Conditional Access: Zugriff nach Bedingungen statt einfachem Ja oder Nein

Zugriff ist keine reine Ja-oder-Nein-Frage mehr

Lange lief die Anmeldung schlicht: richtiger Benutzername, richtiges Passwort, Tür auf. Das Problem daran zeigt sich, sobald ein Passwort gestohlen wurde. Für das System sieht der Angreifer dann genauso legitim aus wie die echte Mitarbeiterin – ein einziges Geheimnis entscheidet über alles.

Conditional Access, auf Deutsch „bedingter Zugriff”, ersetzt dieses starre Ja oder Nein durch eine Prüfung der gesamten Situation. Bei jeder Anmeldung fragt das System nicht nur „Stimmt das Passwort?”, sondern: Passt die ganze Situation zu dem, was wir von diesem Nutzer erwarten? Ergibt sich ein stimmiges Bild, geht es reibungslos weiter. Fällt etwas aus dem Rahmen, wird nachgehakt oder blockiert.

Wie Conditional Access entscheidet

Grundlage sind Signale, die bei jeder Anmeldung ausgewertet werden. Die wichtigsten sind:

• Der Nutzer. Um welches Konto geht es, und welche Rolle hat es? Für die Geschäftsführung oder Administratoren gelten oft strengere Regeln.
• Das Gerät. Ist es zentral verwaltet, aktuell und verschlüsselt – oder ein unbekanntes Privatgerät?
• Der Standort. Kommt die Anmeldung aus dem gewohnten Land oder plötzlich aus einer ganz anderen Region?
• Das Risiko. Wirkt der Anmeldeversuch verdächtig, etwa nach vielen Fehlversuchen oder aus einem auffälligen Netzwerk?

Aus diesen Signalen folgt eine von drei Reaktionen: den Zugriff erlauben, ihn zusätzlich absichern (etwa durch eine MFA-Abfrage) oder ihn blockieren. So wird aus einem simplen Türschloss eine kluge Kontrolle, die den Aufwand nur dann erhöht, wenn es nötig ist.

Regeln aus der Praxis

Wie das konkret aussieht, machen ein paar typische Beispiele deutlich. Eine Anmeldung vom verwalteten Firmennotebook im gewohnten Land läuft ohne Zusatzabfrage durch. Kommt derselbe Zugriff dagegen von einem unbekannten Gerät, wird zusätzlich eine Multi-Faktor-Authentifizierung verlangt. Ein Anmeldeversuch aus einer Region, in der das Unternehmen gar nicht tätig ist, wird von vornherein blockiert. Und für besonders sensible Zugänge lässt sich festlegen, dass ausschließlich verwaltete, geprüfte Geräte überhaupt zugelassen sind.

Der Reiz liegt darin, dass diese Regeln automatisch greifen. Niemand muss im Einzelfall entscheiden – das Regelwerk zieht die Grenze bei jeder Anmeldung aufs Neue.

Ein Kernstück von Zero Trust

Conditional Access ist die praktische Umsetzung des Leitgedankens von Zero Trust: Vertrauen wird nie vorausgesetzt, sondern bei jedem Zugriff neu geprüft. Ohne ein solches Regelwerk bliebe Zero Trust eine Absichtserklärung; mit ihm wird die Prüfung tatsächlich bei jeder Anmeldung durchgesetzt.

Damit das im Alltag trägt, müssen die Regeln durchdacht sein und die Geräte zuverlässig als verwaltet erkannt werden – sonst sperrt man entweder die eigenen Leute aus oder lässt zu viel durch. Bei kjello greifen diese Teile ineinander: Über Managed Intune sind die Geräte zentral verwaltet und damit für die Zugriffsregeln überhaupt bewertbar, während die Regeln selbst als Teil von Sicherheit und Compliance bei kjello eingerichtet und gepflegt werden. Betreut wird das Ganze vom Systemhaus hagel IT, damit sich im Unternehmen niemand selbst mit den Feinheiten der Konfiguration befassen muss.