Bevor du das nächste Sicherheitstool evaluierst, schau in die Lizenz, die du schon bezahlst. In vielen Microsoft-365-Umgebungen, die wir prüfen, liegt dort eine der wirksamsten Schutzfunktionen brach: Conditional Access. Nicht halb konfiguriert, gar nicht konfiguriert.
Das ist kein Nischenproblem. Kontoübernahmen laufen heute über die Anmeldung, nicht über die Firewall. Und genau an der Anmeldung sitzt Conditional Access: eine Regelschicht, die bei jedem Login entscheidet, ob er durchgelassen wird, eine zweite Bestätigung braucht oder blockiert wird.
Die unbequeme Pointe: Für viele KMU ist der nächste Sicherheitsgewinn keine Beschaffung. Er ist eine Konfiguration in einem Produkt, das längst auf der Rechnung steht.
Wenn-dann-Regeln für jede Anmeldung
Conditional Access ist schnell erklärt, und das ist Teil seiner Stärke. Es sind Wenn-dann-Regeln für Logins: Wenn sich jemand anmeldet, prüfe wer es ist, von wo, mit welchem Gerät und auf welche Anwendung. Dann entscheide.
Ein paar Entscheidungen, die sich damit ausdrücken lassen:
- Anmeldungen über veraltete Protokolle, die keine Mehrfachauthentifizierung unterstützen, werden grundsätzlich blockiert.
- Wer von einem unbekannten Gerät auf Firmendaten zugreift, braucht eine zweite Bestätigung.
- Administratorkonten brauchen sie immer.
- Zugriff auf besonders sensible Anwendungen gibt es nur von verwalteten Geräten.
Das ist keine Raketentechnik. Es ist die Sorte Kontrolle, die ein Türsteher ausübt: Er schaut, wer kommt, und entscheidet nach Situation. Der Unterschied zum Türsteher ist, dass die Regeln bei jeder einzelnen Anmeldung greifen, rund um die Uhr, ohne müde zu werden.
Nimm den Fall, der jedes KMU treffen kann. Ein Passwort taucht in einem Datenleck auf, irgendwo, irgendwann, ohne dass es jemand merkt. Monate später probiert es jemand aus, nachts, von einer IP-Adresse, von der sich noch nie ein Mitarbeiter angemeldet hat. Ohne Anmelderegeln entscheidet in diesem Moment allein das Passwort. Mit einer einzigen Regel entscheidet zusätzlich eine zweite Bestätigung, die der Angreifer nicht liefern kann. Gleicher Angriff, anderes Ende, und der Unterschied war eine Konfiguration.
Warum das zählt, zeigt der Blick auf die Angriffe, die tatsächlich passieren. Die meisten Kontoübernahmen beginnen mit einem Passwort, das irgendwo abgeflossen ist, oder einer Phishing-Mail, die funktioniert hat. Microsoft schreibt in seiner eigenen Dokumentation, dass mehr als 99,9 Prozent der gängigen identitätsbasierten Angriffe durch Mehrfachauthentifizierung und das Blockieren veralteter Anmeldeprotokolle gestoppt werden (Quelle: Microsoft Learn). Übersetzt heisst das: Die beiden wirksamsten Massnahmen gegen die häufigste Angriffsform sind Konfigurationsentscheide, keine Produkte. Wie die Anmeldeebene in eine Phishing-Abwehr eingebettet ist, haben wir im Beitrag zur Phishing-Prävention im Unternehmen beschrieben.
Du hast Conditional Access wahrscheinlich schon bezahlt
Jetzt der Teil, der uns als Kostenoptimierer interessiert.
Conditional Access braucht eine Microsoft-Entra-ID-P1-Lizenz. Die steckt in Microsoft 365 Business Premium, und laut Microsofts Lizenzdokumentation können Business-Premium-Kunden die Funktion direkt nutzen. Business Premium ist genau die Lizenz, die viele Schweizer KMU längst im Einsatz haben, oft ohne den Sicherheitsteil je angefasst zu haben.
