Schlüsselpunkte
- Conditional Access setzt kontextbezogene Kontrolle durch, indem Identität, Geräte-Compliance, Standort und Risiko bei der Anmeldung bewertet werden.
- Extended Access legt fest, wie lange und wie umfassend der Zugriff nach der Authentifizierung bestehen bleibt, inklusive VPNs und Remote-Sitzungen.
- Conditional Access senkt das Risiko beim Einstieg, während Extended Access die Angriffsfläche vergrößern kann, wenn Sitzungen ohne erneute Prüfung weiterlaufen.
- Eine wirksame Risikomodellierung erfordert begrenzte Sitzungsdauern, durchgesetzte Minimalprivilegien und segmentierte sensible Ressourcen.
- Die Überwachung von Extended-Access-Sitzungen ist entscheidend, um laterale Bewegungen, auffälliges Verhalten und Rechteausweitung zu erkennen.
- Eine mehrschichtige Strategie verbindet Conditional Access mit eng begrenztem Extended Access, unterstützt Zero Trust und erhält die Effizienz.
Viele Unternehmen stellen mehrere Mechanismen zur Zugriffskontrolle bereit, doch deren Rollen sind in der Praxis nicht immer klar abgegrenzt. Aktuelle Erkenntnisse von Microsoft Security verdeutlichen diesen Wandel: 96 % der Unternehmen halten die Einführung von Zero Trust für entscheidend für ihren Erfolg, und 73 % planen, ihre Investitionen in den kommenden Jahren zu erhöhen. Ohne klare Abgrenzung dieser Kontrollen entstehen schnell überlappende Richtlinien, uneinheitliche Durchsetzung und eine größere Angriffsfläche.
Zwei der am häufigsten genutzten Ansätze, nämlich Conditional Access und Extended Access, erfüllen wichtige und klar unterschiedliche Aufgaben in einer Strategie für Identität und Fernzugriff, werden aber häufig gleichgesetzt. Wer den Unterschied zwischen Conditional Access und Extended Access versteht, kann Zugriffskontrollen entwerfen, die sowohl sicher als auch im Betrieb praktikabel sind.
Das setzt eine Conditional-Access-Architektur durch
Conditional-Access-Richtlinien berücksichtigen mehrere Kontextfaktoren in Echtzeit, um zu entscheiden, ob ein:e Benutzer:in Zugriff erhält und unter welchen Bedingungen. So bleiben Zugriffsentscheidungen anpassungsfähig und richten sich nach dem Risiko am Einstiegspunkt.
Dieser Mechanismus wertet für Zugriffsentscheidungen verschiedene Signale aus:
- Überprüfung der Identität und der Stärke der Authentifizierung (zum Beispiel MFA (Multi-Factor Authentication) für privilegierte Konten)
- Bewertung, ob das Gerät die Standards der Sicherheitskonformität erfüllt (zum Beispiel Zugriff nur von Geräten mit aktuellen Patches und Endpunktschutz)
- Berücksichtigung des geografischen Standorts oder Netzwerkstandorts (zum Beispiel Blockieren oder zusätzliche Prüfung von Anmeldungen aus ungewohnten Ländern)
- Auswertung berechneter Risikostufen anhand von Verhalten oder Anomalien (zum Beispiel zusätzliche Verifizierung nach ungewöhnlichen Anmeldeaktivitäten)
- Sensibilität der Anwendung oder Ressource, auf die zugegriffen wird (zum Beispiel strengere Kontrollen für Finanzsysteme als für allgemeine Tools)
Je nach ausgewerteten Signalen sind unter anderem diese Ergebnisse möglich:
- Zusätzliche Authentifizierung vor der Freigabe des Zugriffs
- Einschränkung auf eingeschränkte Funktionen oder reinen Lesezugriff
- Vollständige Blockierung des Zugriffs, wenn das Risiko als zu hoch eingestuft wird
Dafür steht das Sicherheitsmodell Extended Access
Das Modell Extended Access hingegen gibt Benutzer:innen nach der ersten Authentifizierung eine umfassendere oder länger andauernde Verbindung. Dabei stehen oft Komfort und Kontinuität über granularer Kontrolle.
