Warum MFA allein nicht reicht: Conditional Access in Microsoft 365 verständlich erklärt

Kurzantwort für Geschäftsführer

MFA ist wichtig. Aber MFA allein ist keine vollständige Zugriffssicherheitsstrategie.

Mehr-Faktor-Authentifizierung sorgt dafür, dass ein gestohlenes Passwort nicht sofort zum vollständigen Zugriff führt. Das ist ein entscheidender Schutz. Trotzdem bleiben wichtige Fragen offen:

Von welchem Gerät meldet sich der Benutzer an?

Aus welchem Land erfolgt der Zugriff?

Ist das Konto riskant?

Ist das Gerät verwaltet?

Geht es um ein normales Postfach oder um Administrationszugriff?

Wird ein altes Anmeldeprotokoll verwendet?

Soll der Zugriff erlaubt, blockiert oder zusätzlich abgesichert werden?

Genau hier kommt Conditional Access ins Spiel.

Conditional Access ist die Richtlinienlogik in Microsoft Entra ID, mit der Unternehmen Zugriffe auf Microsoft 365 abhängig von Bedingungen steuern können. Man kann es vereinfacht so erklären:

Wenn ein Benutzer unter bestimmten Bedingungen auf einen Dienst zugreifen möchte, dann muss eine bestimmte Sicherheitsanforderung erfüllt werden.

Beispiel:

Wenn ein Administrator auf Microsoft 365 zugreift, dann ist MFA erforderlich.

Wenn ein Benutzer aus einem ungewöhnlichen Land zugreift, dann wird der Zugriff blockiert oder zusätzlich geprüft.

Wenn ein Gerät nicht verwaltet ist, dann darf es bestimmte Daten nicht herunterladen.

Wenn ein altes Anmeldeverfahren verwendet wird, dann wird der Zugriff blockiert.

Für kleine und mittelständische Unternehmen bedeutet das:

MFA ist der erste wichtige Schritt. Conditional Access ist der nächste Schritt zu einer kontrollierteren Microsoft-365-Umgebung.

Warum MFA so wichtig ist

Passwörter sind ein schwacher Schutz.

Sie werden wiederverwendet, geraten durch Phishing in falsche Hände, stehen in Datenlecks oder werden von Benutzern zu einfach gewählt.

MFA reduziert dieses Risiko deutlich. Ein Angreifer braucht dann nicht nur das Passwort, sondern einen zweiten Faktor.

Typische zweite Faktoren sind:

• Authenticator-App
• Push-Bestätigung
• Einmalcode
• Hardware-Token
• passwortlose Anmeldung
• biometrische Freigabe auf einem Gerät

Für viele Unternehmen ist MFA der wichtigste Sofortschutz gegen Kontoübernahmen.

Besonders wichtig ist MFA für:

• Geschäftsführung
• Buchhaltung
• Personalabteilung
• Vertrieb
• IT-Administration
• Benutzer mit Zugriff auf sensible Daten
• externe Zugriffe
• gemeinsam genutzte Postfächer mit kritischen Informationen

Ohne MFA sollte heute keine Microsoft-365-Umgebung mehr produktiv betrieben werden.

Warum MFA trotzdem nicht alle Probleme löst

MFA beantwortet eine zentrale Frage:

Ist der Benutzer zusätzlich zum Passwort noch über einen zweiten Faktor bestätigt?

Das ist wichtig. Aber es beantwortet nicht automatisch alle anderen Sicherheitsfragen.

Beispiele:

Ein Benutzer bestätigt eine MFA-Anfrage, obwohl er sie nicht selbst ausgelöst hat.

Ein Angreifer nutzt eine Phishing-Seite, die moderne Anmeldevorgänge nachbildet.

Ein Gerät ist privat, ungepatcht oder kompromittiert.

Ein Benutzer meldet sich aus einem Land an, aus dem er normalerweise nie arbeitet.

