Das Conditional Access Basis-Set

Jetzt wird es praktisch. Ihr kennt die Bausteine aus Teil 2 und den Einführungsprozess aus Teil 3. In diesem Teil bauen wir das Basis-Set auf: eine Handvoll Richtlinien, die Microsoft als Grundlage für jede Organisation empfiehlt und die mit einer Entra-ID-P1-Lizenz – also etwa mit Microsoft 365 Business Premium – funktionieren.

Serie: Conditional Access verstehen

Teil 1: Was ist Conditional Access?
Teil 2: Anatomie einer Richtlinie
Teil 3: Sicher einführen
Teil 4: Das Basis-Set – ihr seid hier
Teil 5: Fortgeschritten & Betrieb

Bevor ihr startet

Habt ihr die Sicherheitsstandards abgeschaltet und eure Notfallkonten angelegt? Jede Richtlinie in diesem Artikel schließt die Gruppe mit den Notfallkonten aus und startet im Modus „Nur Bericht“. Das schreiben wir nicht jedes Mal dazu – es gilt immer.

Erst verstehen: Authentifizierungsstärken

Bevor wir Richtlinien bauen, ein kurzer Abstecher. Das klassische Steuerelement „Multifaktor-Authentifizierung verlangen“ akzeptiert jede MFA-Methode – auch SMS und Anruf, die sich abfangen oder per Social Engineering erschleichen lassen. Mit Authentifizierungsstärken legt ihr genauer fest, welche Methoden zählen. Microsoft liefert drei eingebaute Stärken:

Methode	MFA	Kennwortlose MFA	Phishing-resistente MFA
Passkey (FIDO2) – Sicherheitsschlüssel oder in Authenticator	✅	✅	✅
Windows Hello for Business / Plattform-Anmeldeinformation	✅	✅	✅
Zertifikatbasierte Authentifizierung (mehrstufig)	✅	✅	✅
Authenticator – Telefonanmeldung	✅	✅	–
Befristeter Zugriffspass (TAP)	✅	–	–
Kennwort plus SMS, Anruf, Push oder OATH-Code	✅	–	–

Wichtig: In einer Richtlinie könnt ihr entweder „MFA verlangen“ oder „Authentifizierungsstärke verlangen“ wählen, nicht beides. Die eingebaute Stärke „Multifaktor-Authentifizierung“ entspricht genau dem klassischen MFA-Schalter. Microsoft verwendet in den aktuellen Anleitungen durchgehend die Authentifizierungsstärke – das machen wir hier auch.

Phase 1: Das Fundament

CA001 – Veraltete Authentifizierung blockieren

Alte Protokolle wie POP3, IMAP, SMTP-AUTH oder Office-Versionen ohne moderne Anmeldung können keine MFA. Ein Angreifer mit erbeutetem Kennwort umgeht über sie jede MFA-Richtlinie. Laut Microsoft kommen die meisten kompromittierenden Anmeldeversuche über genau diesen Weg.

Einstellung	Wert
Benutzer	Alle Benutzer, ausgenommen Notfallkonten
Zielressourcen	Alle Ressourcen
Bedingungen	Client-Apps: nur Exchange ActiveSync-Clients und Andere Clients
Gewähren	Zugriff blockieren

Lasst diese Richtlinie besonders lange im Berichtsmodus und sucht in den Anmeldeprotokollen nach Treffern. Typische Kandidaten: der Multifunktionsdrucker, der per SMTP scannt, oder ein Warenwirtschaftssystem, das Mails abruft. Für Drucker gibt es von Microsoft eigene Anleitungen, wie sie ohne Basic-Auth senden können.

CA002 – Registrierung der Sicherheitsinformationen schützen

Wer ein Kennwort erbeutet hat, versucht oft als Erstes, eine eigene MFA-Methode zu registrieren. Diese Richtlinie nutzt die Benutzeraktion „Sicherheitsinformationen registrieren“ und verlangt außerhalb vertrauenswürdiger Netze eine bereits bestehende MFA – neue Mitarbeitende melden sich dafür mit einem befristeten Zugriffspass (TAP) an, der als MFA zählt.

