Conditional Access: Warum jede Anmeldung gleich viel wert ist, wenn keine Regel dazwischensteht
Ein gestohlenes Passwort ist ohne Mehr-Faktor-Anmeldung sofort ein gültiges Login. Ohne Conditional Access ist es dazu noch ein Login, das von überall auf der Welt funktioniert, zu jeder Uhrzeit, von jedem Gerät.
Alle Signale passen. Der Zugriff wird ohne Reibung erlaubt.
Was ist Conditional Access?
Conditional Access ist ein Regelwerk in Microsoft 365, das bei jeder Anmeldung prüft, unter welchen Bedingungen der Zugriff erlaubt ist: von welchem Ort, mit welchem Gerät, mit welchem Nachweis. Ein Login, der nicht zu den Regeln passt, wird blockiert oder muss sich zusätzlich ausweisen.
Das Muster, das ich immer wieder sehe
Mehr-Faktor-Anmeldung ist eingerichtet, aber nur für die Geschäftsführung oder gar nicht erzwungen. Jedes ungeschützte Konto reicht als Einstieg. Ohne weitere Regeln ist ein erfolgreicher Login von überall gleich viel wert, egal ob er aus dem Büro oder aus einem fremden Land kommt.
Regeln statt Gleichbehandlung
Conditional Access bewertet jede Anmeldung einzeln: Standort, Gerätezustand, Risikostufe. Heißt: Eine Anmeldung aus dem Büro-Netz braucht weniger Nachweis als eine Anmeldung um drei Uhr nachts aus einem Land, in dem niemand aus der Firma je war.
Warum MFA allein nicht reicht
Alte Anmeldeprotokolle wie IMAP oder POP umgehen die Mehr-Faktor-Anmeldung komplett. Heißt: Solange sie offen sind, hilft die beste MFA nur zur Hälfte. Conditional Access schließt genau diese Nebentüren mit.
Wie ich das umsetze
Mehr-Faktor-Anmeldung für jedes Konto, nicht nur für die Geschäftsführung. Ein einziges ungeschütztes Konto reicht sonst als Einstieg.
Standort, Gerät und Anmeldeverhalten fließen in jede Zugriffsentscheidung ein, automatisch, ohne dass jemand manuell eingreifen muss.
ZU MICROSOFT 365Windows Hello und FIDO2-Schlüssel machen das gestohlene Passwort irgendwann überflüssig, statt es nur besser abzusichern.
Fragen zu Conditional Access
Erst der Befund, dann die Regel.
Neun von zehn Angriffen starten per E-Mail. Ein gekapertes Konto bricht keine Regel, es meldet sich einfach an. Der Außencheck ist der erste Schritt: Ich prüfe von außen, ob sich Ihre Domain fälschen lässt und welche Systeme erreichbar sind.
KOSTENLOS · OHNE ZUGRIFF AUFS NETZ · NUR ÖFFENTLICH SICHTBARES