Das Wichtigste in Kürze
- Ein Break Glass Account ist ein speziell eingerichteter Notfall Administrationszugang für Microsoft 365
- Er stellt sicher, dass Unternehmen auch bei Aussperrung aller regulären Administratoren handlungsfähig bleiben
- Besonders relevant bei Conditional Access, MFA, Zero Trust und Cloud-Only-Umgebungen
- Microsoft empfiehlt ausdrücklich die Nutzung solcher Konten
- Fehlende oder falsch geplante Break Glass Accounts können zu massiven Betriebsunterbrechungen führen
- Die Umsetzung erfordert Erfahrung, Planung und Governanc
- CodeKlar unterstützt Unternehmen ganzheitlich bei M365-Sicherheit und Notfallkonzepten
Inhaltsverzeichnis
Was ist ein Break Glass Account?
Ein Break Glass Account ist ein dediziertes Notfallkonto mit administrativen Höchstberechtigungen in Microsoft 365 bzw. Entra ID (Azure AD). Er ist ausschließlich dafür gedacht, im absoluten Ausnahmefall verwendet zu werden. Dann, wenn reguläre Administratorzugänge nicht mehr funktionieren. Der Name verdeutlicht das Prinzip sehr gut:
So wie ein Feueralarm hinter Glas nur im Notfall genutzt wird, soll auch dieser Account bewusst, selten und kontrolliert eingesetzt werden.
Im Gegensatz zu normalen Admin-Konten:
- ist er nicht an einzelne Personen gebunden
- wird er nicht täglich genutzt
- steht er außerhalb vieler automatisierter Sicherheitsmechanismen
Gerade diese Sonderrolle macht ihn so wertvoll und gleichzeitig so sensibel.
Warum Microsoft 365 ohne Break Glass Account ein Risiko ist
Microsoft 365 verfolgt ein modernes Sicherheitsmodell, das stark auf Automatisierung, Richtlinien und Identitäten setzt. Das erhöht die Sicherheit, kann aber auch dazu führen, dass Fehlkonfigurationen drastische Auswirkungen haben.
Ein einzelner Fehler kann reichen, um:
- alle Administratoren auszusperren
- Zugriffe global zu blockieren
- Sicherheitsrichtlinien nicht mehr anpassen zu können
Ohne Break Glass Account gibt es in solchen Fällen keinen „letzten Schlüssel“ mehr. Das Risiko ist dabei nicht theoretisch, sondern real und häufig unterschätzt.
Die zunehmende Komplexität von M365-Sicherheit
Microsoft 365 entwickelt sich ständig weiter. Unternehmen nutzen heute unter anderem:
- Conditional Access Richtlinien
- Multi-Faktor-Authentifizierung
- Identity Protection
- Gerätezustand (Compliance)
- Standortbasierte Zugriffe
- Drittanbieter-Identitätslösungen
Diese Mechanismen greifen ineinander. Je komplexer das Setup, desto größer die Gefahr, dass sich Effekte gegenseitig verstärken, bis hin zur vollständigen Blockade. Ein Break Glass Account dient hier als kontrollierter Sicherheitsanker, der bewusst außerhalb dieser Abhängigkeiten existiert.
Typische Notfallszenarien aus der Praxis
In der Beratungspraxis zeigen sich immer wieder ähnliche Situationen.
Fehlkonfigurierte Conditional Access Richtlinien
Ein neuer Zugriffsschutz wird aktiviert, aber versehentlich auch auf Administratoren angewendet. Das Ergebnis: Niemand kann sich mehr anmelden, um die Regel zu korrigieren.
MFA-Probleme auf Administratorebene
Neue MFA-Methoden, defekte Geräte oder erzwungene Registrierungen können dazu führen, dass alle Admins gleichzeitig blockiert sind.
Identitäts- oder Föderationsausfälle
Gerade in hybriden Umgebungen kann ein Fehler in der Identitätskette den Zugriff auf M365 vollständig verhindern.
Sicherheitsvorfälle
Bei einem Angriff zählt jede Minute. Ohne funktionierenden Notfallzugang sind schnelle Gegenmaßnahmen kaum möglich.
Break Glass Accounts als Teil der Business Continuity
Viele Unternehmen investieren viel Zeit in:
- Backup-Konzepte
- Notfallpläne
- Wiederanlaufstrategien
Doch die Identitätsebene wird dabei oft übersehen.
Ein Break Glass Account ist:
- ein zentrales Element der IT-Resilienz
- Bestandteil einer durchdachten Business-Continuity-Strategie
- ein Schutz vor organisatorischem Stillstand
Ohne ihn kann selbst ein kleines Konfigurationsproblem massive Auswirkungen auf den Geschäftsbetrieb haben.
Microsoft Best Practices und Empfehlungen
Microsoft selbst weist in der offiziellen Dokumentation (u. a. auf Microsoft Learn) explizit auf die Notwendigkeit von Emergency Access Accounts hin. Zu den Kernempfehlungen gehören:
- mehrere Notfallkonten
- klare Trennung vom Tagesgeschäft
- regelmäßige Überprüfung
- saubere Dokumentation
- Überwachung der Nutzung
Diese Empfehlungen zeigen deutlich: Break Glass Accounts sind keine individuelle Sicherheitsidee, sondern ein etablierter Industriestandard.
Warum viele Break Glass Accounts im Ernstfall versagen
In der Praxis existiert ein Notfallkonto oft nur „auf dem Papier“. Häufige Probleme sind:
- Passwörter wurden nie getestet oder aktualisiert
- Das Konto ist unbemerkt doch von Richtlinien betroffen
- Es gibt keinen klaren Prozess für den Zugriff
- Verantwortlichkeiten sind nicht definiert
Ein solcher Account vermittelt trügerische Sicherheit und hilft im Ernstfall nicht weiter.
Strategische Überlegungen statt reiner Technik
Ein funktionierender Break Glass Account ist nicht nur eine technische Einstellung, sondern Teil eines organisatorischen Gesamtkonzepts. Wichtige Fragen sind unter anderem:
- Wer darf den Zugriff freigeben?
- Wie wird Missbrauch verhindert?
- Wie ist der Notfall dokumentiert?
- Wie wird der Zugriff revisionssicher nachgewiesen?
Diese Aspekte lassen sich nicht „nebenbei“ lösen, sie erfordern Erfahrung mit Microsoft-365-Architekturen und Sicherheitsmodellen.
Warum jedes Unternehmen mit M365 betroffen ist
Unabhängig von Branche oder Größe gilt:
Wer Microsoft 365 produktiv nutzt, trägt Verantwortung für den eigenen Administrationszugang. Gerade Unternehmen mit:
- verteilten Teams
- Cloud-First-Strategien
- erhöhten Compliance-Anforderungen
sollten das Thema proaktiv angehen, nicht erst im Krisenfall.
Wie CodeKlar Sie dabei unterstützt
Ein sicherer Break Glass Account entsteht nicht durch Copy & Paste, sondern durch Verständnis der gesamten M365 Umgebung. CodeKlar unterstützt Unternehmen bei:
- Analyse bestehender Microsoft-365-Sicherheitskonzepte
- Planung sinnvoller Notfallzugänge
- Integration in Zero-Trust-Strategien
- Governance, Dokumentation und Review Prozessen
- Langfristiger Absicherung der Administrationsfähigkeit
Sprechen Sie mit uns:
Denn der richtige Zeitpunkt für einen Break Glass Account ist immer vor dem Notfall.