Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / Conditional Access in Microsoft 365 erklärt: Signale, Basisrichtlinien, MFA und sicherer Rollout (KI-Synchronfassung)

Transcript

Conditional Access in Microsoft 365 erklärt: Signale, Basisrichtlinien, MFA und sicherer Rollout (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

• 0:00
  Sie setzen sich an Ihren Computer, geben Ihre E-Mail-Adresse und Ihr Passwort ein und drücken die Eingabetast.
• 0:04
  Es gibt eine kurze Pause, während das System entscheidet, ob Sie es wirklich sind.
• 0:07
  Die meisten Leute nehmen an, diese Pause sei nur eine Passwortprüfung.
• 0:10
  Wenn das Passwort übereinstimmt, sind Sie drin, oder?
• 0:12
  Tatsächlich nicht.
• 0:13
  Hinter den Kulissen passiert viel mehr, als Sie wahrscheinlich denken.
• 0:15
  Während Sie warten, führt Microsoft 365 im Hintergrund eine Reihe von Prüfungen durch.
• 0:19
  Welch wo Sie sind, welches Gerät Sie verwenden und ob die Anmeldung normal oder verdächtig erscheint.
• 0:23
  Und das alles geschieht, bevor Sie Zugang erhalten.
• 0:25
  Am Ende dieser Folge werden Sie verstehen, was bedingter Zugriff ist,
• 0:28
  wie er bei jeder Anmeldung funktioniert und warum er eine der wichtigsten Sicherheitskontrollen in Ihrem Microsoft 365-Tenant ist.
• 0:35
  Beginnen wir also mit der einfachsten Definition.
• 0:37
  Was ist bedingter Zugriff eigentlich?
• 0:39
  Hier ist die Definition in einfachen Worten.
• 0:41
  Bedingter Zugriff ist eine Richtlinien-Engine, die den Kontext prüft, bevor jemand hereingelassen wird.
• 0:45
  Sie schaut sich nicht nur Ihr Passwort an und sagt, das reicht.
• 0:48
  Stattdessen stellt Sie zusätzliche Fragen dazu, wer Sie sind und was bei Ihrer Anmeldung geschieht.
• 0:52
  Stellen Sie sich das wie ein Türsteher in einem Nachthupf.
• 0:54
  Sie zeigen Ihren Ausweis an der Tür, das entspricht Ihrem Benutzernamen und Passwort.
• 0:57
  Aber ein guter Türsteher wirft nicht nur einen Blick darauf und winkt Sie durch.
• 1:00
  Er prüft Ihren Namen auf der Gästeliste, sieht sich Ihre Kleidung an und erinnert sich vielleicht sogar, ob Sie früher schon einmal Ärger gemacht haben.
• 1:05
  Bedingter Zugriff macht genau das selten.
• 1:07
  Er prüft Ihre Identität anhand von Regeln, schaut, woher Sie kommen, überprüft Ihr Gerät und entscheidet, ob alles korrekt aussieht, bevor Sie hereinlässt.
• 1:13
  Nun ein wichtiger Punkt.
• 1:14
  Bedingter Zugriff läuft erst, nachdem Sie Ihr Passwort bereits eingegeben haben.
• 1:17
  Er ist kein Ersatz für die Multifaktor-Authentifizierung.
• 1:19
  Er ist eine zusätzliche Ebene obendrauf.
• 1:20
  Betrachten Sie es als den zweiten Kontrollpunkt, nachdem Sie Ihren Ausweis am Haupteingang dann gezeigt.
• 1:24
  Die Logik ist einfach Wenn-Dann.
• 1:25
  Wenn ein Benutzer versucht, auf eine Cloud-App zuzugreifen und bestimmte Bedingungen erfüllt, dann wird diese Regel erzwungen.
• 1:30
  Zum Beispiel, wenn jemand versucht, von außerhalb des Büros auf Outlook zuzugreifen, ist eine Multifaktor-Authentifizierung erforderlich.
• 1:36
  Das ist die grundlegende Struktur hinter jeder Richtlinie für bedingten Zugriff.
• 1:39
  Warum Passwörter nicht mehr ausreichen?