Ein Administratorkonto wird von einem unbekannten Gerät verwendet.

Ein altes Protokoll oder eine alte App versucht eine Anmeldung.

Ein externer Zugriff erfolgt auf besonders sensible Daten.

MFA ist also ein starker Schutz, aber kein vollständiges Steuerungssystem.

Conditional Access ergänzt MFA um Kontext.

Nicht jede Anmeldung wird gleich behandelt. Der Zugriff wird abhängig von Risiko, Benutzer, Gerät, Standort, Anwendung und weiteren Signalen bewertet.

Was ist Conditional Access?

Conditional Access bedeutet auf Deutsch ungefähr: bedingter Zugriff.

Es geht darum, Zugriffe nicht pauschal zu erlauben oder zu verbieten, sondern an Bedingungen zu knüpfen.

Die Grundlogik lautet:

Wenn eine bestimmte Bedingung erfüllt ist, dann muss eine bestimmte Aktion erfolgen.

Beispiele:

Wenn ein Benutzer außerhalb Deutschlands zugreift, dann blockieren oder MFA verlangen.

Wenn ein Administrator auf das Admin Center zugreift, dann immer MFA verlangen.

Wenn ein Gerät nicht verwaltet ist, dann Zugriff einschränken.

Wenn eine Anmeldung riskant wirkt, dann zusätzliche Prüfung verlangen.

Wenn ein altes Anmeldeprotokoll genutzt wird, dann Zugriff blockieren.

Wenn ein Benutzer auf sensible Anwendungen zugreift, dann stärkere Authentifizierung verlangen.

Conditional Access ist damit keine einzelne Funktion, sondern ein Regelwerk für Zugriffsentscheidungen.

Für Microsoft 365 ist das besonders wichtig, weil E-Mail, Dateien, Teams, SharePoint und Benutzerkonten heute von überall erreichbar sind.

Security Defaults oder Conditional Access?

Microsoft bietet für kleinere Umgebungen Security Defaults an.

Security Defaults sind ein Basisschutz. Sie helfen dabei, wichtige Sicherheitsmaßnahmen schneller zu aktivieren, ohne dass ein Unternehmen eigene komplexe Regeln bauen muss.

Security Defaults können für viele kleine Unternehmen ein guter Einstieg sein.

Conditional Access geht weiter.

Mit Conditional Access können Unternehmen feinere Regeln definieren. Das ist besonders sinnvoll, wenn nicht alle Benutzer, Geräte, Standorte oder Anwendungen gleich behandelt werden sollen.

Der Unterschied vereinfacht:

Security Defaults:

Ein guter Basisschutz für einfache Umgebungen.

Conditional Access:

Gezielte Zugriffskontrolle für Unternehmen, die genauer steuern müssen.

Wichtig:

Conditional Access benötigt passende Lizenzen. In vielen Fällen ist Microsoft Entra ID P1 beziehungsweise eine Lizenz wie Microsoft 365 Business Premium relevant. Deshalb sollte vor der Planung immer geprüft werden, welche Lizenzen vorhanden sind.

Typische Conditional-Access-Regeln für KMU

Ein kleines oder mittleres Unternehmen braucht nicht sofort ein kompliziertes Regelwerk.

Wichtiger ist ein sauberer Einstieg mit wenigen, sinnvollen Regeln.

Typische Regeln sind:

1. MFA für alle Benutzer

Alle Benutzer müssen bei der Anmeldung einen zweiten Faktor verwenden.

Das ist die Basis.

2. MFA für Administratoren immer erzwingen

Administratorkonten sollten besonders geschützt werden. Für administrative Rollen darf es keine lockeren Ausnahmen geben.

3. Legacy Authentication blockieren

Alte Anmeldeverfahren sind riskant, weil sie moderne Schutzfunktionen häufig nicht unterstützen. Wenn sie nicht zwingend benötigt werden, sollten sie blockiert werden.

