Conditional Access Basisrichtlinien in Microsoft Entra ID einrichten

Wenn ich einen neuen Microsoft-365-Tenant übernehme, lege ich als Erstes drei Conditional-Access-Richtlinien an: MFA für alle, Legacy-Anmeldungen blockieren und strengere Regeln für Admins. Das ist kein vollständiges Sicherheitskonzept, aber es schließt die Lücken, über die in der Praxis die meisten Konten verloren gehen.

Bevor es losgeht

• Lizenz: Conditional Access braucht Entra ID P1. Das steckt in Microsoft 365 Business Premium, E3 und E5. Mit Business Standard gibt es nur die Sicherheitsstandards (Security Defaults), dazu unten mehr.
• Zwei Notfallkonten (Break-Glass): reine Cloud-Konten mit Global-Admin-Rolle, langen Kennwörtern, sicher verwahrt. Ich packe sie in eine eigene Gruppe und schließe diese Gruppe aus jeder Richtlinie aus. Wer das vergisst, sperrt sich mit einem Tippfehler selbst aus dem Tenant.
• Rolle: Conditional Access Administrator reicht zum Anlegen.

Richtlinie 1: MFA für alle Benutzer

Im Entra Admin Center unter Conditional Access → Richtlinien → Neue Richtlinie:

• Benutzer: Alle Benutzer, ausgenommen die Break-Glass-Gruppe
• Zielressourcen: Alle Ressourcen (hieß früher „Alle Cloud-Apps“)
• Gewähren: Multi-Faktor-Authentifizierung erforderlich

Ich schalte die Richtlinie zuerst auf Nur Bericht und lasse sie ein paar Tage laufen. In den Anmeldeprotokollen sieht man dann pro Anmeldung, ob die Richtlinie gegriffen hätte. Dabei fallen fast immer Konten auf, an die keiner gedacht hat: der Scanner, der per SMTP verschickt, oder ein altes Dienstkonto für eine Branchensoftware. Die klärt man vorher, nicht nachher.

Richtlinie 2: Legacy-Authentifizierung blockieren

Alte Protokolle wie POP, IMAP oder SMTP mit Benutzername und Kennwort können kein MFA. Ein gestohlenes Kennwort reicht dort für die Anmeldung, egal was Richtlinie 1 sagt. Microsoft hat Basic Auth in Exchange Online für die meisten Protokolle schon abgeschaltet, die Richtlinie fängt den Rest ab.

• Benutzer: Alle Benutzer, ausgenommen Break-Glass
• Bedingungen → Client-Apps: „Exchange ActiveSync-Clients“ und „Andere Clients“
• Gewähren: Zugriff blockieren

Vorher filtere ich die Anmeldeprotokolle nach Client-App „Andere Clients“. Was dort noch auftaucht, muss auf moderne Anmeldung umgestellt werden. Meistens sind es Multifunktionsgeräte oder alte Mailprogramme.

Richtlinie 3: Strengere Regeln für Admins

Admin-Konten sind das lohnendste Ziel. Für sie reicht mir „irgendein MFA“ nicht:

• Benutzer: Verzeichnisrollen, mindestens Globaler Administrator, Exchange-, SharePoint-, Benutzer- und Sicherheitsadministrator; Break-Glass ausgenommen
• Zielressourcen: Alle Ressourcen
• Gewähren: Authentifizierungsstärke „Phishing-resistente MFA“ (FIDO2-Schlüssel, Passkey oder Windows Hello for Business)

Wer nur aus dem Büro administriert, kann zusätzlich eine Richtlinie anlegen, die Admin-Rollen außerhalb der eigenen Standorte (Named Locations mit den Büro-IPs) blockiert. Das lohnt sich aber nur bei fester IP. Wer auch mal vom Handy oder aus dem Homeoffice eingreifen muss, sperrt sich damit eher selbst aus.

Vor dem Scharfschalten: What If

Unter Conditional Access → Richtlinien → What If wähle ich einen Testbenutzer, eine App und gegebenenfalls Standort oder Gerät. Das Tool zeigt, welche Richtlinien greifen würden. Ich teste immer mindestens einen normalen Benutzer, einen Admin und ein Break-Glass-Konto. Beim Break-Glass-Konto darf keine Richtlinie greifen.

Kein P1? Sicherheitsstandards

Ohne Entra ID P1 bleiben die Sicherheitsstandards. Sie erzwingen MFA-Registrierung und blockieren Legacy-Authentifizierung, lassen sich aber nicht anpassen und kennen keine Ausnahmen. Für ein kleines Büro ist das trotzdem deutlich besser als nichts. Sicherheitsstandards und Conditional Access schließen sich gegenseitig aus: Wer CA nutzt, muss die Standards vorher abschalten.

Kurz zusammengefasst

Erst Break-Glass, dann jede Richtlinie im Berichtsmodus, dann What If, dann scharf. Die Reihenfolge ist wichtiger als die einzelnen Einstellungen. Wie das zusammen mit Kennwortschutz und LAPS eine Grundabsicherung ergibt, steht in der Microsoft 365 Security Baseline.