Bedingter Zugriff schützt den Tenant nur, wenn sich danach noch jemand anmelden kann. Die klassische Aussperrung entsteht, wenn die erste Richtlinie sofort „konformes Gerät“ oder „Mehrfaktor überall“ erzwingt, inklusive der Konten, mit denen man die Richtlinie wieder öffnen müsste. Scanner, alte Outlook-Versionen und eine dynamische IP des Internetanschlusses verschärfen das, weil sie die neue Regel nicht erfüllen können.
Welche Regel als Erstes die Tür zumacht
Viele Tenants haben noch Legacy-Authentifizierung: Geräte und Programme, die kein modernes Anmeldefenster beherrschen. Eine Sperre dieser Anmeldung ist sinnvoll, sie trifft aber Multifunktionsgeräte, einzelne Branchenprogramme und manchmal die Telefonanlage, die über einfache Anmeldung Mail absetzt. Wer die Sperre vor der Inventur aktiviert, sieht den Schaden an fehlenden Mails, nicht an einer Fehlermeldung im Portal.
Dazu kommt der Standort. Eine Richtlinie, die das Büro an einer festen öffentlichen IP erkennt, scheitert an Anschlüssen ohne feste Adresse. Am nächsten Tag sitzt die Firma „außerhalb“ und muss Mehrfaktor oder einen complianten Client vorweisen, den es noch nicht gibt. Homeoffice ist dann nicht die Ausnahme, sondern der Normalfall, und die Ausnahme war eine IP, die der Anbieter gewechselt hat.
Beobachten, Pilot, dann scharf schalten
- Inventur. Alle Anmeldungen der letzten Wochen werden nach Alter Protokoll, Standort und Anwendung gelesen. Scanner und Fachsoftware stehen namentlich auf der Liste, bevor etwas gesperrt wird.
- Bericht. Neue Richtlinien laufen zuerst im Modus „nur melden“. Wir lesen, wen sie träfen, und ändern die Regel, bevor sie durchsetzt.
- Notfallkonten. Zwei Cloud-Konten ohne Tagespostfach sind von den Richtlinien ausgenommen, mit getrennten Kennwörtern und einer Meldung bei Anmeldung.
- Pilot. Eine kleine Gruppe inklusive einer Person außerhalb der IT arbeitet eine Woche mit der scharfen Regel. Erst danach folgt die nächste Abteilung.
- Scharf. Legacy-Authentifizierung wird gesperrt, wenn die Inventur leer ist oder die Restfälle einen anderen Versandweg haben. Die Gerätepflicht kommt nach der Einschreibung, nicht davor.
Bedingter Zugriff setzt voraus, dass der Lizenzplan die Funktion enthält. Das prüfen wir im Tenant, bevor Richtlinien gebaut werden. Fehlt der Plan, ist eine halb konfigurierte Regel gefährlicher als eine bewusst einfache Mehrfaktor-Anmeldung für Administratoren. Intune und Gerätekonformität kommen erst danach, sonst verlangt die Anmeldung ein verwaltetes Gerät, das sich nicht registrieren kann.
Woran Projekte in der Praxis scheitern
- Die erste Richtlinie sofort erzwingen und dabei die Administratorkonten einschließen.
- Das Büro über eine wechselnde IP definieren und alle anderen Standorte hart aussperren.
- Konforme Geräte verlangen, bevor auch nur ein Notebook eingeschrieben ist.
- Notfallkonten im selben Passwortsafe lagern wie den Alltag und niemanden eine Anmeldung bemerken lassen.
Beispiel aus dem Betriebsalltag
Ein Ingenieurbüro wollte an einem Vormittag Mehrfaktor und konforme Geräte für alle erzwingen. Die Richtlinie traf auch das einzige Administratorkonto, und die Notebooks waren noch nicht in Intune. Die Anmeldung verlangte ein Gerät, das die Bedingung nicht erfüllen konnte. Weil die Umstellung in einer offenen Sitzung begann und ein zweites Notfallkonto vorher ausgeschlossen worden war, ließ sich die Richtlinie auf Bericht zurückstellen. Danach kam zuerst Mehrfaktor für Administratoren, dann ein Pilot mit fünf Personen, und die Gerätebedingung erst, als die Einschreibung stand.
Kurze Entscheidungshilfe
- Gibt es zwei ausgenommene Notfallkonten, die nicht für Mail benutzt werden?
- Lief jede neue Regel zuerst im Bericht, und wurde der Bericht gelesen?
- Sind Scanner und Fachanwendungen von der Legacy-Sperre entweder umgestellt oder bewusst ausgenommen?
- Ist die Pilotgruppe benannt, und hat sie wirklich gearbeitet, nicht nur genickt?
Wenn bedingter Zugriff ohne Aussperrung bei Ihnen ansteht, klären wir den Umfang unverbindlich: Microsoft 365 und Cloud. Benutzer und Lizenzen in Entra ID Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.