Identität als neuer Perimeter: Conditional Access

Im Zero-Trust-Modell ist die Identität der neue Perimeter. Da Benutzer von überall auf Ressourcen zugreifen – von zu Hause, aus Cafés oder über mobile Geräte –, ist die Netzwerkgrenze als Vertrauensanker bedeutungslos. Stattdessen wird jede Zugriffsentscheidung auf Grundlage von wer den Zugriff anfordert, von welchem Gerät aus und unter welchen Bedingungen getroffen. Der Identity Provider fungiert als Gatekeeper, nicht die Firewall.

Conditional Access ist eine Richtlinien-Engine, die den Zugriff auf Grundlage von Signalen gewährt oder einschränkt, die zum Zeitpunkt der Authentifizierung ausgewertet werden. Statt lediglich Benutzername und Passwort zu überprüfen, wertet der bedingte Zugriff Bedingungen aus: Ist das Gerät konform? Ist der Standort bekannt? Ist das Anmelderisiko erhöht? Wurde MFA erfolgreich durchgeführt? Erst wenn die Bedingungen erfüllt sind, stellt die Richtlinien-Engine ein Zugriffstoken aus. Sind die Bedingungen nicht erfüllt, wird der Zugriff verweigert oder eine zusätzliche Überprüfung ausgelöst.

Richtlinien für bedingten Zugriff werten mehrere Signalkategorien gleichzeitig aus. Benutzer-/Gruppensignale identifizieren, wer den Zugriff anfordert (Administrator, Gast, Auftragnehmer). Gerätesignale überprüfen den Konformitätsstatus aus dem MDM. Anwendungssignale identifizieren, auf welche App zugegriffen wird (hohe oder niedrige Sensibilität). Standortsignale vergleichen die IP-Adresse mit benannten Standorten und vertrauenswürdigen Ländern. Anmelderisikosignale aus der Threat Intelligence weisen auf verdächtige Anmeldemuster hin.

Eine Conditional-Access-Richtlinie führt zu einem von mehreren Ergebnissen. Grant gewährt den Zugriff, möglicherweise mit Anforderungen wie MFA oder Gerätekonformität. Block verweigert den Zugriff vollständig – beispielsweise, indem jeglicher Zugriff aus Ländern mit hohem Risiko blockiert wird. Sitzungssteuerungen können festlegen, was Benutzer nach der Zugriffsgewährung tun dürfen: eine erneute Authentifizierung nach einer Zeitüberschreitung verlangen, Downloads blockieren oder in Cloudanwendungen den schreibgeschützten Modus erzwingen.

Risikobasierter Conditional Access integriert Threat Intelligence in Echtzeit in die Zugriffsentscheidung. Identity Provider wie Azure AD Identity Protection weisen Anmeldungen anhand von Signalen wie unmöglichen Reisebewegungen (Anmeldung aus zwei Ländern innerhalb weniger Minuten), der Verwendung bekannter bösartiger IP-Adressen, Datenbanken mit offengelegten Anmeldedaten und anomalen Verhaltensmustern Risikowerte zu. Anmeldungen mit hohem Risiko können automatisch blockiert werden oder eine erneute Identitätsüberprüfung erfordern.

Conditional Access kann Gerätekonformität als Voraussetzung für den Zugriff auf sensible Ressourcen verlangen. Ein konformes Gerät ist in MDM (Intune, Jamf) registriert, verwendet eine unterstützte Betriebssystemversion, hat aktivierte Festplattenverschlüsselung und weist keine bekannten, von EDR gemeldeten Schwachstellen auf. Nicht verwaltete oder nicht konforme Geräte werden zu einem Registrierungsportal umgeleitet, anstatt Zugriff zu erhalten – selbst wenn die Benutzeranmeldedaten gültig sind.

Benannte Standorte in Conditional Access definieren vertrauenswürdige IP-Bereiche – etwa Büro-IP-Adressen, Netzwerke von Niederlassungen oder VPN-Ausgangsknoten. Richtlinien können für jeden Zugriff außerhalb benannter Standorte eine zusätzliche Authentifizierung (MFA) verlangen oder den Zugriff aus bestimmten Ländern oder über anonyme Proxy-Netzwerke vollständig blockieren. Dadurch wird die Identitätsüberprüfung um eine Standortebene ergänzt, ohne zum Denken in IP-basierten Perimetern zurückzukehren.

Herkömmliche Zugriffstoken sind während ihrer gesamten Gültigkeitsdauer (oft eine Stunde) gültig, unabhängig davon, was nach ihrer Ausstellung mit dem Benutzerkonto geschieht. Continuous Access Evaluation (CAE) ermöglicht es dem Ressourcenanbieter, Token nahezu in Echtzeit zu widerrufen, wenn kritische Ereignisse eintreten – etwa wenn ein Konto deaktiviert oder ein Passwort geändert wird oder ein Benutzer als riskant eingestuft wird. Die Anwendung überprüft die Gültigkeit des Tokens während der Sitzung und nicht nur bei der Anmeldung. So wird die Lücke geschlossen, durch die kompromittierte Token weiterhin gültig bleiben.

Organisationen müssen Partnern und Auftragnehmern häufig Zugriff gewähren, ohne interne Konten anzulegen. Verbundidentität ermöglicht es einem externen Identity Provider (Azure AD des Partners, Google Workspace), Benutzer zu authentifizieren und verifizierte Identitäts-Claims zu übermitteln. Richtlinien für bedingten Zugriff können auf Verbundbenutzer angewendet werden – etwa durch die Anforderung von MFA, die Einschränkung von Gerätetypen oder die Begrenzung der Anwendungen, auf die sie zugreifen dürfen. So bleibt die Kontrolle erhalten, ohne ihre Konten direkt verwalten zu müssen.

Über das Gewähren oder Blockieren des Zugriffs hinaus kann Conditional Access Steuerungen auf Sitzungsebene erzwingen. Für Cloud-Apps, die in Microsoft Defender for Cloud Apps oder ähnliche CASB-Lösungen (Cloud Access Security Broker) integriert sind, können Richtlinien Folgendes einschränken: Dateidownloads auf nicht verwalteten Geräten blockieren, nach 8 Stunden Inaktivität eine erneute Authentifizierung verlangen, beim Zugriff auf sensible Daten Warnungen anzeigen oder das Kopieren und Einfügen vertraulicher Inhalte außerhalb der Unternehmensumgebung verhindern.

Die Implementierung der Identität als Perimeter erfordert die Integration mehrerer Technologien: einen Identity Provider (IdP), der moderne Protokolle (SAML, OIDC) unterstützt, eine MDM/EMM-Lösung für Daten zur Gerätekonformität, eine Conditional-Access-Richtlinien-Engine und Multi-Faktor-Authentifizierung als Mindeststandard. Ziel ist es, sicherzustellen, dass unabhängig vom Netzwerkstandort kein Zugriff ohne verifizierte Identität und verifizierten Gerätezustand erfolgt – dadurch entfällt das Konzept eines vertrauenswürdigen internen Netzwerks.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Identität ersetzt den Netzwerkperimeter als primären Vertrauensanker im Zero-Trust-Modell, Conditional Access wertet mehrere Signale aus (Benutzer, Gerät, Standort, Risiko), bevor Zugriff gewährt wird, und Sitzungssteuerungen sowie Continuous Access Evaluation gewährleisten die Sicherheit während der gesamten Zugriffssitzung und nicht nur bei der Anmeldung. Als Nächstes untersuchen wir das Zero Trust Maturity Model zur Planung der unternehmensweiten Einführung.