Conditional Access folgt immer einem dreistufigen Ablauf aus:
Signalerfassung
Entscheidung
Resultierender Maßnahme
Bei einer neuen Anmeldung sammelt das System zunächst Informationen über den Anmeldevorgang (Signalerfassung). Diese Informationen bewertet es auf Basis der Sicherheitsregeln (Entscheidung). Abschließend führt das System eine von mehreren Maßnahmen aus. Beispielsweise erlaubt oder verweigert es den Zugriff auf eine Ressource oder fordert eine zusätzliche Absicherung mittels Zwei-Faktor-Authentifizierung.
Zusätzlich prüft Microsoft Entra bei jeder Anmeldung die folgenden Signale.
Status und Zugriffshistorie des:der Anwender:in
Microsoft Entra führt sogenannte Aktivitätsprotokolle. Dazu gehören spezielle Anmeldeprotokolle. Sie erfassen:
Wie viele Benutzer:innen sich innerhalb eines bestimmten Zeitraums bei einer Applikation angemeldet haben
Wie viele Anmeldeversuche davon fehlschlugen
Welche Browser und Betriebssysteme dabei verwendet wurden
Je nach Lizenzmodell speichert Microsoft Entra ID diese Aktivitätsprotokolle zwischen 7 und 30 Tage lang. Das System zieht sie bei jeder neuen Anmeldung heran, um ungewöhnliche oder verdächtige Zugriffe zu identifizieren.
Microsoft Entra berücksichtigt bei Zugriffen außerdem die Benutzer- und Gruppenidentitäten. Es unterscheidet hierbei zwischen unterschiedlichen Kontentypen wie Mitarbeitenden, Gastnutzer:innen und Administrator:innen.
IP-Adresse, von der die Anmeldung erfolgt
Als Administrator:in können Sie in Microsoft Entra festlegen, aus welchen IP-Adressbereichen auf Ihr Firmennetz oder bestimmte Inhalte zugegriffen werden darf. Sie können umgekehrt auch definieren, welche IP-Adressbereiche generell nicht auf Ihre Inhalte zugreifen dürfen. Man spricht hierbei auch vom Whitelisting (auf eine „weiße Liste“ setzen = generelles Erlauben) beziehungsweise Blacklisting (auf eine „schwarze Liste“ setzen = generelles Verbieten).
Region, aus der die Anmeldung erfolgt
Genau wie bei den IP-Adressbereichen können Sie auch für bestimmte Länder oder Ländergruppen Zugriffsrechte vergeben beziehungsweise bestimmte Weltregionen generell sperren. Microsoft spricht hierbei von sogenannten Trusted Locations (vertrauenswürdigen Regionen).
Bestimmte Eigenschaften des Geräts, über das die Anmeldung läuft
Microsoft Entra fragt bestimmte Informationen über das Endgerät ab, das für einen Zugriffsversuch genutzt wird. Dazu gehört etwa das installierte Betriebssystem.
Außerdem prüft Entra, ob das Gerät über Microsofts cloudbasierte Endpunktverwaltung Intune verwaltet und abgesichert wird oder nicht. Ein so verwaltetes Gerät erfüllt eher die Sicherheitsanforderungen von Microsoft Entra. Mit Intune können Unternehmen auch definieren, welche Inhalte über BYOD-Geräte (Bring Your Own Device) eingesehen und bearbeitet werden können. Besonders verdächtige Geräte erhalten unter Microsoft Entra den Status „nicht konform“. Gründe hierfür können sein:
Fehlende Updates für bestimmte Applikationen oder ein generell veraltetes Betriebssystem
Deaktivierte beziehungsweise fehlende Geräteverschlüsselung
Erkannte tiefgehende Eingriffe in das Betriebssystem des Geräts (sogenannte Jailbreaks und verdächtige Root-Konfigurationen für Superuser)
Nicht installierte Unternehmensportal-App (Intune Company Portal)
Daneben gibt es weitere Signale, die Conditional Access von Microsoft Entra überprüfen kann, z.B. die Tageszeit, zu der eine Anmeldung erfolgt.
