Microsoft Entra ID ist der cloudbasierte Identitätsdienst für Microsoft 365 und Azure. Er steuert Anmeldung und Zugriff für Millionen Unternehmen – und rückt damit ins Visier von Angreifern.
Microsoft Entra ID, bis 2023 Azure Active Directory genannt, ist der cloudbasierte Identitäts- und Zugriffsdienst von Microsoft. Er authentifiziert Anmeldungen an Microsoft 365, Azure und tausenden angebundenen SaaS-Anwendungen. Anders als das klassische Active Directory spricht Entra ID nicht Kerberos, sondern moderne Protokolle wie OAuth 2.0, OpenID Connect und SAML.
In vielen Unternehmen laufen beide Welten parallel (Hybrid-Identität): Ein lokales AD wird über Entra Connect in die Cloud synchronisiert. Diese Brücke ist leistungsfähig, erweitert aber auch die Angriffsfläche über die Grenze des eigenen Netzes hinaus.
Funktionsweise und zentrale Begriffe
Entra ID verwaltet Benutzer, Gruppen, Geräte und sogenannte Enterprise Applications. Zugriffe werden über Token gesteuert, die nach erfolgreicher Anmeldung ausgestellt werden. Wichtige Bausteine:
- Conditional Access als zentrale Richtlinien-Engine (Standort, Gerät, Risiko),
- Multi-Faktor-Authentifizierung und Passwortlose Verfahren wie Passkeys,
- Rollen wie Global Administrator mit mandantenweiter Kontrolle,
- App-Registrierungen und Service Principals für automatisierte Zugriffe.
Bedeutung für Unternehmen
Mit der Verlagerung in die Cloud verschiebt sich auch der Angriff. Laut CrowdStrike Global Threat Report 2026 stiegen staatsnahe Cloud-Intrusions um 266 Prozent. Für die Geschäftsführung bedeutet das: Der klassische Perimeter aus Firewall und VPN schützt die Cloud-Identität nicht. Fehlkonfigurierte Conditional-Access-Regeln, zu viele Global Administratoren oder zu großzügige App-Berechtigungen wiegen in Entra ID oft schwerer als eine klassische Netzwerklücke.
Härtung und Prüfung aus Red-Team-Sicht
Ein Red Team prüft Entra ID typischerweise aus Sicht eines Angreifers, der bereits ein Benutzerkonto übernommen hat – etwa durch Phishing oder Password Spraying. Untersucht werden Token-Missbrauch, Umgehung von MFA über schwache Richtlinien, überprivilegierte App-Registrierungen und Wege von der Cloud zurück in das lokale AD. Empfohlene Maßnahmen:
- phishing-resistente MFA für alle privilegierten Rollen,
- strenge Conditional-Access-Baselines und Sperrung von Legacy-Authentifizierung,
- Minimierung der Global Administratoren und Privileged Identity Management mit Zeitbegrenzung,
- regelmäßige Prüfung von App-Berechtigungen und Consent-Einstellungen,
- Monitoring über die Entra-Sign-in- und Audit-Logs.
Wie Angreifer Cloud-Identitäten ausnutzen, vertieft der Ratgeber Cloud Red Teaming: Identitäten im Fokus. Die Prüfung bieten wir als Teil unserer Active-Directory- und Cloud-Leistung an.