Conditional Access (bedingter Zugriff)

Was ist Conditional Access?

Conditional Access (bedingter Zugriff) ist eine Wenn-dann-Richtlinien-Engine, die bei jeder Anmeldung Signale auswertet und über den nächsten Schritt entscheidet. Erfüllen Benutzer, Anwendung, Gerät, Standort oder Anmelderisiko eine Bedingung, dann lässt der Identity Provider den Zugriff zu, verlangt eine zusätzliche Kontrolle wie MFA oder ein konformes Gerät oder blockiert den Versuch. Conditional Access ist zugleich der Name einer Funktion von Microsoft Entra ID.

Das Wichtigste in Kürze

• Conditional Access wertet Signale wie Benutzer, Anwendung, Gerätekonformität, Standort und Anmelderisiko aus und lässt jede Anmeldung zu, fordert eine Kontrolle oder blockiert.
• Microsoft Entra Conditional Access erfordert Lizenzen für Microsoft Entra ID P1, risikobasierte Conditional-Access-Richtlinien erfordern Microsoft Entra ID P2.
• Conditional Access greift nur bei Anwendungen, die sich über den Identity Provider anmelden, SaaS-Tools mit lokalen Passwörtern werden nie geprüft.
• Conditional Access setzt Regeln um, die Administratoren vorab festlegen, während adaptive Authentifizierung einen Risikowert berechnet, den eine Richtlinie als Signal nutzen kann.

So funktioniert Conditional Access

• Zuweisung: Jede Richtlinie gilt für Benutzer oder Gruppen und eine oder mehrere Anwendungen, mit Ausnahmen wie Notfallkonten (Break-Glass).
• Bedingungen: Die Richtlinie liest Signale wie Gerätekonformität, Netzwerkstandort oder Land, Client-Typ und Anmelderisiko.
• Entscheidung: Der Zugriff wird gewährt, erst nach einer Kontrolle gewährt (MFA, konformes Gerät, genehmigte App) oder blockiert.
• Sitzungssteuerung: Manche Richtlinien begrenzen zusätzlich die Sitzungsdauer oder erzwingen nach einer festen Zeit eine neue Anmeldung.
• Kombination: Alle zutreffenden Richtlinien gelten gleichzeitig, und eine Blockierung in einer davon hat Vorrang vor allen Freigaben.

Conditional Access oder adaptive Authentifizierung, und wo liegen die Grenzen?

• Conditional Access: deterministische Regeln, die Administratoren schreiben, etwa „Admins müssen ein konformes Gerät nutzen“. Dieselbe Anfrage erhält immer dieselbe Antwort.
• Adaptive Authentifizierung: ein für jeden Versuch aus Verhalten und Kontext berechneter Risikowert, der die Kontrolle verschärft oder lockert. In risikobasierten Richtlinien wird dieser Wert zu einer Bedingung unter mehreren.

Conditional Access entspricht dem Modell aus NIST SP 800-207 (Zero Trust Architecture, August 2020): Ein Policy Decision Point entscheidet über jede Zugriffsanfrage, ein Policy Enforcement Point setzt die Entscheidung durch. Die Grenze ist die Abdeckung. Der Identity Provider entscheidet nur über Anmeldungen, die er sieht, deshalb erreicht eine Anwendung mit eigenem Anmeldeformular die Richtlinie nie, so streng sie auch ist. Okta und Google Workspace bieten gleichwertige Mechanismen unter anderen Namen, mit derselben Grenze.

Beispiele und Anwendungsfälle

Ein Logistikunternehmen mit 300 Mitarbeitenden lizenziert Microsoft Entra ID P1 und richtet drei Conditional-Access-Richtlinien ein: MFA für alle, ein konformes Gerät für Finanz- und Adminportale und eine Blockierung von Anmeldungen aus Ländern ohne eigene Mitarbeitende. Das Sicherheits-Dashboard sieht gut aus. Eine SaaS-Bestandsaufnahme findet danach 35 Anwendungen mit lokalen Passwörtern, darunter ein Tool für Frachtkalkulation und eine Design-Suite, in denen keine dieser Richtlinien je ausgewertet wird.

Corma verbindet sich mit Microsoft Entra ID, Okta, Google Workspace und JumpCloud und erstellt das Inventar der genutzten SaaS-Anwendungen, einschliesslich Schatten-IT ausserhalb von Single Sign-On. Die IT kann kritische Tools hinter den Identity Provider bringen, und Corma automatisiert Provisionierung und Deprovisionierung für die übrigen, auch für Apps ohne SCIM.

Verwandte Begriffe

• Adaptive Authentifizierung
• Multi-Faktor-Authentifizierung (MFA)
• Microsoft Entra ID (ehemals Azure AD)
• Zero Trust
• Identitätsanbieter (IdP)
• Identity-and-Access-Management-Plattform von Corma

FAQ

Ist Conditional Access eine Microsoft-Funktion?

Ja, Conditional Access ist der Name der Funktion in Microsoft Entra ID, die Lizenzen für Microsoft Entra ID P1 erfordert, für risikobasierte Richtlinien P2. Das Konzept ist breiter: Andere Identity Provider bieten dieselbe Wenn-dann-Logik unter anderen Namen.

Was ist der Unterschied zwischen Conditional Access und MFA?

MFA ist eine Kontrolle, Conditional Access entscheidet, wann sie verlangt wird. Eine Richtlinie kann MFA bei jeder Anmeldung fordern, nur ausserhalb des Firmennetzes oder nur für Adminrollen.

Schützt Conditional Access auch Apps ohne SSO?

Nein. Conditional Access wertet nur Anmeldungen aus, die über den Identity Provider laufen. Anwendungen mit eigenen Benutzernamen und Passwörtern umgehen jede Richtlinie, bis sie föderiert sind.

Welche Conditional-Access-Richtlinien sind üblich?

MFA für alle Benutzer, Blockierung älterer Authentifizierungsprotokolle (Legacy Authentication), ein konformes Gerät für Adminportale und Blockierung von Anmeldungen aus Ländern, in denen das Unternehmen nicht tätig ist.

Demo anfragen