Conditional Access sind dynamische Zugriffsregeln in Microsoft Entra ID: Wer sich von wo und mit welchem Gerät anmeldet, bestimmt, ob MFA, Block oder eingeschränkter Zugriff folgt.
Was bedeutet Conditional Access?
Policies kombinieren Signale: Benutzergruppe, Cloud-App, Standort (IP/Länder), Geräte-Compliance, Anmelderisiko. Beispiel: Admins immer MFA plus compliant Gerät; Gast aus unsicherem Land blockiert; Legacy-Auth komplett verweigert.
Conditional Access ist das technische Rückgrat von Zero Trust in Microsoft 365 — nicht „einmal im Büro vertrauen“, sondern jede Sitzung prüfen. Report-Only-Modus testet Auswirkungen, bevor Regeln durchgreifen.
Named Locations definieren vertrauenswürdige IP-Bereiche — Büro, VPN-Ausgang. Risk-based Policies reagieren auf impossible travel oder anonyme IPs. Gastnutzer und Break-Glass-Konten brauchen eigene, lockerere oder strengere Policies — bewusst dokumentiert.
Policies können Geräte-Compliance, Standort, App-Schutzstatus und Risiko-Signale kombinieren — etwa blockieren, wenn Anmeldung aus einem Land kommt, in dem das Unternehmen keine Mitarbeitenden hat. Report-only-Modus erlaubt, Auswirkungen zu messen, bevor Nutzer ausgesperrt werden.
Lizenzen wie Entra ID P1 oder Microsoft 365 Business Premium sind Voraussetzung — vor dem Rollout lohnt ein Lizenzcheck, damit nicht die Hälfte der Belegschaft ausgeschlossen wird, weil falsche SKUs gebucht wurden.
Warum ist Conditional Access relevant für KMU?
KMU mit Remote-Arbeit und Mallorca-Standorten haben Anmeldungen weltweit. Ohne CA ist MFA optional und BYOD unkontrolliert — Einbruchstor für Phishing.
Steuerberater und Makler verarbeiten sensible Daten mobil. CA erzwingt verschlüsselte, verwaltete Geräte für Exchange und SharePoint — nachvollziehbar für DSGVO-TOM.
Lizenzkosten prüfen vor Policy-Design: CA braucht Entra ID P1 minimum. Für KMU oft in Business Premium enthalten — ungenutzt lassen ist verschenktes Budget und offene Tür für Angreifer.
Mobile Arbeit und internationale Standorte machen statische Firewalls blind — CA prüft jede Anmeldung im Kontext. Für KMU mit Microsoft 365 ist CA der realistischste Zero-Trust-Einstieg ohne neues Hardware-Budget.
Gastnutzer und Partner separat behandeln — oft höheres Risiko. Named Location für Büro nicht zu groß — sonst nutzlos. Policies versionieren und changen mit Ticket — wer hat was wann geändert?
Gestohlene Passwörter reichen Angreifern oft nicht mehr, wenn CA greift: Anmeldung aus dem Ausland ohne Firmengerät scheitert. Für KMU mit wenigen Admins ist das effektiver als teure Netzwerk-Segmentierung im Kleinstbüro.
Typische Fehler
- Policies ohne Break-Glass — Admin sperrt sich aus
- Report-Only ewig, nie Enforcement
- Nur eine Policy für alles — zu grob oder zu restriktiv
- Geräte-Compliance nicht definiert — CA wirkungslos
Praxisbeispiel
Eine Kanzlei aktiviert CA schrittweise: zuerst Legacy-Auth blockieren, dann MFA für alle Cloud-Apps, dann compliant Geräte für SharePoint. Report-Only zeigt zwei alte Drucker-Apps — Ausnahme dokumentiert, Rest enforced.
Verwandte Begriffe
Persönliche IT-Betreuung
Sie brauchen einen festen Ansprechpartner statt Einzel-Lösungen? Tim unterstützt Unternehmen bis 25 Mitarbeiter verständlich und persönlich.
Externe IT-Betreuung anfragen