Glossar · IT-Sicherheit & Backup
Was ist Conditional Access?
Kurz erklärt
Conditional Access (bedingter Zugriff) ist eine Funktion von Microsoft Entra ID, die bei jeder Anmeldung prüft, wer sich von welchem Gerät und Ort anmeldet – und den Zugriff auf Microsoft 365 abhängig davon erlaubt, blockiert oder eine zusätzliche Bestätigung verlangt.
Conditional Access (auf Deutsch „bedingter Zugriff“) ist eine Funktion von Microsoft Entra ID, dem Anmeldedienst hinter Microsoft 365. Sie prüft bei jeder Anmeldung, wer sich von welchem Gerät und Ort anmeldet, und entscheidet dann über den Zugriff. So bleibt ein gestohlenes Passwort allein wirkungslos.
Wie funktioniert Conditional Access?
Conditional Access arbeitet nach dem Prinzip „Wenn – dann“. Bei jeder Anmeldung werden Signale gesammelt und mit Ihren Richtlinien abgeglichen.
- Wer meldet sich an? Benutzer, Gruppe oder Administrator.
- Womit? Verwaltetes Firmengerät oder privates Smartphone.
- Von wo? Büro, Deutschland oder ein Land ohne Geschäftsbezug.
- Worauf? E-Mail, SharePoint oder Verwaltungsportale.
- Wie riskant? Auffällige Anmeldungen erkennt Microsoft automatisch, risikobasierte Regeln erfordern allerdings Entra ID P2.
Daraus folgt eine Entscheidung: Zugriff erlauben, eine zusätzliche Bestätigung verlangen, nur von konformen Geräten zulassen oder blockieren. Das passt zum Grundsatz Zero Trust, bei dem keine Anmeldung automatisch als vertrauenswürdig gilt.
Typische Richtlinien für Conditional Access in KMU
| Richtlinie | Wirkung |
|---|---|
| MFA für alle Benutzer | Gestohlene Passwörter allein reichen nicht mehr. |
| Veraltete Anmeldeverfahren blockieren | Alte Protokolle ohne MFA-Unterstützung werden gesperrt. |
| Länder-Sperre | Anmeldungen aus Ländern ohne Geschäftsbezug werden abgewiesen. |
| Nur verwaltete Geräte | Firmendaten nur auf Geräten, die über Microsoft Intune abgesichert sind. |
| Schutz für Admins | Strengere Regeln für Konten mit Administratorrechten. |
Ein Beispiel: Ein Onlinehändler erlaubt den Zugriff auf die Buchhaltung nur von Firmenlaptops. Meldet sich jemand mit dem richtigen Passwort von einem unbekannten Rechner im Ausland an, wird der Zugriff blockiert.
Welche Regeln sinnvoll sind, hängt von Ihrem Betrieb ab. Eine Kanzlei mit sensiblen Mandantendaten braucht strengere Vorgaben als ein kleiner Handwerksbetrieb, in dem alle im selben Büro sitzen.
Welche Lizenz braucht Conditional Access?
Conditional Access benötigt laut Microsoft eine Lizenz für Microsoft Entra ID P1. Kunden mit Microsoft 365 Business Premium haben ebenfalls Zugriff darauf.
Ohne diese Lizenz bleiben die kostenlosen Sicherheitsstandards. Sie aktivieren einen festen Grundschutz, etwa die MFA-Registrierung für alle und das Blockieren veralteter Anmeldeverfahren, lassen aber keine eigenen Regeln oder Ausnahmen zu.
Welche Variante passt, hängt von Größe und Schutzbedarf ab. Für einen kleinen Betrieb ohne private Geräte können die Sicherheitsstandards zunächst ausreichen. Sobald Sie Ausnahmen brauchen, etwa für einen Scanner oder für Mitarbeitende auf Reisen, führt an eigenen Regeln kaum ein Weg vorbei.