Einstellung	Wert
Benutzer	Alle Benutzer, ausgenommen Notfallkonten sowie Gäste und externe Benutzer (für sie funktioniert der TAP nicht)
Zielressourcen	Benutzeraktionen: Sicherheitsinformationen registrieren
Netzwerk	Einschließen: beliebiges Netzwerk; ausschließen: alle vertrauenswürdigen Netzwerke
Gewähren	Authentifizierungsstärke: Multifaktor-Authentifizierung

Seit dem 6. Juli 2026 gilt diese Richtlinie auch, wenn Benutzer Windows Hello for Business oder Platform SSO auf dem Mac einrichten. Prüft also, ob eure Geräte-Einrichtung die Anforderungen erfüllt.

Denkt daran: Für Benutzeraktionen gibt es keinen Berichtsmodus. Testet diese Richtlinie also gründlich mit Testkonten und What If, bevor ihr sie für alle einschaltet.

CA101 – Phishing-resistente MFA für Administratoren

Admin-Konten sind das wertvollste Ziel in jedem Tenant. Microsoft empfiehlt deshalb für privilegierte Rollen die phishing-resistente MFA – also Passkeys, Windows Hello for Business oder Zertifikate.

Einstellung	Wert
Benutzer	Verzeichnisrollen: mindestens Globaler Administrator, Administrator für privilegierte Rollen, Sicherheitsadministrator, Administrator für bedingten Zugriff, Exchange-, SharePoint-, Benutzer-, Helpdesk-, Authentifizierungs- und Anwendungsadministrator
Zielressourcen	Alle Ressourcen
Gewähren	Authentifizierungsstärke: Phishing-resistente MFA

Security-Tipp

Bevor ihr diese Richtlinie einschaltet, muss jeder Admin einen Passkey registriert haben – sonst sperrt ihr euch genau die Leute aus, die das Problem beheben könnten. Am einfachsten: Admins bekommen einen FIDO2-Schlüssel oder registrieren einen Passkey in Microsoft Authenticator. Und Admins nutzen ein separates Admin-Konto, nicht ihr normales Arbeitskonto.

Phase 2: Kern-Authentifizierung

CA003 – MFA für alle Benutzer

Das Herzstück. Microsoft empfiehlt eine MFA-Richtlinie auf alle Benutzer und alle Ressourcen – ohne Ausnahmen bei den Ressourcen. „Alle Benutzer“ schließt Gäste und externe Benutzer mit ein.

Einstellung	Wert
Benutzer	Alle Benutzer, ausgenommen Notfallkonten und Synchronisationskonten
Zielressourcen	Alle Ressourcen, keine Ausnahmen
Gewähren	Authentifizierungsstärke: Multifaktor-Authentifizierung

Damit sind auch Azure-Portal, PowerShell und CLI abgedeckt. Nehmt hier bitte keine einzelnen Apps aus, „weil es da Probleme gab“ – jede Ressourcen-Ausnahme schwächt die Richtlinie, wie wir in Teil 2 gesehen haben. Bei Problemen hilft eher eine eigene, eng gefasste Richtlinie.

Und die Gäste?

Gäste aus anderen Entra-Tenants können ihre MFA zu Hause erledigen, wenn ihr in den mandantenübergreifenden Zugriffseinstellungen deren MFA vertraut. Für Gäste mit E-Mail-Einmalkennung oder Google-Konto funktionieren Authentifizierungsstärken nicht – dort greift weiterhin das klassische „MFA verlangen“. Wer das trennen will, baut eine eigene Gastrichtlinie im Nummernkreis CA3xx.

CA201 – Konformes Gerät für Windows und macOS

Wenn ihr Geräte mit Intune verwaltet, kommt jetzt der Gerätezustand dazu. Diese Richtlinie verlangt für Windows und macOS ein konformes oder hybrid eingebundenes Gerät. Zusammen mit CA003 heißt das, wie in Teil 2 erklärt: MFA und ein verwaltetes Gerät. Ein erbeutetes Kennwort samt abgefangener MFA nützt einem Angreifer dann nichts, solange er nicht auch auf einem eurer Geräte sitzt.

Einstellung	Wert
Benutzer	Alle Benutzer, ausgenommen Notfallkonten (Gäste ausnehmen – deren Geräte verwaltet ihr nicht)
Zielressourcen	Alle Ressourcen
Bedingungen	Geräteplattformen: Windows und macOS
Gewähren	Konformes Gerät oder hybrid eingebundenes Gerät – „Eines der ausgewählten Steuerelemente“

Diese Richtlinie schaltet ihr erst scharf, wenn wirklich alle Firmengeräte in Intune registriert und konform sind – der Intune-Bericht zur Gerätekonformität verrät es euch. Wer auch von privaten PCs im Browser arbeiten lassen will, nimmt statt einer Blockade die Sitzungssteuerung „Von der App erzwungene Einschränkungen“ für Exchange und SharePoint: Dann gibt es Webzugriff, aber keine Downloads.

