Conditional Access: Definition, Funktionsweise und Best Practices für KMU

‍

Conditional Access (deutsch: bedingter Zugriff) ist das zentrale Regelwerk in Microsoft Entra ID, das bei jeder Anmeldung automatisch entscheidet, ob und unter welchen Bedingungen ein Zugriff erlaubt wird. Dabei wertet es Signale wie Nutzer, Standort, Gerätestatus, Anwendung und Anmelderisiko aus und erzwingt passende Maßnahmen – etwa Multi-Faktor-Authentifizierung, ein verwaltetes Gerät oder die Blockade des Zugriffs. Für KMU ist Conditional Access der praktikabelste Weg, Zero-Trust-Sicherheit umzusetzen: Die Technik ist in Microsoft 365 Business Premium bereits enthalten und lässt sich mit wenigen Basisrichtlinien in kurzer Zeit produktiv nutzen.

‍

Ein Passwort allein sagt wenig darüber aus, wer sich da gerade anmeldet – und schon gar nicht, ob der Zugriff unbedenklich ist. Meldet sich die Buchhalterin vom verwalteten Firmenlaptop im Büro an oder jemand mit ihren gestohlenen Zugangsdaten nachts aus einem anderen Land? Genau diese Unterscheidung trifft Conditional Access: Es prüft bei jeder Anmeldung den Kontext und entscheidet in Echtzeit, ob der Zugriff erlaubt, verschärft geprüft oder blockiert wird. Dieser Artikel erklärt, was Conditional Access ist, wie die Richtlinien funktionieren, welche Regeln sich für den Einstieg bewährt haben und welche Fehler Sie vermeiden sollten.

‍

Was ist Conditional Access? – Die Definition

Conditional Access bezeichnet ein richtlinienbasiertes Zugriffssteuerungsverfahren: Zugriffe auf Anwendungen und Daten werden nicht pauschal erlaubt oder verboten, sondern an Bedingungen geknüpft. Die bekannteste Umsetzung ist der bedingte Zugriff in Microsoft Entra ID, dem Identitätsdienst hinter Microsoft 365. Jede Richtlinie (Conditional Access Policy) folgt einer einfachen Wenn-dann-Logik: Wenn ein bestimmter Nutzer unter bestimmten Bedingungen auf eine bestimmte Anwendung zugreift, dann gelten definierte Anforderungen.

Zur Einordnung hilft die Abgrenzung zu verwandten Konzepten:

Conditional Access ist keine MFA. Multi-Faktor-Authentifizierung ist eine der Maßnahmen, die Conditional Access anfordern kann – aber nur eine von vielen. Das Regelwerk entscheidet, wann MFA nötig ist, wann zusätzlich ein konformes Gerät verlangt wird und wann ein Zugriff komplett blockiert wird.

Conditional Access ist keine Firewall und kein VPN. Klassische Netzwerksicherheit schützt einen Perimeter: Wer im Firmennetz ist, gilt als vertrauenswürdig. Conditional Access setzt stattdessen an der Identität an und prüft jeden Zugriff einzeln – egal, ob er aus dem Büro, dem Homeoffice oder dem Hotel-WLAN kommt.

Conditional Access ist mehr als Security Defaults. Microsofts kostenlose Sicherheitsstandards erzwingen pauschal MFA für alle. Das ist ein guter Mindestschutz, aber nicht steuerbar. Conditional Access erlaubt differenzierte Regeln – etwa strengere Anforderungen für Administratoren oder Ausnahmen für Konferenzraum-Geräte.

‍

Wie funktioniert Conditional Access? – Signale und Entscheidungen

Bei jeder Anmeldung sammelt Entra ID Signale, wertet sie gegen die aktiven Richtlinien aus und setzt die Entscheidung durch – für Nutzer meist unbemerkt innerhalb von Sekundenbruchteilen. Die wichtigsten Signale und typische Auswertungen:

Auf Basis dieser Signale erzwingt die Richtlinie eine von mehreren Zugriffssteuerungen: Zugriff gewähren, Zugriff nur mit MFA oder bestimmter Authentifizierungsstärke, Zugriff nur von einem als konform eingestuften Gerät, Kennwortänderung erzwingen – oder Zugriff blockieren. Die Gerätebewertung kommt dabei aus dem Endpoint Management: Ob ein Gerät als konform gilt (aktuelle Updates, Verschlüsselung, Virenschutz), definieren Compliance-Richtlinien im Mobile Device Management, typischerweise mit Microsoft Intune.

