Glossar · einfach erklärt

Conditional Access

Conditional Access entscheidet je Anmeldung nach Kontext: Wer, von welchem Gerät, von wo, mit welchem Risiko?

Conditional Access (bedingter Zugriff) macht Zugriffsentscheidungen kontextabhängig: Statt einer pauschalen Anmeldung bewertet jede Zugriffsanfrage Signale wie Identität, Gerätestatus, Standort, Anwendung und Risikobewertung — und die Richtlinie entscheidet: zulassen, zusätzliche Prüfung verlangen oder blockieren.

Das ist Zero Trust in der Praxis: Vertrauen ist keine Eigenschaft des Netzwerks mehr, sondern das Ergebnis einer Prüfung — bei jeder Anmeldung neu.

Wie funktionieren Conditional-Access-Richtlinien?

Eine Richtlinie kombiniert Bedingungen und Kontrollen: Wenn ein Nutzer der Finanzgruppe (Bedingung) von einem nicht verwalteten Gerät (Bedingung) auf das ERP zugreift (Bedingung), dann verlange phishing-resistente MFA und blockiere Downloads (Kontrollen). Signale liefern IdP, Geräteverwaltung und Risiko-Engines — etwa unmögliche Reisewege oder bekannt kompromittierte Zugangsdaten.

Wirksame Regelwerke bleiben klein und klar: wenige, gut begründete Richtlinien mit definierten Ausnahmen schlagen einen Wildwuchs aus Spezialfällen, den niemand mehr überblickt. Der Einstieg gelingt im Report-only-Modus, der Auswirkungen zeigt, bevor Regeln scharf schalten.

Typische Richtlinien in der Praxis

MFA oder Passkey verpflichtend für alle — phishing-resistent für Administratoren.
Zugriff auf sensible Anwendungen nur von verwalteten, konformen Geräten.
Blockade veralteter Anmeldeverfahren ohne moderne Prüfmöglichkeiten.
Risikoanmeldungen: Zusatzprüfung oder Sperre bei Anomalien.

Häufige Fragen zu Conditional Access

Was prüft Conditional Access konkret?

Je nach Plattform: Identität und Gruppen, Gerätestatus und Konformität, Standort und Netzwerk, Ziel-Anwendung, Sitzungs- und Anmelderisiko. Aus diesen Signalen entscheidet die Richtlinie pro Zugriff — zulassen, verschärfen oder blockieren.

Ist Conditional Access dasselbe wie MFA?

Nein — MFA ist eine der möglichen Kontrollen, die Conditional Access situativ anfordert. Der Mehrwert liegt in der Abstufung: Routinezugriffe bleiben reibungslos, riskante Konstellationen bekommen Zusatzprüfungen oder werden gestoppt.

Wie starte ich ohne Betriebsstörungen?

Im Beobachtungsmodus: Richtlinien zunächst nur protokollieren lassen, Auswirkungen analysieren, Ausnahmen definieren — dann gruppenweise scharf schalten, beginnend mit Administratoren. Ein Notfallkonto außerhalb der Regeln verhindert das Selbstaussperren.

Funktioniert Conditional Access auch für interne Anwendungen?

Ja — über ZTNA: Plattformen wie Cloudflare Access setzen dieselbe kontextbasierte Prüfung vor interne Anwendungen, inklusive Gerätestatus. So gilt ein einheitliches Regelwerk für SaaS und Eigenbetrieb — ein Kernversprechen von Zero Trust.

Was bedeutet Gerätekonformität als Bedingung?

Die Geräteverwaltung (MDM/UEM) meldet, ob ein Gerät den Vorgaben entspricht — verschlüsselt, gepatcht, mit aktivem Schutz. Richtlinien knüpfen Zugriff daran: Sensible Daten nur auf Geräten, deren Zustand das Unternehmen kennt und kontrolliert.