Das ergibt eine seltsame Situation. Ein Unternehmen zahlt Monat für Monat für eine Lizenz, die eine fertige Schutzschicht enthält. Gleichzeitig sitzt es in Verkaufsgesprächen für zusätzliche Sicherheitsprodukte, die zum Teil genau diese Lücke adressieren sollen. Der Anbieter erwähnt selten, dass die Basis schon bezahlt ist. Warum auch, er verdient am Neuen.
In unseren Bestandsaufnahmen wiederholt sich dieses Bild: Business Premium für alle Mitarbeitenden lizenziert, daneben ein separat bezahltes Werkzeug, das einen Teil derselben Aufgabe erledigen soll, und im Mandanten selbst keine einzige aktive Anmelderegel. Das Problem dieser Firmen ist selten zu wenig Budget. Es ist bezahlte Schutzwirkung, die nie eingeschaltet wurde. Wir haben das Prinzip im Beitrag zum Konsolidieren von Sicherheitstools ausführlicher beschrieben. Die Kurzform: Bevor ein neues Tool ins Budget kommt, gehört die Frage auf den Tisch, was die vorhandenen Lizenzen bereits abdecken.
Eine Einordnung für kleinere Umgebungen: Wer nur den kostenlosen Entra-ID-Umfang hat, bekommt von Microsoft die sogenannten Security Defaults, eine fixe Grundabsicherung mit Mehrfachauthentifizierung und blockierten Altprotokollen. Das ist ein guter Start und besser als nichts, und Microsoft schaltet diese Grundabsicherung bei neuen Tenants inzwischen von sich aus ein. Das sagt einiges darüber, wie ernst der Hersteller selbst die Anmeldeebene nimmt. Conditional Access ist die Stufe darüber: dieselbe Schutzidee, aber mit eigenen Regeln statt Einheitspaket. Ausnahmen, strengere Regeln für einzelne Gruppen, ein Sonderfall für die Produktionshalle ohne Smartphones: Das alles kannst du erst damit abbilden.
Es gibt übrigens einen zweiten Ort, an dem dir dieses Thema begegnet, ob du willst oder nicht: im Antrag für die Cyber-Versicherung. Die Fragebogen, die wir mit Kunden ausfüllen, fragen praktisch immer nach Mehrfachauthentifizierung, oft ausdrücklich für externe Zugriffe und Administratorkonten. Wer hier Nein ankreuzt, zahlt mehr oder bekommt gar keine Deckung. Wer Ja ankreuzt, ohne dass es stimmt, hat im Schadenfall ein grösseres Problem als die Prämie. Auch diese Frage beantwortet am Ende deine Anmeldekonfiguration, nicht dein Tool-Regal.
Warum es trotzdem ausgeschaltet bleibt
Wenn die Funktion bezahlt und wirksam ist, warum läuft sie dann so oft nicht?
Die Antwort hat nichts mit Technik zu tun. Conditional Access ist kein Installationsproblem, sondern eine Reihe von Entscheidungen: Wer darf von wo auf was zugreifen, und unter welchen Bedingungen? Diese Fragen kann kein Produkt beantworten. Es braucht jemanden, der das Geschäft kennt, die Ausnahmen kennt und den Mut hat, eine Regel scharf zu stellen.
Ein Beispiel für so eine Entscheidung: Sollen sich Mitarbeitende aus dem Ausland anmelden dürfen? Die reflexhafte Antwort ist "natürlich, wir haben doch Leute unterwegs". Die brauchbare Antwort ist genauer: Wer reist überhaupt geschäftlich, wohin, und braucht dabei mehr als Mail und Teams? In vielen KMU ist die Liste kurz. Dann lässt sich der Rest der Welt für den Rest der Firma einschränken, ohne dass es jemand im Alltag spürt. Solche Entscheidungen stehen in keinem Handbuch, weil sie von deinem Geschäft abhängen. Genau deshalb bleiben sie liegen.