• 1:41
  Warum brauchen wir also diesen zusätzlichen Schritt?
• 1:43
  Weil jeden Tag Passwörter gestohlen werden.
• 1:45
  Phishing-Angriffe, Datenpannen, Leute, die dasselbe Passwort für mehrere Websites wiederverwenden.
• 1:49
  Ihr Passwort könnte genau jetzt kompromittiert sein, ohne dass Sie es überhaupt wissen.
• 1:52
  Vielleicht denken Sie nun, das ist in Ordnung.
• 1:54
  Wir haben die Multifaktor-Authentifizierung.
• 1:55
  Die schützt uns.
• 1:56
  Und Sie haben recht, MFA hilft zwar sehr, aber sie ist kein Allheilmittel.
• 2:00
  Stellen Sie sich vor, ein Hacker gelangt an das Passwort eines Ihrer Mitarbeiter.
• 2:03
  Er versucht, sich aus einem Land anzumelden, mit dem Sie nie Geschäfte machen, über ein Gerät, das Sie noch nie gesehen haben.
• 2:08
  MFA könnte ihn stoppen, wenn eine Abfrage ausgelöst wird.
• 2:10
  Aber was, wenn der Hacker auch Zugriff auf das Telefon des Mitarbeiters hat?
• 2:14
  Oder was, wenn er einen Phishing-Angriff nutzt, der auch den MFA-Code abfängt?
• 2:17
  Plötzlich wirkt MFA allein nicht mehr so kugelsicher.
• 2:19
  Hier ist ein Beispiel aus der Praxis.
• 2:21
  Die Zugangsdaten eines Vertriebsmitarbeiters landen in Duckworth.
• 2:23
  Ohne bedingten Zugriff kann sich ein Angreifer von überall auf der Welt anmelden.
• 2:27
  Er kann auf E-Mails, Dateien, Kundendaten, einfach alles zugreifen.
• 2:30
  Und Sie würden es erst bemerken, wenn es zu spät ist.
• 2:32
  Der alte Weg war alles oder nichts.
• 2:34
  Sie gaben einem Benutzer eine Lizenz.
• 2:35
  Und er konnte sich von jedem Gerät, jedem Ort und jedem Netzwerk anmelden.
• 2:38
  Kein Kontext, keine Intelligenz.
• 2:40
  Nur eine Passwortprüfung und dann voller Zugriff.
• 2:42
  Bedingter Zugriff ändert das Grundlegen.
• 2:44
  Er fügt jede Anmeldung Kontext hinzu.
• 2:46
  Er prüft, wo Sie sind, welches Gerät Sie nutzen, welche Apps Sie öffnen wollen
• 2:49
  und wie riskant die Anmeldung laut Microsoft-Analyse aussieht.
• 2:53
  Er macht aus einer einfachen Ja-Nein-Entscheidung ein intelligentes, abgestuftes Urteil.
• 2:57
  Die Signale, worauf der bedingte Zugriff achtet.
• 2:59
  Was genau überprüft der bedingte Zugriff also?
• 3:01
  Lassen Sie uns die Signale aufschlüsseln, die für die Entscheidung genutzt werden.
• 3:04
  Die Identität ist das erste Signal.
• 3:06
  Wer sind Sie?
• 3:07
  Sind Sie ein normaler Mitarbeiter, ein Administrator mit erweiterten Rechten
• 3:10
  oder ein Gast von außerhalb des Unternehmens?
• 3:12
  Bedingter Zugriff betrachtet Ihr Benutzerkonto und die Gruppen, denen Sie angehören.
• 3:16
  Für einen Administrator könnten bei der Anmeldung strengere Regeln gelten
• 3:18
  als für einen Standardbenutzer.
• 3:19
  Einem Gast könnte der Zugriff auf bestimmte Apps komplett verweigert werden.
• 3:22
  Ihre Identität bestimmt die Grundlage dessen, was erlaubt ist.
• 3:25
  Der Standard ist der nächste Punkt.
• 3:26
  Von wo erfolgt die Anmeldung?
• 3:27
  Wenn Sie sich aus dem Firmennetzwerk verbinden, ist das ein vertrauenswürdiger Ort.
