MFA beschlossen, aber nicht überall
Alte Protokolle, Gäste und einzelne Konten melden sich weiter nur mit Passwort an.
Conditional Access für Microsoft Entra ID
Conditional Access einrichten, ohne jemanden auszusperren.
Wir richten Conditional Access in Ihrem Tenant zum Festpreis ein: mit Notfallkonten, Report-only-Phase und Pilotgruppe, bevor eine Richtlinie für alle gilt. Am Ende verlangt jede Anmeldung MFA, und Sie haben die Nachweise für Prüfer.
- Für wen
- Unternehmen ab 50 Mitarbeitenden auf Microsoft 365
- Umfang
- Notfallkonten, MFA, Richtlinien-Baseline, Pilot und Aktivierung
- Dauer
- 3 bis 6 Wochen, davon mindestens 2 Wochen im Report-only-Modus
- Ergebnis
- Aktive Richtlinien, dokumentierte Ausnahmen, Nachweise für Prüfer
- Preis
- ab 4.900 € netto, Festpreis nach Scoping
Kennen Sie das?
Warum bleibt Conditional Access so oft liegen?
Die Sorge, alle auszusperren
Eine falsch zugeschnittene Richtlinie trifft auch Administratoren. Also bleibt das Thema liegen.
Prüfer oder Versicherer fragen nach
Sie sollen belegen, dass jede Anmeldung abgesichert ist, und haben dafür keinen Nachweis.
Einführung
Wie führen wir Conditional Access ein, ohne dass jemand ausgesperrt wird?
Erst der Notausgang, dann beobachten, dann durchsetzen. Ein Beispiel-Tenant, Schritt für Schritt.
Schritt 1 / 6
Welche Conditional-Access-Richtlinien gehören in die Baseline?
Die Baseline folgt bewährter Best Practice für Conditional Access und wird auf Ihre Lizenzen und Sonderfälle zugeschnitten.
Legacy-Authentifizierung blockieren
Alte Protokolle ohne MFA werden gesperrt, nachdem Scanner und Schnittstellen umgestellt sind.
MFA für alle Benutzer
Bei jeder Anmeldung, nur die Notfallkonten bleiben ausgenommen.
Administratoren
Phishing-resistente Anmeldung mit Passkeys, per Authentifizierungsstärke erzwungen.
Gäste und externe Konten
MFA auch für Gäste statt einer pauschalen Ausnahme.
Geräte
Wo Intune im Einsatz ist: Zugriff nur von konformen Geräten.
Risikobasierte Richtlinien
Reaktion auf Anmelde- und Benutzerrisiko, wo Entra ID P2 lizenziert ist.
Wie läuft das Projekt ab?
-
30 Minuten
Erstgespräch
Ausgangslage, Lizenzen und Sonderfälle klären.
-
Festpreis
Scoping und Angebot
Umfang nach Tenant und Sonderfällen, der Preis steht vor Beginn fest.
-
3 bis 6 Wochen
Umsetzung
Bestandsaufnahme, Notfallkonten, Report-only, Pilot und Aktivierung.
-
Dokumentiert
Übergabe
Richtliniendokumentation, Ausnahmeliste und Nachweise; auf Wunsch laufende Prüfung über Managed Security.
Wo steht Ihr Tenant bei Conditional Access?
In 30 Minuten klären wir Lizenzen, Sonderfälle und den Umfang, danach folgt ein Festpreisangebot.
Was ändert sich?
Heute
- MFA nur dort, wo sie zufällig verlangt wird
- Alte Protokolle umgehen MFA
- Kein Notausgang, wenn eine Richtlinie danebenliegt
- Ausnahmen ohne Begründung
Nach der Einführung
- MFA bei jeder Anmeldung, auch für Gäste
- Legacy-Authentifizierung blockiert
- Zwei getestete Notfallkonten
- Ausnahmen mit Grund, Verantwortlichem und Ablaufdatum
Häufig gestellte Fragen
Welche Lizenz brauche ich für Conditional Access?
Microsoft Entra ID P1. Sie ist unter anderem in Microsoft 365 Business Premium, E3 und E5 enthalten. Risikobasierte Richtlinien setzen Entra ID P2 voraus, enthalten zum Beispiel in Microsoft 365 E5.
Was ist ein Break-Glass-Konto (Notfallkonto)?
Ein reines Cloud-Konto mit der Rolle Global Administrator, das nur im Notfall genutzt wird. Wir richten zwei ein, mit FIDO2-Sicherheitsschlüssel, ausgenommen von allen Richtlinien und mit Alarm bei jeder Anmeldung.
Was passiert, wenn trotzdem jemand ausgesperrt wird?
Über ein Notfallkonto wird die betroffene Richtlinie auf Report-only zurückgesetzt und die Anmeldung im Protokoll analysiert. Damit es selten dazu kommt, gilt jede Richtlinie zuerst für eine Pilotgruppe.
Wir nutzen die Sicherheitsstandards. Reicht das für MFA?
Die Sicherheitsstandards (Security Defaults) erzwingen MFA pauschal, ohne Ausnahmen, Gerätebedingungen oder Nachweis je Richtlinie. Beides schließt sich aus, deshalb stellen wir am selben Tag um, an dem die Ersatzrichtlinien greifen.
Wer meldet sich bei Ihnen heute nur mit Passwort an?
Die Anmeldeprotokolle zeigen es. Im Erstgespräch klären wir, was das für Ihre Richtlinien bedeutet.