Entra ID und Conditional Access Basis Setup – 2 Wochen

Was ist Microsoft Entra ID?

Microsoft Entra ID ist der „Zugangsschlüssel“ für eure Microsoft 365 Umgebung. Dort werden u. a. verwaltet:

• Benutzerkonten, Gruppen, Rollen (z. B. Admin-Berechtigungen)

• Anmelde- und Sicherheitsmechanismen (MFA, Passwortschutz)

• App-Zugriffe (Microsoft 365 und Drittanbieter-SaaS)

• Identitäts-Schutz (z. B. riskante Anmeldungen – abhängig von Lizenz)

Kurz: Entra ID entscheidet, wer in eure Umgebung kommt und mit welchen Regeln.

Was ist Conditional Access?

Conditional Access bedeutet: Zugriff wird nicht nur mit Benutzername/Passwort entschieden, sondern abhängig von Bedingungen.

Beispiele für Bedingungen:

• Standort / Land / IP (z. B. Büro vs. Ausland)

• Gerätetyp und Gerätestatus (z. B. „verwaltet & konform“)

• Benutzerrolle (z. B. Admins strenger als normale User)

• Anmelderisiko (z. B. ungewöhnliche Anmeldung – je nach Features)

Beispiele für Aktionen:

• MFA erzwingen (Multi-Faktor-Authentifizierung)

• Zugriff blockieren

• Zugriff nur erlauben, wenn das Gerät bestimmte Standards erfüllt

• Session-Steuerung (z. B. restriktiver Zugriff im Browser)

Das Ergebnis: deutlich weniger erfolgreiche Kontoübernahmen, bei gleichzeitig klarer Steuerbarkeit.

Warum Conditional Access so wichtig ist

Conditional Access ist einer der größten Sicherheitshebel in Microsoft 365, weil viele Angriffe an der Anmeldung beginnen.

Die wichtigsten Vorteile:

• Schutz vor Phishing & Kontoübernahmen
  Selbst wenn ein Passwort abgegriffen wird, verhindern MFA und Regeln oft den Zugriff.

• Sicherer Zugriff von überall (modernes Arbeiten)
  Homeoffice, Reisen, Mobilgeräte – sicher geregelt statt „alles offen“.

• Mehr Kontrolle über Geräte
  Unsichere Geräte werden blockiert oder eingeschränkt.

• Admins besonders schützen
  Höhere Hürden für privilegierte Konten reduzieren das Risiko massiv.

• Weniger Schatten-IT & weniger Ausnahmen
  Klare Policies = weniger „Sonderfälle“ und weniger Wildwuchs.

Was wir im Basis-Setup prüfen und einrichten (Leistungsumfang)

Analyse eures Ist-Zustands

Wir prüfen u. a.:

• aktuelle MFA-/Security-Einstellungen

• vorhandene Conditional-Access-Policies (falls vorhanden)

• Rollen-/Adminstruktur (wer hat welche Rechte?)

• genutzte Apps und relevante Zugriffsszenarien (Office, Teams, Mail, mobile Nutzung)

Policy-Design (standardisiert, aber passend zu euch)

Wir entwerfen ein Policy-Set mit:

• klaren Standards

• definierten Ausnahmen (wo wirklich nötig)

• fokus auf Nutzerfreundlichkeit + Sicherheit

Umsetzung in Entra ID

• Einrichten der Conditional-Access-Policies

• Konfiguration so, dass das Rollout kontrolliert erfolgen kann

• Dokumentation und Übergabe inkl. Betriebs-Empfehlungen

Wichtig: Wir setzen Policies so auf, dass ihr nicht „aus Versehen“ euch selbst aussperrt (Admin-Sicherheit via Notfallkonten/Break Glass Konzept ist dabei ein Klassiker).

Typische Conditional-Access-Policies (Best Practices)

Je nach Umgebung setzen wir im Basis-Setup häufig ein (Beispiele):

• MFA für alle Benutzer (mit klaren, dokumentierten Ausnahmen)

• Strengere Regeln für Admin-Konten (z. B. MFA immer + restriktivere Bedingungen)

• Legacy Authentication blockieren (typischer Angriffsvektor)

• Zugriff nur von konformen/verwalteten Geräten (optional, wenn Gerätemanagement vorhanden ist)

• Blockieren riskanter Anmeldungen (wenn euer Lizenz-/Feature Set das unterstützt)

• Standortbasierte Regeln (z. B. bestimmte Länder blocken oder Zugriff außerhalb EU/Büro absichern, wenn sinnvoll)

Wir bauen das so, dass es für euren Alltag passt, nicht als starres „Security-Theater“.

Rollout ohne Chaos: Testen, Pilot, stufenweise Aktivierung

Damit es keine bösen Überraschungen gibt, gehen wir strukturiert vor:

• Policies im Test-/Report-Modus prüfen (wo möglich)

• Pilotgruppe (Key-User) vor dem breiten Rollout

• stufenweise Aktivierung und Monitoring

• klare Kommunikation an Mitarbeitende (MFA-Setup, Hinweise)

Ablauf in 2 Wochen (Projektplan)

Woche 1 – Analyse & Policy-Konzept

• Ist-Aufnahme (Nutzung, Risiken, Besonderheiten)

• Policy-Set definieren (Basis + Admin-Schutz)

• Pilot-/Rollout-Plan erstellen

Woche 2 – Umsetzung, Tests & Übergabe

• Policies implementieren und testen

• Pilot aktivieren, Feedback/Feinschliff

• Rollout vorbereiten + Übergabe

• Dokumentation finalisieren

Preis: was beeinflusst die Kosten?

Ab 6.000 €, abhängig von:

• Anzahl Nutzer und Rollen

• Anzahl Apps und Zugriffsszenarien (intern/extern/mobil)

• vorhandener Gerätemanagement-Reife (Intune ja/nein)

• Umfang an Ausnahmen und Sonderfällen

• gewünschter Sicherheitslevel (normal vs. restriktiver)

Ergebnisse & Dokumentation

Am Ende bekommt ihr:

• ein solides Entra ID & Conditional Access Basis-Setup

• klar definierte Policies inkl. Ausnahmen

• Admin-Schutzkonzept (inkl. Notfallzugänge / Betriebs-Hinweise)

• Rollout-/Kommunikationshinweise für Mitarbeitende (MFA & Login-Änderungen)

• Dokumentation:

  • Policy-Übersicht (was schützt was?)

  • technische Einstellungen & Verantwortlichkeiten

  • Empfehlungen für nächste Ausbaustufen (z. B. Gerätestandards, Risiko-basiert)