Schritt für Schritt zur ersten Richtlinie
Die Einführung gelingt am besten in kleinen, überprüfbaren Schritten. So merken Mitarbeitende kaum etwas, und Fehler fallen auf, bevor sie Schaden anrichten.
- Notfallkonten anlegen: Zwei getrennte Administratorkonten, sicher verwahrt und von Sperrregeln ausgenommen.
- Bestand erfassen: Welche Konten, Geräte und Anwendungen gibt es, und wer arbeitet von wo?
- Im Berichtsmodus starten: Die Richtlinie protokolliert nur, was passieren würde.
- Protokolle auswerten: Prüfen, ob legitime Anmeldungen betroffen wären, und Ausnahmen ergänzen.
- Aktivieren und informieren: Die Regel scharf schalten und das Team vorab kurz einweisen.
Was bedeutet Conditional Access für Ihr Unternehmen?
Für die Geschäftsführung ist Conditional Access ein wirksamer Hebel gegen Kontoübernahmen, die häufig mit gestohlenen Passwörtern beginnen. Die Kosten liegen vor allem in der passenden Lizenz und in der sorgfältigen Einrichtung.
- Nutzen: Einheitliche Regeln für alle Konten statt Einzelfallentscheidungen, nachvollziehbar in Protokollen.
- Risiko Aussperren: Eine fehlerhafte Richtlinie kann alle Administratoren aussperren. Microsoft empfiehlt mindestens zwei Notfallkonten, die von blockierenden Richtlinien ausgenommen sind.
- Schrittweise vorgehen: Neue Richtlinien zuerst im Modus „Nur melden“ testen und erst danach aktivieren.
- Ausnahmen planen: Scanner, Drucker oder Dienstkonten brauchen oft eigene Regeln.
- Typischer Fehler: Richtlinien werden einmal eingerichtet und nie wieder geprüft, obwohl neue Mitarbeitende, Geräte und Anwendungen dazukommen.
Planen Sie deshalb eine jährliche Überprüfung Ihrer Regeln ein. Unterstützung bei Konzept und Umsetzung bietet unsere Leistung IT-Sicherheit für KMU.
Häufige Fragen
Was ist der Unterschied zu den Sicherheitsstandards?
Sicherheitsstandards sind ein kostenloser Grundschutz mit festen Regeln, den Sie nur ein- oder ausschalten können. Conditional Access erlaubt eigene, fein abgestufte Richtlinien, etwa Ausnahmen für bestimmte Standorte oder strengere Regeln für Administratoren.
Merken Mitarbeitende etwas davon?
Im Alltag kaum. Sie bestätigen ihre Anmeldung gelegentlich per App. Spürbar wird Conditional Access vor allem, wenn etwas Ungewöhnliches passiert.
Brauche ich Conditional Access, wenn ich schon MFA nutze?
MFA ist die Grundlage, Conditional Access steuert, wann und wie sie greift. Erst damit lassen sich Zugriffe von privaten Geräten oder aus fremden Ländern gezielt einschränken.
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Aus der Praxis
Passende Lösungen zum Thema Conditional Access
Leistung
IT-Sicherheit für KMU — Angriffe stoppen, bevor sie im Postfach landen
IT-Sicherheit für KMU: E-Mail-Schutz für Microsoft 365, Backup für Postfach & Teams, Endpoint-Schutz und Phishing-Training. Einrichtung ab 990 € netto.
Zur Leistung →Im Shop
Microsoft Entra ID P1
Identitäts- und Zugriffsschutz: Conditional Access, MFA und SSO für alle Nutzer. Basis für Cyber-Versicherungs-Anforderungen.
ab 7,32 € / Monat
Zum Produkt →Weiterlesen
Verwandte Begriffe
Reden wir über Ihre IT.
In 30 Minuten ordnen wir Ihre Situation ein und zeigen, wo Cloud, KI und Automatisierung bei Ihnen wirklich etwas bringen — und wo nicht. Kostenlos, unverbindlich, ohne Verkaufsdruck.
oder direkt anrufen: 0871 20 655 600 · Mo–Fr 9–17 Uhr
