Conditional Access.Vorlagen für jeden Mandanten,ohne sich auszusperren.
Richtlinien für bedingten Zugriff sind der wichtigste Schutz in Entra ID und zugleich der riskanteste Schalter. Conbool 365 Tenant Manager rollt sie als Vorlage aus, zuerst im Berichtsmodus, wirksam erst nach Auswertung der Anmeldungen und mit geprüften Notfallkonten.
Warum Conditional Access so oft halb fertig bleibt
Die Richtlinien sind schnell geschrieben. Das Risiko liegt im Einschalten.
Eine Richtlinie kann alle aussperren
Ein falscher Haken bei Benutzern oder Anwendungen, und niemand meldet sich mehr an, auch kein Administrator. Ohne Notfallkonto hilft dann nur noch der Microsoft-Support.
Dienstkonten fallen erst später auf
Nicht interaktive Anmeldungen von Diensten und Geräten scheitern leise. Wer nur die interaktiven Anmeldungen ansieht, merkt es erst, wenn etwas nicht mehr läuft.
Security Defaults stehen im Weg
Eigene Richtlinien und Security Defaults schließen einander aus. Wer die Security Defaults zu früh abschaltet, lässt den Mandanten ohne MFA.
Jeder Mandant hat seinen eigenen Stand
Bei vielen Kunden entstehen viele Fassungen derselben Richtlinie, jede ein wenig anders, keine dokumentiert.
So kommt Conditional Access sicher in den Mandanten
Drei Stufen, jede mit eigener Prüfung.
1. Vorlage mit Notfallkonten
Jede Richtlinie der Vorlage nimmt die Notfallkonten des Mandanten aus, als Platzhalter, den jeder Mandant selbst füllt. Eine sperrende Richtlinie ohne diese Ausnahme lässt sich nicht freigeben.
2. Ausrollen im Berichtsmodus
Nach Trockenlauf und Freigabe stehen die Richtlinien im Berichtsmodus. Sie werten jede Anmeldung aus und sperren noch niemanden.
3. Scharfschalten nach Auswertung
Je Richtlinie steht, wie viele Anmeldungen abgelehnt worden wären, interaktiv und nicht interaktiv. Erst danach werden die Richtlinien wirksam und die Security Defaults gehen aus.
Die Conditional-Access-Vorlagen der Bibliothek
Vier Richtlinien, mit denen fast jeder Mandant beginnen sollte, dazu die Prüfungen rundherum.
MFA für alle Benutzer
Ein zweiter Faktor für jede Anmeldung. Ausgenommen sind die Notfallkonten und das Konto der Verzeichnissynchronisierung.
MFA für Administratoren
Eigens für Verwaltungsrollen, damit eine spätere Ausnahme an der Richtlinie für alle sie nicht mit ausnimmt.
MFA für die Azure-Verwaltung
Für jeden, der an Abonnements, Schlüsseln und Kosten arbeitet, gleich mit welcher Rolle.
Legacy-Authentifizierung blockieren
Exchange ActiveSync mit Kennwort und andere Clients ohne moderne Anmeldung werden gesperrt, damit sich MFA nicht umgehen lässt.
Notfallkonten geprüft
Tauglich ist ein Notfallkonto, das vorhanden, aktiv und Globaler Administrator ist und nicht aus einem lokalen Verzeichnis synchronisiert wird.
Abweichungen und Änderungen
Wird eine Richtlinie später geändert oder abgeschaltet, steht es im Verlauf mit dem Urheber, und eine Meldung geht hinaus.
Conditional Access mit Vorlage und von Hand
Dieselben Richtlinien, ein anderer Weg dorthin.
Conbool 365 Tenant Manager | Von Hand im Admin Center | |
|---|---|---|
| Viele Mandanten | Eine Vorlage, zugewiesen je Mandant | Jede Richtlinie in jedem Mandanten neu |
| Notfallkonten | Platzhalter je Mandant, Freigabe ohne Ausnahme gesperrt | Ausnahme muss jedes Mal von Hand gesetzt werden |
| Vor dem Schreiben | Trockenlauf mit jedem Vorgang | Direkt gespeichert |
| Berichtsmodus | Auswertung je Richtlinie, interaktiv und nicht interaktiv | Selbst in den Anmeldeprotokollen suchen |
| Security Defaults | Gehen im selben Lauf aus, der MFA wirksam macht | Von Hand im richtigen Moment abschalten |
| Spätere Änderungen | Abweichung je Feld, Meldung mit Urheber | Fallen erst auf, wenn etwas passiert |
Stand Oktober 2026. Die rechte Spalte beschreibt das übliche Vorgehen ohne Werkzeug, keinen einzelnen Anbieter.
FAQ zu Conditional Access
Was ist Conditional Access?
Welche Lizenz braucht Conditional Access?
Was ist der Berichtsmodus?
Welche Richtlinien sind Best Practice?
Warum braucht man ein Notfallkonto?
Heißt das noch Azure AD Conditional Access?
Bringt Microsoft nicht selbst Vorlagen mit?
Verwandte Lösungen
365 Tenant Manager
Sicherheitseinstellungen als Baseline festlegen und in jeden Mandanten ausrollen.
Microsoft 365 Security Baseline
Ein sicherer Stand für jeden Mandanten, mit Abgleich und Trockenlauf.
Microsoft-365-Sicherheitscheck
Mandanteneinstellungen und Freigaben in einem Bericht.
365 Governance
Wer in SharePoint, OneDrive und Teams worauf zugreift.
Entra ID Backup
Benutzer, Gruppen und Richtlinien des Verzeichnisses sichern.
Conditional Access, ohne sich auszusperren.
Vorlage, Berichtsmodus, Auswertung, dann wirksam.