Wichtig für das Verständnis: Conditional Access greift nach der ersten Authentifizierung. Es ersetzt also nicht den Schutz des Passworts selbst, sondern entscheidet auf Basis des Kontexts, ob die Anmeldung ausreicht oder zusätzliche Nachweise nötig sind.

‍

Conditional Access und Zero Trust

Conditional Access ist das praktische Werkzeug, mit dem Unternehmen das Zero-Trust-Prinzip im Alltag umsetzen: niemals pauschal vertrauen, jeden Zugriff explizit prüfen. Statt einem Gerät zu vertrauen, weil es im Firmennetz steht, wird jede Anmeldung anhand von Identität, Gerätezustand und Risiko bewertet.

Besonders wirksam ist das Zusammenspiel mit Single Sign-On: SSO bündelt alle Anmeldungen an einer zentralen Stelle – und Conditional Access macht genau diese Stelle intelligent. Eine einzige Richtlinie wirkt damit sofort auf alle angebundenen Anwendungen, vom E-Mail-Postfach bis zur Branchensoftware. Für KMU bedeutet das: Ein überschaubares Set von 5 bis 10 Richtlinien schützt die gesamte Cloud-Umgebung.

‍

Typische Richtlinien für den Einstieg

In der Praxis hat sich ein Satz von Basisrichtlinien etabliert, der für die meisten KMU den größten Sicherheitsgewinn bringt:

1. MFA für alle Nutzer. Die wichtigste Einzelmaßnahme überhaupt: Nach Microsoft-Analysen hatten über 99 Prozent aller kompromittierten Konten keine Multi-Faktor-Authentifizierung aktiviert. Eine Richtlinie, die MFA für alle Cloud-Anwendungen verlangt, ist deshalb die Grundlage jedes Regelwerks.

2. Legacy-Authentifizierung blockieren. Alte Protokolle wie POP3, IMAP oder SMTP-Basic-Auth unterstützen keine MFA und sind ein beliebtes Einfallstor für Passwort-Angriffe. Sie gehören pauschal blockiert.

3. Administratoren besonders schützen. Admin-Rollen erhalten strengere Regeln: phishing-resistente MFA-Verfahren, kürzere Sitzungsdauern und Zugriff auf Verwaltungsportale nur von verwalteten Geräten.

4. Geräte-Compliance für sensible Daten. Zugriff auf Unternehmensdaten nur von Geräten, die die Compliance-Anforderungen erfüllen – aktuelle Patches, Verschlüsselung, aktiver Virenschutz.

5. Standortbasierte Regeln. Anmeldungen aus Ländern, in denen das Unternehmen nicht tätig ist, werden blockiert oder mit zusätzlichen Prüfungen belegt; bekannte Firmenstandorte können als vertrauenswürdig definiert werden.

6. Riskante Anmeldungen automatisch behandeln. Mit Entra ID P2 lassen sich risikobasierte Richtlinien ergänzen: Bei erkanntem Anmelderisiko wird automatisch MFA erzwungen, bei hohem Nutzerrisiko eine Kennwortänderung verlangt oder die Sitzung blockiert.

‍

Lizenzen und Kosten

Conditional Access erfordert eine kostenpflichtige Entra-ID-Lizenz – die gute Nachricht für KMU: Sie ist in gängigen Microsoft-365-Paketen bereits enthalten.

