Microsoft Entra ID: Identitäten und Zugriffe im Unternehmen steuern

Microsoft Entra ID ist der cloudbasierte Identitäts- und Zugriffsservice hinter vielen Microsoft-Diensten. Er entscheidet nicht nur, ob ein Passwort stimmt, sondern kann Benutzer, Gruppen, Geräteinformationen, Anwendungen und Sicherheitsbedingungen in eine Zugriffsentscheidung einbeziehen.

Identität ist der neue Zugangspunkt

In klassischen Netzen galt oft der Bürostandort als vertrauenswürdig. Cloud-Dienste werden dagegen von Büro, Homeoffice und mobilen Geräten genutzt. Damit wird die Identität zum zentralen Kontrollpunkt. Ein kompromittiertes Konto kann Zugriff auf E-Mail, Dateien und Anwendungen ermöglichen, selbst wenn die lokale Firewall korrekt arbeitet.

Deshalb gehören eindeutige Benutzerkonten, MFA, sichere Wiederherstellung und kontrollierte Administratorrollen zur Grundausstattung. Gemeinsame Konten erschweren Nachvollziehbarkeit und sollten auf technisch begründete Sonderfälle begrenzt werden.

Benutzer, Gruppen und Rollen sauber modellieren

Gruppen vereinfachen die Zuweisung von Lizenzen, Anwendungen und Berechtigungen. Entscheidend ist eine verständliche Struktur, die zu Abteilungen und Aufgaben passt. Zu viele manuelle Einzelberechtigungen machen spätere Änderungen und Austritte unnötig riskant.

Administrative Rollen sollten nur die Rechte enthalten, die für eine Aufgabe benötigt werden. So kann eine Person beispielsweise Benutzer unterstützen, ohne Domains, Sicherheitsrichtlinien oder Abonnements verändern zu dürfen.

MFA und sichere Anmeldemethoden

Mehr-Faktor-Authentifizierung ergänzt das Passwort um einen weiteren Nachweis. Nicht jede MFA-Methode bietet denselben Schutz. Unternehmen sollten verfügbare Methoden, Ersatzverfahren, verlorene Geräte und die Registrierung neuer Faktoren in einem nachvollziehbaren Prozess behandeln.

Notfallkonten und Wiederherstellungswege müssen besonders geschützt und regelmäßig auf Funktionsfähigkeit geprüft werden. Eine Sicherheitsmaßnahme hilft nicht, wenn sie im Ernstfall niemand kontrolliert nutzen kann.

Conditional Access als Regelwerk

Conditional Access verbindet Signale zu Wenn-dann-Regeln: Wenn ein Benutzer eine bestimmte Anwendung öffnet, kann beispielsweise MFA oder ein konformes Gerät verlangt werden. Weitere Signale können Standort, Clienttyp oder ermitteltes Risiko sein. Funktionsumfang und Risikosignale hängen von der Lizenz ab.

Richtlinien sollten zunächst mit Testbenutzern und im Berichtmodus geprüft werden. Ungeplante Änderungen können sonst alle Mitarbeitenden oder sogar Administratoren aussperren.

Lebenszyklus statt Kontenliste

Identitätsmanagement umfasst Eintritt, Rollenwechsel, längere Abwesenheit, Austritt und Gastzugriffe. Regelmäßige Reviews beantworten, welche Konten aktiv sind, welche privilegiert arbeiten und welche Anwendungen Zugriff besitzen. Ich verbinde diese Identitätsprozesse mit Tenant-, Geräte- und Supportverwaltung.

Das können Sie selbst prüfen

• Aktivieren und testen Sie MFA für Benutzer und besonders für administrative Konten.
• Reduzieren Sie globale Administratorrechte auf das notwendige Minimum.
• Vergeben Sie Zugriffe möglichst über nachvollziehbare Gruppen statt über viele Einzelrechte.
• Testen Sie Conditional-Access-Richtlinien kontrolliert, bevor sie breit erzwungen werden.

Diese Fragen helfen bei der Einordnung

• Welche Anwendungen enthalten besonders schützenswerte Daten?
• Welche Benutzer benötigen privilegierte Rollen und wie werden diese geprüft?
• Wie werden verlorene MFA-Geräte und Notfallzugriffe behandelt?

Wenn mehrere Punkte offen sind: Dann lohnt sich zuerst eine Bestandsaufnahme. So sehen Sie, welche Baustelle dringend ist und was später warten kann.