Microsoft 365 / MFA-Einrichtung: Sicherheitsstandards oder bedingter Zugriff?

Wenn Sie Multi-Faktor-Authentifizierung (MFA) in Microsoft 365 anwenden, überprüfen Sie Sicherheitsstandards, wenn Sie einen einfachen organisationsweiten Basisschutz benötigen. Wenn Sie bedingte Richtlinien auf der Grundlage von Benutzern, Apps, Standorten oder Geräten benötigen, prüfen Sie den bedingten Zugriff. Die beiden Methoden sind nicht dafür vorgesehen, gleichzeitig aktiviert zu werden. Bedingter Zugriff erfordert entsprechende Microsoft Entra-Lizenzen und Richtliniengestaltung.

Unterschiede zwischen Sicherheitsstandards und Bedingtem Zugriff

Laut den Sicherheitsstandard-Richtlinien von Microsoft und dem Plan für die Bereitstellung bedingten Zugriffs werden Sicherheitsstandards und bedingter Zugriff nicht gleichzeitig verwendet. Für produktspezifische Lizenzen prüfen Sie die neuesten Bedingungen unter Microsoft Entra Lizenzinformationen.

MFA-Registrierung, Anforderungen und Abschluss unterscheiden sich

Multifaktor-Authentifizierung (MFA) überprüft die Identität unter Verwendung von zwei oder mehr verschiedenen Authentifizierungsfaktoren. Ein Passwort ist ein möglicher Faktor; unterstützte passwortlose Methoden können ebenfalls die MFA-Anforderungen erfüllen. Sie müssen gesondert prüfen, dass eine Authentifizierungs-App registriert wurde, dass MFA für eine bestimmte Anmeldung erforderlich war und dass diese Anforderung tatsächlich erfüllt wurde. Wenn Sie sie nur registrieren, ohne die Richtlinie anzuwenden, kann der beabsichtigte Schutz möglicherweise nicht erreicht werden.

Im Gegensatz dazu bedeutet das Fehlen von Authentifizierungsaufforderungen bei jeder Anmeldung nicht, dass MFA deaktiviert ist. Der Authentifizierungsstatus der bestehenden Sitzung oder des Tokens könnte erkannt worden sein, sodass er aus dem Anmeldeprotokoll bestimmt wird. Selbst wenn der veraltete MFA-Bildschirm für einzelne Benutzer „Deaktiviert“ anzeigt, kann MFA über Sicherheitsstandards oder bedingten Zugriff angewendet werden. Aktivieren Sie MFA für einzelne Benutzer basierend nur auf dieser Anzeige nicht.

Fragen, die vor einer Entscheidung überprüft werden sollten

• Welche Authentifizierungsrichtlinien sind im aktuellen Mandanten bereits aktiviert? In einem neuen Mandanten können Sicherheitsstandards eingeschaltet sein.
• Welche Authentifizierungsmethoden haben Administratoren und reguläre Benutzer registriert? Ein Vorbereitungsleitfaden für die Bereitstellung könnte erforderlich sein.
• Gibt es alte Apps oder Geräte, die Legacy-Authentifizierung verwenden? Sie müssen die Möglichkeit einer Arbeitsunterbrechung prüfen, falls blockiert.
• Haben Sie ein Notfall-Administrator-Konto und Wiederherstellungsverfahren vorbereitet? Alle Administratoren könnten aufgrund falscher bedingter Zugriffsrichtlinien ausgesperrt werden.
• Hat der Benutzer eine Lizenz, um die erforderlichen Funktionen zu verwenden?

Verfahren zur Überprüfung der Sicherheitsstandards

1. Melden Sie sich im Microsoft Entra-Administrationscenter mit den erforderlichen Berechtigungen an.
2. [Entra ID] → [Übersicht] → [Eigenschaften], um den Ort zur Verwaltung von Sicherheitsstandards zu finden. Wenn sich die Menüstruktur geändert hat, suchen Sie im Administrationscenter nach „Sicherheitsstandards“.

3. Notieren Sie den aktuellen Status und untersuchen Sie betroffene Administratoren, Benutzer und Apps. Benachrichtigen Sie die Organisation und bereiten Sie die Authentifizierungsregistrierung vor, dann entscheiden Sie, ob sie angewendet werden sollen.
4. Wenn Sie Sicherheitsstandards auswählen, wenden Sie sie über Sicherheitsstandards verwalten → Aktiviert → Speichern an. Die Konfiguration von Sicherheitsstandards erfordert mindestens die Rolle Administrator für bedingten Zugriff. Führen Sie die Benutzer durch den Registrierungsprozess für unterstützte Authentifizierungsmethoden.
5. Überprüfen Sie den neuen Anmeldeablauf für Administratoren und allgemeine Benutzer und untersuchen Sie die Authentifizierungs-, Registrierungs- und Anmeldeprotokolle. Geben Sie im Bereitstellungsplan an, ob bestehende Anmeldesitzungen beibehalten werden. Das Widerrufen bestehender Anmeldesitzungen beeinflusst die Arbeit der Benutzer, daher sollte es innerhalb eines genehmigten Rahmens nach Benachrichtigung und Vorbereitung auf den Support durchgeführt werden.

