‍

Was ist der conditional access in Microsoft 365?

Conditional Access in Microsoft 365 ist eine Sicherheitsfunktion, die es IT-Administratoren ermöglicht, spezifische Bedingungen festzulegen, unter denen Benutzer, Gruppen oder Geräte auf Unternehmensressourcen zugreifen dürfen oder blockiert werden. Diese Funktion ist Teil von EntraID (Azure AD) und dient dazu, sicherzustellen, dass nur unter Einhaltung definierter Bedingungen Zugriff auf Anwendungen und Daten gewährt wird. Conditional Access kombiniert Signale, um Entscheidungen zu treffen, und setzt Richtlinien durch, um den Zugriff zu gewähren oder zu verweigern.

Kernkomponenten von Conditional Access

1. Benutzer- oder Gruppenidentität: Richtlinien können für spezifische Benutzer oder Gruppen innerhalb der Organisation festgelegt werden. Die Richtlinien müssen nicht für alle Benutzer gelten

2. Standort: Zugriffsberechtigungen können basierend auf dem geografischen Standort des Benutzers oder aus spezifischen Netzwerken bzw. IP-Adressbereichen gewährt oder verweigert werden.

3. Gerätestatus: Der Zugriff kann abhängig davon gewährt werden, ob ein Gerät als sicher gilt, z.B. ob es von der Organisation verwaltet wird oder ob es die Sicherheitsstandards der Organisation erfüllt.

4. Anwendungen: Richtlinien können für den Zugriff auf spezifische Anwendungen angewendet werden, z.B. für den Zugriff auf E-Mails oder SharePoint Webseiten.

5. Risiken: Die Risikobewertung eines Anmeldeversuchs kann zur Durchsetzung von Richtlinien herangezogen werden. Microsoft bietet Werkzeuge zur Erkennung von verdächtigen Anmeldeversuchen oder ungewöhnlichen Aktivitäten, die als Teil der Conditional Access-Richtlinien verwendet werden können.

6. Compliance: Die Einhaltung von Compliance-Regeln, wie das Vorhandensein bestimmter Sicherheitsfeatures oder Softwareupdates, kann ebenfalls als Bedingung für den Zugriff festgelegt werden.

Beispiele für Conditional Access-Richtlinien

1. MFA-Anforderung: Erfordern, dass Multi-Faktor-Authentifizierung (MFA) verwendet wird, wenn sich Benutzer von außerhalb des Unternehmensnetzwerks anmelden.

2. Zugriffseinschränkungen für Nicht-Compliance-Geräte: Verweigerung des Zugriffs von Geräten, die nicht als compliant markiert sind. Es muss im Vorfeld definiert werden unter welchen Umständen welches Gerät compliant ist. Es kann reichen, dass ein Gerät in der Geräteverwaltung erfasst ist, es können aber auch komplexe Anforderungen an das Gerät gestellt werden.

3.    Geografische Einschränkungen: Einschränkung des Zugriffs auf Unternehmensressourcen von bestimmten Ländern oder Regionen aus.

Conditional Access ist ein kritischer Bestandteil der Sicherheitsstrategie in Microsoft 365, da er Organisationen ermöglicht, den Zugriff auf Unternehmensdaten und -anwendungen basierend auf einem kontextabhängigen Ansatz zu steuern und zu sichern. Dadurch wird ein höheres Sicherheitsniveau erreicht, indem nur sichere und autorisierte Zugriffe erlaubt werden. In der Praxis sind häufig angewendete Beispiele das Beschränken der Zugriffe auf Firmengeräte. Ein User darf trotz Berechtigung nur zugreifen, wenn Dies von einem Firmengerät geschieht. Häufig ist auch die Beschränkung von Gruppen auf Zugriffe ausschließlich aus dem Firmennetz heraus. Außerhalb des Firmennetzes ist ein Anmelden an Diensten oder der Zugriff auf Daten trotz gültigen Zugangsdaten nicht möglich.

‍

Grüße.

Felix Knote

‍

‍