Security & Compliance

Conditional Access (Bedingter Zugriff)

Overview

Conditional Access (deutsch Bedingter Zugriff) ist die Zero-Trust-Richtlinien-Engine von Microsoft Entra ID. Jede Richtlinie ist eine Wenn-dann-Regel: Wenn ein Benutzer auf eine Ressource zugreifen will, dann muss er eine Bedingung erfüllen, etwa MFA, ein konformes Gerät oder eine bestimmte Authentifizierungsstärke. Richtlinien greifen nach der ersten Anmeldestufe und ersetzen keinen Schutz gegen Denial-of-Service.

Typische Richtlinien verlangen MFA für alle Benutzer, phishingresistente Anmeldung für Admins, blockieren Legacy-Authentifizierung und Device Code Flow oder erlauben Downloads aus SharePoint nur auf verwalteten Geräten.

Microsoft legt in berechtigten Tenants zusätzlich Microsoft-verwaltete Richtlinien an, zunächst im Modus Nur Bericht. Bleiben sie dort, schaltet Microsoft sie frühestens 30 Tage später ein. Außerdem erscheinen zwei Richtlinien des Baseline Security Mode aus dem Microsoft 365 Admin Center ebenfalls in der Conditional-Access-Liste.

Abgrenzung: Security Defaults sind ein fester, kostenloser Basisschutz ohne eigene Regeln. Wer Conditional Access nutzt, schaltet Security Defaults ab.

How it works

Eine Richtlinie besteht aus Zuweisungen und Zugriffssteuerungen:

  1. Zuweisungen: Benutzer, Gruppen, Rollen, Gäste und (in Vorschau) Agenten, Zielressourcen wie Office 365 oder einzelne Apps, Benutzeraktionen und Authentifizierungskontexte.
  2. Bedingungen: Benutzer- und Anmelderisiko aus ID Protection, Geräteplattform, Standorte (IP-Bereiche, Länder), Client-Apps, Gerätefilter und Authentifizierungsflüsse.
  3. Gewähren oder Blockieren: Erlauben mit MFA, Authentifizierungsstärke, konformem oder hybrid verbundenem Gerät, App-Schutzrichtlinie, Kennwortänderung oder Nutzungsbedingungen.
  4. Sitzungssteuerung: Anmeldehäufigkeit, persistente Browsersitzung, App-erzwungene Einschränkungen, Defender for Cloud Apps, Token Protection.
  5. Modi: Ein, Aus und Nur Bericht. Das What-If-Werkzeug zeigt vorab, welche Richtlinien für einen Anmeldeversuch gelten würden. Laufen die Lizenzen aus, bleiben Richtlinien bestehen, lassen sich aber nicht mehr ändern.

Benefits

  • Fein steuerbare Zugriffsentscheidungen statt pauschaler Regeln, z. B. MFA nur außerhalb vertrauenswürdiger Standorte
  • Zentrale Durchsetzung von MFA, Gerätekonformität und Authentifizierungsstärken für alle Cloud-Apps
  • Blockieren von Legacy-Authentifizierung schließt einen der häufigsten Angriffswege für Password Spray
  • Modus Nur Bericht und What-If reduzieren das Risiko, sich oder Benutzer auszusperren

Practical example

Ein Ingenieurdienstleister mit 230 Mitarbeitenden führt in vier Wochen fünf Richtlinien ein: MFA für alle, phishingresistente MFA für Admins, Blockieren von Legacy-Authentifizierung, Zugriff auf Microsoft 365 nur von konformen oder hybrid verbundenen Geräten und eingeschränkter Browserzugriff ohne Download für nicht verwaltete Geräte. Jede Richtlinie läuft zuerst eine Woche im Modus Nur Bericht. Die Auswertung zeigt drei alte Scanner mit SMTP-Basisauthentifizierung, die vor dem Einschalten umgestellt werden.

Things to keep in mind

  • Jede neue Richtlinie zuerst im Modus Nur Bericht testen und die Anmeldeprotokolle auswerten
  • Notfallkonten aus allen sperrenden Richtlinien ausnehmen, auch aus Microsoft-verwalteten, und ihre Anmeldungen alarmieren
  • Microsoft-verwaltete Richtlinien aktiv prüfen, statt sie nach 30 Tagen automatisch einschalten zu lassen
  • Richtlinien nach einem festen Schema benennen und dokumentieren, damit Konflikte nachvollziehbar bleiben
  • Für alle betroffenen Benutzer passende Lizenzen sicherstellen, risikobasierte Bedingungen nur mit P2

Licensing & availability

Conditional Access erfordert Entra ID P1, enthalten in Microsoft 365 Business Premium, E3, E5, E7, F1/F3 und EMS E3. Risikobasierte Richtlinien (Anmelde- und Benutzerrisiko) benötigen Entra ID P2 bzw. ID Protection, z. B. in Microsoft 365 E5 oder der Entra Suite. Conditional Access für Workload Identities erfordert eine eigene Workload-ID-Lizenz. Stand: Oktober 2026.

Conclusion

Conditional Access gehört in jeden Tenant mit Entra ID P1. Starte mit wenigen klaren Richtlinien im Berichtsmodus und baue erst nach Auswertung der Protokolle aus.

Further reading

Related articles