• 3:31
  Bedingter Zugriff kennt den IP-Bereich Ihrer Unternehmenszentrale.
• 3:33
  Eine Anmeldung aus einem Café in einem anderen Land schlägt Alarm.
• 3:37
  Wenn das System gar nicht erst feststellen kann, wo Sie sind, ist das ein weiteres
• 3:40
  Warnsignal.
• 3:41
  Der Standort ist ein starkes Signal, da es schwer zu fälschen ist.
• 3:43
  Das Gerät spielt ebenfalls eine Rolle.
• 3:45
  Was benutzen Sie für die Anmeldung?
• 3:46
  Ein Firmenlaptop, der bei Intune verwaltet wird und Ihre Sicherheitsrichtlinien erfüllt?
• 3:49
  Oder ein privates Telefon ohne jegliche Sicherheitskontrollen?
• 3:52
  Der bedingte Zugriff kann prüfen, ob das Gerät registriert ist, Verschlüsselung aktiviert
• 3:56
  hat und bei Sicherheitspatches auf dem neuesten Stand ist.
• 3:59
  Ein nicht verwaltetes Gerät könnte blockiert oder eingeschränkt werden.
• 4:01
  Die Anwendung spielt ebenfalls eine Rolle.
• 4:02
  Auf welche App möchten Sie zugreifen?
• 4:04
  Outlook, SharePoint, Teams oder eine geschäftliche Spezialanwendung?
• 4:08
  Nicht alle Apps haben dieselben Sicherheitsanforderungen.
• 4:10
  Ein Finanzsystem mit sensiblen Daten erfordert eventuell strengere Kontrollen als ein Team-Arbeitsbereich.
• 4:16
  Mit dem bedingten Zugriff können Sie unterschiedliche Regeln für verschiedene Apps festlegen.
• 4:19
  Wenn Sie über die richtige Lizenz verfügen, gibt es eine weitere Ebene, das Anmelderisiko.
• 4:22
  Microsoft nutzt maschinelles Lernen, um jede Anmeldung in Echtzeit zu bewerten.
• 4:25
  Dabei wird auf verdächtige Muster geachtet.
• 4:27
  Unmögliche Reisen, bei denen Sie ein Nutzer aus New York und fünf Minuten später aus London anmeldet,
• 4:31
  anonyme IP-Adressen oder geleakte Zugangsdaten aus bekannten Datendiebstählen.
• 4:35
  Das System weist eine Risikostufe zu niedrig, mittel oder hoch und der bedingte Zugriff kann darauf reagieren.
• 4:40
  Es gibt auch das Benutzerrisiko.
• 4:41
  Dies unterscheidet sich vom Anmelderisiko.
• 4:43
  Das Benutzerrisiko betrachtet das Konto selbst.
• 4:44
  Ist das Passwort dieses Nutzers bei einer Datenpanne aufgetaucht?
• 4:46
  Gab es im Laufe der Zeit ungewöhnliche Aktivitäten?
• 4:49
  Wenn das System erkennt, dass ein Konto kompromittiert sein könnte,
• 4:51
  kann es den Zugriff sperren, bis der Nutzer sein Passwort zurücksetzt.
• 4:54
  Zuletzt gibt es noch den Authentifizierungskontext.
• 4:56
  Damit können Sie zusätzliche Sicherheitsanforderungen für bestimmte sensible Inhalte festlegen.
• 5:00
  Zum Beispiel muss jeder, der auf die SharePoint-Seite der Finanzabteilung zugreift,
• 5:03
  ein konformes Gerät und eine phishing-resistente MFA-Methode verwenden.
• 5:06
  Dies schützt Ihre wertvollsten Daten, ohne den restlichen Betrieb zu verlangsamen.
• 5:10
  Sobald diese Signale gesammelt sind, entscheidet die Richtlinie-Engine über das weitere Vorgang.
• 5:14
  Sehen wir uns an, wie das funktioniert.
• 5:15
  Die Entscheidungs-Engine, die Richtlinien funktionieren.
• 5:18
  Jede Richtlinie für bedingten Zugriff funktioniert wie eine Wenn-Dann-Regel.
• 5:21
  Sie wählen die Signale als Bedingungen aus und legen dann die zu ergreifenden Aktionen fest.
