Bedingter Zugriff in Microsoft 365: drei Regeln für KMU

Die kurze Antwort: Der bedingte Zugriff (Conditional Access) in Microsoft Entra ID prüft bei jeder Anmeldung Bedingungen wie Standort, Gerät und verwendetes Protokoll und entscheidet danach, ob der Zugriff erlaubt, blockiert oder an eine zusätzliche Anforderung wie MFA geknüpft wird. Die Funktion setzt eine Lizenz Microsoft Entra ID P1 voraus, die laut Microsoft in Microsoft 365 Business Premium enthalten ist; Business Basic und Business Standard bringen stattdessen nur die festen Sicherheitsstandards von Microsoft mit. Drei Regeln bringen kleinen Unternehmen viel Schutz bei überschaubarem Aufwand: Länder sperren, veraltete Protokolle blockieren, verwaltete Geräte verlangen. Jede Regel läuft zuerst im Berichtsmodus, und mindestens ein Notfallkonto bleibt von allen Regeln ausgenommen.

Was bedingter Zugriff leistet und was nicht

Microsoft beschreibt die Richtlinien als einfache Aussagen nach dem Muster wenn, dann: Wenn ein Benutzer auf eine Ressource zugreifen will, dann muss er eine Bedingung erfüllen. Als Signale stehen unter anderem Benutzer und Gruppen, die IP-Adresse und das Land der Anmeldung, der Zustand des Geräts und die Anwendung zur Verfügung; risikobasierte Regeln setzen Entra ID P2 voraus und bleiben hier außen vor. Als Entscheidung gibt es Blockieren oder Gewähren, Letzteres mit Auflagen wie MFA, einem konformen Gerät oder einer App mit Schutzrichtlinie.

Zwei Grenzen sollten Sie kennen. Erstens greift der bedingte Zugriff laut Microsoft erst nach der ersten Authentifizierungsstufe, also nach dem richtigen Passwort. Er ersetzt weder ein gutes Passwort noch die MFA für alle Konten, er ist die Instanz, die diese Regeln durchsetzt und verfeinert. Zweitens schließen sich die Sicherheitsstandards und eigene Richtlinien aus: Wer Richtlinien für den bedingten Zugriff einsetzt, muss die Sicherheitsstandards laut Microsoft deaktivieren und sollte den Schutz sofort mit eigenen oder von Microsoft verwalteten Richtlinien ersetzen, insbesondere die MFA für Administratoren und für alle Nutzer.

Der Ort für alles Weitere ist das Microsoft Entra Admin Center unter Entra ID, Conditional Access. Warum Kontoübernahmen ohne solche Regeln so leicht gelingen, beschreibt unser Beitrag zur Konto-Übernahme.

Vorher: Notfallkonto und Berichtsmodus

Microsoft empfiehlt zwei oder mehr Notfallkonten (Break Glass): reine Cloudkonten mit der Domäne onmicrosoft.com, mit der Rolle Global Administrator, ohne Bindung an eine Person, angemeldet mit einer phishingresistenten Methode wie einem FIDO2-Sicherheitsschlüssel und ausgenommen von jeder Richtlinie, die Anmeldungen blockiert oder einschränkt. Die Zugangsdaten und der Schlüssel liegen an einem sicheren Ort, jede Anmeldung mit diesen Konten wird überwacht, und mindestens alle 90 Tage wird getestet, ob die Anmeldung funktioniert. Für ein kleines Unternehmen klingt das nach viel, aber es ist die einzige saubere Versicherung gegen die häufigste Panne beim bedingten Zugriff: sich selbst auszusperren.

Der Berichtsmodus (Report-only) ist die zweite Versicherung. Eine Richtlinie in diesem Zustand wird bei jeder Anmeldung ausgewertet, aber nicht durchgesetzt; das Ergebnis steht im Anmeldeprotokoll unter Entra ID, Monitoring & health, Sign-in logs, je Anmeldung mit Angaben wie „Report-only: Failure" für Fälle, die blockiert worden wären. Die Ansicht zur Richtlinienwirkung fasst das für 24 Stunden, sieben Tage oder einen Monat zusammen. Erst wenn dort nur die erwarteten Treffer stehen, schalten Sie den Regler von Report-only auf On.

Regel 1: Anmeldungen aus Ländern blockieren, in denen niemand arbeitet

Ein Handwerksbetrieb aus dem Landkreis Karlsruhe hat selten Anmeldungen aus Südostasien oder Südamerika. Die Standortbedingung setzt genau dort an. Legen Sie zuerst unter Entra ID, Conditional Access, Named locations eine Standortliste vom Typ „Countries location" an und wählen Sie die Länder, aus denen sich niemand anmelden soll; die Option, unbekannte Gebiete einzuschließen, gehört dazu. Alternativ definieren Sie umgekehrt die wenigen erlaubten Länder und schließen diese Liste in der Richtlinie aus, während die Richtlinie sonst für alle Netzwerke gilt.