Für die meisten KMU ist Microsoft 365 Business Premium der wirtschaftlichste Weg: Die Lizenz kombiniert Entra ID P1 mit Intune und weiteren Sicherheitsfunktionen. Der Projektaufwand für die Einführung – Bestandsaufnahme, Richtliniendesign, Testphase im Report-only-Modus, Rollout mit Kommunikation – liegt im KMU typischerweise bei 3 bis 6 Wochen und 3.000 bis 10.000 Euro externem Aufwand, abhängig von Anwendungslandschaft und Gerätebestand.

‍

Praktische Beispiele

Steuerkanzlei mit 25 Mitarbeitenden. Zugriff auf Mandantendaten (DMS und Microsoft 365) nur von verwalteten, konformen Geräten mit MFA; Anmeldungen von außerhalb der EU werden blockiert. Ergebnis: Auch mit gestohlenem Passwort kommt ein Angreifer nicht an Mandantendaten – der Nachweis kontrollierter Zugriffe überzeugt zudem Prüfer und Versicherer.

Maschinenbauer mit Außendienst. Vertriebsmitarbeiter greifen weltweit auf CRM und E-Mail zu – von Firmen-Notebooks ohne Einschränkung, von privaten Smartphones nur über geschützte Apps mit App-Schutzrichtlinie und ohne lokale Datenspeicherung. Reisetätigkeit bleibt möglich, Datenabfluss auf Privatgeräte nicht.

Handelsunternehmen nach Phishing-Vorfall. Nach einem kompromittierten Konto führt das Unternehmen risikobasierte Richtlinien ein: Bei auffälligem Anmeldeverhalten wird die Sitzung sofort beendet und eine erneute MFA-Prüfung verlangt. Seither laufen Angriffsversuche mit erbeuteten Passwörtern ins Leere – im Anmeldeprotokoll sichtbar, aber ohne Schaden.

‍

Best Practices für die Einführung

1. Im Report-only-Modus starten. Jede neue Richtlinie zunächst im Berichtsmodus laufen lassen: Sie protokolliert, wen sie treffen würde, ohne einzugreifen. So erkennen Sie Störungen im Arbeitsalltag, bevor sie entstehen.

2. Notfallkonten ausnehmen. Mindestens zwei Break-Glass-Konten mit sicher verwahrten Zugangsdaten von allen Richtlinien ausschließen. Sie sind die Versicherung gegen den Ernstfall, sich durch eine fehlerhafte Richtlinie selbst auszusperren.

3. Mit wenigen Richtlinien beginnen. Fünf gut durchdachte Basisrichtlinien schlagen dreißig Spezialregeln. Je kleiner das Regelwerk, desto nachvollziehbarer bleiben Wechselwirkungen.

4. Ausnahmen dokumentieren und befristen. Jede Ausnahme – etwa für eine Alt-Anwendung ohne MFA-Unterstützung – gehört dokumentiert, begründet und mit Ablaufdatum versehen. Unbefristete Ausnahmen sind die Sicherheitslücken von morgen.

5. Dienstkonten gesondert behandeln. Konten ohne menschlichen Nutzer können keine MFA-Abfrage beantworten. Sie brauchen eigene Regeln, etwa Standortbindung oder die Umstellung auf moderne Authentifizierungsverfahren.

6. Anmeldeprotokolle regelmäßig auswerten. Die Sign-in-Logs zeigen, welche Richtlinien greifen, wo Legacy-Protokolle noch aktiv sind und welche Zugriffe blockiert wurden – eine wertvolle Grundlage für die schrittweise Verschärfung.

‍

Häufige Fehler vermeiden

1. Ohne Testphase scharf schalten. Wer Richtlinien ohne Report-only-Phase aktiviert, riskiert blockierte Geschäftsführer, ausgesperrte Außendienstler und einen überlasteten Helpdesk am Montagmorgen.

2. Keine Notfallkonten einplanen. Der Klassiker unter den Conditional-Access-Fehlern: Eine fehlerhafte Richtlinie sperrt auch alle Administratoren aus – ohne Break-Glass-Konto bleibt dann nur der Support-Weg über Microsoft.

3. Nur Administratoren schützen. Angreifer zielen längst auf normale Nutzerkonten, um sich von dort weiterzuarbeiten. Ein Regelwerk, das nur Admins absichert, lässt die größte Angriffsfläche offen.

