Identitäten und Zugriffe mit Entra ID absichern
Der Zugang zu Microsoft 365 ist heute der wichtigste Angriffspunkt eines Unternehmens. Wer sich anmelden kann, hat Zugriff auf Postfächer, Dateien und Teams — unabhängig davon, wo das Gerät steht.
Wir richten Multi-Faktor-Authentifizierung, Conditional Access und ein nachvollziehbares Rollenkonzept ein. Ziel ist nicht die strengste Konfiguration, sondern eine, die Angriffe verhindert und den Arbeitsalltag nicht blockiert.
Was zu einem belastbaren Identitätskonzept gehört
Multi-Faktor-Authentifizierung
MFA wird für alle Konten aktiviert — auch für administrative und selten genutzte. Ausnahmen werden begründet, befristet und dokumentiert, nicht dauerhaft eingerichtet.
Conditional Access
Anmeldungen werden nach Standort, Gerätezustand und Anwendung bewertet. Bekannte Geräte im Unternehmensnetz werden anders behandelt als ein unbekanntes Gerät aus dem Ausland.
Administrative Konten
Adminrechte werden von Alltagskonten getrennt. Ein Konto zum Arbeiten, ein Konto zum Verwalten — das begrenzt den Schaden, wenn ein Kennwort abfließt.
Rollen und Rechte
Berechtigungen werden über Gruppen und Rollen vergeben statt einzeln. Beim Wechsel einer Position ändert sich die Gruppenzugehörigkeit, nicht eine Liste einzelner Freigaben.
Gastzugriffe
Externe Beteiligte erhalten befristeten Zugriff auf definierte Bereiche. Nach Projektende wird der Zugang entfernt, nicht nur der Ordner umbenannt.
Ein- und Austritt
Anlage und Deaktivierung von Konten werden als Ablauf festgelegt. Ausgeschiedene Mitarbeiter mit aktivem Konto sind eine der häufigsten Feststellungen bei einer Prüfung.
Was wir in bestehenden Umgebungen regelmäßig finden
MFA nur teilweise aktiv
Ein Teil der Konten ist geschützt, administrative oder alte Konten sind ausgenommen. Diese Ausnahmen sind der bevorzugte Weg für Angriffe auf Anmeldedaten.
Zu viele Adminrechte
Globale Administratorrechte liegen bei mehreren Personen, teils auf Alltagskonten. Ein kompromittiertes Konto bedeutet dann Zugriff auf die gesamte Umgebung.
Aktive Konten ehemaliger Mitarbeiter
Konten bleiben nach dem Austritt bestehen, weil die Deaktivierung nicht Teil eines festgelegten Ablaufs ist. Sie sind unbeobachtet und werden nicht überwacht.
Vom Ist-Zustand zum belastbaren Zugriffskonzept
Bestandsaufnahme
Wir erfassen Konten, Rollen, Anmelderichtlinien, MFA-Abdeckung und bestehende Ausnahmen.
Konzept
Sie erhalten ein Zugriffskonzept mit Regeln für Standort, Gerät, Rollen und Gastzugriffe — abgestimmt auf Ihren Arbeitsalltag.
Einführung
Umsetzung in Stufen, beginnend mit administrativen Konten, mit Testgruppe vor der Ausweitung.
Überprüfung
Regelmäßige Kontrolle von Rechten, Ausnahmen und Gastzugängen — als Termin, nicht als Vorsatz.
Reicht ein starkes Kennwort nicht aus?
Nein. Ein Großteil der erfolgreichen Angriffe auf Microsoft 365 nutzt abgeflossene oder abgefragte Zugangsdaten. Ein Kennwort allein schützt nicht mehr, sobald es einmal bekannt ist — MFA ist deshalb die wirksamste einzelne Maßnahme.
Behindert Conditional Access den Arbeitsalltag?
Bei sinnvoller Konfiguration kaum. Bekannte Geräte im Unternehmensnetz melden sich ohne zusätzliche Abfrage an, während Anmeldungen von unbekannten Geräten oder aus untypischen Regionen zusätzlich bestätigt werden müssen. Der Aufwand entsteht dort, wo er begründet ist.
Wie oft sollten Rechte überprüft werden?
Halbjährlich genügt in den meisten Unternehmen, sofern es eine zuständige Person und einen festen Termin gibt. Geprüft werden aktive Konten, administrative Rollen, MFA-Ausnahmen und Gastzugänge.
Wissen Sie, wer Zugriff auf Ihre Daten hat?
Im Erstcheck prüfen wir MFA-Abdeckung, administrative Rechte, Anmelderichtlinien und Gastzugänge.