Die meisten Unternehmen brauchen verlässliche Prozesse zum Schutz digitaler Identitäten. Für Managed Service Provider (MSPs) und IT-Fachleute, die technologieabhängige Kund:innen betreuen, ist es entscheidend, Sicherheitsstrategien anzubieten, die zuverlässig schützen, ohne zu komplex oder zu teuer zu werden.
Lesen Sie weiter und erfahren Sie, wie Sie Ihre Kund:innen bei der Wahl zwischen Conditional Access, MFA und Sicherheitsstandards unterstützen.
Ein Entscheidungsrahmen für die Auswahl von Tools für das Identitäts- und Zugriffsmanagement
Ein starker Identitätsschutz ist im Geschäftsalltag immer wichtig. Allerdings braucht nicht jedes Unternehmen die fortschrittlichsten Sicherheitstools. Je nach Rahmenbedingungen profitieren manche eher von einfachen Kontrollen, während andere eine granulare Durchsetzung nach Gerät, Standort oder Benutzerrisiko benötigen.
Der Unterschied zwischen MFA, Sicherheitsstandards und Conditional Access
Stellen Sie zuallererst sicher, dass Ihre Kund:innen die Unterschiede zwischen Sicherheitsstandards, MFA und Conditional Access verstehen.
| Option | Zusammenfassung | Wichtige Funktionen |
| Sicherheitsstandards | Eine vorkonfigurierte Basislinie, die sich mit einem Klick aktivieren lässt und wesentliche Schutzmaßnahmen in Microsoft 365-Tenants einschaltet |
|
| MFA (Multi-Factor Authentication) | Durchsetzung von MFA bei der Anmeldung für bestimmte Benutzer:innen oder Gruppen |
|
| Conditional Access (CA) | Fortgeschrittene, kontextabhängige Zugriffsrichtlinien, die in Azure AD Premium P1/P2 oder Microsoft 365 Business Premium enthalten sind |
|
Stärken und Kompromisse der einzelnen Optionen
Damit Kund:innen leichter entscheiden können, was besser zu ihrem Unternehmen passt, zeigen Sie ihnen die Vor- und Nachteile aller Optionen. So lassen sich die Erwartungen frühzeitig klären.
| Funktion | Sicherheitsstandards | MFA | CA |
| Administrativer Aufwand | Sehr gering | Mittel (Konfiguration pro Benutzer:in) | Hoch (Richtlinien müssen entworfen werden) |
| Granularität | Keine | Minimal | Sehr hoch |
| Flexibilität | Keine | Gering | Hoch |
| Lizenzierung | Kostenlos | Kostenlos | Erfordert P1/P2 oder M365 BP |
Bereitschaft und Risiko der Kund:innen einschätzen
Bevor Sie eine Option empfehlen, sollten Sie außerdem die individuelle Umgebung Ihrer Kund:innen bewerten. Nur so passt die gewählte Lösung zu den betrieblichen Anforderungen und Geschäftszielen.
Einige zentrale Fragen dazu:
- Gibt es regulatorische Vorgaben und Compliance-Anforderungen?
Branchen wie Gesundheitswesen, Finanzwesen und öffentliche Verwaltung unterliegen häufig strengen Vorgaben wie HIPAA, PCI-DSS und ISO 27001. Hier ist Conditional Access oft besser geeignet, weil es eine risikobasierte Durchsetzung ermöglicht und stärkere Funktionen für Berichterstattung und Auditierung bietet.
- Umfassen die Arbeitskräfte Remote-Mitarbeiter:innen, BYOD-Richtlinien oder Gastzugriffe?
Ein kleines, im Büro arbeitendes Team kommt mit Sicherheitsstandards gut zurecht. Arbeiten die Beschäftigten jedoch remote, nutzen sie eigene Geräte (BYOD) oder arbeiten sie häufig mit Gästen oder Partnern zusammen, sind unter Umständen komplexere Sicherheitstools für einen ausreichenden Schutz nötig.
- Nutzen sie bereits Microsoft 365 Business Premium oder E5?
Kund:innen mit Microsoft 365 Business Premium oder E5 können erweiterte Sicherheitsfunktionen wie Conditional Access und integrierte MFA nutzen, ohne für eine granularere Steuerung zusätzliche Lizenzen zu kaufen.
- Steht eine möglichst reibungslose Benutzererfahrung im Vordergrund?
Sicherheitsstandards lassen sich einfacher aktivieren, erlauben aber keine Ausnahmen oder abgestuften Richtlinien, was Benutzer:innen frustrieren kann. MFA kann den Zugriff verlangsamen, doch die meisten Benutzer:innen gewöhnen sich mit der Zeit daran. Conditional Access verringert die Reibung weiter, indem MFA nur dann abgefragt wird, wenn es wirklich nötig ist.
Der Weg zur Implementierung
Es ist immer sinnvoll, diese Aufgabe in Phasen anzugehen, um Sicherheit und Kontrolle in Einklang zu bringen.
Phase 1: Mit Sicherheitsstandards beginnen
Sicherheitsstandards ermöglichen es Admins, MFA für alle Benutzer:innen zu aktivieren und veraltete Authentifizierung mit einem einzigen Schalter zu blockieren. Das passt zu kleinen Unternehmen, Start-ups oder neuen Microsoft 365-Tenants.