4. Zugriff aus riskanten Ländern einschränken

Wenn ein Unternehmen nur in Deutschland arbeitet, kann es sinnvoll sein, Zugriffe aus bestimmten Regionen zu blockieren oder zusätzlich abzusichern.

5. Zugriff auf sensible Dienste stärker absichern

Administrationsportale, SharePoint-Bereiche oder sicherheitsrelevante Anwendungen können strengere Regeln erhalten.

6. Zugriff von nicht verwalteten Geräten begrenzen

Nicht jedes private Gerät sollte Unternehmensdaten herunterladen dürfen.

7. Riskante Anmeldungen behandeln

Wenn Microsoft eine Anmeldung als riskant einstuft, kann der Zugriff blockiert oder eine zusätzliche Prüfung verlangt werden.

Diese Regeln müssen sorgfältig geplant und getestet werden. Eine falsch konfigurierte Richtlinie kann Benutzer aussperren oder Geschäftsprozesse stören.

Warum Administratorkonten eigene Regeln brauchen

Administratorkonten sind besonders kritisch.

Ein kompromittiertes normales Konto ist gefährlich. Ein kompromittiertes Administratorkonto kann die gesamte Umgebung gefährden.

Mit Adminrechten kann ein Angreifer:

• Benutzer anlegen
• Passwörter zurücksetzen
• MFA-Methoden ändern
• Sicherheitsregeln deaktivieren
• Postfächer durchsuchen
• Weiterleitungen einrichten
• Daten exportieren
• App-Berechtigungen vergeben
• Schutzmaßnahmen umgehen

Deshalb sollten Administratorkonten eigene Conditional-Access-Regeln bekommen.

Empfehlungen:

• MFA für alle Admins erzwingen
• keine Admin-Anmeldung ohne starken zweiten Faktor
• Adminzugriff nur von bekannten Geräten oder Standorten erlauben, wenn möglich
• globale Administratoren reduzieren
• getrennte Admin-Konten verwenden
• Notfallkonto sauber dokumentieren
• Admin-Anmeldungen regelmäßig prüfen

Ein Unternehmen sollte jederzeit beantworten können:

Wer hat administrative Rechte?

Warum hat diese Person diese Rechte?

Wie ist das Konto geschützt?

Wann wurde der Zugriff zuletzt geprüft?

Warum alte Anmeldeprotokolle gefährlich sind

Legacy Authentication ist einer der klassischen Schwachpunkte in Microsoft-365-Umgebungen.

Gemeint sind ältere Anmeldeverfahren oder Protokolle, die moderne Sicherheitsfunktionen wie MFA häufig nicht sauber unterstützen.

Dazu können je nach Umgebung gehören:

• alte Outlook-Versionen
• alte Mail-Apps
• POP3
• IMAP
• SMTP AUTH
• ältere Office-Clients
• alte Geräte oder Scanner
• nicht mehr gepflegte Anwendungen

Das Problem:

Wenn ein Angreifer ein Passwort hat und ein alter Zugangsweg keine moderne MFA-Prüfung erzwingt, kann der Schutz umgangen werden.

Deshalb sollte jedes Unternehmen prüfen:

Wird Legacy Authentication noch verwendet?

Welche Geräte oder Anwendungen nutzen sie?

Gibt es Alternativen?

Kann sie blockiert werden?

Welche Ausnahmen sind wirklich nötig?

Nicht jede Umgebung kann Altzugänge sofort abschalten. Aber sie sollten bekannt und dokumentiert sein.

Conditional Access und Geräte

Microsoft 365 wird heute von vielen Geräten genutzt.

Dazu gehören:

• Firmen-Notebooks
• private Notebooks
• Smartphones
• Tablets
• Terminalserver
• Homeoffice-Geräte
• mobile Apps
• Browser

Nicht jedes Gerät hat denselben Sicherheitsstand.

Ein verwaltetes, gepatchtes Firmen-Notebook ist anders zu bewerten als ein privates Gerät mit unbekanntem Zustand.