Dann die Richtlinie: Unter Policies, New policy vergeben Sie einen sprechenden Namen. Bei Users wählen Sie All users und nehmen unter Exclude die Notfallkonten heraus. Bei Target resources wählen Sie All resources. Unter Network setzen Sie Configure auf Yes und wählen unter Include die gesperrte Standortliste. Unter Access controls, Grant wählen Sie Block access. Die Richtlinie erstellen Sie im Zustand Report-only.

Zwei Dinge sind vor dem Scharfschalten zu klären: Wer reist dienstlich oder privat mit Firmenzugang, und wie wird eine Ausnahme kurzfristig eingetragen? Eine Gruppe „Reisende" als Ausnahme, die nur für die Reisezeit befüllt wird, hat sich bewährt. Und die Regel ist kein Allheilmittel, denn Angreifer nutzen auch Server in Deutschland; sie nimmt ihnen aber den bequemsten Weg.

Regel 2: Veraltete Anmeldeprotokolle sperren

Veraltete Authentifizierung (Legacy Authentication) meint Clients ohne moderne Anmeldung, etwa alte Office-Versionen, sowie ältere Mailprotokolle wie IMAP, POP3 und SMTP. Diese Protokolle unterstützen keine MFA. Selbst wenn MFA für alle aktiviert ist, kann ein Angreifer mit einem erbeuteten Passwort über ein solches Protokoll an der zweiten Stufe vorbei. Microsoft gibt an, dass nach eigener Analyse mehr als 97 Prozent der Angriffe mit gestohlenen Zugangsdaten und mehr als 99 Prozent der Angriffe mit massenhaft ausprobierten Passwörtern veraltete Protokolle nutzen.

Prüfen Sie zuerst, ob solche Anmeldungen bei Ihnen vorkommen: Entra ID, Monitoring & health, Sign-in logs, Spalte Client App einblenden und nach den veralteten Protokollen filtern, auch auf der Registerkarte der nicht interaktiven Anmeldungen. Typische Treffer sind Multifunktionsgeräte, die Scans per SMTP versenden, alte Mail-Apps auf Smartphones und Fachanwendungen, die im Hintergrund ein Postfach abfragen. Diese Geräte bekommen vorher eine moderne Anmeldung oder einen anderen Versandweg.

Die Richtlinie selbst: New policy, bei Users All users mit Ausnahme der Notfallkonten und gegebenenfalls eines Dienstkontos, das noch veraltete Anmeldung braucht; Target resources All resources; unter Conditions, Client apps, Configure auf Yes und nur die beiden Kästchen „Exchange ActiveSync clients" und „Other clients" anhaken; unter Grant Block access; Zustand Report-only. Nach der Auswertung schalten Sie auf On. Wer Business Basic oder Standard nutzt, hat diese Sperre über die Sicherheitsstandards von Microsoft bereits, sofern diese aktiv sind.

Regel 3: Zugriff nur von verwalteten, konformen Geräten

Die dritte Regel wirkt stärker als die beiden anderen und braucht mehr Vorbereitung: Firmenpost und Firmendaten lassen sich nur noch von Geräten öffnen, die in Intune verwaltet sind und Ihre Konformitätsregeln erfüllen. Ein Angreifer mit Passwort und abgefangenem MFA-Code scheitert dann an der Frage, ob sein Rechner ein bekanntes, konformes Firmengerät ist.

Die Voraussetzung ist eine Konformitätsrichtlinie in Intune, etwa mit Mindestversion des Betriebssystems, aktiver Verschlüsselung und aktivem Virenschutz. Microsoft warnt ausdrücklich: Ohne eine solche Richtlinie und ohne mindestens ein konformes Gerät funktioniert die Regel nicht wie beabsichtigt. Stellen Sie in Intune unter Endpoint security, Device compliance, Compliance policy settings außerdem „Mark devices with no compliance policy assigned as" auf Not compliant, sonst gelten Geräte ohne Richtlinie als konform. Wie Geräte in die Verwaltung kommen, beschreibt unser Beitrag zur Geräteverwaltung mit Intune.

Die Richtlinie: New policy, Users All users mit Ausnahme der Notfallkonten (und bei einer hybriden Umgebung der Rolle Directory Synchronization Accounts); Target resources All resources; unter Grant „Require device to be marked as compliant"; Zustand Report-only. Zwei Hinweise aus der Dokumentation von Microsoft: Die Regel blockiert die Registrierung neuer Geräte in Intune nicht, und im Browser auf iOS, Android und macOS werden Nutzer beim ersten Mal aufgefordert, ein Gerätezertifikat auszuwählen; das ist normal. Da dieser Zertifikatsdialog auch im Berichtsmodus erscheinen kann, empfiehlt Microsoft, diese Plattformen aus der Richtlinie auszunehmen, solange sie nur im Berichtsmodus läuft.

