Infrastruktur / Sicherheit und Identität / Zugangssteuerung
Die Zugriffsregel zu formulieren ist einfach. Zu wissen, für wen sie gilt, ist schon viel schwieriger.
Wer loggt sich ein, von wo aus, mit welchem Gerät – und was muss er nachweisen?Die bedingte Zugriffskontrolle prüft jede Verbindung zu Ihren Microsoft 365-Diensten und entscheidet, welche Anforderungen gestellt werden sollen: eine mehrstufige Authentifizierung, ein vom Unternehmen verwaltetes Gerät oder gar keine, weil sich die Person im Büro an ihrem gewohnten Computer befindet. Die Schwierigkeit liegt nie in der Syntax, sondern darin, zu erkennen, wer sich in welchem Fall gerade anmeldet, und dabei niemanden auszusperren.
Verbindungen, die Fragen aufwerfen
Ein korrektes Passwort sagt nicht viel aus. Es besagt lediglich, dass jemand das Passwort kennt – nicht, dass es sich um die richtige Person handelt, und auch nicht, dass das verwendete Gerät vertrauenswürdig genug ist, um ihm Ihre Dokumente anzuvertrauen.
Es kommt eine Verbindung aus einem Land, in dem niemand arbeitet
Das Konto ist gültig, das Passwort ist korrekt, und die Anmeldung erfolgt von einem Ort aus, an dem Ihr Unternehmen weder eine Niederlassung noch Kunden noch Mitarbeiter auf Geschäftsreise hat.
Eine Anforderung in Bezug auf den Verbindungsort erfordert einen zusätzlichen Nachweis oder verhindert den Zugriff und weist Sie darauf hin.
Ein Mitarbeiter ruft seine E-Mails auf seinem privaten Smartphone ab
Das Gerät wird nicht vom Unternehmen verwaltet, es verfügt nicht unbedingt über einen Entsperrcode und wird möglicherweise weiterverkauft, wobei die Daten noch darauf gespeichert sind.
Der Zugriff kann im Browser offen bleiben, ohne dass ein Download erlaubt wird, oder es kann ein verwaltetes Gerät erforderlich sein, um fortzufahren.
Ein externer Dienstleister greift auf Ihre Dokumente zu
Er benötigt zwei Ordner für drei Monate. Sein Gastkonto bleibt oft noch lange nach Arbeitsende aktiv, und niemand schließt es.
Gastkonten unterliegen eigenen, strengeren Anforderungen, ohne dass dies Ihren internen Teams zusätzliche Arbeit bereitet.
Ein veraltetes Protokoll umgeht jegliche Überprüfung
Einige ältere E-Mail-Clients unterstützen keine Multi-Faktor-Authentifizierung. Ein Konto, auf das auf diesem Weg zugegriffen wird, lässt sich allein mit dem Passwort freischalten.
Das ist das Erste, was wir abschalten, und oft das, was das tatsächliche Risiko am stärksten beeinflusst.
Ein Administratorkonto dient auch dazu, E-Mails abzurufen
Mit demselben Konto kann man E-Mails abrufen, im Internet surfen und das Adressbuch verwalten. Eine einzige manipulierte Seite reicht dann aus, um die höchsten Berechtigungen zu erlangen.
Für Administratorkonten gelten gesonderte Anforderungen, und sie dienen ausschließlich Verwaltungszwecken.
Zwei Anmeldungen vom selben Konto mit einem zeitlichen Abstand von zwei Flugstunden
Die erste kommt um 9 Uhr aus Lausanne, die zweite um 9:20 Uhr vom anderen Ende der Welt. Eine der beiden ist nicht die richtige Person.
Microsoft Entra ID Protection stuft eine solche Verbindung als risikobehaftet ein, und die bedingte Zugriffsgewährung kann daraufhin einen erneuten Identitätsnachweis erfordern.
Worum es bei der Zugangsbeschränkung geht und was sie erfordert
Eine Entscheidung zur bedingten Zugriffsgewährung lässt sich wie ein Satz lesen: Wenn eine bestimmte Person von einem bestimmten Ort aus auf einem bestimmten Gerät eine bestimmte Anwendung öffnet – dann ist dies zu verlangen. Die gesamte Arbeit besteht darin, die Lücken für Ihr Unternehmen auszufüllen.
Was er sich ansieht
Die Signale der Verbindung
- Wer– die Person, ihre Gruppe, ihre Administratorrolle und ob es sich um ein Gastkonto handelt.