Conditional Access kann helfen, Geräte in Zugriffsentscheidungen einzubeziehen.

Beispiele:

Ein nicht verwaltetes Gerät darf E-Mails im Browser lesen, aber keine Dateien herunterladen.

Ein Gerät ohne aktuellen Sicherheitsstatus bekommt keinen Zugriff auf sensible Anwendungen.

Mobile Geräte müssen eine App-Schutzrichtlinie erfüllen.

Für besonders kritische Dienste sind nur bekannte Geräte erlaubt.

Das Ziel ist nicht, Mitarbeiter zu behindern. Das Ziel ist, Unternehmensdaten besser zu schützen.

Conditional Access und Standorte

Auch der Standort kann ein Signal sein.

Wenn ein Unternehmen nur in Deutschland oder Europa arbeitet, kann ein Zugriff aus bestimmten Regionen auffallen.

Das bedeutet nicht, dass jeder Auslandszugriff automatisch ein Angriff ist. Geschäftsreisen, VPNs und mobile Arbeit müssen berücksichtigt werden.

Trotzdem kann Standortlogik sinnvoll sein.

Beispiele:

• Zugriff aus ungewöhnlichen Ländern blockieren
• Zugriff aus unbekannten Regionen nur mit zusätzlicher Prüfung erlauben
• Adminzugriffe nur aus definierten Bereichen zulassen
• bekannte Standorte weniger streng behandeln
• riskante Standorte stärker kontrollieren

Wichtig ist dabei eine saubere Planung.

Zu strenge Regeln können legitime Benutzer aussperren. Zu lockere Regeln bringen wenig Schutz.

Conditional Access und Phishing

Conditional Access verhindert nicht jede Phishing-Mail.

Aber es kann die Folgen eines erfolgreichen Phishing-Angriffs deutlich begrenzen.

Wenn ein Benutzer seine Zugangsdaten preisgibt, können zusätzliche Regeln greifen:

• MFA wird verlangt
• ein unbekanntes Gerät wird eingeschränkt
• eine riskante Anmeldung wird blockiert
• ein ungewöhnlicher Standort wird erkannt
• Zugriff auf sensible Dienste wird verhindert
• alte Protokolle werden blockiert
• Sitzungen können eingeschränkt werden

Wichtig:

Conditional Access ersetzt keine E-Mail-Sicherheit und keine Schulung. Es ergänzt sie.

Eine starke Microsoft-365-Sicherheitsstrategie kombiniert:

• MFA
• Conditional Access
• E-Mail-Schutz
• Schulung
• Backup
• Monitoring
• klare Prozesse bei Vorfällen

Häufige Fehler bei Conditional Access

Conditional Access ist wirkungsvoll, kann aber auch falsch eingesetzt werden.

Typische Fehler sind:

• Regeln werden ohne Testphase aktiviert
• zu viele Ausnahmen
• Administratoren werden ausgenommen
• Notfallkonto fehlt
• Benutzer werden ausgesperrt
• Altgeräte wurden nicht vorher geprüft
• Legacy Authentication wird übersehen
• Regeln widersprechen sich
• niemand prüft die Auswirkungen
• Dokumentation fehlt

Besonders gefährlich sind unklare Ausnahmen.

Eine Regel ist nur so gut wie ihre Ausnahmen. Wenn wichtige Benutzer oder alte Geräte dauerhaft ausgenommen werden, entsteht ein neues Risiko.

Deshalb sollte Conditional Access nicht nebenbei eingerichtet werden.

Es braucht Planung, Test, Dokumentation und regelmäßige Überprüfung.