CA202 – App-Schutz auf iOS und Android

Auf privaten Smartphones wollt ihr meist keine volle Geräteverwaltung, wohl aber die Firmendaten schützen. Mit einer Intune-App-Schutzrichtlinie (MAM) und dieser Richtlinie dürfen nur geschützte Apps wie Outlook, Teams oder OneDrive auf eure Daten zugreifen.

Einstellung	Wert
Benutzer	Alle Benutzer, ausgenommen Notfallkonten
Zielressourcen	Alle Ressourcen
Bedingungen	Geräteplattformen: iOS und Android
Gewähren	App-Schutzrichtlinie verlangen

Phase 3: Angriffsfläche verkleinern

CA004 – Device Code Flow blockieren

Beim Device Code Flow meldet sich jemand auf einem Gerät ohne Tastatur an, indem er einen Code auf einem anderen Gerät eingibt. Genau diesen Ablauf missbrauchen Angreifer gern für Phishing: Sie schicken einen echten Microsoft-Code und lassen das Opfer die Anmeldung selbst erledigen. Microsoft empfiehlt, den Device Code Flow so weit wie möglich zu blockieren – es gibt dafür inzwischen auch eine Microsoft-verwaltete Richtlinie.

Einstellung	Wert
Benutzer	Alle Benutzer, ausgenommen Notfallkonten und dokumentierte Ausnahmen
Zielressourcen	Alle Ressourcen
Bedingungen	Authentifizierungsflüsse: Device Code Flow (optional zusätzlich Authentifizierungsübertragung)
Gewähren	Zugriff blockieren

Nutzt den Berichtsmodus, um herauszufinden, wer den Device Code Flow wirklich braucht – etwa Teams-Räume oder bestimmte Konferenzgeräte – und nehmt nur diese gezielt aus.

Und die Risiko-Richtlinien?

Mit Entra ID P2 gehören zwei weitere Richtlinien ins Basis-Set: MFA bei hohem Anmelderisiko und Risikobehebung bei hohem Benutzerrisiko. Die schauen wir uns in Teil 5 genauer an, weil sie ein paar Besonderheiten haben.

Das Basis-Set auf einen Blick

Nr.	Richtlinie	Lizenz
CA001	Veraltete Authentifizierung blockieren	P1
CA002	Registrierung der Sicherheitsinformationen schützen	P1
CA101	Phishing-resistente MFA für Admins	P1
CA003	MFA für alle Benutzer und alle Ressourcen	P1
CA201	Konformes Gerät für Windows und macOS	P1 + Intune
CA202	App-Schutz auf iOS und Android	P1 + Intune
CA004	Device Code Flow blockieren	P1
CA005	MFA bei hohem Anmelderisiko	P2
CA006	Risikobehebung bei hohem Benutzerrisiko	P2

Mehr braucht es für den Anfang nicht. Haltet die Zahl der Richtlinien überschaubar – als Faustregel deutlich unter 20 aktive – und fasst ähnliche Richtlinien zusammen, statt für jede App eine eigene anzulegen.

Schneller mit Vorlagen

Viele dieser Richtlinien gibt es als Vorlage unter Conditional Access → Richtlinien → Neue Richtlinie aus Vorlage, Kategorie „Sichere Grundlage“. Die Vorlagen landen automatisch im Berichtsmodus. Prüft nach dem Anlegen trotzdem jede Einstellung und benennt die Richtlinie nach eurem Schema um.

Wie es weitergeht

Mit diesem Set ist euer Tenant gegen die häufigsten Angriffe gut aufgestellt. Im letzten Teil, Teil 5, geht es um die Kür: Risiko-Richtlinien mit Entra ID Protection, Authentifizierungskontext, Sitzungssteuerung gegen Tokendiebstahl – und vor allem darum, was ihr tut, wenn sich ein Benutzer meldet und sagt: „Ich komme nicht mehr rein.“

Offizielle Microsoft-Quellen