• 5:24
  Mehr ist es eigentlich nicht.
• 5:25
  Eine Richtlinie besteht also aus drei Hauptteilen.
• 5:27
  Der erste Teil sind die Zuweisungen.
• 5:29
  Für wen geht die Richtlinie, auf welche App wird zugegriffen und welche Bedingungen lösen die Regel aus?
• 5:33
  Der zweite Teil sind die Zugriffskontrollen.
• 5:35
  Was geschieht, wenn diese Bedingungen erfüllt sind?
• 5:37
  Gewähren Sie Zugriff, blockieren Sie ihn oder verlangen Sie etwas wie MFA oder ein konformes Gerät?
• 5:41
  Der dritte Teil sind die Sitzungskontrollen.
• 5:43
  Sie verwalten, was nach der Anmeldung geschieht.
• 5:46
  Zum Beispiel, wie oft eine erneute Authentifizierung erforderlich ist.
• 5:48
  Lassen Sie mich ein konkretes Beispiel nennen.
• 5:50
  Wenn ein Benutzer aus der Verkaufsgruppe von einem nicht verwalteten Gerät auf SharePoint zugreifen will,
• 5:54
  dann blockiere den Zugriff.
• 5:55
  Das ist bereits eine vollständige Richtlinie.
• 5:57
  Wer, welche App, welche Bedingungen, welche Aktion?
• 5:59
  Die Gewährungssteuerungen sind flexibel.
• 6:00
  Sie können mehrere Anforderungen gleichzeitig stellen.
• 6:02
  Nehmen wir an, Sie möchten, dass ein Benutzer die MFA abschließt und zudem ein konformes Gerät verwenden.
• 6:06
  Beide Bedingungen müssen erfüllt sein.
• 6:07
  Oder Sie sagen, dass Sie das ein oder benötigen.
• 6:09
  Das System lässt Ihnen die Wahl.
• 6:10
  Blockieren ist die wirkungsvollste Kontrolle.
• 6:12
  Wenn eine Richtlinie blockieren vorgibt, gewinnt die Blockierung.
• 6:14
  Es gibt keine Ausnahmen, außer den von Ihnen explizit festgelegten.
• 6:17
  Deshalb müssen Sie sehr vorsichtig sein.
• 6:19
  Ein Fehler und Sie könnten Ihr gesamtes Unternehmen aussperren.
• 6:21
  Bevor Sie eine Richtlinie aktivieren, sollten Sie eine wichtige Funktion kennen.
• 6:25
  Denn nur Berichtmodus.
• 6:27
  Damit sehen Sie, was eine Richtlinie bewirken würde, bevor sie wirklich greift.
• 6:30
  Sie können eine Richtlinie eine Woche lang testen, Anmeldeprotokolle prüfen
• 6:33
  und sehen, wie viele Nutzer blockiert oder zu MFA aufgefordert worden wären.
• 6:36
  Ein sicherer Weg, alles zu testen und unterbrechen.
• 6:39
  Nachdem Sie die Engine verstehen, sprechen wir über die gängigsten Richtlinien für jedes Unternehmen.
• 6:44
  Die drei wichtigsten Basisrichtlinien für den ersten Tag.
• 6:47
  Was sollten Sie also zuerst einrichten?
• 6:49
  Hier sind die drei Basisrichtlinien, die jedes Unternehmen vom ersten Tag an haben sollte.
• 6:53
  Nicht erst nach 30 Tagen oder nach einem Audit.
• 6:55
  Richtlinie 1 ist das Fundament MFA für alle Nutzer erforderlich.
• 6:59
  Nicht nur für Admin, sondern für alle.
• 7:01
  Jede Person, die sich bei Ihrem Tenent anmeldet, muss ihre Identität mit einem zweiten Faktor beweisen.
• 7:05
  Aber wichtig ist, nicht jede MFA ist gleichwertig.
• 7:08
  Sie sollten keine SMS-Codes oder Sprachanrufe verwenden.
• 7:11
  Diese Methoden sind schwach.
• 7:12
  Sie können abgefangen werden.
• 7:13
  Sie benötigen etwas Stärkeres.
