Datenschutz in Microsoft Entra ID

Microsoft Entra ID ist nicht nur der Nachfolger von Azure AD, sondern das Zentralnervensystem für Identitäten, Sicherheit und Datenschutz in deiner Cloud-Umgebung. Hier verwaltest du nicht nur Benutzer, Gruppen und Berechtigungen, sondern legst den technischen und organisatorischen Grundstein für DSGVO-Konformität, Compliance und die Abwehr von Cyberangriffen.

Doch die bloße Verfügbarkeit dieser Tools reicht nicht aus. Eine falsche Konfiguration in Bereichen wie Gruppeneinstellungen, Gerätezugriffen oder App-Berechtigungen schafft Lücken, die Angreifer gezielt ausnutzen oder die bei Audits zu Abmahnungen und Bußgeldern führen können.

Dieser Leitfaden zeigt dir, wie du Entra ID proaktiv und strukturiert einrichtest, damit Datenschutz nicht erst nach einem Vorfall thematisiert wird, sondern von Anfang an ein integrierter, lebendiger Prozess ist. So vermeidest du nicht nur Sicherheitsrisiken, sondern sorgst auch dafür, dass deine Organisation den wachsenden Anforderungen an Datenschutz und Compliance gerecht wird.

Das Dashboard ist dein Kontrollzentrum für Identitäten und Sicherheit. Hier siehst du auf einen Blick kritische Metriken wie ablaufende Client Secrets, die Anzahl der Global Admins oder verdächtige Anmeldeversuche.

Diese Daten sind kein Selbstzweck: Sie zeigen dir konkret, wo Handlungsbedarf besteht. Ein ablaufendes Client Secret blockiert plötzlich Dienste. Zu viele Global Admins erhöhen das Risiko für Missbrauch. Und unerklärliche Anmeldeversuche können auf Kompromittierungen hinweisen.

Nutze diese Einblicke proaktiv, um Fehlkonfigurationen zu erkennen, bevor sie zu Vorfällen werden. So wird das Dashboard nicht nur zur Informationsquelle, sondern zum Frühwarnsystem für deine Identitätsinfrastruktur.

» Zum Artikel: Microsoft Entra ID – Der Einstieg

Konfiguriere die Benutzereinstellungen restriktiv, um unautorisierte Datenzugriffe zu unterbinden. Sperre zuerst das Microsoft Entra Admin Center für Nicht-Administratoren. So verbirgst du die Verzeichnisstruktur und erschwerst Angreifern die Informationsbeschaffung. Deaktiviere zwingend die Möglichkeit für Standardbenutzer, eigene Unternehmensanwendungen zu registrieren oder neue Tenants zu erstellen.

Ohne diese Sperre könnten Angreifer über kompromittierte Konten schädliche OAuth-Apps einschleusen und weitreichende Berechtigungen erlangen. Limitiere zudem die externe Zusammenarbeit: Nur autorisierte Administratoren sollten neue Gäste einladen dürfen.

» Zum Artikel: Benutzereinstellungen konfigurieren

Hinter Entra-Gruppen liegen oft freigegebene SharePoint-Seiten und Dateiablagen. Um Wildwuchs und verwaiste Daten zu verhindern, musst du die Berechtigungen zur Gruppenerstellung strikt steuern. Entziehe Standardbenutzern das Recht zur freien Anlage von Microsoft 365-Gruppen und delegiere diesen Prozess an eine kontrollierte Sicherheitsgruppe.

So behält die IT die Hoheit über die Informationsarchitektur. Richte einen Lifecycle-Prozess mit einer Ablaufrichtlinie von beispielsweise 365 Tagen ein. Reagiert der Gruppenbesitzer nicht auf Verlängerungsbenachrichtigungen, entfernt das System die Gruppe unwiderruflich. Das blockiert Datenabflüsse durch verlassene Freigaben.

» Zum Artikel: Gruppeneinstellungen & Lifecycle

Um Datenschutzvorgaben bei mobilen und privaten Endgeräten zu erfüllen, härtest du den Entra-Beitritt. Setze ein striktes Limit für die maximale Geräteanzahl pro Benutzer, was die unkontrollierte Verbreitung von Unternehmensdaten eindämmt. Benutzer dürfen bei der Geräteregistrierung keine lokalen Administratorrechte erhalten. Implementiere stattdessen die Local Administrator Password Solution (Windows LAPS).

Diese generiert rotierende Passwörter und verhindert die Malware-Ausbreitung durch gestohlene Credentials. Zwinge zudem jedes Endgerät vor dem Datenzugriff in eine Compliance-Prüfung über Microsoft Intune. Nur gepatchte, verschlüsselte Geräte erhalten ein Zugriffsticket.

» Zum Artikel: Gerätesicherheit & Einstellungen

Steuere den Datenzugriff kontextbasiert über Conditional-Access-Richtlinien. Die Policy-Engine bewertet Anmeldeversuche in Echtzeit nach Standort, Anmelderisiko und Gerätestatus. Blockiere als Erstes veraltete Protokolle wie IMAP oder POP3. Diese Legacy-Authentifizierung unterstützt keine moderne Multifaktor-Authentifizierung und öffnet Tür und Tor für Passwort-Angriffe.

Weise Zugriffe aus Ländern ohne geschäftliche Relevanz direkt ab. Bei mittlerem oder hohem Anmelderisiko muss das System automatisch eine sichere, Phishing-resistente Authentifizierung erzwingen oder die Sitzung sperren. So verhinderst du Zugriffe aus unsicheren Umgebungen durch gestohlene Session-Token.

