Glossar · einfach erklärt

Conditional Access

Conditional Access entscheidet je Anmeldung nach Kontext: Wer, von welchem Gerät, von wo, mit welchem Risiko?

Conditional Access (bedingter Zugriff) macht Zugriffsentscheidungen kontextabhängig: Statt einer pauschalen Anmeldung bewertet jede Zugriffsanfrage Signale wie Identität, Gerätestatus, Standort, Anwendung und Risikobewertung — und die Richtlinie entscheidet: zulassen, zusätzliche Prüfung verlangen oder blockieren.

Das ist Zero Trust in der Praxis: Vertrauen ist keine Eigenschaft des Netzwerks mehr, sondern das Ergebnis einer Prüfung — bei jeder Anmeldung neu.

Wie funktionieren Conditional-Access-Richtlinien?

Eine Richtlinie kombiniert Bedingungen und Kontrollen: Wenn ein Nutzer der Finanzgruppe (Bedingung) von einem nicht verwalteten Gerät (Bedingung) auf das ERP zugreift (Bedingung), dann verlange phishing-resistente MFA und blockiere Downloads (Kontrollen). Signale liefern IdP, Geräteverwaltung und Risiko-Engines — etwa unmögliche Reisewege oder bekannt kompromittierte Zugangsdaten.

Wirksame Regelwerke bleiben klein und klar: wenige, gut begründete Richtlinien mit definierten Ausnahmen schlagen einen Wildwuchs aus Spezialfällen, den niemand mehr überblickt. Der Einstieg gelingt im Report-only-Modus, der Auswirkungen zeigt, bevor Regeln scharf schalten.

Typische Richtlinien in der Praxis

MFA oder Passkey verpflichtend für alle — phishing-resistent für Administratoren.
Zugriff auf sensible Anwendungen nur von verwalteten, konformen Geräten.
Blockade veralteter Anmeldeverfahren ohne moderne Prüfmöglichkeiten.
Risikoanmeldungen: Zusatzprüfung oder Sperre bei Anomalien.

Häufige Fragen zu Conditional Access

Was prüft Conditional Access konkret?

Je nach Plattform: Identität und Gruppen, Gerätestatus und Konformität, Standort und Netzwerk, Ziel-Anwendung, Sitzungs- und Anmelderisiko. Aus diesen Signalen entscheidet die Richtlinie pro Zugriff — zulassen, verschärfen oder blockieren.

Ist Conditional Access dasselbe wie MFA?

Nein — MFA ist eine der möglichen Kontrollen, die Conditional Access situativ anfordert. Der Mehrwert liegt in der Abstufung: Routinezugriffe bleiben reibungslos, riskante Konstellationen bekommen Zusatzprüfungen oder werden gestoppt.

Wie starte ich ohne Betriebsstörungen?

Im Beobachtungsmodus: Richtlinien zunächst nur protokollieren lassen, Auswirkungen analysieren, Ausnahmen definieren — dann gruppenweise scharf schalten, beginnend mit Administratoren. Ein Notfallkonto außerhalb der Regeln verhindert das Selbstaussperren.

Funktioniert Conditional Access auch für interne Anwendungen?

Ja — über ZTNA: Plattformen wie Cloudflare Access setzen dieselbe kontextbasierte Prüfung vor interne Anwendungen, inklusive Gerätestatus. So gilt ein einheitliches Regelwerk für SaaS und Eigenbetrieb — ein Kernversprechen von Zero Trust.

Was bedeutet Gerätekonformität als Bedingung?

Die Geräteverwaltung (MDM/UEM) meldet, ob ein Gerät den Vorgaben entspricht — verschlüsselt, gepatcht, mit aktivem Schutz. Richtlinien knüpfen Zugriff daran: Sensible Daten nur auf Geräten, deren Zustand das Unternehmen kennt und kontrolliert.

Offene Fragen zu „Conditional Access“ in Ihrer Umgebung? KAEMI berät Sie anforderungsorientiert und übernimmt auf Wunsch auch das laufende Management.