- Von wo aus– die Netzwerkadresse, das Land und die Orte, die Sie als Ihre Standorte angegeben haben.
- Auf welchem Gerät– egal, ob es vom Unternehmen verwaltet wird oder nicht, ob es Ihren Anforderungen entspricht oder nicht.
- Zu welcher Anwendung– E-Mail, Dokumente, Adressbuchverwaltung?
- Wie hoch ist das Risiko– eine ungewöhnliche Verbindung oder ein Konto, dessen Passwort im Umlauf ist?
Was er verlangen kann
Die Entscheidung, sobald die Signale gedeutet sind
- Eine Multi-Faktor-Authentifizierung– entweder sofort oder nur außerhalb Ihrer Räumlichkeiten.
- Ein verwaltetes und konformes Gerät– andernfalls wird der Zugriff verweigert.
- Eine zeitlich begrenzte Sitzung– Lesen im Browser, ohne Download oder Ausdruck.
- Eine regelmäßige Neuverbindung– statt einer Sitzung, die auf unbestimmte Zeit offen bleibt.
- Gar nichts– und das ist der häufigste Fall bei Menschen, die normal arbeiten.
Die vom Gerätetyp abhängige Bedingung basiert auf den Angaben, die der Browser selbst macht: Microsoft weist darauf hin, dass diese Angaben nachahmbar sind. Sie dient dazu, die Nutzung zu lenken, niemals jedoch dazu, allein eine Sicherheitsanforderung zu erfüllen.
Was wir als Erstes umsetzen
Sechs Punkte in dieser Reihenfolge, bevor konkrete Anfragen gestellt werden. Sie decken den größten Teil des tatsächlichen Risikos ab und lassen sich der Geschäftsleitung in fünf Minuten erläutern.
Zwei Notfall-Zugangsdaten
Von jeglichen Anforderungen ausgenommen, mit einem langen Passwort, das außerhalb des Systems aufbewahrt wird, und getestet, bevor sie benötigt werden.
Die alten, geschlossenen Protokolle
Authentifizierungsverfahren, die keinen zweiten Faktor vorweisen können, werden für alle abgelehnt.
Ein weiterer Faktor für die Verwaltungsrechnungen
Ohne Ausnahme und unabhängig vom Ort: Das sind die Konten, deren Verlust am teuersten zu Buche schlägt.
Ein zweiter Faktor für alle
Dies wird erst anschließend festgelegt, sobald die Sonderfälle bekannt sind. Microsoft verlangt dies nun selbst für die Verwaltung.
Besondere Anforderungen an Gastkonten
Ein externer Dienstleister muss nicht die gleichen Bedingungen erhalten wie ein Mitarbeiter Ihres Unternehmens.
Eine festgelegte Sitzungsdauer
Anstatt einer Sitzung, die auf einem gemeinsam genutzten Gerät oder an einem öffentlichen Ort auf unbestimmte Zeit offen bleibt.
Der einzige wirklich kostspielige Vorfall: sich aussperren
Eine falsch gerichtete Anforderung kann sich auf alle Konten auswirken, auch auf Ihre eigenen. Dann kann sich niemand mehr anmelden, um sie zurückzuziehen, und die Wiederherstellung erfolgt über einen Antrag bei Microsoft, was mit entsprechenden Verzögerungen verbunden ist.
Aus diesem Grund werden die Notfallzugangskonten als Erstes eingerichtet – völlig unabhängig von allem anderen – und wir überprüfen, ob sie funktionieren, bevor wir irgendetwas anderes umsetzen.
So gehen wir vor
Fünf Schritte, in dieser Reihenfolge. Der dritte Schritt beugt bösen Überraschungen vor: Man überlegt sich, was passieren würde, bevor überhaupt etwas passiert.
Erfassen, wer sich anmeldet und auf welche Weise
Die tatsächlich aktiven Konten, die vergessenen Dienstkonten, die verwendeten Geräte, die üblichen Verbindungsorte und die noch offenen alten Protokolle. Dieser Bericht entscheidet über alles Weitere.
Notfallzugangsdaten einrichten und testen
Noch bevor es darauf ankommt. Ein Notfallkonto, das noch nie getestet wurde, ist kein Notfallkonto.