30-60-90-Tage-Fahrplan

Erste 30 Tage: Überblick schaffen

• MFA-Status aller Benutzer prüfen
• Administratorkonten erfassen
• globale Administratoren prüfen
• Legacy Authentication Nutzung auswerten
• vorhandene Security Defaults prüfen
• vorhandene Lizenzen prüfen
• riskante Benutzergruppen identifizieren
• Notfallkonto dokumentieren

Bis 60 Tage: Basisschutz umsetzen

• MFA-Regeln sauber aktivieren
• Admin-MFA erzwingen
• Legacy Authentication blockieren oder dokumentiert begrenzen
• erste Conditional-Access-Regeln im Berichtmodus testen
• externe Zugriffe bewerten
• Standortregeln planen
• Gerätezugriffe prüfen

Bis 90 Tage: Betrieb stabilisieren

• getestete Conditional-Access-Regeln aktivieren
• Ausnahmen reduzieren
• Adminzugriffe stärker absichern
• regelmäßige Prüfung einführen
• Benutzer informieren
• Notfallverfahren dokumentieren
• Änderungen protokollieren
• Richtlinien mindestens jährlich überprüfen

Der Fahrplan zeigt: Conditional Access muss nicht kompliziert beginnen. Wichtig ist, strukturiert und kontrolliert vorzugehen.

Geschäftsführer-Checkliste

Diese Fragen sollte ein Unternehmen beantworten können:

• Ist MFA für alle Benutzer aktiv?
• Gibt es MFA-Ausnahmen?
• Sind Administratorkonten besonders geschützt?
• Wissen wir, ob Legacy Authentication noch genutzt wird?
• Gibt es Conditional-Access-Regeln?
• Werden Regeln zuerst getestet?
• Gibt es ein dokumentiertes Notfallkonto?
• Sind Standort- und Gerätesignale berücksichtigt?
• Werden riskante Anmeldungen geprüft?
• Sind Ausnahmen dokumentiert?
• Wird der Zugriff auf sensible Dienste besonders geschützt?
• Wird die Konfiguration regelmäßig überprüft?

Wenn mehrere Punkte unklar sind, sollte die Microsoft-365-Zugriffssicherheit geprüft werden.

Unsere Empfehlung

Für kleine und mittelständische Unternehmen ist MFA der Pflichtstart.

Aber bei Microsoft 365 sollte die Sicherheitsstrategie dort nicht enden.

EDV Systeme Donner empfiehlt:

Zuerst MFA konsequent aktivieren.

Dann Administratorkonten sauber trennen und schützen.

Dann alte Anmeldewege prüfen.

Danach Conditional Access geplant einführen.

Und anschließend die Regeln regelmäßig kontrollieren.

Conditional Access ist besonders sinnvoll, wenn Unternehmen Microsoft 365 intensiver nutzen, externe Zugriffe haben, mehrere Standorte betreiben, Homeoffice ermöglichen oder sensible Daten in SharePoint, OneDrive und Teams verarbeiten.

Es geht nicht darum, möglichst viele Regeln zu erstellen.

Es geht darum, die richtigen Risiken gezielt zu steuern.

Fazit

MFA ist eine der wichtigsten Sicherheitsmaßnahmen für Microsoft 365.

Aber MFA allein reicht nicht immer aus.

Conditional Access hilft Unternehmen, Zugriffe intelligenter zu steuern. Nicht nur nach Passwort und zweitem Faktor, sondern nach Kontext: Benutzer, Rolle, Gerät, Standort, Anwendung und Risiko.

Richtig eingesetzt schützt Conditional Access besonders kritische Konten, blockiert alte Anmeldewege, reduziert Risiken bei Phishing und sorgt dafür, dass Microsoft 365 nicht überall und von jedem Gerät gleich offen erreichbar ist.

Für Geschäftsführer ist die wichtigste Botschaft:

Microsoft 365 wird sicherer, wenn Zugriff nicht pauschal erlaubt wird, sondern bewusst gesteuert wird.

EDV Systeme Donner unterstützt Unternehmen dabei, MFA, Security Defaults, Conditional Access, Adminschutz und Microsoft-365-Sicherheit praxisnah einzurichten und laufend zu prüfen.