In der Praxis zeigt sich Extended Access häufig in diesen Formen:
- Laufende Remote-Sitzungen, die über längere Zeiträume aktiv bleiben (zum Beispiel ein:e IT-Administrator:in mit einer durchgehenden RDP-Sitzung zur Verwaltung mehrerer Server)
- Netzwerkweite Berechtigungen, die ohne wiederholte Prüfung Zugriff auf mehrere interne Ressourcen erlauben (zum Beispiel ein:e Benutzer:in in einem internen Netzwerksegment mit Zugriff auf gemeinsam genutzte Systeme)
- Dauerhafte VPN-Verbindungen, die Benutzer:innen auch außerhalb der aktiven Arbeitszeit mit dem Unternehmensnetzwerk verbinden (zum Beispiel ein Always-on-VPN auf einem Firmen-Laptop)
- Permanenter Zugriff auf interne Systeme (zum Beispiel dauerhafter Zugriff auf Dateifreigaben oder interne Anwendungen ohne erneute Authentifizierung innerhalb der Sitzung)
Dieser Ansatz unterstützt die Produktivität, kann die Auswirkungen eines kompromittierten Kontos oder Geräts aber deutlich vergrößern, weil sowohl Dauer als auch Umfang des Zugriffs ausgeweitet werden. Dauerhafte Sitzungen geben Angreifer:innen mehr Zeit zum Handeln, und ein breiter Zugriff erlaubt ihnen, sich ohne wiederholte Prüfungen zwischen Systemen zu bewegen. Der mögliche Schaden vor der Entdeckung steigt dadurch an.
Hinweis zur Terminologie: „Extended Access“ bezieht sich in diesem Zusammenhang auf die Persistenz von Sitzungen und den Umfang der Verbindung. Nicht zu verwechseln ist das mit Extended Access Policies (XAP) oder Extended Access Management (XAM), bei denen eine tiefergehende Bewertung von Kontext und Gerät im Mittelpunkt steht.
Unterschiede in der Risikomodellierung
Conditional Access verringert die Angriffsfläche, indem Zugriffsentscheidungen auf Basis des Kontexts in Echtzeit getroffen werden. Extended Access kann sie dagegen vergrößern, wenn der Zugriff über den ursprünglichen Prüfpunkt hinaus bestehen bleibt.
Folgende Überlegungen helfen dabei, das Risiko beider Ansätze einzuschätzen:
- Ob das System den Gerätezustand fortlaufend neu bewertet
- Ob die Sitzungsdauer begrenzt ist
- Ob Situationen mit hohem Risiko automatisiert Einschränkungen auslösen
- Ob sensible Ressourcen isoliert sind
Letztlich sollte die Risikomodellierung entscheiden, ob Extended Access gerechtfertigt ist oder unnötige Angriffsfläche schafft. Dabei gilt es, Komfort gegen die möglichen Folgen einer kompromittierten Sitzung oder eines kompromittierten Geräts abzuwägen.
Transparenz und Überwachung richtig aufsetzen
Conditional Access schafft vor allem Transparenz bei der Anmeldung, indem erfasst wird, wer unter welchen Bedingungen auf ein System zugreifen will. Sobald der Zugriff gewährt ist, verlagert sich das Risiko jedoch darauf, was die Person während der Sitzung tut, insbesondere bei Extended Access. Dafür braucht es eine fortlaufende Überwachung, um die Sicherheit zu gewährleisten.
IT-Teams sollten folgende Aufgaben übernehmen, um die Kontrolle über Extended Access zu behalten:
- Erfassen, wie lange Sitzungen aktiv bleiben.
- Bewegungen zwischen Systemen erkennen.
- Beobachten, wie Ressourcen genutzt werden.
- Versuche erkennen, höhere Rechte zu erlangen.
Durchgehende Transparenz sorgt dafür, dass verdächtiges Verhalten auch nach der Anmeldung erkannt und behandelt wird. Fehlt sie, bemerken Unternehmen zwar riskante Anmeldungen, übersehen aber schädliche Aktivitäten, die nach dem gewährten Zugriff stattfinden.
