Security & Compliance

Identity Protection und Identity Governance

Overview

Microsoft Entra ID Protection erkennt identitätsbezogene Risiken wie Anmeldungen von anonymen IP-Adressen, Password-Spray-Angriffe, auffällige Token oder in Datenlecks aufgetauchte Anmeldeinformationen. Daraus berechnet es ein Anmelderisiko pro Anmeldung und ein Benutzerrisiko pro Konto in den Stufen niedrig, mittel und hoch. Conditional Access kann darauf reagieren, etwa mit MFA, sicherer Kennwortänderung oder Sperre.

Microsoft Entra ID Governance ergänzt den Ordnungsteil: Berechtigungsverwaltung (Entitlement Management) mit Zugriffspaketen, Zugriffsüberprüfungen (Access Reviews), Lebenszyklus-Workflows für Joiner, Mover und Leaver sowie Privileged Identity Management. PIM ist im Eintrag Privileged Access Management beschrieben.

Wichtige Änderung: Die klassischen Risikorichtlinien direkt in ID Protection werden am 1. Oktober 2026 eingestellt. Risikobasierte Steuerung läuft danach nur noch über Conditional Access. Außerdem gibt es die Microsoft Entra Suite, die ID Protection und ID Governance zusammen mit Private Access, Internet Access und Verified ID bündelt.

How it works

Beide Bereiche arbeiten mit unterschiedlichen Signalen:

  1. ID Protection bewertet Anmeldungen in Echtzeit und nachgelagert (offline) anhand von Microsoft-Bedrohungsdaten. Berichte zeigen riskante Benutzer, riskante Anmeldungen und Risikoerkennungen.
  2. Risikobasierte Conditional-Access-Richtlinien verlangen z. B. bei mittlerem Anmelderisiko MFA und bei hohem Benutzerrisiko eine sichere Kennwortänderung. Erfüllt der Benutzer die Bedingung, wird das Risiko automatisch behoben.
  3. Risikodaten lassen sich per Graph, an Microsoft Sentinel oder Log Analytics exportieren. Für den Bericht zu kompromittierten Anmeldeinformationen muss bei Hybrid-Konten die Kennwort-Hash-Synchronisierung aktiv sein.
  4. Berechtigungsverwaltung bündelt Gruppen, Teams, Apps und SharePoint-Websites in Zugriffspakete mit Genehmigung, Ablaufdatum und optional externen Partnerorganisationen.
  5. Zugriffsüberprüfungen lassen Vorgesetzte, Besitzer oder Benutzer selbst regelmäßig bestätigen, ob Zugriffe noch nötig sind. Lebenszyklus-Workflows führen Aufgaben anhand von Attributen wie employeeHireDate automatisch aus.

Benefits

  • Automatische Reaktion auf kompromittierte Konten, bevor ein Admin den Vorfall bemerkt
  • Weniger angesammelte Rechte, weil Zugriffspakete ablaufen und Überprüfungen ungenutzte Zugriffe entfernen
  • Selbstbedienung für Zugriffsanträge mit Genehmigung entlastet die IT von Einzelfreigaben
  • Nachweise für Audits nach ISO 27001 oder NIS2, wer wann welche Zugriffe bestätigt hat

Practical example

Ein Finanzdienstleister mit 300 Mitarbeitenden nutzt Microsoft 365 E5. Eine Conditional-Access-Richtlinie verlangt bei mittlerem und hohem Anmelderisiko MFA, bei hohem Benutzerrisiko eine sichere Kennwortänderung. Die bisherigen Risikorichtlinien in ID Protection wurden vor dem 1. Oktober 2026 dorthin migriert. Externe Prüfer und Dienstleister erhalten Zugriff nur über Zugriffspakete mit 90 Tagen Laufzeit, Abteilungsleiter bestätigen Teams-Mitgliedschaften vierteljährlich.

Things to keep in mind

  • Bestehende Risikorichtlinien aus ID Protection nach Conditional Access migrieren, die alten Richtlinien enden am 1. Oktober 2026
  • Risikorichtlinien zuerst im Modus Nur Bericht testen und Fehlalarme, etwa durch VPN-Anbieter, auswerten
  • Lizenzen für alle betroffenen Benutzer prüfen: Ohne P2 sehen Admins Risikoberichte nur eingeschränkt
  • Zugriffspakete und Überprüfungen mit den Fachbereichen planen, sonst werden Bestätigungen gedankenlos durchgeklickt
  • Datenschutz und Betriebsrat bei der Auswertung von Anmelderisiken und Benutzerverhalten einbinden

Licensing & availability

ID Protection erfordert Entra ID P2 für Risikorichtlinien und vollständige Berichte (P2 z. B. in Microsoft 365 E5/E7, Microsoft Defender Suite, EMS E5). Mit Free und P1 sind Risikoberichte nur eingeschränkt sichtbar. Entra ID Governance ist ein eigener Plan, P2 enthält nur einen Teil der Funktionen. Die Entra Suite (P1 vorausgesetzt) enthält ID Governance und ID Protection, Microsoft 365 E7 enthält die Entra Suite. Governance für Gäste wird nach monatlich aktiven Benutzern über ein Azure-Abonnement abgerechnet. Stand: Oktober 2026.

Conclusion

Schutz und Ordnung der Identitäten gehören zusammen. Beginne mit risikobasierter MFA über Conditional Access und regelmäßigen Zugriffsüberprüfungen für Gäste und privilegierte Gruppen.

Further reading

Related articles