Conditional Access: bedingten Zugriff einfach erklärt

Conditional Access, auf Deutsch bedingter Zugriff, steuert den Zugriff auf Anwendungen und Daten anhand festgelegter Bedingungen. Dabei wird nicht nur geprüft, wer sich anmeldet, sondern auch, von welchem Gerät, aus welchem Netzwerk und unter welchem Risiko der Zugriff erfolgt.

Im Microsoft-Umfeld ist Conditional Access eine Funktion von Microsoft Entra ID. Unternehmen können damit festlegen, wann ein Zugriff erlaubt, blockiert oder nur nach einer zusätzlichen Sicherheitsprüfung freigegeben wird.

Wie funktioniert Conditional Access?

Conditional Access arbeitet nach einem Wenn-Dann-Prinzip:

Wenn bestimmte Bedingungen erfüllt sind, dann wird eine festgelegte Zugriffsregel angewendet.

Ein Beispiel:

Wenn sich ein Benutzer von einem nicht verwalteten Gerät bei einer sensiblen Cloud-Anwendung anmeldet, muss er eine Multi-Faktor-Authentifizierung durchführen oder der Zugriff wird blockiert.

Microsoft Entra wertet die zutreffenden Richtlinien aus und prüft, ob alle geforderten Zugriffsbedingungen erfüllt sind.

Welche Bedingungen können berücksichtigt werden?

Eine Conditional-Access-Richtlinie kann verschiedene Signale und Bedingungen einbeziehen.

Benutzer und Gruppen

Richtlinien können für bestimmte Personen, Gruppen oder Verzeichnisrollen gelten. Administratoren lassen sich beispielsweise strenger absichern als normale Benutzer.

Anwendung oder Ressource

Die Richtlinie legt fest, welche Anwendung oder Ressource geschützt werden soll. Dazu können Microsoft 365, Azure-Dienste und angebundene Unternehmensanwendungen gehören.

Netzwerk und Standort

IP-Adressen, Länder, Regionen oder definierte Unternehmensnetzwerke können bei der Entscheidung berücksichtigt werden.

Ein Standort allein ist jedoch kein zuverlässiger Vertrauensnachweis. Auch Zugriffe aus einem bekannten Netzwerk sollten durch weitere Sicherheitsmerkmale geschützt werden.

Gerätezustand

Der Zugriff kann davon abhängig gemacht werden, ob ein Gerät:

• vom Unternehmen verwaltet wird
• als konform eingestuft ist
• einer bestimmten Geräteplattform angehört
• bestimmte technische Merkmale erfüllt

Die Bewertung des Gerätezustands erfolgt häufig in Verbindung mit einer Geräteverwaltung wie Microsoft Intune.

Anmelderisiko

Bei entsprechender Lizenzierung können erkannte Risiken in die Entscheidung einbezogen werden. Hinweise auf ein erhöhtes Risiko können beispielsweise ungewöhnliche Anmeldeaktivitäten oder kompromittierte Zugangsdaten sein.

Verwendete Anwendung

Richtlinien können unterscheiden, ob der Zugriff über einen Webbrowser, eine mobile App oder einen Desktop-Client erfolgt.

Welche Zugriffsmaßnahmen gibt es?

Treffen die festgelegten Bedingungen zu, kann Conditional Access unterschiedliche Maßnahmen verlangen.

Typische Maßnahmen sind:

• Zugriff vollständig blockieren
• Multi-Faktor-Authentifizierung verlangen
• eine bestimmte Authentifizierungsstärke fordern
• ein konformes Gerät voraussetzen
• ein verwaltetes oder hybrid eingebundenes Gerät verlangen
• Nutzungsbedingungen bestätigen lassen
• Sitzungsdauer oder Zugriffsmöglichkeiten einschränken

Mehrere Anforderungen können miteinander kombiniert werden.

Typische Einsatzbeispiele

Conditional Access wird häufig für folgende Szenarien eingesetzt:

• Administratoren müssen eine besonders starke Authentifizierung verwenden.
• Veraltete Anmeldeverfahren werden blockiert.
• Sensible Anwendungen dürfen nur mit verwalteten Geräten genutzt werden.
• Zugriffe aus bestimmten Ländern werden eingeschränkt.
• Externe Benutzer erhalten nur Zugriff auf ausgewählte Anwendungen.
• Bei riskanten Anmeldungen wird eine zusätzliche Prüfung verlangt.
• Nicht konforme Geräte dürfen Daten anzeigen, aber nicht herunterladen.

Die Richtlinien sollten zum tatsächlichen Schutzbedarf des Unternehmens passen. Zu viele oder widersprüchliche Regeln können Benutzer unnötig behindern und die Administration erschweren.

Was ist der Unterschied zwischen Conditional Access und MFA?

Die Multi-Faktor-Authentifizierung ist eine mögliche Sicherheitsanforderung. Conditional Access entscheidet dagegen, unter welchen Bedingungen diese Anforderung gilt.

MFA kann beispielsweise grundsätzlich für alle Benutzer vorgeschrieben werden. Mit Conditional Access lässt sich die Regel genauer steuern, etwa abhängig von Anwendung, Gerätezustand, Benutzerrolle oder Risiko.

Conditional Access ersetzt MFA daher nicht, sondern ermöglicht deren gezielten Einsatz.

Welche Rolle spielt Conditional Access bei Zero Trust?

Conditional Access ist ein wichtiger Bestandteil einer Zero-Trust-Strategie.

Zero Trust geht davon aus, dass kein Zugriff allein aufgrund des Standorts oder eines bereits bekannten Geräts automatisch vertrauenswürdig ist. Stattdessen werden Identität, Ressource, Gerät und Kontext geprüft.

Conditional Access setzt dieses Prinzip technisch um, indem Zugriffe anhand aktueller Signale bewertet und geeignete Sicherheitsanforderungen durchgesetzt werden.

Was ist bei der Einführung zu beachten?

Fehlerhaft konfigurierte Richtlinien können Benutzer und Administratoren vollständig aussperren. Deshalb sollten neue Regeln kontrolliert eingeführt werden.

Wichtige Maßnahmen sind:

• klare Ziele für jede Richtlinie definieren
• Richtlinien zunächst im Nur-Bericht-Modus testen
• Auswirkungen in den Anmeldeprotokollen überprüfen
• Notfallkonten sinnvoll von bestimmten Regeln ausnehmen
• Richtlinien schrittweise für Benutzergruppen aktivieren
• Ausnahmen dokumentieren und regelmäßig kontrollieren
• bestehende Regeln regelmäßig bereinigen
• Änderungen und Verantwortlichkeiten dokumentieren

Notfallkonten dürfen nicht für normale administrative Tätigkeiten verwendet werden und müssen besonders überwacht werden.

Fazit

Conditional Access ermöglicht eine kontextabhängige Steuerung von Zugriffen auf Cloud-Anwendungen und Unternehmensressourcen. Dabei können unter anderem Benutzer, Anwendung, Netzwerk, Gerät und Anmelderisiko berücksichtigt werden.

Richtig eingesetzt verbindet bedingter Zugriff hohe Sicherheitsanforderungen mit einer möglichst reibungslosen Benutzererfahrung. Voraussetzung sind sorgfältig geplante, getestete und regelmäßig überprüfte Richtlinien.