Nur im Berichtsmodus anzeigen
Jede Beschwerde wird zunächst ohne Ergebnis vorgebracht: Sie liest, zählt und berichtet, wer davon betroffen wäre. So entdeckt man das Dienstkonto, das angeblich nicht mehr funktioniert, oder das Team auf Dienstreise, dem an einem Montagmorgen die Genehmigung verweigert worden sein soll.
In Gruppen umsetzen, beginnend mit der IT-Abteilung
Zuerst Ihre technischen Teams, dann eine Pilotabteilung, dann der Rest. Bei jeder Phase können vor der nächsten Anpassungen vorgenommen werden, und niemand erfährt eines Morgens ohne Vorwarnung von der Änderung.
Dokumentieren und die Überprüfung planen
Jede Anforderung wird zusammen mit dem Grund, aus dem sie gestellt wurde, schriftlich festgehalten. Ohne diesen Grund traut sich zwei Jahre später niemand mehr, daran etwas zu ändern, und das Ganze erstarrt.
Was Sie wissen sollten, bevor Sie sich entscheiden
Vier Fragen, die bei jedem Projekt immer wieder auftauchen.
Welche Lizenzen sind erforderlich?
Für die bedingte Zugriffskontrolle ist Microsoft Entra ID P1 erforderlich. Für risikobasierte Entscheidungen hinsichtlich einer Verbindung oder eines Kontos ist P2 erforderlich. Beide Pläne sind separat sowie in bestimmten Microsoft 365-Suiten erhältlich.
Und die standardmäßige Sicherheitsfunktion – ist die bereits aktiviert?
Beides lässt sich nicht miteinander vereinbaren: Die Aktivierung der Zugangsbeschränkung setzt die Deaktivierung der Standardsicherheit voraus. Das sorgt zwar für mehr Flexibilität, bedeutet aber auch das Ende eines automatischen Sicherheitsnetzes – daher ist die Ausgangsbasis so wichtig.
Ist unser Verzeichnis vielleicht schon betroffen, ohne dass wir davon wissen?
Wahrscheinlich. Microsoft stellt bestimmte Anforderungen in den berechtigten Verzeichnissen selbst bereit, zunächst nur als Verweis, und aktiviert sie nach etwa 30 Tagen, wenn niemand eingreift. Sie sind im Verwaltungscenter zu sehen und als von Microsoft erstellt gekennzeichnet.
Was die Zugangsbeschränkung nicht leistet
Er entscheidet, wer hereinkommt, nicht, was hinausgeht. Zu verhindern, dass ein Dokument das Unternehmen verlässt, sobald die Person einmal hereingekommen ist, fällt unter den Bereich der Datenverlustprävention – und das ist ein anderes Thema.
Weiterführende Informationen
Die bedingte Zugriffskontrolle stützt sich auf das, was Sie über Ihre Geräte und Identitäten wissen, und endet dort, wo die Überwachung von Dokumenten beginnt.
Das Verzeichnis, auf dem alles basiert
Microsoft Entra ID: Identitäten, Gruppen, Rollen sowie die Tarife P1 und P2.Sich vergewissern, dass ein Gerät den Vorschriften entspricht
Ohne Geräteverwaltung gibt es niemanden, auf den die Anforderung „verwaltetes Gerät“ zutrifft.Verhindern, dass ein Dokument versendet wird
Was nach der Eingabe geschieht: die sensiblen Inhalte und die Wege, die sie nehmen.Ein Gerät anhand seines Zertifikats identifizieren
Interne Zertifikate und eine Authentifizierung, bei der der Benutzer keine Eingaben vornehmen muss.Wie sich eine Zugriffssicherung umgehen lässt
Unser ausführlicher Leitfaden, geschrieben aus der Perspektive derjenigen, die versuchen, sich dort hindurchzuschlängeln.Fachbegriffe erklärt
Zweiter Faktor, kompatibles Gerät, Sitzungs-Token: die Begriffe ohne Fachjargon.Beschreiben Sie uns Ihre Ausgangslage, dann sagen wir Ihnen, wo Sie anfangen sollen.
Der erste Austausch dient dazu, festzustellen, wer sich von wo aus einloggt, und dann zu entscheiden, was als Erstes ansteht. Dort treffen Sie die Personen, die die Arbeit erledigen werden, und nicht einen Vertriebsmitarbeiter, der sie nur beschreibt.
Renens +41 21 806 37 15 · Sion +41 27 552 00 22 · Châtel-Saint-Denis +41 26 322 59 05