Entra ID: Wer hat hier eigentlich die Schlüssel?

Microsofts Entra ID ist weltweit das meistgenutzte Produkt für Identitäts- und Zugriffsmanagement. Um die Identitäten gut abzusichern und der Welt kein offenes Scheunentor zu bieten, hat sich die Methode der Selbstaudits bewährt. Lukas Petzi, einer der Titelautoren der neuen iX 11/2026, erklärt im Interview, was in die Bestandsaufnahme gehört und welche Prüfstandards dabei wirklich helfen. Er ist als Consultant für Cybersecurity und Incident Response bei der Corporate Trust GmbH auf die digitale Forensik und die Bearbeitung von IT-Sicherheitsvorfällen spezialisiert.

Was macht Entra ID so anfällig für schwer erkennbare Fehlkonfigurationen und wie können Selbstaudits Abhilfe schaffen?

Entra ID ist kein einfaches Benutzerverzeichnis, sondern ein vernetztes System aus menschlichen und technischen Identitäten, Rollen, Gruppen, Anwendungen, Dienstprinzipalen und Richtlinien. Kritische Risiken entstehen deshalb nicht nur aus offensichtlichen Fehlkonfigurationen oder Überberechtigungen, sondern durch das Zusammenspiel mehrerer unauffälliger Berechtigungen. So kann ein Benutzer oder Dienstprinzipal ohne administrative Verzeichnisrolle eine hochprivilegierte Anwendung kontrollieren und dadurch deren Anmeldeinformationen oder Konfiguration beeinflussen. Selbstaudits machen solche effektiven Berechtigungen, Ausnahmen und Eskalationspfade sichtbar.

Wer bislang noch kein Entra-ID-Selbstaudit durchgeführt hat: Mit welchen drei Fragen sollte die erste Bestandsaufnahme beginnen?

Die erste Frage sollte sein: Wer oder was besitzt privilegierten Zugriff? Dazu zählen Administratoren, privilegierte Gruppen, Anwendungen, Dienstprinzipale, Managed Identities sowie aktive und über PIM aktivierbare Rollen. Darauf folgt: Welche Schutzmechanismen greifen tatsächlich? Zu prüfen sind insbesondere MFA, Conditional Access, Notfallkonten. Und: Gibt es noch veraltete Authentifizierungsverfahren und bestehende Ausnahmen? Dann ist zu klären: Welche indirekten Beziehungen können Kontrolle über den Mandanten ermöglichen? Relevant sind weitreichende Graph-Berechtigungen, Administratorzustimmungen, Eigentümerschaften über Unternehmensanwendungen sowie nicht mehr benötigte, unzureichend geschützte oder unangemessen lange gültige Anmeldeinformationen.

Wie weit kommt man beim Audit mit Microsofts Bordmitteln und wo liegen ihre Grenzen?

Für eine erste Bestandsaufnahme kommt man mit dem Identity Secure Score und Microsoft Secure Score relativ weit. Sie zeigen offensichtliche Schwachstellen und priorisierte Härtungsempfehlungen. Transitive Berechtigungen, hybride Abhängigkeiten und vollständige Angriffspfade werden in den Score-Ansichten nicht systematisch als zusammenhängendes Risikomodell dargestellt. Microsoft weist selbst darauf hin, dass nicht jede Empfehlung für jede Umgebung geeignet ist und Sicherheit gegen Nutzbarkeit und Betriebsanforderungen abgewogen werden muss.

Welche Standards helfen besonders gut bei der Aufgabe?

Besonders hilfreich sind die CISA-SCuBA-Baselines und der CIS Microsoft 365 Foundations Benchmark. SCuBA übersetzt typische Bedrohungen in konkrete, cloudnahe Konfigurationsanforderungen. Der CIS Benchmark bietet einen konsensbasierten, klar strukturierten Prüfmaßstab und erleichtert die nachvollziehbare Dokumentation. Beide ergänzen sich, ersetzen aber nicht die individuelle Risikobewertung. In hybriden Umgebungen müssen zusätzlich das lokale Active Directory, Synchronisationsdienste und föderierte Anmeldeverfahren betrachtet werden.

Sie plädieren für regelmäßige, möglichst automatisierte Prüfungen. Welche Veränderungen im laufenden Betrieb machen eine einmalige Prüfung so schnell überholt?

Entra ID verändert sich laufend: Rollen und Gruppenmitgliedschaften werden angepasst, Anwendungen und Dienstprinzipale angelegt, Zustimmungen erteilt, Anmeldeinformationen erneuert und Conditional-Access- oder PIM-Richtlinien geändert. Hinzu kommen organisatorische Wechsel, verwaiste Anwendungen und temporäre Ausnahmen, die dauerhaft bestehen bleiben. Ein klassisches Beispiel ist ein Mitarbeiter, der aufgrund technischer Probleme mit seinem Smartphone die Zwei-Faktor-Authentifizierung nicht nutzen kann und deshalb vorübergehend von bestimmten Anforderungen ausgenommen wird, um weiterhin dringende E-Mails versenden zu können. Im Fokus steht dann meist die Behebung des technischen Problems, während die spätere Rücknahme der Ausnahme im Tagesgeschäft leicht übersehen wird. Eine einmalige Prüfung ist daher nur eine Momentaufnahme. Regelmäßige, möglichst automatisierte Kontrollen zeigen dagegen, was sich seit dem letzten Lauf verändert hat, und machen Konfigurationsdrift oder neue privilegierte Pfade frühzeitig sichtbar.

Herr Petzi, vielen Dank für das Interview!

Wollen auch Sie wissen, wie Sie das Entra ID möglichst gut absichern können? Einen ausführlichen Einblick in die Praxis bietet die neue iX, die ab sofort erhältlich ist. Einen Start bieten Wie man Microsofts Entra ID mit Conditional Access Policies absichert und Authentifizierung per Passkey in Entra ID anpassen und nutzen. Weitere Themen des November-Hefts sind ITSM-Tools für jeden Bedarf im Marktüberblick, Wie Künstliche Intelligenz die DevOps-Transformation beeinflusst und die Netzwerkanalyse mit Wireshark.