Kurz gesagt: Microsoft-verwaltete Richtlinien sind fertige Richtlinien für bedingten Zugriff, die Microsoft selbst in deinem Tenant anlegt, zuerst im Modus „Nur Bericht“. Lässt du sie so stehen, schaltet Microsoft sie frühestens 30 Tage später ein und informiert zwei Wochen vorher. Prüfe vorher die Auswirkungen und nimm Notfallkonten und nötige Sonderfälle aus.
Stand: 03.11.2026
Was sind Microsoft-verwaltete Richtlinien?
Bedingter Zugriff (Conditional Access) ist eine Funktion von Microsoft Entra, mit der du Regeln für die Anmeldung festlegst: Wenn ein bestimmter Benutzer auf eine bestimmte Anwendung zugreift, dann muss er zum Beispiel MFA nutzen. Microsoft legt solche Richtlinien inzwischen selbst in berechtigten Tenants an, abhängig von Lizenzen und Funktionen. Ziel ist vor allem, MFA durchzusetzen. Laut Microsoft senkt MFA das Risiko einer Kompromittierung um mehr als 99 Prozent.
Voraussetzung für bedingten Zugriff sind laut Microsoft passende Lizenzen wie Microsoft 365 Business Premium oder Entra ID P2. Zum Ansehen der Richtlinien brauchst du mindestens die Rolle Administrator für bedingten Zugriff.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Wann werden die Richtlinien aktiv?
- Eine neue Richtlinie erscheint im Tenant im Modus Nur Bericht (Report-only). Sie protokolliert dann nur, was sie blockieren würde.
- Lässt du sie in diesem Modus, schaltet Microsoft sie frühestens 30 Tage nach der Einführung ein.
- Zwei Wochen vorher kommt eine E-Mail und ein Beitrag im Nachrichtencenter.
- In manchen Fällen kann es schneller gehen. Das steht dann in diesen Mitteilungen und in den Details der Richtlinie.
Du kannst eine Richtlinie früher einschalten oder auf Aus setzen. Umbenennen oder löschen kannst du sie nicht.
Welche Richtlinien gibt es?
| Richtlinie | Was sie macht |
|---|---|
| Legacy-Authentifizierung blockieren | Sperrt alte Protokolle wie IMAP, SMTP und POP3 und alte Clients wie Office 2010. Laut Microsoft nutzen über 99 Prozent der Passwort-Spray-Angriffe solche Protokolle. |
| Gerätecodefluss blockieren | Sperrt die Anmeldung per Code auf einem zweiten Gerät, die Angreifer häufig missbrauchen. |
| MFA für Admins in Microsoft-Adminportalen | Gilt für 14 hoch privilegierte Rollen. |
| MFA für alle Benutzer | Verlangt MFA bei jeder Anmeldung, die Sitzung bleibt meist auf dem Gerät bestehen. |
| MFA für Benutzer mit MFA pro Benutzer | Überführt die alte Einstellung „MFA pro Benutzer“ in bedingten Zugriff. |
| MFA und erneute Anmeldung bei riskanten Anmeldungen | Benötigt Entra ID P2. |
| Zugriff für Benutzer mit hohem Risiko blockieren / Behebung verlangen | Benötigt Entra ID P2. |
| Hochriskante Agents blockieren | In der Vorschau. |
Was solltest du als Admin jetzt tun?
- Im Microsoft Entra Admin Center unter Entra ID > Bedingter Zugriff > Richtlinien nachsehen. Microsoft-verwaltete Richtlinien erkennst du am Eintrag Microsoft in der Spalte Erstellt von.
- Im Reiter Richtlinienauswirkung (Policy impact) prüfen, welche Anmeldungen betroffen wären. Das geht auch im Modus Nur Bericht.
- Die Notfallzugriffskonten (Break-Glass) ausnehmen, wie bei jeder anderen Richtlinie.
- Sonderfälle klären: Nutzt ihr noch Geräte oder Programme mit IMAP, POP3 oder SMTP-Anmeldung, etwa Scanner mit Mailversand? Nutzt ihr Teams-Raumgeräte mit Gerätecode-Anmeldung? Für Teams-Geräte beschreibt Microsoft eine eigene Anleitung für Ausnahmen.
- Die Richtlinie einschalten, wenn alles passt, statt auf die automatische Aktivierung zu warten.
Willst du mehr ändern als Status und Ausnahmen, kannst du die Richtlinie über Duplizieren kopieren und die Kopie frei anpassen. Achte darauf, das Sicherheitsniveau dabei nicht zu senken.
Wie verfolge ich Änderungen?
In den Anmeldeprotokollen unter Entra ID > Überwachung und Integrität > Anmeldeprotokolle siehst du, wie eine Richtlinie auf einzelne Anmeldungen gewirkt hat. In den Überwachungsprotokollen filterst du nach dem Dienst Bedingter Zugriff. Microsoft-verwaltete Richtlinien beginnen dort mit „Microsoft-managed:“.
So unterstützen wir dich
Wir prüfen Richtlinien für bedingten Zugriff in Tenants von Unternehmen in Osnabrück und Umgebung, klären Sonderfälle wie Scanner und Raumgeräte und schalten die Richtlinien kontrolliert ein. Weiter entfernt per Fernwartung. Mehr zu unserer Betreuung von Microsoft 365.
Häufige Fragen
Kann ich Microsoft-verwaltete Richtlinien löschen?
Nein. Du kannst sie ein- oder ausschalten und Ausnahmen festlegen, aber nicht umbenennen oder löschen.
Wann schaltet Microsoft die Richtlinien ein?
Frühestens 30 Tage nach der Einführung, wenn sie im Modus Nur Bericht bleiben. Zwei Wochen vorher informiert Microsoft per E-Mail und Nachrichtencenter.
Was passiert mit alten Scannern, die per SMTP senden?
Wenn sie sich per Legacy-Authentifizierung anmelden, blockiert die entsprechende Richtlinie sie. Prüfe das vorab im Reiter Richtlinienauswirkung.
Muss ich die Notfallkonten ausnehmen?
Ja, Microsoft empfiehlt, Break-Glass-Konten aus diesen Richtlinien genauso auszunehmen wie aus anderen.
Quellen
- Microsoft-managed Conditional Access policies (Microsoft Learn, abgerufen am 03.11.2026)
- Manage emergency access accounts in Microsoft Entra ID (Microsoft Learn, abgerufen am 03.11.2026)
