Support & Automatisierung

Entitlement Management (Berechtigungsverwaltung)

Allgemeine Infos

Entitlement Management (deutsch Berechtigungsverwaltung) ist eine Funktion von Microsoft Entra ID Governance. Sie fasst die Ressourcen, die ein Team oder Projekt braucht, zu Zugriffspaketen (Access Packages) zusammen: Sicherheitsgruppen, Microsoft-365-Gruppen und Teams, Unternehmensanwendungen und SharePoint-Online-Sites. Benutzer beantragen ein Paket im My-Access-Portal, Genehmiger entscheiden, und die Zuweisung endet automatisch nach der festgelegten Dauer.

Microsoft adressiert damit drei typische Probleme: Mitarbeitende wissen oft nicht, welche Zugriffe sie brauchen und wer sie genehmigt. Einmal vergebene Rechte bleiben länger als nötig. Und bei der Zusammenarbeit mit Partnern weiß niemand genau, welche externen Personen worauf zugreifen. Über verbundene Organisationen (Connected Organizations) beantragen externe Benutzer Pakete selbst, ihr Gastkonto entsteht erst mit der Genehmigung und kann nach Ablauf der letzten Zuweisung automatisch entfernt werden.

Abgrenzung: Identity Protection und Identity Governance beschreibt den Gesamtrahmen aus Risikoerkennung, Zugriffsüberprüfungen, Lebenszyklus-Workflows und PIM, dieser Eintrag die Zugriffspakete im Detail. Ein Freigabe-Workflow ist das allgemeine Prinzip, User Provisioning legt Konten in Zielsystemen an, Gastzugriff beschreibt die B2B-Zusammenarbeit an sich. Privileged Access Management steuert befristete Adminrechte, PIM für Gruppen lässt sich mit ID Governance aber in Zugriffspakete einbinden.

Neu hinzugekommen sind Zugriffspakete für Agenten-Identitäten und Service Principals einschließlich API-Berechtigungen (Microsoft Entra Agent ID, Preview) sowie Microsoft-Entra-Rollen und SAP-IAG-Geschäftsrollen als Ressource (jeweils Preview).

Funktionsweise & Details

Die Berechtigungsverwaltung arbeitet mit Katalogen, Paketen und Richtlinien:

  1. Katalog: Container für Ressourcen und Zugriffspakete, etwa pro Abteilung oder Projekt. Katalogbesitzer verwalten ihn ohne Adminrolle selbst.
  2. Ressourcen und Ressourcenrollen: Jede Ressource wird mit einer Rolle aufgenommen, z. B. Mitglied oder Besitzer einer Gruppe, eine App-Rolle oder eine Rolle der SharePoint-Site. Dynamische Gruppen bieten nur die Rolle Besitzer.
  3. Richtlinien: Sie legen fest, wer ein Paket beantragen darf (interne Benutzer, bestimmte Gruppen, verbundene Organisationen), ob und von wem genehmigt wird (auch mehrstufig mit Ersatzgenehmigern), welche Zusatzangaben der Antragsteller liefern muss und wann die Zuweisung abläuft.
  4. Antrag und Zuweisung: Benutzer suchen im My-Access-Portal nach Paketen oder öffnen den Link des Pakets. Admins weisen auch direkt zu, mit ID Governance zusätzlich automatisch anhand von Attributen wie Abteilung oder Kostenstelle.
  5. Lebenszyklus: Nach der Genehmigung fügt Entra ID die Identität den Ressourcenrollen hinzu. Ablaufdatum, wiederkehrende Zugriffsüberprüfungen und Regeln zur Funktionstrennung (Separation of Duties) sorgen dafür, dass Zugriffe wieder verschwinden und unvereinbare Zuweisungen nicht entstehen.

Benutzerdefinierte Erweiterungen (Custom Extensions) rufen an festgelegten Punkten Azure Logic Apps auf, etwa um ein Ticket anzulegen. Für die Verwaltung genügt die Rolle Identity Governance Administrator, feiner delegieren lässt sich über die Rollen Katalogbesitzer und Zugriffspaket-Manager.