Phase 2: Zu MFA pro Benutzer:in wechseln
Reichen die Standards nicht aus, bietet eine selektive MFA-Durchsetzung gezielteren Schutz für risikoreiche Benutzer:innen, etwa Admin-Konten oder das Finanzteam. Entscheidend ist dabei die Überwachung auf Abweichungen und übersehene Konten, denn eine manuelle Konfiguration kann zu einer uneinheitlichen Durchsetzung führen.
Phase 3: Auf Conditional Access umsteigen
Conditional Access eignet sich am besten für größere Unternehmen, regulierte Branchen und Teams, die vorrangig remote arbeiten. Es bietet kontextbewusste Sicherheit, die sich an Benutzerverhalten und erkannte Risiken anpasst. Damit lässt sich:
- MFA nur bei Bedarf erzwingen (z. B. wenn sich Benutzer:innen von unbekannten Standorten anmelden)
- der Zugriff auf sensible Daten von nicht verwalteten oder nicht konformen Geräten blockieren
- der Einsatz starker Authentifizierungsmethoden vorschreiben (z. B. FIDO2-Schlüssel, Windows Hello)
Typische Fehler vermeiden
Es besteht immer das Risiko, die Identitätssicherheit falsch zu konfigurieren. Das kann den Schutz schwächen, Benutzer:innen aus ihren Konten aussperren und administrative Probleme verursachen. Diese zwei häufigen Fehler sollten Sie vermeiden.
- Kombinieren Sie MFA pro Benutzer:in nicht mit Conditional Access.
Deaktivieren Sie beim Umstieg auf CA zuerst die MFA pro Benutzer:in. Sind beide gleichzeitig aktiv, kann es nämlich zu Konflikten kommen, zum Beispiel:
- Benutzer:innen werden zweimal zur MFA aufgefordert
- CA-Richtlinien werden überschrieben oder ignoriert
- Zugriffsprobleme lassen sich nur schwer eingrenzen
- Richten Sie immer ein „Break-Glass“-Konto ein.
Ein Break-Glass-Konto ist ein besonders gut gesichertes Notfall-Admin-Konto, das von allen CA- und MFA-Richtlinien ausgenommen ist. Es kommt zum Einsatz, wenn die üblichen Zugriffswege versagen. Ein solches Konto verhindert eine vollständige Aussperrung und stellt sicher, dass IT-Admins die Kontrolle zurückgewinnen und Probleme beheben können, ohne auf externe Wiederherstellungswege angewiesen zu sein. Schützen Sie das Konto unbedingt mit phishing-resistenter Authentifizierung (z. B. FIDO2-Schlüssel, Smartcard).
So kommunizieren Sie mit Kund:innen
Entscheidend ist, diese Konzepte verständlich zu erklären, besonders gegenüber Kund:innen ohne tiefen technischen Hintergrund. Mit diesen Tipps kommunizieren Sie besser, ohne mit Fachjargon zu überfordern.
- MFA ist der Sicherheitsgurt.
Erklären Sie, dass MFA 99,9 % der Versuche zur Kontokompromittierung blockiert, so wie ein Sicherheitsgurt Fahrer:innen bei einem Unfall schützt.
- CA ist das Navigationssystem.
Ein Navi passt die vorgeschlagene Route an Verkehr und Standort an. Genauso passen Conditional-Access-Richtlinien die Schutzmaßnahmen daran an, wer sich anmeldet, von wo und mit welchem Gerät.
- Sicherheitsstandards sind die ab Werk verbaute Schließanlage.
Diese Einrichtung mit einem Klick bietet sofortigen Schutz, genau wie das serienmäßige Schließsystem eines Neuwagens.
Ideen für die Integration mit NinjaOne
NinjaOne verwaltet Identitätsrichtlinien zwar nicht direkt, hilft aber dabei, dass sie wirksam und umsetzbar sind.
| Funktion | Unterstützt | Was sie leistet |
| Endpunkt-Compliance verfolgen | Conditional Access | Prüft Gerätezustand, Patch-Status, Virenschutz und Verschlüsselung |
| Registry oder vorhandenen Agenten prüfen | Validierung der Gerätevertrauenswürdigkeit | Bestätigt, dass der NinjaOne-Agent installiert und die Systemeinstellungen sicher sind |
| Nicht konforme Rechner markieren | Durchsetzung von Richtlinien | Kennzeichnet riskante Geräte und löst automatisierte Behebung oder Alarmierungen aus |
| Fortschritt der Richtlinien berichten | Sicherheitsüberblick für Kund:innen | Zeigt, welche Tenants von MFA auf Conditional Access umgestellt haben |
Kund:innen zu einem widerstandsfähigen Identitätsschutz verhelfen
Für die richtige Strategie zum Schutz digitaler Identitäten zählen immer die geschäftlichen Anforderungen und die Benutzererfahrung. Außerdem sollten MSPs stets schrittweise vorgehen und gut mit ihren Kund:innen kommunizieren, um Missverständnisse zu vermeiden.
Mit NinjaOne lässt sich dieser Rahmen für alle Beteiligten deutlich einfacher und entspannter aufbauen.
Verwandte Themen:
- So richten Sie MFA (Multi-Factor Authentication) in Office 365 ein
- So konfigurieren Sie Conditional-Access-Richtlinien in Azure AD
- (Video-Anleitung) So setzen Sie alle lokalen Sicherheitsrichtlinien in Windows auf die Standardwerte zurück
- So testen Sie Conditional Access für privilegierte Benutzer:innen sicher, ohne Aussperrungen zu riskieren
- (Video-Anleitung) So testen Sie Conditional Access für privilegierte Benutzer:innen sicher, ohne Aussperrungen zu riskieren
