Was ist Microsoft Entra ID?

Entra ID einfach erklärt

Stellen Sie sich einen großen Bürokomplex vor. Am Eingang sitzt ein Empfang, der Ausweise prüft und Zugangskarten ausgibt. Mit der Karte öffnen sich genau die Türen, für die man berechtigt ist. Die Hausordnung legt fest, wer wann welche Räume betreten darf. Microsoft Entra ID ist dieser Empfang – für Ihre Cloud-Anwendungen.

Jedes Unternehmen hat in Entra ID einen eigenen, abgeschotteten Bereich, den sogenannten Mandanten (englisch Tenant). Dort liegen Benutzerkonten, Gruppen, Gastzugänge und die Regeln für den Zugriff. Wer sich bei Microsoft 365 anmeldet, etwa für E-Mail oder Dateiablage, meldet sich in Wahrheit bei Entra ID an.

Trotz des früheren Namens ist Entra ID kein „Active Directory in der Cloud“. Das klassische Active Directory läuft auf eigenen Servern im Firmennetz und nutzt Protokolle wie Kerberos. Entra ID arbeitet dagegen mit Web-Standards wie OAuth 2.0, OpenID Connect und SAML. Diese Verfahren erlauben es Anwendungen, sich die Anmeldung von einem zentralen Dienst bestätigen zu lassen.

So funktioniert Entra ID

1. Anmeldung: Eine Person gibt Benutzername und Passwort ein und bestätigt idealerweise mit einem zweiten Faktor, etwa per App oder Sicherheitsschlüssel.
2. Prüfung: Entra ID prüft die Angaben und wendet Regeln für den bedingten Zugriff (Conditional Access) an: Ist das Gerät bekannt? Woher kommt die Anmeldung? Wurde die Multi-Faktor-Authentifizierung (MFA) erfüllt?
3. Token: Passt alles, stellt Entra ID ein digitales Zugangsticket aus, ein sogenanntes Token. Damit öffnen sich angebundene Anwendungen ohne erneute Anmeldung – das Prinzip des Single Sign-On.
4. Rollen: Administratorrollen legen fest, wer was verwalten darf. Die mächtigste ist der „Globale Administrator“, der praktisch alles im Mandanten ändern kann.
5. Anwendungen: Auch Programme erhalten Identitäten und Berechtigungen, etwa um auf Postfächer oder Dateien zuzugreifen. Man spricht von App-Registrierungen.
6. Synchronisation: In vielen Unternehmen gleicht Microsoft Entra Connect die Konten aus dem lokalen Active Directory mit der Cloud ab. Diese hybride Identität verbindet beide Welten – im Guten wie im Schlechten.

Ein Beispiel aus der Praxis

Ein typisches Szenario: Ein Ingenieurbüro nutzt Microsoft 365, MFA ist für alle Beschäftigten aktiv. Mit einer Ausnahme: Das Konto, über das der Multifunktionsdrucker Scans per E-Mail versendet, wurde von der Regel ausgenommen. Sein Passwort ist schwach. Bei einem Passwort-Spraying, bei dem Angreifer gängige Passwörter bei vielen Konten durchprobieren, passt es.

Im Postfach des Kontos findet der Angreifer eingescannte Rechnungen. Er verschickt im Namen des Büros gefälschte Rechnungen mit geänderter Bankverbindung an Kunden. Die anschließende Prüfung zeigt weitere Schwächen: zu viele globale Administratoren, darunter das Konto eines ehemaligen Mitarbeiters, und eine alte App mit Lesezugriff auf alle Postfächer.

Warum ist das für Unternehmen wichtig?

Für viele Unternehmen ist Entra ID der zentrale Schlüssel zu E-Mails, Dateien, Chats, Cloud-Ressourcen und weiteren Anwendungen. Wer ein Konto übernimmt, gelangt direkt an Daten – ganz ohne Zugang zum Firmennetz. Und weil der Dienst über das Internet erreichbar ist, können Angreifer weltweit Anmeldeversuche starten.

Viele Risiken entstehen durch die Konfiguration im eigenen Mandanten. Dafür ist das Unternehmen selbst verantwortlich, nicht Microsoft. Typisch sind MFA, die nicht durchgängig erzwungen wird, Ausnahmen im bedingten Zugriff, veraltete Anmeldeverfahren ohne MFA, zu viele globale Administratoren, App-Registrierungen mit übermäßigen Rechten und vergessene Gastkonten. Hinzu kommt der Diebstahl von Tokens über Phishing-Seiten, die sich unbemerkt zwischen Opfer und echte Anmeldeseite schalten. Einfache MFA-Verfahren schützen davor nicht zuverlässig.

Bei hybriden Umgebungen hängen beide Welten zusammen: Wer das lokale Active Directory kompromittiert, kann über die Synchronisation unter Umständen auch die Cloud angreifen – und umgekehrt.

So schützen Sie sich

• MFA ohne Lücken: Erzwingen Sie MFA für alle Konten. Bevorzugen Sie phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys, die auf gefälschten Anmeldeseiten nicht funktionieren – mindestens für Administratoren.
• Veraltete Verfahren sperren: Blockieren Sie Anmeldeprotokolle, die keine MFA unterstützen.
• Ausnahmen prüfen: Dokumentieren Sie jede Ausnahme im bedingten Zugriff und überprüfen Sie sie regelmäßig.
• Adminrechte begrenzen: Vergeben Sie die Rolle „Globaler Administrator“ nur an wenige, getrennte Admin-Konten und hinterlegen Sie Notfallkonten sicher.
• Apps und Gäste kontrollieren: Prüfen Sie die Berechtigungen von App-Registrierungen und entfernen Sie verwaiste Gast- und Benutzerkonten.
• Synchronisation absichern: Schützen Sie den Server mit Entra Connect so streng wie Ihre Domänencontroller, die zentralen Anmeldeserver des Active Directory.
• Protokolle auswerten: Überwachen Sie Anmelde- und Änderungsprotokolle auf Auffälligkeiten.

Wie Rootsektor unterstützt

Im Microsoft 365 & Azure Review prüfen wir Ihren Mandanten auf Fehlkonfigurationen – von Entra ID und Conditional Access über E-Mail und Dateiablage bis zu Ihren Azure-Ressourcen. Dafür genügen lesende Rechte; wir verändern keine Einstellungen. Hybride Umgebungen betrachten wir auf Wunsch gemeinsam mit einer Active-Directory-Analyse. Ihr Festpreisangebot erhalten Sie nach dem Scoping innerhalb von 24 Stunden (an Werktagen) über unser Pentest-Angebot.