Für private Smartphones gibt es zwei Wege: Entweder werden sie in Intune registriert, oder Sie verlangen statt des konformen Geräts eine App-Schutzrichtlinie, die nur die Firmendaten in Outlook und Teams absichert. Was das für Android bedeutet, lesen Sie im Beitrag zu Android und BYOD. Wer noch nicht alle Geräte verwaltet, kann als Zwischenschritt die von Microsoft beschriebene Variante nutzen, die ein konformes Gerät oder MFA verlangt.

Reihenfolge und Betrieb

Bewährt hat sich diese Reihenfolge: Notfallkonten anlegen und testen, alle drei Regeln im Berichtsmodus erstellen, ein bis zwei Wochen Anmeldeprotokoll auswerten, dann zuerst die Sperre der veralteten Protokolle scharf schalten, danach die Ländersperre, zuletzt die Geräteregel, sobald alle Arbeitsgeräte verwaltet sind. Jede Regel bekommt einen Verantwortlichen und eine kurze Notiz, warum sie existiert. Einmal im Quartal prüfen Sie Ausnahmen, Reisegruppen und die Anmeldung mit den Notfallkonten.

Ob die Regeln am Ende alle Konten erfassen und die zweite Anmeldestufe wirklich für alle gilt, können Sie auch automatisch prüfen lassen: Der kostenpflichtige Sicherheitscheck für Microsoft 365 liest die Richtlinien für bedingten Zugriff, die Sicherheitsstandards und die eingerichteten Anmeldemethoden mit Leserechten aus und zeigt, ob veraltete Anmeldeverfahren noch genutzt werden. Welche Einstellungen außer dem bedingten Zugriff zählen, steht im Ratgeber Microsoft 365 Sicherheit prüfen.

Häufige Fragen

Brauchen wir Business Premium für alle Nutzer oder reicht eine Lizenz?

Microsoft verlangt die Lizenz Entra ID P1 für die Nutzer, die von der Funktion profitieren, also für alle Konten, für die die Regeln gelten. In der Praxis heißt das Business Premium für die Arbeitsplätze, die unter die Richtlinien fallen, oder Entra ID P1 als Zusatzlizenz zu einem anderen Plan. Ein Mischbetrieb ist möglich, macht die Verwaltung aber unübersichtlicher.

Was passiert, wenn wir uns selbst aussperren?

Dann melden Sie sich mit dem Notfallkonto an, das von allen Richtlinien ausgenommen ist, und korrigieren die Regel. Genau deshalb gehört das Notfallkonto an den Anfang, und genau deshalb läuft jede Regel zuerst im Berichtsmodus. Ohne Notfallkonto wird die Wiederherstellung des Zugangs aufwendig und langwierig.

Ersetzt der bedingte Zugriff die MFA?

Nein. Er wird erst nach der ersten Authentifizierungsstufe ausgewertet und ist das Werkzeug, mit dem Sie MFA und weitere Bedingungen gezielt durchsetzen. MFA bleibt die Grundlage; der bedingte Zugriff sorgt dafür, dass sie an den richtigen Stellen greift und dass Angreifer, die MFA umgehen wollen, an Standort, Protokoll und Gerät scheitern.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH richtet die drei Regeln in Ihrem Microsoft 365 ein, inklusive Notfallkonten, Berichtsphase und Auswertung der Anmeldeprotokolle, und stimmt Ausnahmen für Reisende, Scanner und Fachanwendungen mit Ihnen ab. Die Konformitätsrichtlinien in Intune bauen wir so, dass Ihre Geräte sie ohne Störung im Alltag erfüllen. Danach halten wir die Regeln im laufenden Betrieb aktuell und prüfen sie regelmäßig. Im kostenlosen Erstgespräch sehen wir uns Ihre Lizenzen und Ihr Anmeldeprotokoll an und sagen Ihnen, welche der drei Regeln bei Ihnen sofort greift. Mehr zu unserer Leistung rund um MFA und Identitätsschutz finden Sie auf der Leistungsseite.

Quellen

• Microsoft Learn, Microsoft Entra Conditional Access: Zero Trust Policy Engine, Stand 27.04.2026, https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview
• Microsoft Learn, Conditional Access: Block access by location, Stand 24.03.2026, https://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-block-by-location
• Microsoft Learn, Block legacy authentication with Conditional Access, Stand 24.03.2026, https://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-block-legacy-authentication
• Microsoft Learn, How to Require Device Compliance with Conditional Access, Stand 24.03.2026, https://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-all-users-device-compliance
• Microsoft Learn, Manage emergency access admin accounts, Stand 04.06.2026, https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access
• Microsoft Learn, Microsoft 365 for business security overview, Stand 30.09.2025, https://learn.microsoft.com/en-us/microsoft-365/admin/security-and-compliance/m365b-security-overview