• 7:15
  Microsoft bietet Authentifizierungsstärken an, mit denen Sie genau festlegen können, welche Methoden zulässig sind.
• 7:21
  Die Microsoft Authenticator App, FIDO2-Sicherheitsschlüssel, Windows Hello for Business.
• 7:24
  Das sind die guten Optionen.
• 7:27
  Wenn Sie also Ihre MFA-Richtlinie erstellen, aktivieren Sie nicht einfach nur das Feld MFA erforderlich.
• 7:31
  Seien Sie präziser.
• 7:32
  Wählen Sie nur die starken Methoden aus.
• 7:34
  Richtlinie 2.
• 7:35
  Legacy-Authentifizierung blockieren.
• 7:37
  Das klingt technisch, ist aber simpel.
• 7:39
  Es gibt alte Protokolle, die Microsoft iPhone 65 noch unterstützt.
• 7:42
  POP, IMAP, SMTP, ältere Exchange ActiveSync-Versionen.
• 7:46
  Diese Protokolle entstanden vor der Zeit der Multifaktor-Authentifizierung, unterstützen diese nicht.
• 7:50
  Wenn ein Angreifer also ein Passwort erhält, kann er diese alten Protokolle nutzen, um sich anzumelden und Ihre MFA komplett zu umgehen.
• 7:56
  Das ist eine enorme Sicherheit.
• 7:57
  Die Lösung kompliziert.
• 7:58
  Erstellen Sie eine Richtlinie für bedingten Zugriff, die die Legacy-Authentifizierung für alle Nutzer blockiert.
• 8:03
  Sofern Sie keinen spezifischen Bedarf für einen alten Scanner oder Drucker mit SMTP haben, schalten Sie es ab.
• 8:08
  Es ist eine der wirkungsvollsten Sicherheitskontrollen, die Sie aktivieren können.
• 8:12
  Richtlinie 3.
• 8:12
  Konforme Geräte für Administratoren erforderlich.
• 8:15
  Admin-Konten sind das Kronjuwel Ihres Tenants.
• 8:17
  Wenn jemand ein globales Administrator-Konto kompromittiert, hat er die volle Kontrolle.
• 8:20
  Daher müssen Sie diese Konten stärker absichern als alle anderen.
• 8:22
  Diese Richtlinie besagt, dass jeder mit einer Administratorrolle ein firmeneigenes Gerät verwenden muss, das Ihren Sicherheitsanforderungen entspricht, in der Verwaltung registriert, verschlüsselt wie mit BitLocker, mit aktivem Defender und aktuellen Updates.
• 8:35
  Wenn ein Administrator versucht, sich von einem privaten Laptop oder einem alten Gerät anzumelden, das diese Standards nicht erfüllt, wird der Zugriff blockiert.
• 8:40
  Es ist ein einfacher Weg, um sicherzustellen, dass Ihre mächtigsten Konten auch am besten geschützt sind.
• 8:45
  Bevor ich weitermache, muss ich über etwas Entscheidendes sprechen.
• 8:49
  Dies sind Notfalladministrator-Konten, die Sie von Ihren Richtlinien für bedingten Zugriff ausschließen.
• 8:53
  Sie erstellen mindestens zwei davon mit langen, komplexen Passwörtern und phishing-resistenter MFA wie einem FIDO-2-Sicherheitsschlüssel.
• 8:59
  Sie bewahren die Anmeldedaten sicher auf, vielleicht in einem Tresor oder einem verschlossenen Schrank.
• 9:03
  Der Zweck ist simpel.
• 9:04
  Falls Sie sich versehentlich mit einer fehlerhaften Richtlinie aus Ihrem Mandanten aussperren, können Sie ein Notfallkonto nutzen, um wieder Zugriff zu erhalten.
• 9:09
  Sie sind von jeder Richtlinie für bedingten Zugriff ausgenommen.
• 9:12
  Es ist so beabsichtigt.
• 9:13
  Ohne Sie riskieren Sie, aus Ihrem eigenen System ausgesperrt zu werden, ohne Weg zurück.
• 9:16
  Warum nur drei Richtlinien für den ersten Tag?
• 9:18
  Weil Sie sich zuerst auf die wirkungsvollsten Kontrollen konzentrieren sollen.