4. Nicht verwaltete Anwendungen vergessen. Cloud-Dienste, die Fachabteilungen an der IT vorbei eingeführt haben, bleiben außerhalb des Regelwerks unsichtbar. Eine Anwendungsinventur deckt solche Schatten-IT auf und holt sie unter die zentralen Richtlinien.

5. Regelwerk nie wieder anfassen. Neue Anwendungen, neue Arbeitsmodelle, neue Angriffsmethoden – ein Conditional-Access-Regelwerk gehört mindestens halbjährlich überprüft, sonst veraltet es schleichend.

‍

Häufige Fragen rund um Conditional Access

Was ist Conditional Access einfach erklärt?

Conditional Access ist ein automatischer Türsteher für Ihre Unternehmens-IT: Bei jeder Anmeldung prüft er, wer zugreifen will, von wo, mit welchem Gerät und wie riskant die Situation wirkt. Je nach Ergebnis lässt er den Zugriff durch, verlangt einen zusätzlichen Nachweis wie MFA – oder blockiert ihn komplett.

Was ist eine Conditional Access Policy?

Eine Conditional Access Policy ist eine einzelne Zugriffsregel nach dem Wenn-dann-Prinzip. Sie definiert Zuweisungen (welche Nutzer, welche Anwendungen, welche Bedingungen wie Standort oder Geräteplattform) und Zugriffssteuerungen (was verlangt wird: MFA, konformes Gerät, Blockade). Mehrere Richtlinien wirken zusammen; die restriktivste Anforderung setzt sich durch.

Welche Lizenz brauche ich für Conditional Access?

Eigene Conditional-Access-Richtlinien erfordern Microsoft Entra ID P1 – für KMU meist am wirtschaftlichsten über Microsoft 365 Business Premium abgedeckt. Risikobasierte Richtlinien, die auf erkannte Anmelde- und Nutzerrisiken reagieren, erfordern Entra ID P2. Ohne kostenpflichtige Lizenz stehen die pauschalen Security Defaults zur Verfügung.

Was ist der Unterschied zwischen Conditional Access und MFA?

MFA ist ein Authentifizierungsverfahren – der zusätzliche Nachweis neben dem Passwort. Conditional Access ist das Regelwerk darüber: Es entscheidet, in welchen Situationen MFA verlangt wird, wann zusätzlich ein verwaltetes Gerät nötig ist und wann ein Zugriff gar nicht erst zugelassen wird. MFA ist eine Maßnahme, Conditional Access die Steuerung.

Kann ich mich mit Conditional Access selbst aussperren?

Ja – eine zu strenge oder fehlerhafte Richtlinie kann im schlimmsten Fall alle Konten inklusive der Administratoren blockieren. Deshalb gelten zwei eiserne Regeln: Neue Richtlinien immer zuerst im Report-only-Modus testen und mindestens zwei Break-Glass-Notfallkonten dauerhaft von allen Richtlinien ausnehmen.

‍

Fazit: Kontext statt Bauchgefühl

Conditional Access verlagert die Zugriffsentscheidung dorthin, wo sie hingehört: an die Identität und den Kontext jeder einzelnen Anmeldung. Für KMU ist das ein seltener Glücksfall – die Technik ist in vorhandenen Microsoft-365-Lizenzen meist schon enthalten, der Einstieg gelingt mit einer Handvoll bewährter Basisrichtlinien, und der Sicherheitsgewinn ist messbar. Wer Passwort-Diebstahl, Phishing-Folgen und unkontrollierte Zugriffe wirksam eindämmen will, kommt an einem durchdachten Conditional-Access-Regelwerk als Baustein der IT-Sicherheit nicht vorbei.

Wenn Sie Conditional Access in Ihrem Unternehmen einführen oder Ihr bestehendes Regelwerk überprüfen und härten möchten, unterstützt Sie computech gerne mit einer unverbindlichen Beratung.

Autor: Tobias Linden, CEO