Conditional Access
MFA, Geräten vertrauen und risikobasierte Zugriffskontrolle — strukturiert, schrittweise, dokumentiert. Die Zugriffsgrundlage, die jeder Microsoft 365 Tenant braucht.
Every User, Every Device, Everywhere — and Nothing Stops Them
Passwords alone are no longer a control. One phished credential gives an attacker the same reach as your CFO. Security Defaults close the worst gaps, but they are a blunt instrument — all or nothing, no exceptions, no device trust, no risk scoring.
This is not a failure of your IT team. Conditional Access has 40+ settings per policy, interacts with licenses, device compliance, and legacy protocols. Without a structured rollout, the first enforced policy locks out the CEO or breaks the MFP on floor 3.
Traditional consulting for a CA project? Two months, five figures. The consultant leaves. Your team is back where it started the next time a policy needs to change.
AKTIVITÄTEN IM DETAIL
LIEFERUMFANG
Spezifische Anforderungen sammeln: Benutzergruppen, Anwendungsfälle, Gerätemanagementstatus, Bereitschaft der Authenticator-App
Empfohlene Conditional Access-Richtlinien je Benutzersegment definieren: Administratoren, Wissensarbeiter, Dienstkonten, externe Gäste
Implementierung skizzieren und für jede Rollout-Phase PowerShell-Skripts bereitstellen: Nur-Bericht, Bewertung und Feinabstimmung, Pilotgruppe, Go-Live
Zwei Break-Glass-Konten erstellen und validieren — von jeder Richtlinie ausgeschlossen, mit versiegelten Anmeldeinformationen
MFA-Registrierungsrichtlinie und kombinierte Registrierung (MFA + SSPR) 1–2 Wochen vor der Durchsetzung konfigurieren
Legacy-Authentifizierung blockieren (IMAP, POP3, SMTP-Basisauthentifizierung) — die von Microsoft am meisten empfohlene Richtlinie
Baseline-Richtlinien erstellen: MFA für Administratoren, MFA für alle Benutzer, Anmeldungen mit hohem Risiko blockieren (Entra ID P2)
Maßnahmen des Änderungsmanagements definieren: Informationsmaterial für Endbenutzer, Anleitungen, Briefing für den Helpdesk
Ein Azure-Abonnement für erweiterte und langfristige Conditional Access-Anmeldeanalyse implementieren (90 Tage Protokolle über Log Analytics)
Gestaffelter Go-Live, gesteuert durch die Skripts: eine Richtlinie nach der anderen, beginnend mit der am wenigsten wirkungsvollen
Nächste Schritte nach Conditional Access
Ein sauber konfigurierter Tenant ist die Grundlage. Diese Blueprints bauen direkt darauf auf.
