Conditional Access verstehen, Teil 1: Was ist Conditional Access?

Wenn wir in Projekten über Microsoft Entra ID sprechen, landen wir fast immer beim selben Thema: Conditional Access – auf Deutsch „bedingter Zugriff“. Kaum eine Funktion schützt einen Tenant so wirksam, und kaum eine sorgt so zuverlässig für Kopfzerbrechen. Die Oberfläche hat Dutzende Schalter, die Dokumentation ist umfangreich, und ein falscher Klick kann im schlimmsten Fall alle Administratoren aussperren.

Deshalb nehmen wir uns das Thema in einer Serie aus fünf Teilen vor, die aufeinander aufbauen. Ihr braucht keine Vorkenntnisse – nur einen Tenant und etwas Neugier. Jeder Teil endet mit den offiziellen Microsoft-Quellen, damit ihr jederzeit nachlesen könnt, was wir hier erklären.

Das Prinzip: Wenn – dann

Conditional Access ist im Kern ein Regelwerk aus Wenn-dann-Aussagen. Bei jeder Anmeldung schaut Entra ID auf eine Reihe von Signalen und entscheidet dann, was passiert. Ein paar Beispiele aus dem Alltag:

• Wenn sich jemand aus der Buchhaltung an der Lohnabrechnung anmeldet, dann braucht er MFA und ein verwaltetes Gerät.
• Wenn ein Administrator ins Entra Admin Center will, dann nur mit einer phishing-resistenten Methode wie einem Passkey.
• Wenn ein Programm noch das alte POP3 oder IMAP mit Benutzername und Kennwort nutzt, dann wird blockiert.

Microsoft beschreibt Conditional Access als die Policy-Engine von Zero Trust: Statt einmal am Firmennetz zu prüfen, ob jemand „drin“ ist, wird jeder Zugriff einzeln bewertet – egal ob vom Büro, aus dem Homeoffice oder vom Flughafen.

Welche Signale gibt es?

Die Signale sind die „Wenn“-Seite einer Richtlinie. Die wichtigsten, die ihr in dieser Serie immer wieder sehen werdet:

Signal	Beispiel
Benutzer, Gruppen, Rollen	alle Benutzer, die Gruppe „Vertrieb“, die Rolle „Globaler Administrator“
Zielressource	Exchange Online, SharePoint, das Azure-Portal oder eine eigene App
Netzwerk	bekannte Firmen-IP-Adressen oder bestimmte Länder
Gerät	Windows, iOS, Android – und ob das Gerät in Intune konform ist
Client-App	Browser, moderne Desktop-App oder veraltetes Protokoll
Risiko	Entra ID Protection meldet eine verdächtige Anmeldung oder ein kompromittiertes Konto

Auf der „Dann“-Seite stehen die Steuerelemente: Zugriff blockieren, Zugriff gewähren – aber nur mit MFA, mit konformem Gerät oder mit App-Schutz – oder die Sitzung einschränken, etwa durch eine kürzere Anmeldehäufigkeit. Was es damit genau auf sich hat, schauen wir uns in Teil 2 an.

Welche Lizenz braucht ihr?

Für Conditional Access braucht jeder Benutzer, der von den Richtlinien profitiert, eine Microsoft Entra ID P1-Lizenz. Die steckt bereits in vielen Paketen, die ihr vielleicht schon habt:

Lizenz	Conditional Access	Risikobasierte Richtlinien
Microsoft 365 Business Premium	ja (Entra ID P1)	nein
Microsoft 365 E3	ja (Entra ID P1)	nein
Microsoft 365 E5	ja (Entra ID P2)	ja
Entra ID P1 einzeln	ja	nein
Entra ID P2 einzeln	ja	ja

Richtlinien, die auf Anmelderisiko oder Benutzerrisiko reagieren, setzen Entra ID Protection voraus – und das gibt es nur mit Entra ID P2. Für Richtlinien an Dienstprinzipalen braucht ihr zusätzlich Lizenzen für Workload ID, für KI-Agenten eine Lizenz für Microsoft Agent 365. Für den Einstieg reicht P1 aber völlig aus.

