Conditional Access und Admin-Rollen in Microsoft 365 neu ordnen
Administrative Zugriffe sind historisch gewachsen.
Wer hat welche Rechte? Welche Ausnahmen sind noch nötig? Und wie ändern Sie Zugriffsregeln, ohne Ihre tägliche Arbeit auszusperren? Ich unterstütze Ihre IT bei der Prüfung und Neuordnung von Konten, Rollen und Anmeldeanforderungen.
Was ist Conditional Access?
Conditional Access ist das Regelwerk in Microsoft Entra ID, das bei jeder Anmeldung Benutzer, Gerät, Standort, App und Risiko prüft und danach entscheidet: Zugriff erlauben, eine zusätzliche Authentifizierung verlangen oder sperren. Ein sauberes Regelwerk ersetzt viele Einzelausnahmen und lässt sich im Nur-Bericht-Modus testen, bevor es erzwungen wird.
Was ich in gewachsenen Tenants häufig finde
- Notfallkonten fehlen oder sind nicht von den Richtlinien ausgenommen. Ein Fehler in einer Regel sperrt dann alle Administratoren aus.
- Globale Administratorrechte liegen dauerhaft auf Konten, mit denen auch E-Mails gelesen und Dokumente geöffnet werden.
- Ältere Anmeldeverfahren ohne MFA-Unterstützung sind nicht blockiert und umgehen damit jede MFA-Regel.
- Ausnahmegruppen, die vor Jahren für ein Projekt angelegt wurden und heute niemand mehr pflegt.
- Administratoren melden sich per SMS-Code an statt mit einem phishingresistenten Verfahren.
- Richtlinien, die im Nur-Bericht-Modus liegen geblieben sind und nie scharf geschaltet wurden.
Was ich übernehme
- Prüfung der vereinbarten Konten, Rollen und bestehenden Zugriffsregeln.
- Abstimmung dedizierter administrativer Zugänge und Notfallverfahren.
- Vorbereitung von MFA, Conditional Access und privilegierten Rollen nach Lizenzumfang.
- Prüfung mit geeigneten Testkonten und dokumentierte Freigabe vor Erzwingung.
Ablauf und Dauer
Typischerweise ein bis drei Wochen, im Schnitt rund zwei. Die Dauer hängt vor allem von der Zahl der Konten, Ausnahmen und angebundenen Anwendungen ab.
Tag 1: Umfang
Welche Konten, Rollen und Richtlinien gehören dazu? Zielzustand und Abnahmekriterien werden festgelegt.
Tag 2–7: Umsetzung
Konfiguration, Test im Nur-Bericht-Modus und mit einer Pilotgruppe, danach schrittweises Ausrollen.
Tag 8–10: Übergabe
Dokumentation der Konfiguration und Entscheidungen, Übergabegespräch mit Ihrer IT.
Voraussetzung
Conditional Access braucht Entra ID P1. Risikobasierte Regeln und PIM brauchen Entra ID P2.
Was Ihre IT anschließend erhält
Ihre IT erhält nachvollziehbare Entscheidungen zu Zugängen und Rollen sowie eine Dokumentation der vereinbarten Konfiguration. Noch ausstehende Tests und Freigaben werden ausdrücklich benannt.
Nachweis
- Microsoft Certified: Identity and Access Administrator Associate
- Microsoft Certified: Cybersecurity Architect Expert
- 21+ Jahre IT-Erfahrung, 50+ Microsoft-365-Projekte
Alle Zertifizierungen sind öffentlich prüfbar im Microsoft-Learn-Profil.
Häufige Fragen
Welche Lizenz braucht Conditional Access?
Conditional Access setzt Microsoft Entra ID P1 voraus, enthalten zum Beispiel in Microsoft 365 Business Premium und E3. Risikobasierte Richtlinien und Privileged Identity Management (PIM) benötigen Entra ID P2, enthalten zum Beispiel in Microsoft 365 E5.
Wie vermeidet man, sich mit Conditional Access auszusperren?
Mit mindestens zwei Notfallkonten, die von den regulären Richtlinien ausgenommen, phishingresistent abgesichert und überwacht sind. Neue Richtlinien laufen zuerst im Nur-Bericht-Modus, werden mit Testkonten und einer Pilotgruppe geprüft und erst nach dokumentierter Freigabe erzwungen.
Kann unser IT-Dienstleister eingebunden bleiben?
Ja. Wir klären zu Beginn, welche Aufgaben ich übernehme und wer Änderungen im Betrieb prüft. Die Dokumentation ist so angelegt, dass Ihre IT oder Ihr Dienstleister die Umgebung danach selbst weiterführen kann.
30 Min. Erstgespräch – kostenlos
Mehr über mich: Profil Philipp Schmidt · easym365.de