Die Sicherheitsstandards bieten keine Möglichkeit, Ausnahmen für einzelne Benutzer hinzuzufügen. Bevor Sie den allgemeinen Standard-Schutz deaktivieren, nur weil bestimmte ältere Geräte ihn umgehen müssen, prüfen Sie, ob Sie die Authentifizierungsmethode für diese Geräte ändern oder auf ein Bedingter-Zugriff-Design umstellen müssen. Planen Sie keine Benutzeranleitungen basierend auf der zuvor geltenden MFA-Registrierungsfrist.

Beim Einführen von bedingtem Zugriff

Öffnen Sie im Microsoft Entra Admin Center Bedingter Zugriff → Richtlinien. Je nach Bildschirmlayout kann es sich im Sicherheitsmenü von Entra ID befinden oder über die Suche im Admin Center gefunden werden. Überprüfen Sie, dass Sie die erforderliche Rolle zum Erstellen oder Ändern von Richtlinien haben und dass betroffene Benutzer die notwendigen Lizenzen besitzen. Üblicher bedingter Zugriff erfordert Entra ID P1, und Bedingungen basierend auf Benutzer- oder Anmelderisiko erfordern P2 usw.

Beim Wechsel von Sicherheitsstandards müssen Sie eine alternative Richtlinie entwerfen und überprüfen und eine Übergangszeit festlegen. Einfaches Deaktivieren der Sicherheitsstandards und Erstellen einer Nur-Bericht-Richtlinie bietet keinen gleichwertigen Schutz. Microsoft empfiehlt, die Schutzrichtlinie sofort nach der Deaktivierung der Standards zu aktivieren. Daher sollten die unten stehenden Nur-Bericht-Übungen in einer Testumgebung durchgeführt werden, in der der vorhandene Schutz aufrechterhalten wird, oder gemäß einem Übergangsplan und nicht als vorbereitender Schritt zur ersten Deaktivierung des Schutzes in einer betrieblichen Organisation verwendet werden.

1. Geben Sie in der neuen Richtlinie einen Namen ein, der eindeutig ihren Zweck und ihr Ziel angibt, zum Beispiel so: "MFA für Pilotbenutzer erforderlich."
2. Beziehen Sie die Testgruppe in die Benutzer ein und vergleichen Sie sie mit den Zielkonten. Notfallkonten sollten von Login-Sperren oder eingeschränkten Richtlinien ausgeschlossen werden gemäß dem Konzept für Notfallzugriffskonten, und separate starke Authentifizierung und Überwachung sollten vorbereitet werden.
3. Bestimmen Sie die Apps/Ressourcen zum Schutz in den Zielressourcen. Interpretieren Sie die Ergebnisse des Testens einer einzelnen App nicht automatisch als auf alle Dienste anwendbar.
4. Unter Zugriff gewähren (Grant) wählen Sie die Anforderung für MFA und speichern Sie den Richtlinienstatus als Nur-Bericht (Report-only). Vermischen Sie zu Beginn nicht Blockierungen, konforme Geräte und Risikobedingungen; prüfen Sie, welche Wirkung jede Anforderung erzeugt.
5. Melden Sie sich mit einem Testkonto bei der Ressource an und überprüfen Sie die Ziele, Anforderungen und erwarteten Ausfallursachen der Richtlinie in den Nur-Bericht-Ergebnissen der Anmeldeereignisse. Nur-Bericht erzwingt die Zugriffskontrolle dieser Richtlinie nicht tatsächlich.

Überprüfung vor und nach der Aktivierung und Rücksetzung

Zeichnen Sie die erwarteten Ergebnisse zuerst in einer Tabelle auf. Zum Beispiel sollten Testbenutzer die MFA-Anforderungen in der angegebenen App erfüllen, und Benutzer außerhalb des Ziels sollten von der neuen Richtlinie nicht betroffen sein. Andere Richtlinien oder von Microsoft vorgeschriebene Authentifizierungsanforderungen können jedoch separat angewendet werden, sodass das Ausschließen einer Richtlinie keine vollständige MFA-Befreiung bedeutet.

Nach Überprüfung der Nur-Bericht-Modus ausgegebenen Ergebnisse und der tatsächlichen Tests, setzen Sie die Richtlinie auf Ein (On), beginnend mit dem genehmigten Pilotprojekt. Überprüfen Sie dann die Authentifizierungsanforderungen und Zugriffsresultate bei neuen Anmeldungen und erweitern Sie das Ziel. Der Bereitstellungsplan von Microsoft empfiehlt, die Auswirkungen mindestens eine Woche lang im Nur-Bericht-Modus zu beobachten, bevor die Richtlinie durchgesetzt wird. Nutzen Sie diesen Beobachtungszeitraum, um repräsentative Anmeldeergebnisse für wichtige Rollen und Apps zu sammeln; die vergangene Zeit allein reicht nicht als Validierung.

Wenn ein Problem auftritt, überprüfen Sie die Richtlinien, die im Reiter Bedingter Zugriff des Fehlereignisses angewendet werden. Wenn eine neue Richtlinie die Ursache ist, verwenden Sie den vorbereiteten administrativen Zugriffspfad, um diese Richtlinie auf Nur-Bericht oder Aus zu setzen, und stellen Sie sicher, dass bestehende Schutzmaßnahmen erhalten bleiben. Schalten Sie nicht alle Richtlinien gleichzeitig aus und lassen Sie sie nicht als langfristige Ausnahmen bestehen. Nach der Wiederherstellung korrigieren Sie das Ziel, die Bedingungen und die Authentifizierungsmethoden und wenden die Richtlinie erst wieder an, nachdem derselbe Test erneut bestanden wurde.