Sicherheitsstandards, Microsoft-verwaltete Richtlinien, eigene Richtlinien

Bevor ihr loslegt, lohnt sich ein Blick darauf, was in eurem Tenant vielleicht schon aktiv ist. Es gibt drei Stufen:

Stufe 1: Sicherheitsstandards (Security Defaults)

Die Sicherheitsstandards sind kostenlos und in neuen Tenants automatisch eingeschaltet. Sie verlangen von allen Benutzern die Registrierung für MFA, fordern MFA bei Administratoren und bei Bedarf auch bei normalen Benutzern, blockieren veraltete Protokolle sowie den Device Code Flow und schützen die Azure-Verwaltung. Das Ganze ist ein einziger Schalter: an oder aus, keine Ausnahmen, keine Feinsteuerung.

Für kleine Tenants ohne Premium-Lizenz ist das ein guter Anfang. Sobald ihr aber Ausnahmen braucht – etwa ein Notfallkonto oder ein Gerät, das sich anders anmelden muss – stoßt ihr an Grenzen. Und wichtig: Sicherheitsstandards und eigene Conditional-Access-Richtlinien schließen sich gegenseitig aus. Wer eigene Richtlinien anlegen will, muss die Sicherheitsstandards vorher abschalten.

Stufe 2: Microsoft-verwaltete Richtlinien

In Tenants mit P1 oder P2 legt Microsoft inzwischen selbst Richtlinien an, die Microsoft-verwalteten Richtlinien. Dazu gehören zum Beispiel:

• veraltete Authentifizierung blockieren
• Device Code Flow blockieren
• MFA für Administratoren, die auf Microsoft-Admin-Portale zugreifen
• MFA für alle Benutzer
• MFA und erneute Anmeldung bei riskanten Anmeldungen (P2)
• Behebung für Benutzer mit hohem Risiko verlangen (P2)

Diese Richtlinien erscheinen zunächst im Modus „Nur Bericht“. Lasst ihr sie so stehen, schaltet Microsoft sie frühestens 30 Tage später selbst scharf – mit Ankündigung per E-Mail und im Nachrichtencenter zwei Wochen vorher. Ihr könnt sie früher einschalten, Ausnahmen ergänzen (etwa eure Notfallkonten) oder abschalten. Umbenennen oder löschen könnt ihr sie nicht.

Stufe 3: Eigene Richtlinien

Mit eigenen Richtlinien habt ihr die volle Kontrolle: Wer ist betroffen, welche Apps, unter welchen Bedingungen, mit welchen Ausnahmen. Genau darum geht es in dieser Serie. Als Startpunkt bietet Microsoft Vorlagen an, die nach Kategorien sortiert sind – etwa „Sichere Grundlage“, „Zero Trust“, „Remote-Arbeit“ oder „Administratoren schützen“. Richtlinien aus Vorlagen landen automatisch im Modus „Nur Bericht“.

Pflicht-MFA für Admin-Portale gilt sowieso

Unabhängig von euren Richtlinien verlangt Microsoft seit Ende 2024 schrittweise MFA für den Zugriff auf das Azure-Portal, das Entra Admin Center, das Intune Admin Center und seit Februar 2025 auch für das Microsoft 365 Admin Center. In einer zweiten Phase kommen Azure CLI, PowerShell und APIs für Änderungen an Azure-Ressourcen dazu. Das betrifft ausdrücklich auch Notfallkonten – darauf kommen wir in Teil 3 zurück.

Wo findet ihr Conditional Access?

Conditional Access liegt im Microsoft Entra Admin Center unter entra.microsoft.com → Entra ID → Conditional Access. Schon die Rolle Sicherheitsleseberechtigter reicht zum Ansehen. Zum Anlegen und Ändern braucht ihr mindestens die Rolle Administrator für bedingten Zugriff – nehmt bitte nicht reflexartig den Globalen Administrator.

Auf der Übersichtsseite seht ihr, wie viele Richtlinien aktiv oder im Berichtsmodus sind. Besonders hilfreich ist der Reiter Abdeckung: Er zeigt, welche Anwendungen in den letzten sieben Tagen ohne Richtlinie genutzt wurden.

Wie es weitergeht

Jetzt wisst ihr, was Conditional Access ist und ob ihr es nutzen könnt. In Teil 2 zerlegen wir eine Richtlinie in ihre Bestandteile und schauen uns an, wie Entra ID mehrere Richtlinien gleichzeitig auswertet – denn genau dort entstehen die meisten Missverständnisse.

Offizielle Microsoft-Quellen

• Was ist Conditional Access?
• Sicherheitsstandards in Microsoft Entra ID
• Microsoft-verwaltete Conditional-Access-Richtlinien
• Conditional-Access-Vorlagen
• Microsoft Entra Lizenzierung
• Pflicht-MFA für Azure und Admin-Portale