Conditional Access entscheidet bei jeder Anmeldung anhand von Bedingungen wie Nutzer, Gerät, Standort, Anwendung und Risiko, ob der Zugriff erlaubt, mit MFA abgesichert oder blockiert wird.
Conditional Access (bedingter Zugriff) ist der Richtlinienmechanismus moderner Identitätsplattformen, allen voran Microsoft Entra ID, aber auch vergleichbarer Dienste anderer Anbieter. Bei jeder Anmeldung an einer Cloud-Anwendung wertet die Plattform Signale aus: Wer meldet sich an, von welchem Gerät, aus welchem Netz oder Land, an welcher Anwendung, mit welchem Client, und wie hoch ist das berechnete Risiko der Sitzung und des Nutzers? Anhand von Richtlinien folgt eine Entscheidung: Zugriff gewähren, zusätzliche MFA verlangen, nur eingeschränkten Zugriff erlauben, Passwortwechsel erzwingen oder blockieren.
Conditional Access ist damit das zentrale Werkzeug, um Zero Trust auf Identitätsebene durchzusetzen. Das Passwort allein entscheidet nicht mehr über den Zugang; der Kontext der Anmeldung tut es.
So funktioniert Conditional Access
- Zuweisungen: Für welche Nutzer, Gruppen und Anwendungen gilt eine Richtlinie, und welche sind ausgenommen?
- Bedingungen: Anmelderisiko und Nutzerrisiko (aus Verhaltensanalyse), Geräteplattform, Standort (vertrauenswürdige Netze, Länder), Client-Anwendung (moderner Client oder veraltetes Protokoll), Gerätezustand (verwaltet, konform).
- Steuerungen: MFA erzwingen, phishing-resistente Authentifizierung verlangen, konformes Gerät voraussetzen, Sitzungsdauer begrenzen, Download in Browsersitzungen unterbinden oder Zugriff verweigern.
- Typische Grundrichtlinien: MFA für alle Nutzer, Blockierung veralteter Authentifizierungsprotokolle, stärkere Anforderungen für Administratoren, Blockierung von Anmeldungen aus Ländern ohne Geschäftsbezug, Zugriff nur von verwalteten Geräten.
- Nur-Bericht-Modus: Neue Richtlinien lassen sich zunächst simulieren, um Auswirkungen auf legitime Nutzer zu prüfen.
Bedeutung für Unternehmen
Mit der Verlagerung von E-Mail, Dateien und Geschäftsanwendungen in die Cloud ist die Identität zur eigentlichen Außengrenze geworden. Laut Verizon DBIR 2025 war Credential Abuse an 22 Prozent der Breaches beteiligt, und laut CrowdStrike Global Threat Report 2026 stiegen Cloud-Intrusions staatsnaher Akteure um 266 Prozent. Conditional Access ist die Kontrolle, die ein gestohlenes Passwort oder eine gestohlene Sitzung wertlos machen kann, weil der Zugriff vom falschen Gerät oder aus dem falschen Kontext verweigert wird.
Was wir in Einsätzen sehen: Die Wirksamkeit hängt vollständig von der Vollständigkeit ab. Typische Befunde sind Ausnahmen für Dienstkonten, Geschäftsführung oder externe Dienstleister, die die Richtlinie für genau die Konten aushebeln, die am wertvollsten sind; veraltete Protokolle, die nicht blockiert sind und an jeder MFA-Anforderung vorbeiführen; fehlende Gerätebindung, sodass eine über Phishing erbeutete Sitzung von unserem Gerät aus weiterverwendet werden kann; und Richtlinien, die seit Monaten im Nur-Bericht-Modus stehen. Für ein Red Team ist die Ausnahmeliste der aufschlussreichste Teil der Konfiguration.
Praxis: Umsetzung und Prüfung
- Grundrichtlinien ohne Ausnahmen durchsetzen: MFA für alle, veraltete Authentifizierung blockieren, Administratoren mit phishing-resistenter Authentifizierung. Nur ein bis zwei dokumentierte Notfallkonten ausnehmen, deren Nutzung einen Alarm auslöst.
- Gerätebindung einführen: Zugriff auf Unternehmensdaten nur von verwalteten, konformen Geräten; private Geräte nur eingeschränkt im Browser. Das entwertet gestohlene Sitzungen.
- Ausnahmen bewirtschaften: Jede Ausnahme mit Eigentümer, Grund und Ablaufdatum; quartalsweise Überprüfung.
- Richtlinienänderungen überwachen: Angreifer mit administrativen Rechten schwächen Richtlinien gezielt ab. Jede Änderung an Conditional-Access-Richtlinien gehört als Alarm ins SOC.
- Aus Angreifersicht prüfen: In einem Red Teaming mit Fokus auf Cloud-Identitäten prüfen wir, welche Anmeldewege an den Richtlinien vorbeiführen, ob erbeutete Sitzungen nutzbar wären und ob die Plattform riskante Anmeldungen meldet. Der Bericht liefert eine priorisierte Liste der Lücken und die Konfiguration, mit der sie sich schließen lassen.