MFA und Conditional Access einrichten, ohne den Arbeitsalltag zu blockieren

Der häufigste Weg in eine Microsoft 365 Umgebung führt nicht über eine Sicherheitslücke, sondern über ein Kennwort. Es wird abgefragt, aus einem anderen Dienst geleakt oder auf einer nachgebauten Anmeldeseite eingegeben. Sobald es bekannt ist, unterscheidet nichts mehr den Angreifer vom Mitarbeiter — beide melden sich korrekt an.

Multi-Faktor-Authentifizierung unterbricht genau diesen Ablauf. Sie ist keine vollständige Absicherung, aber die einzige Maßnahme, die mit vergleichsweise wenig Aufwand einen großen Teil der Angriffe wirkungslos macht. Dieser Beitrag beschreibt, in welcher Reihenfolge wir sie einführen und wie Conditional Access ergänzt wird, ohne dass die Belegschaft täglich Bestätigungen wegklickt.

1. Mit den administrativen Konten beginnen

Administrative Konten sind das eigentliche Ziel. Wer globale Administratorrechte übernimmt, kann Postfächer freigeben, Weiterleitungen einrichten, Protokollierung abschalten und weitere Konten anlegen. Diese Konten werden deshalb zuerst mit MFA versehen — vor allen Benutzerkonten.

Im gleichen Schritt werden Adminrechte von Alltagskonten getrennt. Ein Konto zum Arbeiten, ein separates Konto zum Verwalten. Das klingt nach Mehraufwand und ist es auch, aber es begrenzt den Schaden auf das, was mit dem kompromittierten Konto möglich war.

• Ein Alltagskonto ohne administrative Rollen für E-Mail, Teams und Dateien
• Ein getrenntes Adminkonto ohne Postfach, ausschließlich für Verwaltungsaufgaben
• Globale Administratorrechte auf so wenige Personen wie möglich, mindestens aber zwei
• Ein Notfallkonto mit langem, hinterlegtem Kennwort, das von Richtlinien ausgenommen und überwacht wird

2. MFA für alle Konten ausrollen

Nach den Adminkonten folgt die Belegschaft. Sinnvoll ist ein Rollout in Gruppen über zwei bis drei Wochen, beginnend mit einer Testgruppe aus verschiedenen Abteilungen. So fallen Sonderfälle auf, bevor sie im Support landen: Mitarbeiter ohne Diensthandy, geteilte Konten an Produktionsrechnern, Geräte mit alten Outlook-Versionen.

Für die Bestätigung ist die Authenticator-App der Standard. SMS funktioniert, ist aber angreifbar und sollte die Ausnahme bleiben. Wo kein Smartphone genutzt werden kann, sind Hardware-Token die bessere Antwort als eine dauerhafte Ausnahme.

3. Veraltete Anmeldeverfahren abschalten

MFA wirkt nur, wenn sie nicht umgangen werden kann. Ältere Protokolle ohne moderne Authentifizierung übergehen die zweite Stufe vollständig. Sie müssen deshalb blockiert werden — und genau hier scheitern Einführungen häufig, weil ein Multifunktionsgerät, eine Warenwirtschaft oder ein Newsletter-Werkzeug noch darüber versendet.

• Alle Dienste erfassen, die per SMTP oder mit hinterlegten Zugangsdaten versenden
• Diese auf moderne Authentifizierung oder einen dedizierten Connector umstellen
• Erst danach die veralteten Verfahren mandantenweit blockieren
• Anmeldeprotokolle in den ersten Wochen prüfen, um übersehene Dienste zu finden

Wie ein solcher Versand sauber eingerichtet wird, beschreiben wir im Beitrag zu Mailflow und SMTP.

4. Conditional Access ergänzen

MFA bei jeder Anmeldung ist wirksam und lästig. Conditional Access bewertet stattdessen die Umstände: Wer sich von einem bekannten, verwalteten Gerät im Unternehmensnetz anmeldet, arbeitet ohne zusätzliche Abfrage weiter. Wer sich von einem unbekannten Gerät oder aus einer untypischen Region meldet, bestätigt zusätzlich.

Regeln, die in den meisten Unternehmen genügen

• MFA verpflichtend für alle Anmeldungen außerhalb des Unternehmensnetzes
• Zugriff auf administrative Portale nur von verwalteten Geräten
• Anmeldungen aus Ländern ohne Geschäftsbezug blockieren, mit dokumentierter Ausnahme für Dienstreisen
• Veraltete Anmeldeverfahren mandantenweit blockieren
• Sitzungsdauer auf nicht verwalteten Geräten begrenzen

Vor der Aktivierung wird jede Richtlinie im Nur-Bericht-Modus geprüft. Er zeigt, welche Anmeldungen betroffen wären, ohne sie zu blockieren — das erspart die Erfahrung, sich selbst aus dem Portal auszuschließen.

5. Ausnahmen befristen und dokumentieren

Jede Einführung erzeugt Ausnahmen: ein Dienstkonto, ein Gerät in der Fertigung, eine Anwendung ohne Unterstützung für moderne Authentifizierung. Ausnahmen sind kein Fehler, unbefristete Ausnahmen sind einer. Genau diese Konten werden bei Angriffen gezielt gesucht, weil sie weder geschützt noch beobachtet sind.

• Jede Ausnahme mit Begründung, verantwortlicher Person und Enddatum festhalten
• Ausnahmen auf einzelne Anwendungen begrenzen, nicht auf ganze Konten
• Betroffene Konten mit einem langen, eindeutigen Kennwort versehen
• Halbjährlich prüfen, ob die Ausnahme noch nötig ist

Was halbjährlich geprüft wird

Ein Zugriffskonzept veraltet leise. Ein fester Termin zweimal im Jahr genügt in den meisten Unternehmen, sofern eine Person zuständig ist:

• Konten ohne MFA — und die Begründung dafür
• Personen mit administrativen Rollen: noch aktuell?
• Aktive Konten ausgeschiedener Mitarbeiter
• Gastzugänge ohne Projektbezug
• Auffälligkeiten in den Anmeldeprotokollen

Die technischen Grundlagen dazu dokumentiert Microsoft in der Dokumentation zu Conditional Access.

Was bleibt

MFA für alle Konten, getrennte Adminkonten, blockierte Altprotokolle, Conditional Access nach Standort und Gerät, befristete Ausnahmen. Fünf Punkte, die zusammen den größten Teil der realistischen Angriffe auf eine Microsoft 365 Umgebung erledigen — und im Alltag kaum auffallen, wenn sie in dieser Reihenfolge eingeführt werden.