» Zum Artikel: Bedingter Zugriff einrichten

Konfiguriere Phishing-resistente Authentifizierungsverfahren wie FIDO2 oder Number Matching in der Microsoft Authenticator App. Veraltete Techniken wie SMS-Codes musst du vollständig abschalten. SMS-Verfahren basieren nicht auf kryptografischer Bindung an den Anmeldevorgang und sind durch SIM-Swapping leicht angreifbar.

Einfache Push-Meldungen ermöglichen zudem MFA-Fatigue-Angriffe. Bei diesen Angriffen senden Kriminelle massenhaft Anfragen, bis der Anwender versehentlich bestätigt. Durch Number Matching koppelst du die Bestätigung an einen sichtbaren Login-Kontext und blockierst blinde Freigaben effektiv.

» Zum Artikel: Authentifizierungsmethoden

Eine unkontrollierte Benutzereinwilligung in App-Berechtigungen öffnet den Weg für den unbemerkten Abfluss von Unternehmensdaten. Angreifer nutzen OAuth-Consent-Phishing, bei dem der Anwender selbst einer scheinbar legitimen Anwendung den Zugriff auf Daten erteilt. Deaktiviere deshalb den User Consent für alle Standardbenutzer im Entra ID Admin Center vollständig.

Implementiere stattdessen einen Admin-Consent-Workflow. Durch diesen Schritt zwingst du alle App-Freigaben in eine zentrale Sicherheitsprüfung. Administratoren bewerten das Risiko der API-Zugriffe, bevor die App auf Tenant-Daten zugreifen darf. Das verhindert eine Kompromittierung durch überprivilegierte Enterprise Apps.

» Zum Artikel: Einwilligung und Berechtigungen

Ein individuelles Unternehmensbranding der Anmeldeseite blockiert Phishing-Angriffe effektiv. Anwender erkennen gefälschte Login-Masken sofort, wenn das gewohnte Corporate Design, wie Firmenlogo oder spezifische Farben, fehlt. Lade diese visuellen Assets zentral im Entra ID Admin Center hoch. Binde zusätzlich rechtlich geforderte Links zu Impressum und Datenschutzerklärung direkt in den Anmeldeprozess ein.

Das schafft Vertrauen und sichert die Identifikation der echten Anmeldeseite ab. Trainiere deine Benutzer darauf, ihre Zugangsdaten ausschließlich auf dieser visuell verifizierten Maske einzugeben.

» Zum Artikel: Benutzerdefiniertes Branding

Die Protokolle in Microsoft Entra ID sind dein Frühwarnsystem für Sicherheitsvorfälle. Mit den Anmeldeprotokollen (Sign-in Logs) prüfst du Herkunft, Methode und Status jedes Authentifizierungsversuchs.

Unerklärliche Anmeldungen aus unbekannten Standorten oder verdächtige Geräte deuten auf Kompromittierungen hin. Die Überwachungsprotokolle (Audit Logs) dokumentieren jede administrative Änderung, von Richtlinienanpassungen bis zu Berechtigungsvergaben, und zeigen dir, wer wann welche Konfiguration modifiziert hat.

Für den Zugriff auf diese Daten benötigst du die Rolle „Sicherheitsleseberechtigter“ oder „Globaler Leser“. Die Speicherdauer hängt von der Lizenz ab: In der Free-Edition werden Logs nach 7 Tagen gelöscht, mit Entra ID P1 oder P2 verlängert sich die Aufbewahrung auf 30 Tage. Für langfristige Analysen exportierst du die Daten in einen Log Analytics Workspace oder ein SIEM-System.

» Zum Artikel: Microsoft 365 EntraID | Überwachung und Integrität

Die korrekte technische Konfiguration von Entra ID bildet lediglich das Fundament für den Schutz deiner Identitäten. Ein nachhaltiges Sicherheitsniveau erreichst du erst durch kontinuierliche Governance und automatisierte Prozesse. Du implementierst Privileged Identity Management (PIM, ab Entra ID P2), um administrative Rechte ausschließlich zeitlich begrenzt und zweckgebunden zu vergeben. Dieser Just-in-Time-Zugriff verhindert, dass kompromittierte Konten dauerhaft über weitreichende Berechtigungen verfügen.

Um das Risiko durch verwaiste Konten zu minimieren, automatisierst du die Deaktivierung von Profilen bei Mitarbeiteraustritten über Lifecycle Workflows. Parallel dazu erzwingst du durch Access Reviews eine regelmäßige Überprüfung bestehender Berechtigungen, wodurch sich ungenutzte Gastzugriffe und alte Gruppenmitgliedschaften bereinigen lassen.

Da die in Entra ID gespeicherten Protokolle je nach Lizenz nach spätestens 30 Tagen verfallen, integrierst du die Plattform zwingend mit einem SIEM-System wie Microsoft Sentinel. Durch diese Anbindung stellst du die langfristige Speicherung der Logs sicher und ermöglichst die Generierung automatisierter Alarme bei Anomalien. Meldet sich ein Anwender beispielsweise innerhalb kürzester Zeit von zwei geografisch weit entfernten Orten an, löst das System sofort eine Warnung wegen "Unmöglicher Reise" aus. Durch die Kombination aus strenger Zugriffskontrolle, automatisiertem Lifecycle-Management und lückenloser Überwachung schützt du deinen Tenant effektiv vor laufenden Bedrohungen. Sicherheit bleibt ein permanenter Prozess der Anpassung und Kontrolle.

Weitere Details zur Absicherung deiner Umgebung findest du im entsprechenden Leitfaden unter  https://phinit.de/m365-datenschutz-guide