Eine mehrschichtige Zugriffsstrategie entwerfen
Conditional Access und Extended Access gelten nicht als getrennte oder gegensätzliche Kontrollen. Auch wenn sie sich aus Sicherheitssicht zu widersprechen scheinen, lassen sie sich kombinieren. So entstehen mehrere Prüfpunkte, die steuern, wie Zugriff gewährt und im Lauf der Zeit genutzt wird.
Folgende Praktiken helfen, eine widerstandsfähigere und ausgewogenere Zugriffsstrategie aufzubauen:
- Conditional Access vor dem Start einer Sitzung anwenden (etwa Identität, Gerätestatus und Risikosignale bei der Anmeldung prüfen)
- Den Umfang von Extended Access begrenzen (zum Beispiel Benutzer:innen nur auf die Systeme oder Ressourcen beschränken, die sie für ihre Rolle benötigen)
- Benutzer:innen bei sensiblen Aktionen erneut zur Identitätsprüfung auffordern (etwa bei der Freigabe weitreichender Änderungen oder beim Zugriff auf kritische Daten)
- Identitätsinformationen mit der Überwachung auf Sitzungsebene verknüpfen (zum Beispiel den Anmeldekontext mit der beobachteten Aktivität während der Sitzung abgleichen)
Durch diese mehrschichtigen Kontrollen schließen Unternehmen Lücken zwischen Authentifizierung und tatsächlicher Aktivität. Das erleichtert es, Zero-Trust-Prinzipien durchzusetzen, ohne den Tagesbetrieb zu stören.
Auswirkungen auf die operative Governance
Damit Zugriffskontrollen einheitlich und beherrschbar bleiben, brauchen Unternehmen eine klare Dokumentation und festgelegte Verantwortlichkeiten dafür, wie Conditional und Extended Access angewendet werden. Diese Struktur verhindert, dass Richtlinien zersplittern oder schwer durchsetzbar werden.
Legen Sie diese Elemente im Rahmen der Governance klar fest:
- Rollen, denen Extended Access erlaubt ist
- Vorgaben zur Sitzungsdauer
- Bedingungen, die Zugriffsentscheidungen auslösen
- Verfahren für den Umgang mit Zugriffsproblemen
Eine starke Governance beugt uneinheitlichen Konfigurationen vor. Sie stellt außerdem sicher, dass Zugriffsrichtlinien einheitlich angewendet werden, auch wenn Umgebungen wachsen und sich verändern.
Welcher Ansatz eignet sich wann?
Die Wahl zwischen beiden Strategien hängt von mehreren Faktoren ab, etwa vom Risikoniveau, den betrieblichen Anforderungen und der Sensibilität der betroffenen Ressourcen. Jeder Ansatz passt zu anderen Szenarien, und der richtige Einsatz vermeidet unnötige Angriffsfläche.
Folgende Leitlinien helfen bei der Wahl der passenden Strategie:
- Conditional Access genügt, wenn der Zugriff bereits am Einstiegspunkt eng kontrolliert werden muss.
- Extended Access eignet sich, wenn Benutzer:innen eine dauerhafte Verbindung benötigen.
- Conditional Access sollte verschärft werden, wenn die Risikosignale hoch sind.
- Extended Access sollte bei hochsensiblen Systemen begrenzt oder vermieden werden, weil dauerhafter oder breiter Zugriff die möglichen Auswirkungen vergrößert.
In den meisten Umgebungen zahlt sich die Kombination beider Ansätze aus. Nutzen Sie Conditional Access, um den Einstieg zu kontrollieren, und begrenzen Sie Extended Access sorgfältig auf das betrieblich Notwendige.
Flexibilität beim Zugriff und Risikomanagement in Balance bringen
Eine durchdachte Zugriffsstrategie legt fest, wer hereindarf, wie weit der Zugriff reicht und wie lange er bestehen bleibt. Conditional Access und Extended Access lösen unterschiedliche Probleme. Werden sie gezielt gemeinsam eingesetzt, können Unternehmen praxistaugliche und gut begründbare Zugriffsentscheidungen treffen. Mit der Zeit entsteht so eine kontrolliertere und transparentere Umgebung, in der der Zugriff stets zum tatsächlichen Risiko passt.
Verwandte Themen:
