs werden – ein wesentlicher Schritt zur DSGVO-Konformität.

» Zum Artikel: Gerätesicherheit & Einstellungen

Bedingter Zugriff

Mit dem Bedingten Zugriff definierst du präzise Leitplanken: Der Zugriff auf Unternehmensdaten erfolgt nicht mehr pauschal, sondern kontextbasiert. Das „Wenn-Dann“-Prinzip für deine Sicherheit: Zugriff auf sensible Daten wird beispielsweise nur gewährt, wenn das Gerät verwaltet ist und der Benutzer sich sicher authentifiziert hat. Das ist essenziell für die Einhaltung strenger Datenschutzvorgaben.

» Zum Artikel: Bedingter Zugriff einrichten

Authentifizierungsmethoden

Wenn der Bedingte Zugriff der Türsteher ist, dann sind die Authentifizierungsmethoden die Ausweise deiner Benutzer. Die Zeiten, in denen ein einfaches Passwort reichte, sind vorbei. Wir konfigurieren, wie sich deine Benutzer anmelden dürfen. Wir setzen auf moderne, Phishing-resistente Verfahren (wie FIDO2 oder Number-Matching) und schalten veraltete, unsichere Techniken wie SMS ab.

» Zum Artikel: Authentifizierungsmethoden

APPS – Einwilligung & Berechtigungen

Unbedachte App-Freigaben sind ein massives Risiko: Ein schneller Klick auf „Akzeptieren“, und schon fließen Unternehmensdaten an Drittanbieter ab. Indem du die Benutzereinwilligung einschränkst und durch einen Admin-Workflow ersetzt, stoppst du Schatten-IT effektiv an der Wurzel. So behältst du die volle Kontrolle über die Anwendungslandschaft.

» Zum Artikel: Einwilligung und Berechtigungen

Unternehmensbranding & Anmelde-Optik

Vertrauen beginnt beim Login. Ein individuelles Branding ist weit mehr als nur Ästhetik – es ist eine effektive Maßnahme gegen Phishing. Wenn Nutzer ihr gewohntes Firmenlogo sehen, fallen gefälschte Standard-Login-Masken sofort auf. In diesem Schritt konfigurieren wir das Corporate Design und integrieren die rechtlich geforderten Links zu Impressum und Datenschutz direkt in den Anmeldeprozess.

» Zum Artikel: Benutzerdefiniertes Branding

Überwachung und Integrität

Eine saubere Konfiguration ist nur die halbe Miete – im operativen Alltag musst du wissen, was in deinem Tenant passiert. Wenn eine Anmeldung fehlschlägt oder eine „Bedingter Zugriff“-Richtlinie unerwartet greift, sind die Protokolle deine erste Anlaufstelle für das Troubleshooting.

Wir schauen uns die zwei wichtigsten Säulen an:

1. Anmeldeprotokolle (Sign-in Logs): Wer hat sich wann, von wo und womit angemeldet? War der Zugriff erfolgreich oder wurde er blockiert?
2. Überwachungsprotokolle (Audit Logs): Wer hat Änderungen am Tenant vorgenommen (z. B. Nutzer erstellt, Gruppen geändert, Richtlinien angepasst)?

Wichtig für deine Planung (Lizenzen & Rollen): Um Zugriff auf diese Logs zu erhalten, benötigst du mindestens die Rolle „Sicherheitsleseberechtigter“ oder „Globaler Leser“. Beachte zudem die Aufbewahrungsfristen: In der Free-Edition speichert Microsoft die Logs nur für 7 Tage. Ab einer P1/P2-Lizenz hast du Zugriff auf die letzten 30 Tage und kannst die Daten für eine Langzeitarchivierung exportieren.

Im Detail-Artikel zeigen wir dir, wie du die Logs richtig liest und Fehleranalysen effizient durchführst.

» Zum Artikel: Microsoft 365 EntraID | Überwachung und Integrität

WEITERE ÜBERLEGUNGEN

– Governance und Monitoring

Die bisherigen Einstellungen härten deinen Tenant gegen Angriffe. Doch Sicherheit ist kein einmaliges Projekt, sondern ein Dauerzustand. Wie stellst du sicher, dass Berechtigungen über Jahre hinweg sauber bleiben?

Hier kommen die „Advanced“-Themen der Identity Governance:

1. Privileged Identity Management (PIM) (Lizenzbedarf: Entra ID P2) Der dauerhafte „Globale Administrator“ ist ein enormes Risiko.

• Die Lösung: Mit PIM vergibst du Admin-Rechte nur „Just-in-Time“ (auf Abruf) und zeitlich begrenzt.
• Der Mehrwert: Jeder Admin-Zugriff wird protokolliert und muss begründet werden.

2. Lifecycle Workflows & Access Reviews Mitarbeiter kommen und gehen. Oft bleiben alte Berechtigungen bestehen („Leichen“).

• Lebenszyklus-Workflows: Automatisiere den „Leaver“-Prozess (Deaktivierung bei Austritt).
• Access Reviews: Fordere Manager regelmäßig automatisch auf, die Zugriffe ihrer Mitarbeiter zu bestätigen.

3. Monitoring & SIEM-Integration Entra ID speichert Logs standardmäßig nur 30 Tage.

• Die Strategie: Verbinde Entra ID mit einem SIEM (wie Microsoft Sentinel) oder einem Log Analytics Workspace, um Daten über Jahre vorzuhalten und Alarme bei Anomalien (z. B. „Unmögliche Reise“) zu generieren.

Sicherheit als Prozess

Die technische Konfiguration ist das Fundament. Doch erst durch regelmäßige Überprüfungen (Audits), saubere Prozesse für Ein- und Austritte (JML) und eine lückenlose Überwachung wird der Datenschutz lebendig. Nutze die Dashboards im Entra Admin Center nicht nur zur Konfiguration, sondern als tägliches Cockpit für den Gesundheitszustand deiner Identitäten.

weitere Links

• https://phinit.de/ms365-phinit-sites/ms365-dsgvo-datenschutzfuehrer/

This post is also available in: Deutsch English