Welche Conditional-Access-Richtlinien sind aktiv, deaktiviert oder im Report-only-Modus?
Der Auditlauf liest den Richtlinienbestand über Microsoft Graph. Er unterscheidet aktive, deaktivierte und im Report-only-Modus betriebene Richtlinien. Damit werden veraltete Entwürfe und noch nicht erzwungene Regeln sichtbar.
Die Anzahl und der Status der Richtlinien beweisen keine lückenlose kombinierte Abdeckung aller Anmeldeszenarien.
Welche Zugriffe werden technisch bewertet?
- MFA-Schutz für privilegierte Rollen und weitere Benutzer
- Schutz von Microsoft-Administrationsportalen
- Blockierung veralteter Authentifizierungsprotokolle
- Anforderungen an konforme oder verwaltete Geräte für sensible Zugriffe
- erkennbare Conditional-Access-Ausnahmen möglicher Notfallzugriffskonten
Workload-Identity Conditional Access erfordert im aktuellen Katalog einen manuellen, lizenzabhängigen Nachweis.
Welche Benutzer oder Gruppen sind von Richtlinien ausgenommen?
M365 Audit macht erkennbare Ausschlüsse in den ausgewerteten Richtlinien sichtbar. Ob eine Ausnahme fachlich notwendig, ausreichend kompensiert und zeitlich begrenzt ist, muss anschließend durch die verantwortliche Stelle bewertet werden.
Für Notfallkonten kann eine Ausnahme erforderlich sein. Sie sollte jedoch mit Zweck, verantwortlicher Person, Überwachung und regelmäßigem Funktionstest dokumentiert werden.
Report-only ist ein Testzustand und noch keine erzwungene Schutzmaßnahme.
Microsoft stellt den Report-only-Modus bereit, um die Auswirkung vieler Conditional-Access-Richtlinien vor der Aktivierung zu untersuchen. M365 Audit erfasst den Richtlinienstatus, wertet derzeit aber keine vollständigen Anmeldeprotokolle aus. Die tatsächliche Wirkung auf konkrete Anmeldungen muss deshalb zusätzlich in Entra ID geprüft werden.
Microsoft erläutert die Auswertung im Leitfaden zum Conditional-Access-Report-only-Modus.
Ein Richtlinieninventar ist noch kein vollständiger Wirksamkeitsnachweis.
- Kombinationen mehrerer Richtlinien können die tatsächliche Wirkung verändern.
- Gruppenmitgliedschaften, Ausschlüsse und Ressourcenumfang benötigen eine fachliche Kontrolle.
- Fehlende Lizenzen oder Leseberechtigungen reduzieren die Prüfabdeckung.
- Änderungen an Conditional Access werden vom Auditwerkzeug nicht automatisch umgesetzt.
Feststellung, Risiko und Abschlussnachweis bleiben miteinander verbunden.
Der Demobericht zeigt Status, Datenbasis, technische Einordnung und empfohlene Maßnahme pro Kontrolle. Nicht bewertbare Punkte erscheinen als Prüflücke und nicht als positives Ergebnis.