Break-Glass-Konto in Entra ID: Notfallkonten richtig einrichten

Ein Break-Glass-Konto ist das Konto, mit dem Sie in Ihren Microsoft-365-Mandanten kommen, wenn nichts anderes mehr geht. Der Name kommt vom Feuermelder hinter Glas: im Alltag unberührt, im Notfall der eine Griff, der funktionieren muss. Microsoft nennt es Notfallzugriffskonto, im Englischen emergency access account.

Ohne ein solches Konto kann eine einzige falsch gesetzte Richtlinie für bedingten Zugriff alle Administratoren aussperren. Dann hilft nur noch der Microsoft-Support, und das dauert.

Wann man ein Notfallkonto braucht

Die typischen Fälle sind unspektakulär und kommen häufiger vor, als man denkt:

• Eine neue Richtlinie für Conditional Access trifft mehr Konten als geplant, etwa weil bei „Alle Benutzer“ die Ausnahmen fehlen.
• Der zweite Faktor fällt aus: der MFA-Dienst hat eine Störung, oder das Telefon des einzigen Globalen Administrators ist weg.
• Die Anmeldung über die eigene Föderation oder die Verzeichnissynchronisierung ist gestört, und die synchronisierten Admin-Konten melden sich nicht mehr an.
• Die Person mit den Admin-Rechten ist nicht erreichbar oder hat das Unternehmen verlassen.

In all diesen Fällen braucht es ein Konto, das von genau diesen Abhängigkeiten frei ist.

Die Regeln für ein Notfallkonto

Microsoft beschreibt in seiner Anleitung zu Notfallzugriffskonten eine Reihe von Grundsätzen. Die wichtigsten:

1. Mindestens zwei Konten. Fällt eines aus oder ist sein zweiter Faktor nicht greifbar, bleibt das andere.
2. Nur in der Cloud. Das Konto lebt direkt in Entra ID, mit einer Adresse auf der Domäne *.onmicrosoft.com. Es wird nicht aus einem lokalen Active Directory synchronisiert, denn dann hinge es an genau der Synchronisierung, die im Notfall vielleicht ausfällt.
3. Dauerhaft Globaler Administrator. Die Rolle ist fest zugewiesen, nicht nur berechtigt über Privileged Identity Management. Eine Aktivierung über PIM kann im Notfall selbst das Problem sein.
4. Ausgenommen von Conditional Access. Jede Richtlinie für bedingten Zugriff nimmt mindestens ein Notfallkonto aus. Sonst sperrt die Richtlinie, die alle aussperrt, auch das Notfallkonto aus.
5. Keiner Person zugeordnet. Das Konto gehört dem Unternehmen, nicht einem Mitarbeiter, und hängt nicht an dessen Telefon.
6. Starker zweiter Faktor. Seit Microsoft für die Anmeldung an den Verwaltungsportalen MFA verlangt, braucht auch ein Notfallkonto einen zweiten Faktor. Microsoft empfiehlt dafür Passkeys mit FIDO2-Sicherheitsschlüssel oder die Anmeldung mit Zertifikat. Die Schlüssel liegen getrennt voneinander an sicheren Orten.
7. Überwacht. Jede Anmeldung mit einem Notfallkonto löst eine Meldung aus. Im Alltag meldet sich niemand damit an. Tut es doch jemand, ist das entweder ein Notfall oder ein Angriff.
8. Regelmäßig getestet. Ein Notfallkonto, das nie benutzt wurde, funktioniert im Ernstfall vielleicht nicht. Ein geplanter Test in festem Abstand gehört dazu, mit Protokoll.

Häufige Fehler

Das Notfallkonto ist synchronisiert. Es stammt aus dem lokalen Active Directory, weil dort alle Konten angelegt werden. Fällt die Synchronisierung oder die Föderation aus, ist es nutzlos.

Die Ausnahme fehlt in einer Richtlinie. Bei der ersten Richtlinie wurde das Notfallkonto ausgenommen, bei der fünften nicht mehr. Eine Richtlinie, die „Alle Benutzer“ blockiert oder MFA mit einer Methode verlangt, die das Notfallkonto nicht hat, sperrt es aus.

Das Konto ist gesperrt oder hat keine Rolle mehr. Bei einer Aufräumaktion wurde ein „unbenutztes“ Konto deaktiviert oder die Rolle entfernt. Gerade weil das Konto nie benutzt wird, fällt das niemandem auf.

Niemand weiß, wo die Zugangsdaten liegen. Der Sicherheitsschlüssel liegt in einer Schublade, deren Inhaber das Unternehmen verlassen hat.

Wie 365 Tenants Notfallkonten behandelt

In 365 Tenants sind Notfallkonten ein fester Bestandteil jeder Vorlage, nicht eine Angabe, an die man sich erinnern muss.

• Platzhalter je Mandant. Jede Richtlinie der Vorlage nimmt die Notfallkonten des Zielmandanten aus. Welche das sind, trägt jeder Mandant selbst ein.
• Keine Freigabe ohne Ausnahme. Eine sperrende Richtlinie, die nicht jedes Notfallkonto ausnimmt, lässt sich nicht freigeben.
• Prüfung vor dem Scharfschalten. Richtlinien werden erst wirksam, wenn mindestens ein Notfallkonto tauglich ist: vorhanden, aktiv, Globaler Administrator und nicht aus einem lokalen Verzeichnis synchronisiert.
• Meldung bei Änderungen. Wird später eine Richtlinie geändert oder eine Ausnahme entfernt, steht das im Verlauf, mit Urheber.

Mehr dazu, wie Conditional Access so in den Mandanten kommt, ohne jemanden auszusperren, steht unter Conditional-Access-Vorlagen.

Kurz zusammengefasst

• Zwei Notfallkonten, nur in der Cloud, dauerhaft Globaler Administrator.
• Von jeder Richtlinie für bedingten Zugriff ausgenommen.
• Zweiter Faktor mit Passkey oder Zertifikat, Schlüssel getrennt verwahrt.
• Jede Anmeldung gemeldet, regelmäßig getestet.