Conditional Access einfach erklärt: die Tür, die nur bekannte Geräte öffnet
MFA allein hält Angreifer nicht mehr draußen. Conditional Access prüft bei jeder Anmeldung Gerät, Ort und Konto — und öffnet erst dann.
Mikail Sünger5 Min.13 BildschirmeVier Regeln entscheiden, wer an Ihre Mails und Dateien kommt: wer sich anmeldet, von wo, mit welchem Gerät und mit welchem Anmeldeverfahren.
Ein Anruf, und der Code war weg.
Ein Metallbaubetrieb am Niederrhein, 24 Arbeitsplätze, alles in Microsoft 365. Die Zwei-Faktor-Anmeldung ist eingerichtet, jeder bestätigt seine Anmeldung in der App. Der Geschäftsführer hält das Thema für erledigt.
Dann ruft bei der Buchhaltung jemand an: „IT-Support, wir prüfen gerade Ihr Postfach, bitte nennen Sie mir die sechs Ziffern aus der App.“ Die Kollegin nennt sie. Zwei Minuten später laufen aus einem fremden Rechenzentrum Weiterleitungsregeln in das Postfach, die jede Rechnung an eine zweite Adresse schicken. Das Passwort war richtig, der Code war richtig — nur das Gerät und der Ort waren es nicht. Genau das hätte eine Regel bemerkt.
Was hinter dem englischen Namen steckt.
Tippen Sie auf eine Karte, um die Antwort zu sehen.
Zweiter Faktor allein, oder Regel dazu.
- ✗Der Code lässt sich am Telefon erfragen oder über eine gefälschte Anmeldeseite abfangen
- ✗Jeder private Rechner darf an Firmendaten, solange Passwort und Code stimmen
- ✗Alte Anmeldeverfahren ohne zweiten Faktor bleiben offen
- ✗Ein abgefangenes Anmeldeticket gilt weiter, bis es abläuft
- ✓Firmendaten nur von Geräten, die Ihr Betrieb verwaltet
- ✓Anmeldungen aus Ländern ohne Geschäftsbetrieb werden abgewiesen
- ✓Alte Anmeldeverfahren sind pauschal blockiert
- ✓Admin-Zugänge bestätigen jede Anmeldung neu, ohne Ausnahme
Vier Fragen bei jeder Anmeldung.
Jede Anmeldung an Microsoft 365 liefert Signale: Welches Konto ist es, aus welchem Netz kommt es, auf welchem Gerät, und für welche Anwendung. Conditional Access vergleicht diese Signale mit Ihren Regeln und entscheidet: durchlassen, zweiten Faktor verlangen oder abweisen.
Das klingt technisch, ist im Alltag aber unauffällig. Wer morgens am Firmenlaptop im Büro arbeitet, merkt nichts. Wer sich abends vom privaten Tablet aus einem Hotel anmeldet, wird nach dem zweiten Faktor gefragt oder bekommt keinen Zugriff auf die Dateien. Der Leitfaden zur MFA-Einführung ist die Stufe davor: erst der zweite Faktor, dann die Regeln darum herum.
Fünf Regeln, mit denen wir starten.
- 1MFA für alle, ohne AusnahmeJeder Zugriff auf Firmendaten verlangt einen zweiten Faktor. Keine Sonderrolle für Geschäftsführung oder Buchhaltung.
- 2Nur verwaltete Geräte an die DatenMails und Dateien werden nur auf Geräte synchronisiert, die Ihr Betrieb kennt und verschlüsselt hat.
- 3Alte Anmeldeverfahren blockierenVerfahren, die keinen zweiten Faktor können, werden abgewiesen. Betroffen sind meist nur sehr alte Mailprogramme.
- 4Nicht genutzte Länder sperrenIhr Betrieb arbeitet in Duisburg, im Ruhrgebiet und beim Kunden. Anmeldungen von anderen Kontinenten brauchen Sie nicht.
- 5Zwei Notfallkonten ausnehmenDamit eine falsche Regel Sie nicht aus Ihrem eigenen Mandanten aussperrt. Die Passwörter liegen im Safe, nicht im Postfach.
Der Aufpreis für die Tür.
24 Arbeitsplätze, Lizenzkosten im Vergleich.
Vier Wochen bis zur scharfen Regel.
So gehen wir in einem Betrieb mit 20 bis 30 Arbeitsplätzen vor.
- W2Beobachtung startet
- W4Scharfschaltung
Sieben Fragen an Ihre Anmeldung.
Jedes Nein zeigt Ihnen, wo Sie anfangen.
Tippen Sie an, was Sie schon haben. Bleibt in Ihrem Browser gespeichert.
Eine Tür, die jeden durchlässt, der den Schlüssel kennt, ist keine Tür.
— Mikail Sünger, Geschäftsführer Nomad Solutions
Das Wichtigste in Kürze
- ✓Conditional Access prüft bei jeder Anmeldung Konto, Ort, Gerät und Anwendung.
- ✓Ein zweiter Faktor allein lässt sich erfragen oder abfangen.
- ✓Vier Regeln plus zwei Notfallkonten decken den Alltag eines KMU ab.
- ✓Die Funktion steckt in Microsoft 365 Business Premium, ab 22,90 € pro Nutzer und Monat bei uns.
- ✓Jede Regel läuft erst im Nur-Bericht-Modus, dann scharf.
Weiterlesen: Microsoft 365 Business Premium · MFA im Unternehmen einführen
Wir sehen uns Ihre Anmeldungen an. 30 Minuten, kostenlos.
Wir prüfen, welche Regeln in Ihrem Mandanten greifen und welche fehlen, und sagen Ihnen, was zuerst dran ist. Ob eine einmalige Maßnahme förderfähig ist, prüfen wir mit — bis zu 50 % sind möglich, abhängig von Prüfung und Bewilligung.
Mehr dazu: IT-Sicherheit Duisburg
Drei Angaben, dann Ihre Kontaktdaten. Antwort werktags innerhalb von 24 Stunden — mit Einschätzung, ob Ihr Vorhaben förderfähig ist.
Lieber anrufen? +49 2065 8296939