Security Defaults oder Conditional Access: wann und wie umstellen

Jeder neue Microsoft-365-Mandant bringt die Security Defaults mit, auf Deutsch Sicherheitsstandards. Sie sind kostenlos, mit einem Schalter aktiv und schließen die größten Lücken. Für viele kleine Unternehmen sind sie genau richtig. Sobald aber eine einzige Ausnahme nötig wird, stoßen sie an ihre Grenze.

Was die Security Defaults tun

Die Security Defaults setzen eine feste Grundsicherung für den ganzen Mandanten:

• Alle Benutzer müssen sich für die mehrstufige Anmeldung registrieren, in der Regel mit der Microsoft-Authenticator-App.
• Administratoren werden bei jeder Anmeldung nach dem zweiten Faktor gefragt.
• Benutzer werden gefragt, wenn es nötig erscheint, etwa bei einer Anmeldung von einem neuen Gerät oder Ort.
• Alte Anmeldeprotokolle ohne zweiten Faktor, etwa IMAP, POP oder SMTP mit Kennwort, werden blockiert.
• Verwaltungsaktionen in Azure verlangen den zweiten Faktor.

Neue Mandanten haben die Security Defaults von Anfang an eingeschaltet. In älteren Mandanten hat Microsoft sie nachträglich aktiviert, sofern dort keine eigenen Richtlinien für bedingten Zugriff bestanden.

Wo die Grenzen liegen

Die Security Defaults sind ein Schalter, kein Regelwerk. Daraus folgen ihre Grenzen:

• Keine Ausnahmen. Ein Notfallkonto, ein Dienstkonto für einen alten Scanner oder eine Schnittstelle lassen sich nicht ausnehmen.
• Keine Standorte. Eine Regel wie „aus dem Büro weniger Abfragen, aus dem Ausland mehr“ geht nicht.
• Keine abgestuften Methoden. Wer für Administratoren phishingresistente Anmeldung mit Passkeys verlangen will, kann das nicht festlegen.
• Keine Geräte und keine Anwendungen. Regeln wie „nur von verwalteten Geräten“ oder „für diese App strenger“ sind nicht möglich.

Für all das braucht es Conditional Access, und dafür Entra ID P1. Die Lizenz ist zum Beispiel in Microsoft 365 Business Premium und in den E3- und E5-Plänen enthalten.

Security Defaults und Conditional Access schließen sich aus

Der entscheidende Punkt: Security Defaults und eigene Richtlinien für bedingten Zugriff lassen sich nicht gleichzeitig betreiben. Wer Conditional Access einsetzen will, muss die Security Defaults abschalten.

Genau hier liegt die Falle. Wer die Security Defaults abschaltet, bevor die eigenen Richtlinien wirksam sind, lässt den Mandanten ohne MFA. Nicht für Sekunden, sondern oft für Tage, weil die neuen Richtlinien erst im Berichtsmodus getestet werden sollen. In dieser Zeit genügt ein erbeutetes Kennwort für die Anmeldung.

Die richtige Reihenfolge beim Umstieg

1. Notfallkonten anlegen. Mindestens zwei, nur in der Cloud, dauerhaft Globaler Administrator. Wie das geht, steht im Beitrag zum Break-Glass-Konto.
2. Richtlinien anlegen, im Berichtsmodus. Mindestens MFA für alle Benutzer, MFA eigens für Administratoren und das Blockieren alter Protokolle. Die Notfallkonten sind überall ausgenommen.
3. Berichtsmodus auswerten. Die Anmeldeprotokolle zeigen, wen die Richtlinien getroffen hätten, auch Dienstkonten mit nicht interaktiver Anmeldung.
4. In einem Schritt umschalten. Die Richtlinien werden wirksam und die Security Defaults gehen aus, im selben Zug. So gibt es keinen Moment ohne MFA.
5. Prüfen. Eine Testanmeldung mit einem normalen Konto und eine mit einem Notfallkonto.

Wie 365 Tenants das macht

365 Tenants setzt genau diese Reihenfolge um, als festen Ablauf statt als Checkliste:

• Die Vorlage „Conbool gehärtet“ bringt die Richtlinien für MFA und gegen alte Protokolle mit, jede mit den Notfallkonten des Mandanten als Ausnahme.
• Ausgerollt wird zuerst im Berichtsmodus. Die Security Defaults bleiben dabei an.
• Beim Scharfschalten werden die Richtlinien wirksam und die Security Defaults gehen aus, im selben Lauf. Fehlt die Richtlinie für MFA für alle oder die Sperre der alten Anmeldewege, wird nicht scharf geschaltet, und die Security Defaults bleiben an.
• Scheitert der Lauf, schaltet 365 Tenants die Security Defaults wieder ein.

Mehr zum Ablauf steht unter Conditional-Access-Vorlagen.

Was sich für wen lohnt

• Kleiner Mandant ohne Entra ID P1, ohne Sonderfälle: Security Defaults eingeschaltet lassen.
• Mandant mit Entra ID P1: Conditional Access, weil sich nur so Notfallkonten ausnehmen und Regeln abstufen lassen.
• Viele Mandanten, etwa als IT-Dienstleister: dieselben Richtlinien als Vorlage, je Kunde mit eigenen Notfallkonten, mit Abgleich gegen spätere Änderungen. Dafür ist die Microsoft 365 Security Baseline gedacht.