• 9:20
  Diese drei schließen die größten Sicherheitslücken.
• 9:22
  MFA stoppt den Großteil des Anmeldedaten diebstahls.
• 9:24
  Die Blockierung veralteter Authentifizierung schließt Ihnen.
• 9:26
  Konforme Geräte für Administratoren schützen Ihre sensibelsten Konten.
• 9:30
  Sie können später mit detaillierteren Richtlinien feinjustieren, aber fangen Sie an.
• 9:33
  Erweiterte Richtlinien, Risiko und Personas.
• 9:35
  Sobald die Grundlagen stehen, können Sie weitere erweiterte Kontrollen hinzufügen.
• 9:38
  Hier kommen risikobasierte Richtlinien und personabasierte Regeln.
• 9:42
  Anmelderisikorichtlinien nutzen das maschinelle Lernen von Microsoft, um jeden Anmeldeversuch in Echtzeit zu überwachen.
• 9:46
  Wenn jemand versucht, sich über eine anonyme IP-Adresse anzumelden oder das System unmögliche Reisen erkennt wie eine Anmeldung aus New York und zehn Minuten später aus Tokio, wird diese Anmeldung als hochriskant eingestuft.
• 9:56
  Dafür legen Sie eine Richtlinie fest, die bei hohem Risiko den Zugriff blockiert oder sofort MFA erzwingt.
• 10:01
  Der Haken ist, dass Sie eine Entra-ID-P-Zeit-Lizenz benötigen, aber dies ist eine der mächtigsten Kontrollen, die Sie hinzufügen können, da Sie Angriffe erkennt, die statischen Regeln entgehen.
• 10:08
  Benutzerrisikorichtlinien betrachten das Konto selbst über einen längeren Zeitraum, nicht nur ein einzelnes Anmeldeereignis.
• 10:12
  Wenn Microsoft erkennt, dass die Anmeldedaten eines Benutzers bei einer bekannten Datenpanne aufgetaucht sind, wird dieser Benutzer als hochriskant machen.
• 10:17
  Sie können dann eine Richtlinie festlegen, die den Zugriff blockiert, bis das Passwort zurückgesetzt wird.
• 10:20
  Aber ja, dafür ist es ebenfalls besonderlich.
• 10:22
  Anmelde-Risiko- und Benutzerrisikorichtlinien bilden zusammen eine dynamische Sicherheitsebene, die sich in Echtzeit an Bedrohungen anpasst.
• 10:28
  Personenbasierte Richtlinien gehen nun ein anderes Problem an.
• 10:30
  Nicht jeder in Ihrem Unternehmen hat dieselben Sicherheitsanforderungen.
• 10:33
  Ihre Administratoren benötigen die strengsten Regeln, während Auftragnehmer und Aushilfskräfte möglicherweise nur eingeschränkten Zugriff brauchen.
• 10:38
  Und Gäste von außerhalb Ihres Unternehmens benötigen ganz andere Kontrollen.
• 10:42
  Mit personenbasierten Richtlinien können Sie Benutzer nach Rollen kopieren und das passende Schutzniveau anwenden.
• 10:45
  Hier ist ein konkretes Beispiel.
• 10:47
  Auftragnehmer nutzen oft eigene, nicht verwaltete Geräte.
• 10:49
  Daher wissen Sie nicht, ob Sie Antiviren-Software nutzen oder Updates installieren.
• 10:53
  Anstatt Ihnen vollen Zugriff zu gewähren, erstellen Sie eine Richtlinie, die Sie auf den Browser beschränkt, keine Desktop- oder Mobil-Apps.
• 10:59
  App.
• 10:59
  Und selbst im Browser können Sie bestimmte Aktionen einschränken.
• 11:01
  Sie können Dateien zwar ansehen und bearbeiten, aber nicht auf Ihr Gerät herunterladen oder synchronisieren.
• 11:05
  So bleiben Auftragnehmer produktiv, ohne Ihre Daten unnötigen Risiken auszusetzen.
• 11:11
  Authentifizierungskontexte gehen noch weiter, indem Sie spezifische Inhalte innerhalb einer App schützen, statt die ganze App.
