Mehrstufige Authentifizierung und bedingter Zugriff

Gestohlene Anmeldeinformationen sind die häufigste Ursache für Sicherheitsverletzungen in der Cloud. Ein Kennwort allein kann durch Phishing erbeutet, per Brute-Force-Angriff erraten oder durch einen Angriff auf einen Drittanbieter offengelegt werden. Die Multi-Faktor-Authentifizierung (MFA) verlangt einen zweiten Überprüfungsfaktor, über den ein Angreifer selbst nach Kenntnis des Kennworts wahrscheinlich nicht verfügt — dadurch wird das Risiko eines unbefugten Zugriffs auf Ihre Azure-Umgebung erheblich reduziert.

Entra ID unterstützt mehrere MFA-Überprüfungsfaktoren. Die sicherste und empfohlene Option ist die Microsoft Authenticator-App, die Nummernabgleich und Pushbenachrichtigungen bietet. Weitere Optionen sind ein FIDO2-Sicherheitsschlüssel (Hardwaretoken), ein Software-OATH-Token, eine SMS oder ein Sprachanruf. SMS und Sprachanrufe gelten als weniger sicher und sollten nur als Ausweichoptionen verwendet werden.

MFA in Entra ID kann über drei Mechanismen erzwungen werden. Sicherheitsstandards sind die kostenlose Option mit nur einem Klick, die MFA für alle Benutzer erzwingt, jedoch keine Anpassungen ermöglicht. MFA pro Benutzer (Legacy) aktiviert MFA für bestimmte Benutzerkonten. Der empfohlene moderne Ansatz sind Richtlinien für bedingten Zugriff (Entra ID P1/P2), die MFA nur dann erzwingen, wenn festgelegte Risikobedingungen erfüllt sind. Dadurch wird die Beeinträchtigung für Benutzer bei Anmeldungen mit geringem Risiko reduziert.

Bedingter Zugriff (Entra ID P1) ist eine Richtlinien-Engine nach dem Wenn-dann-Prinzip: wenn ein Benutzer (oder eine Gruppe) unter bestimmten Bedingungen versucht, auf eine Ressource zuzugreifen, dann wird der Zugriff gewährt, blockiert oder es werden zusätzliche Kontrollen wie MFA oder ein konformes Gerät verlangt. Zu den Bedingungen können die Benutzeridentität, die Gerätekonformität, der IP-Standort, die aufgerufene Anwendung und die Risikobewertung von Entra ID Identity Protection gehören.

Eine Richtlinie für bedingten Zugriff besteht aus zwei Teilen: Zuweisungen (für wen und worauf die Richtlinie angewendet wird) und Zugriffssteuerungen (was geschieht, wenn die Richtlinie ausgelöst wird). Die Zuweisungen legen die Benutzer/Gruppen, die aufgerufenen Cloud-Apps und die Bedingungen (Standort, Geräteplattform, Anmelderisiko) fest. Die Zugriffssteuerungen bestimmen, ob der Zugriff gewährt wird (optional mit MFA, konformem Gerät oder genehmigter App) oder vollständig blockiert wird.

Mit benannten Standorten im bedingten Zugriff können Sie vertrauenswürdige IP-Adressbereiche (z. B. das Netzwerk Ihres Unternehmensstandorts) oder Länder definieren. Ein häufig verwendetes Richtlinienmuster lautet: MFA ist erforderlich, wenn sich ein Benutzer außerhalb eines vertrauenswürdigen benannten Standorts anmeldet, während die Anmeldung von einer bekannten Büro-IP-Adresse ohne zusätzliche Eingabe zugelassen wird. Dadurch werden Beschäftigte vor Ort weniger beeinträchtigt, während die Sicherheit für Benutzer im Homeoffice oder auf Reisen erhöht wird.

Der bedingte Zugriff kann verlangen, dass das zugreifende Gerät konform ist (die Richtlinien zur Gerätekonformität von Intune erfüllt) oder dass es sich um ein hybrid Azure AD joined-Unternehmensgerät handelt. Dadurch wird sichergestellt, dass Anmeldungen von privaten oder nicht verwalteten Geräten blockiert werden oder zusätzliche Kontrollen erfüllen müssen, selbst wenn die Anmeldedaten gültig sind. Gerätebasierte Kontrollen sind eine zentrale Säule eines Zero-Trust-Sicherheitsmodells.

Entra ID Identity Protection (P2) verwendet maschinelles Lernen, um jede Anmeldung zu bewerten und ihr eine Risikobewertung zuzuweisen: niedrig, mittel oder hoch. Zu den Risikofaktoren gehören unmögliche Reisen (Anmeldung aus zwei Ländern innerhalb weniger Minuten), anonyme IP-Adressen, kompromittierte Anmeldedaten und die Erkennung von Password Spraying. Richtlinien für bedingten Zugriff können anhand der Risikostufe ausgelöst werden – beispielsweise kann bei mittlerem Risiko MFA verlangt und der Zugriff bei hohem Risiko automatisch blockiert werden.

Bevor Sie eine Richtlinie für bedingten Zugriff erzwingen, können Sie sie in den Modus Nur Bericht setzen. In diesem Modus wird die Richtlinie auf alle Anmeldungen angewendet und protokolliert, was geschehen wäre (Zugriff gewährt, blockiert oder MFA erforderlich), ohne die Kontrollen tatsächlich durchzusetzen. So können Sie die Auswirkungen der Richtlinie auf Ihre Benutzer überprüfen, bevor Sie sie aktivieren, und unerwartete Kontosperrungen aufgrund zu weit oder falsch gefasster Bedingungen verhindern.

Mit dem What If-Tool im Bereich für bedingten Zugriff können Sie ein Anmeldeszenario simulieren – einschließlich Benutzer, Anwendung, IP-Adresse, Geräteplattform und Risikostufe – und sehen, welche Richtlinien angewendet würden und wie das kombinierte Ergebnis ausfiele. Das ist äußerst hilfreich bei der Behebung von Zugriffsproblemen und bei der Überprüfung, ob Ihre Richtlinienkombination für bestimmte Benutzer und Bedingungen das erwartete Ergebnis liefert.

Jede Organisation sollte mindestens zwei Notfallzugriffskonten für den Notfall unterhalten, die von allen Richtlinien für bedingten Zugriff einschließlich der MFA-Anforderungen ausgenommen sind. Diese Konten werden nur verwendet, wenn die MFA-Infrastruktur ausfällt oder alle Administratoren ausgesperrt sind. Die Anmeldedaten für den Notfallzugriff sollten in einem physischen Safe aufbewahrt werden, lange zufällige Kennwörter verwenden, für die keine MFA registriert ist, und bei jeder Nutzung besonders gründlich überprüft werden.

Testen Sie Ihr Verständnis der Konzepte aus dieser Lektion zu Microsoft Azure Fundamentals (AZ-900).

In dieser Lektion haben Sie gelernt: MFA erfordert einen zweiten Faktor zusätzlich zu einem Kennwort und verringert dadurch das Risiko eines Diebstahls von Anmeldedaten erheblich, Richtlinien für bedingten Zugriff wenden abhängig von Benutzer-, App-, Standort- und Risikobedingungen Steuerungen zum Gewähren oder Blockieren des Zugriffs an und Identity Protection verwendet risikobasierte Bewertungen auf Grundlage maschinellen Lernens, um automatische Zugriffssteuerungen auszulösen. Als Nächstes sehen wir uns Single Sign-On und externe Identitäten in Entra ID an.