All Conditional Access policies are configured to exclude at least one emergency account or group.

Warum dies wichtig ist

Ohne ein speziell eingerichtetes Break-Glass-Konto, das von allen Conditional Access-Richtlinien ausgenommen ist, könnte eine Fehlkonfiguration dazu führen, dass alle Administratoren aus dem Mandanten ausgesperrt werden. Dies führt zu einem irreversiblen Zugriffsverlust, der potenziell längere Ausfallzeiten und nicht handhabbare Sicherheitsvorfälle nach sich zieht. IT-Administratoren müssen einen zuverlässigen Notfallzugriff sicherstellen, um die Betriebskontinuität zu gewährleisten und kostspielige Wiederherstellungsmaßnahmen zu vermeiden.

Was Aether365 prüft

Diese Prüfung stellt fest, ob mindestens ein Notfall- oder Break-Glass-Konto oder eine dedizierte Gruppe von jeder Conditional Access-Richtlinie in Ihrem Mandanten ausgenommen ist. Sie erscheint im Aether365-Dashboard unter microsoft-365-Prüfungen als mittelschwerer Eintrag.

Behebung des Problems

1. Melden Sie sich beim Microsoft Entra admin center an und navigieren Sie zu Identity > Security > Conditional Access.
2. Überprüfen Sie jede Conditional Access-Richtlinie auf Ausnahmen. Wenn keine Richtlinie ein Break-Glass-Konto ausschließt, erstellen Sie ein neues Benutzerkonto speziell für den Notfallzugriff (z. B. break-glass@ihredomain.de) und weisen Sie ihm die Rolle Globaler Administrator zu.
3. Öffnen Sie für jede Richtlinie die Richtlinie, gehen Sie zum Abschnitt Assignments, wählen Sie Users or workload identities aus, und fügen Sie unter Exclude das Notfallkonto oder eine dedizierte Gruppe hinzu, die es enthält.
4. Wenn Sie eine Gruppe verwenden, erstellen Sie eine Sicherheitsgruppe in Microsoft Entra ID mit dem Namen "Break Glass Admins" und fügen Sie das Notfallkonto hinzu. Schließen Sie diese Gruppe dann von allen Conditional Access-Richtlinien aus.
5. Wiederholen Sie Schritt 3 für jede Conditional Access-Richtlinie in Ihrem Mandanten. Überprüfen Sie, ob die Ausnahme in der Exclude-Liste erscheint, bevor Sie jede Richtlinie speichern.
6. Testen Sie nach der Aktualisierung aller Richtlinien den Zugriff mit dem Notfallkonto, um zu bestätigen, dass es alle Richtlinien umgehen und erfolgreich auf das Portal zugreifen kann.

Compliance

• Sonstiges: Diese Prüfung adressiert eine grundlegende Sicherheitspraxis, die von Microsoft und Industriestandards (z. B. CIS, CISA) für die Aufrechterhaltung des Notfallzugriffs in Microsoft 365 empfohlen wird. Obwohl kein spezifisches Compliance-Framework verknüpft ist, unterstützt sie breitere Governance-Anforderungen für Geschäftskontinuität und Incident Response.

Verwandte Ressourcen

• Verwalten von Notfallzugriffskonten in Microsoft Entra ID
• Conditional Access: Bestimmte Benutzer oder Gruppen in einer Richtlinie ausschließen

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access