Bedingter Zugriff

So funktioniert es

Jede Regel für den bedingten Zugriff folgt einem einfachen Muster: Wenn eine bestimmte Bedingung zutrifft, dann gilt eine bestimmte Folge. Die Regel wird bei jeder Anmeldung ausgewertet, nicht nur einmal am Morgen.

Bedingungen können sein: wer sich anmeldet, auf welche Anwendung zugegriffen wird, von welchem Gerät, aus welchem Land und wie riskant die Anmeldung wirkt.

Folgen können sein: Zugriff erlauben, blockieren oder an eine Zusatzprüfung knüpfen, etwa eine Mehr-Faktor-Authentifizierung oder ein von der Firma verwaltetes Gerät.

Typische Regeln im KMU

• Administratoren müssen sich immer mit MFA anmelden.
• Zugriffe aus Ländern, in denen niemand arbeitet, werden blockiert.
• Firmendaten lassen sich nur von Geräten öffnen, die in Intune verwaltet werden.
• Alte Anmeldeverfahren ohne MFA, etwa ältere Mailprogramme, werden gesperrt.

Lizenz

Bedingter Zugriff gehört zu Microsoft Entra ID P1. Diese Stufe ist in Microsoft 365 Business Premium enthalten, in Business Basic und Business Standard nicht. Dort greifen nur die Sicherheitsstandards. Das ist ein fester Grundschutz, der sich nicht anpassen lässt und sich mit eigenen Regeln für den bedingten Zugriff nicht kombinieren lässt. Wie Lizenzen zum Betrieb passen, steht in Lizenzen richtig zuschneiden.

Worauf man achten sollte

Eine falsch gesetzte Regel kann alle aussperren, auch die Administratoren. Darum gehören zwei Notfallkonten dazu, die von den Regeln ausgenommen sind und deren Zugangsdaten sicher verwahrt werden. Neue Regeln werden zuerst im Berichtsmodus angelegt, der nur protokolliert, was passiert wäre. Erst nach der Auswertung wird scharf geschaltet.

Einordnung

Bedingter Zugriff ist der Baustein, der aus einer Anmeldung eine Entscheidung macht. Er gehört zu Identity Security und setzt dort an, wo ein Passwort allein nicht mehr genügt. Wie gut Ihr Tenant dazu aufgestellt ist, zeigt der Sicherheitscheck.