• 11:16
  Ihr Finanzteam hat beispielsweise eine SharePoint-Website mit sensiblen Finanzdaten.
• 11:20
  Sie können einen Authentifizierungskontext für diese Seite festlegen, sodass jeder Zugriff ein konformes Gerät und phishing-resistente MFA erfordert, selbst wenn er bereits bei Microsoft 365 angemeldet ist.
• 11:30
  Es ist eine präzise Steuerung für Ihre sensibelsten Informationen.
• 11:33
  Die fortlaufende Zugriffsbewertung entzieht Zugriffe nahezu in Echtzeit, sobald sich etwas ändert.
• 11:37
  Wenn ein Admin ein Konto deaktiviert oder ein Gerät als verloren gemeldet wird, endet die Sitzung sofort, ohne auf den Ablauf des Tokens zu warten.
• 11:44
  Das ist entscheidend, um schnell auf Vorfälle reagieren zu können.
• 11:46
  Das klingt alles sehr mächtig, doch wie fängt man an, ohne etwas zu geschädigen?
• 11:50
  Der Einstieg von Sicherheitsstandards zu benutzerdefinierten Richtlinien.
• 11:54
  Wenn Sie einen brandneuen Mandanten haben, fangen Sie nicht bei Null an, da Microsoft standardmäßig die sogenannten Sicherheitsstandards aktiviert.
• 12:00
  Es ist ein grundlegender Schutz, der MFA für Admins erzwingt und ältere Authentifizierungsmethoden blockiert.
• 12:06
  Es ist ein ordentlicher Ausgangspunkt, aber er ist begrenzt.
• 12:09
  Sie können ihn weder anpassen noch auf bestimmte Apps oder Benutzer zuschneiden.
• 12:12
  Es ist eine Einheitslösung für alle.
• 12:14
  Sobald Sie Ihre erste benutzerdefinierte Richtlinie für bedingten Zugriff erstellen, werden die Sicherheitsstandards automatisch deaktiviert und Sie haben die volle Kontrolle.
• 12:21
  Das ist gut, bedeutet aber auch, dass Sie wissen müssen, was Sie tun, dass Sie sich nicht mehr auf die automatischen Hilfen verlassen können.
• 12:26
  Erfahren Sie, wie Sie dabei sicher vorgehen.
• 12:27
  Starten Sie für jede neue Richtlinie zuerst im reinen Berichtsmodus und lassen Sie diesen mindestens eine Woche laufen.
• 12:32
  Prüfen Sie anschließend die Anmeldeprotokolle, um zu sehen, was passiert wäre, etwa wie viele Benutzer blockiert oder zur MFA aufgefordert worden wären.
• 12:37
  Diese Daten zeigen Ihnen vor der Durchsetzung, ob Ihre Richtlinie zu streng oder zu locker ist.
• 12:42
  Zweitens nutzen Sie das Was-wäre-wenn-Tool im Entra-Admin-Center, um eine Richtlinie für bestimmte Benutzer-Apps und Standorte zu testen, bevor Sie sie aktivieren.
• 12:49
  Sie können genau simulieren, was passiert, wenn jemand versucht, sich von einem Café in einem anderen Land mit einem privaten Gerät anzumelden.
• 12:54
  Es ist ein sicherer Weg, Probleme zu erkennen, bevor Sie real werden.
• 12:58
  Drittens, und das ist entscheidend, erstellen Sie Ihre Break-Lass-Konten, bevor Sie Richtlinien bereitstellen.
• 13:02
  Ich kann das nicht oft genug betonen.
• 13:04
  Wenn Sie versehentlich eine Richtlinie erstellen, die alle Administratoren blockiert und kein Notfallkonto eingerichtet haben, das von allem ausgenommen ist, sperren Sie sich aus Ihrem eigenen Mandanten aus.
• 13:12
  Der einzige Weg zurückführt über den Microsoft Support, wobei Sie den Besitz der Domäne nachweisen müssen, das kann Tage dauern.
• 13:17
  Richten Sie daher zwei Break-Lass-Konten ein, die sicher mit Phishing-resistenter MFA geschützt sind.
• 13:21
  Tun Sie dies, bevor Sie beginnen.
