Microsoft Entra ID sicher einsetzen im Mittelstand

Microsoft Entra ID, früher Azure Active Directory, entscheidet über Identitäten und Zugriffsrechte in Microsoft 365 und Azure. Für mittelständische Unternehmen auf dem Microsoft-Stack ist eine saubere Entra-ID-Konfiguration deshalb eine Grundanforderung der Sicherheit.

Warum ist Entra ID ein bevorzugtes Angriffsziel?

Wer sich als Benutzer oder gar als Administrator in Ihrer Entra-ID-Umgebung anmelden kann, hat potenziell Zugriff auf Ihre E-Mails, Dokumente, Teams-Chats und angebundenen Anwendungen.

Typische Angriffswege sind Phishing-Kampagnen, die auf die Zugangsdaten Ihrer Mitarbeitenden abzielen, sowie Password-Spray-Angriffe, bei denen viele Benutzerkonten mit häufig verwendeten Kennwörtern durchprobiert werden. Beide Methoden laufen automatisiert und breit gestreut. Sie treffen Unternehmen unabhängig von Größe und Branche.

Welche Maßnahmen schützen Ihre Identitäten?

1. Multi-Faktor-Authentifizierung konsequent durchsetzen

Die Einführung von MFA ist der wirkungsvollste Einzelschritt, den Sie für die Sicherheit Ihrer Entra-ID-Umgebung unternehmen können. Zusammen mit dem Blockieren der Legacy-Authentifizierung stoppt MFA den Großteil der gängigen Angriffe auf Identitäten. Dennoch finden wir in Assessments Umgebungen, in denen MFA nur für einen Teil der Benutzer oder nur für bestimmte Anwendungen aktiviert ist.

Für alle Benutzer eignet sich die Microsoft Authenticator App, für Konten mit erhöhten Berechtigungen phishing-resistente Verfahren wie Passkeys, FIDO2-Schlüssel oder Windows Hello for Business. SMS-basierte Einmalcodes gelten als weniger sicher und sollten wo möglich ersetzt werden. Wie der Umstieg auf Passkeys gelingt, beschreiben wir in einem eigenen Beitrag.

2. Berechtigungsstrukturen regelmäßig prüfen

In gewachsenen IT-Umgebungen sammeln sich über die Jahre Berechtigungen an. Mitarbeitende wechseln die Abteilung, übernehmen neue Rollen oder verlassen das Unternehmen, ihre Zugriffsrechte bleiben aber häufig bestehen. Entra ID bietet mit den Access Reviews eine integrierte Möglichkeit, Berechtigungen periodisch zu überprüfen und gezielt zu bereinigen.

Besondere Aufmerksamkeit verdienen privilegierte Konten. Jede Person mit globalen Administratorrechten in Ihrem Tenant ist ein attraktives Ziel für Angreifer. Setzen Sie das Prinzip der minimalen Berechtigungen konsequent um: Jede Person erhält nur die Rechte, die sie für ihre Aufgabe tatsächlich braucht.

3. Conditional Access gezielt einsetzen

Conditional Access ermöglicht es, Zugriffsregeln auf Basis von Kontext zu definieren: Wer meldet sich von wo mit welchem Gerät an? Ein Mitarbeitender, der sich aus einem unbekannten Land anmeldet oder ein nicht verwaltetes Gerät nutzt, sollte nicht ohne weitere Prüfung auf Unternehmensdaten zugreifen können.

Gut konfigurierte Conditional-Access-Richtlinien sind eine der stärksten Schutzschichten, die Entra ID bietet. Sie erfordern jedoch sorgfältige Planung: Zu restriktive Richtlinien behindern den produktiven Betrieb, zu lockere Richtlinien verfehlen ihren Zweck. Wie Sie Richtlinien schrittweise und ohne Aussperren einführen, zeigt unser Beitrag Conditional Access einführen, ohne Mitarbeitende auszusperren.

4. Anmeldeprotokolle aktiv auswerten

Entra ID protokolliert Anmelde- und Überwachungsereignisse. Diese Daten liegen in jedem Tenant vor, werden aber oft nicht systematisch ausgewertet. Dabei lassen sich Anomalien wie wiederholte Anmeldeversuche aus verschiedenen Regionen oder ungewöhnliche Zeitmuster frühzeitig erkennen.

Microsoft Entra ID Protection, enthalten in Entra ID P2, analysiert diese Signale automatisiert und kann risikobasierte Richtlinien auslösen. Unternehmen ohne eigenes Security-Operations-Team nimmt das einen großen Teil der manuellen Auswertung ab.

Was zeigt ein Assessment?

In Entra-ID-Assessments begegnen uns wiederkehrende Muster: Gastkonten ohne klares Ablaufdatum, Dienstkonten mit interaktiven Anmelderechten, MFA-Ausnahmen, die ursprünglich als temporär gedacht waren, sowie fehlende oder ungeprüfte Notfallkonten.

Diese Schwachstellen sind selten auf mangelndes Sicherheitsbewusstsein zurückzuführen. Sie entstehen im täglichen Betrieb. Ein Assessment zeigt die tatsächliche Lage und wo zuerst gehandelt werden muss.

Der nächste Schritt

Wenn Sie wissen möchten, wie Ihre Entra-ID-Konfiguration im Vergleich zu aktuellen Empfehlungen dasteht, prüft unser Gap Assessment zum Festpreis Ihre Berechtigungsstrukturen, Conditional-Access-Richtlinien und Protokollierungseinstellungen und liefert einen Bericht mit priorisierten Handlungsempfehlungen.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Wie viele globale Administratoren sollte ein mittelständisches Unternehmen in Entra ID haben?

So wenige wie möglich: weniger als fünf Personen, dazu zwei reine Cloud-Notfallkonten mit dauerhafter Zuweisung. Privileged Identity Management (PIM) erlaubt es, Administratorrechte nur bei Bedarf und zeitlich begrenzt zu aktivieren; PIM setzt Entra ID P2 oder Entra ID Governance voraus.

Was sind Notfallkonten in Entra ID und warum sind sie wichtig?

Notfallkonten (Break-Glass-Accounts) sind dedizierte Administratorkonten für den Fall, dass der normale Zugang nicht mehr funktioniert, etwa nach einer fehlerhaften Conditional-Access-Richtlinie. Sie werden von sperrenden Conditional-Access-Richtlinien ausgenommen, melden sich aber mit einem phishing-resistenten Verfahren wie einem Passkey oder einem Zertifikat an, damit sie die verpflichtende MFA erfüllen. Die Zugangsdaten müssen getrennt und sicher verwahrt, jede Nutzung überwacht und die Konten regelmäßig getestet werden.

Welche Anmeldeereignisse sollte ich in Entra ID aktiv überwachen?

Besonders relevant sind: Anmeldungen aus ungewöhnlichen Ländern oder zu ungewöhnlichen Zeiten, wiederholte fehlgeschlagene Anmeldeversuche (möglicher Password-Spray), Anmeldungen von nicht verwalteten Geräten sowie Änderungen an privilegierten Rollen und Conditional-Access-Richtlinien. Entra ID Protection automatisiert einen Großteil dieser Erkennung und kann risikobasierte Richtlinien auslösen.

Können wir Conditional Access einführen, ohne den laufenden Betrieb zu stören?

Ja, mit dem richtigen Vorgehen. Richtlinien laufen zunächst im Modus „Nur Bericht“, der zeigt, welche Anmeldungen betroffen wären, ohne sie zu blockieren. Erst nach Analyse und Anpassung werden sie aktiviert. Den Ablauf im Detail beschreibt unser Beitrag zur Einführung von Conditional Access ohne Aussperren.