Vorteile & Nutzen

  • Rechte laufen automatisch ab, deshalb sammeln sich bei Projektmitarbeitenden und Externen keine Altberechtigungen an
  • Fachbereiche entscheiden selbst über Zugriffe, weil Katalogbesitzer und Genehmiger keine Adminrolle brauchen, die IT gibt nur den Rahmen vor
  • Antrag, Genehmigung und Zuweisung sind protokolliert, das liefert Nachweise für Audits und das Berechtigungskonzept unter NIS2
  • Externe Partner beantragen Zugriff selbst, Gastkonten entstehen erst bei Bedarf und verschwinden nach Ablauf wieder
  • Über Gruppen in Paketen steuerst Du indirekt auch Microsoft-365-Lizenzen (gruppenbasierte Lizenzierung), Azure-Rollen und über rollenzuweisbare Gruppen Entra-Rollen

Praxisbeispiel

Ein Sondermaschinenbauer mit 350 Mitarbeitenden arbeitet in Kundenprojekten mit externen Konstruktionsbüros zusammen. Bisher lud die IT Gäste auf Zuruf in Teams ein, nach Projektende blieben die Konten bestehen. Die IT legte pro Projekt einen Katalog mit Team, SharePoint-Site und Zeichnungsportal an, die Projektleitung genehmigt Anträge der als verbundene Organisation hinterlegten Partner, Zuweisungen laufen nach 180 Tagen ab und werden vierteljährlich überprüft. Nach einem Jahr waren die verwaisten Gastkonten früherer Projekte entfernt und die Gästeliste im Tenant entsprach den laufenden Projekten.

Worauf sollte man achten?

  • Vor dem ersten Paket für Externe ein Azure-Abonnement für die Gästeabrechnung verknüpfen, weil Microsoft Governance-Aktionen für Gäste nach monatlich aktiven Benutzern berechnet
  • Mit wenigen Paketen pro Rolle oder Projekt starten, zu fein geschnittene Pakete überfordern Antragsteller und Genehmiger
  • Immer Ersatzgenehmiger hinterlegen, sonst bleiben Anträge während Urlaub oder Krankheit liegen
  • Rollenzuweisbare Gruppen nur in Kataloge aufnehmen, deren Besitzern Du vertraust, weil Katalogadmins damit über privilegierte Mitgliedschaften entscheiden
  • Bestehende direkte Gruppenmitgliedschaften parallel aufräumen, Zugriffspakete ersetzen andere Zuweisungswege nicht automatisch

Lizenz & Verfügbarkeit

Die Berechtigungsverwaltung erfordert für die Mitgliedsbenutzer Microsoft Entra ID Governance oder die Microsoft Entra Suite. Ein Teil der Funktionen läuft bereits mit Microsoft Entra ID P2 (enthalten z. B. in Microsoft 365 E5 und EMS E5): Zugriffspakete mit Gruppen, Teams, Apps und SharePoint-Sites, Selbstantrag, mehrstufige Genehmigung, Ablaufdatum, Lebenszyklus externer Benutzer, Funktionstrennung und Conditional-Access-Bezug. Nur mit ID Governance, Entra Suite oder Microsoft 365 E7 gibt es unter anderem Anträge von Vorgesetzten für Mitarbeitende, automatische Zuweisungsrichtlinien, benutzerdefinierte Erweiterungen mit Logic Apps, PIM für Gruppen in Paketen, Sponsoren als Genehmiger, Verified-ID-Integration und Entra-Rollen als Ressource (Preview). Entra ID Free und P1 (z. B. in Microsoft 365 Business Premium) enthalten keine Berechtigungsverwaltung. Die Lizenzen müssen nicht einzelnen Benutzern zugewiesen werden, ihre Anzahl muss aber alle Mitgliedsbenutzer im Geltungsbereich abdecken. Gäste werden nach monatlich aktiven Benutzern über ein Azure-Abonnement abgerechnet. Agenten und Service Principals in Zugriffspaketen erfordern Microsoft 365 E7 oder Microsoft Agent 365 zusammen mit mindestens Entra ID P1 oder Microsoft 365 E3. Stand: Oktober 2026.

Fazit

Die Berechtigungsverwaltung lohnt sich überall dort, wo Zugriffe befristet, genehmigungspflichtig oder an Externe vergeben werden. Kläre zuerst, ob Dir die P2-Funktionen reichen oder ob Du automatische Zuweisungen und Logic-Apps-Erweiterungen aus ID Governance brauchst.

Weiterführende Links

Verwandte Artikel