• 13:22
  Viertens, führen Sie die Bereitstellung in Phasen durch.
• 13:25
  Aktivieren Sie eine Richtlinie nicht für alle am ersten Tag.
• 13:28
  Beginnen Sie mit einer kleinen Testgruppe, etwa dem IT-Team, und lassen Sie sie einige Tage laufen.
• 13:32
  Prüfen Sie die Protokolle, um zu sehen, ob jemand unerwartet blockiert wird.
• 13:35
  Erweitern Sie dann auf eine größere Gruppe und schließlich auf alle Benutzer.
• 13:37
  Jede Phase gibt Ihnen die Möglichkeit, Probleme zu erkennen, bevor Sie das gesamte Unternehmen betreffen.
• 13:41
  Überwachen Sie durchgehend Ihr Anmeldeprotokoll.
• 13:43
  Sollten Sie unerwartete Blockierungen feststellen, passen Sie die Richtlinie an, bevor Sie zur nächsten Phase übergehen.
• 13:48
  Zusammenfassung
• 13:48
  Warum das für Ihr Unternehmen wichtig ist?
• 13:50
  Warum ist das alles so wichtig?
• 13:51
  Der bedingte Zugriff ist wie ein Türsteher, der nicht nur Ihren Ausweis prüft.
• 13:55
  Er schaut sich alles an.
• 13:56
  Wer Sie sind, von wo aus Sie sich verbinden, welches Gerät Sie verwenden und ob Ihr Konto möglicherweise kompromittiert wurde.
• 14:01
  Er macht aus einer einfachen Jan-Ein-Passwort-Prüfung eine intelligente Entscheidung, die auf dem Gesamtbild basiert.
• 14:07
  Ohne ihn kann jeder mit einem gestohlenen Passwort von überall auf der Welt direkt in Ihren Mandanten gelangen, ohne Fragen zu stellen.
• 14:12
  Und wenn man bedenkt, wie viele Passwörter jeden Tag gestohlen werden, ist das ein beängstigender Gedanke, ist Danke.
• 14:16
  Die drei Basisrichtlinien schließen allein schon die größten Sicherheitsniveau.
• 14:19
  MFA verhindert den Großteil an, meldet er lieb still.
• 14:21
  Das Blockieren veralteter Authentifizierung schließt eine Hintertür, die Angreifer lieben.
• 14:25
  Die Anforderung konformer Geräte für Administratoren schützt ihre sensibelsten Konten.
• 14:28
  Allein diese drei Richtlinien heben Ihr Sicherheitsniveau drastisch an.
• 14:32
  Und wenn Sie bereit für den nächsten Schritt sind, bieten Ihnen erweiterte Richtlinien präzisen Schutz, ohne die Produktivität zu beeinträchtigen.
• 14:37
  Risikobasierte Kontrollen erkennen Angriffe in Echtzeit.
• 14:40
  Personenbasierte Regeln behandeln verschiedene Benutzer unterschiedlich.
• 14:44
  Authentifizierungskontexte schützen Ihre sensibelsten Daten mit chirurgischer Genauigkeit.
• 14:47
  Sie können sowohl sicher als auch flexibel sein.
• 14:49
  Wir sind also Ihre Hausaufgaben.
• 14:50
  Melden Sie sich bei Ihrem Entratmen-Center an.
• 14:52
  Navigieren Sie zum Bedingten zu.
• 14:54
  Prüfen Sie, ob Sie mindestens diese drei Basisrichtlinien eingerichtet haben.
• 14:56
  Falls nicht, beginnen Sie mit dem Nur-Bericht-Modus und bauen Sie darauf auf.
• 14:59
  Warten Sie nicht auf eine Prüfung oder einen Sicherheitsvorfall, um zu haben.
• 15:02
  Wenn Ihnen diese Folge geholfen hat, den Überblick zu gewinnen,
• 15:04
  abonnieren Sie Microsoft Knowledge Nuggets für weitere verständliche Erklärungen zur Sicherheit und Identität.
• 15:09
  Und teilen Sie sie mit jemandem, der gerade erst mit Microsoft 365 beginnt.
• 15:13
  Wir werden es Ihnen danken.