Und genau da klemmt es in KMU regelmässig an zwei Stellen.
Erstens: Niemand ist zuständig. Der IT-Dienstleister betreibt, was bestellt wurde. Bestellt hat die Anmelderegeln nie jemand, also existieren sie nicht. Das ist kein Versagen des Dienstleisters, sondern eine Lücke im Auftrag. Wie du solche Sicherheitsaufgaben ohne eigenes Security-Team organisierst, führt direkt zur Zuständigkeitsfrage, die wir im Security Management für unsere Kunden übernehmen: definieren, was gelten soll, und dafür sorgen, dass es jemand betreibt.
Zweitens: die Angst, sich selbst auszusperren. Sie ist berechtigt, eine falsch gebaute Regel kann am Montagmorgen die halbe Firma vom Postfach trennen. Nur ist dieses Risiko seit Jahren adressiert. Conditional Access hat einen Report-only-Modus: Die Regel läuft mit, protokolliert bei jeder Anmeldung, was sie entschieden hätte, und setzt nichts davon durch. Du siehst schwarz auf weiss, wen eine Regel treffen würde, bevor sie jemanden trifft. Wer dazu ein Notfallkonto ausserhalb aller Regeln vorhält, hat die beiden klassischen Einwände entschärft.
Übrig bleibt der unbequeme Rest: Jemand muss die Entscheidungen treffen und den Zustand pflegen. Regeln veralten, Ausnahmen sammeln sich an, neue Anwendungen kommen dazu, und die Ausnahme für den einen Lieferanten von 2024 gehört irgendwann wieder raus. Das ist Betriebsarbeit, unspektakulär und dauerhaft. Genau die Sorte Arbeit, die in keinem Verkaufsprospekt steht und deshalb chronisch unterschätzt wird. Beim M365 Copilot haben wir dasselbe Muster gesehen: Das Risiko sass nicht im Produkt. Es sass in den Berechtigungen drumherum, die niemand aufgeräumt hatte.
Der Blick in die eigene Lizenz zuerst
Falls du nach diesem Text nur eines tust: Frag deinen IT-Verantwortlichen oder Dienstleister, welche Conditional-Access-Regeln in eurem Microsoft-365-Mandanten aktiv sind. Die Antwort ist aufschlussreich, egal wie sie ausfällt. "Keine" ist ein klarer Arbeitsauftrag. "Diese hier" ist ein guter Anlass zu prüfen, ob die Regeln noch zu eurem heutigen Arbeiten passen. Ein Zögern bei der Antwort sagt dir am meisten.
Wenn du die Antwort einordnen willst, reichen drei Prüfpunkte für den Anfang. Verlangt euer Mandant von allen eine zweite Bestätigung, mindestens ausserhalb der gewohnten Umgebung? Sind die veralteten Anmeldeprotokolle blockiert, die eine zweite Bestätigung gar nicht können? Und gelten für Administratorkonten strengere Regeln als für alle anderen? Drei Mal Ja ist eine solide Basis, auf der sich aufbauen lässt. Alles darunter heisst: Ihr bezahlt für Schutz, den ihr nicht bekommt.
Teuer ist daran nichts. Die Lizenz läuft, der Report-only-Modus nimmt das Aussperr-Risiko, und die ersten Basisregeln sind überschaubar. Was es braucht, ist ein Verantwortlicher und ein paar bewusste Entscheidungen. Das ist weniger, als die meisten Sicherheitsprojekte kosten, und bewirkt mehr als manches davon.
Wenn du nicht sicher bist, wo euer Mandant steht, oder die Entscheidungen nicht allein treffen willst, schauen wir gern gemeinsam drauf. Ein Erstgespräch ist unverbindlich, und danach weisst du, ob ihr eine Lücke habt oder nur eine unbeantwortete Frage.
Und eine Frage nehmen wir aus jedem dieser Gespräche mit: Wie viele der Anmeldungen, die heute bei euch durchgehen, würdest du morgen noch durchlassen, wenn du sie alle sehen könntest?
