Entra ID · Rezertifizierung
Berechtigungen werden vergeben, wenn jemand sie braucht, und entzogen, wenn jemand daran denkt. Zugriffsüberprüfungen in Entra ID drehen das um: Sie fragen in festen Abständen bei Besitzern, Vorgesetzten oder den Benutzern selbst nach, ob ein Zugriff noch nötig ist, und entfernen ihn, wenn niemand ihn bestätigt. Für ISO 27001, BSI IT-Grundschutz und NIS2 ist genau diese regelmäßige Rezertifizierung der Nachweis, nach dem gefragt wird.
Die Vergabe von Rechten ist in den meisten Häusern geregelt: Antrag, Freigabe, Umsetzung. Was fehlt, ist der Rückweg. Wer die Abteilung wechselt, nimmt seine alten Gruppen mit. Gäste aus einem abgeschlossenen Projekt bleiben in den Teams. Adminrollen, die für eine Migration vergeben wurden, bleiben nach der Migration bestehen.
ISO 27001 verlangt in Anhang A 5.18, Zugangsrechte regelmäßig zu überprüfen. Der BSI-Baustein ORP.4 zum Identitäts- und Berechtigungsmanagement fordert dasselbe, und NIS2 nennt Konzepte für die Zugriffskontrolle in § 30 BSIG ausdrücklich. Der Prüfer will drei Dinge sehen: wer welche Zugriffe hat, wer sie wann bestätigt hat und was mit den nicht bestätigten passiert ist.
Eine Excel-Liste, die einmal im Jahr per Mail an Führungskräfte geht, erfüllt das auf dem Papier. In der Praxis kommt sie unvollständig zurück, und die Entfernung erledigt danach niemand. Zugriffsüberprüfungen in Entra ID schließen genau diese Lücke, weil Frage, Antwort und Umsetzung in einem Werkzeug liegen.
Baustein 1
Laut Microsoft setzen Zugriffsüberprüfungen Microsoft Entra ID Governance oder die Microsoft Entra Suite voraus. Einige Funktionen laufen bereits mit Entra ID P2. Überprüfungen nur für inaktive Benutzer mit der Empfehlung zur Benutzer-zu-Gruppe-Zugehörigkeit und Überprüfungen mehrerer Ressourcen gemeinsam brauchen in jedem Fall ID Governance. Klären Sie das vor dem Pilot, sonst fehlt mitten in der Einrichtung eine Option.
Angelegt werden Überprüfungen im Entra Admin Center unter ID Governance, Zugriffsüberprüfungen, mindestens mit der Rolle Identity Governance-Administrator. Gruppenbesitzer können Überprüfungen für eigene Gruppen anlegen, wenn Sie das in den Einstellungen erlauben.
Aus meinen Checks: Oft ist die nötige Lizenz bereits vorhanden, aber die Funktion wurde nie geöffnet. Die Rezertifizierung läuft dann weiter per Excel.
Prüferblick: Ein vorhandenes Werkzeug, das nicht genutzt wird, schwächt die Argumentation. Die Frage lautet dann, warum ein manuelles Verfahren gewählt wurde, wenn ein automatisiertes bezahlt ist.
Baustein 2
Der schnellste Gewinn ist die Überprüfung "Alle Microsoft 365-Gruppen mit Gastbenutzern". Sie erfasst wiederkehrend alle Teams und Gruppen mit Gästen, ausgenommen dynamische und rollenzuweisbare Gruppen. Einzelne Gruppen können Sie ausschließen. Prüfer sind die Gruppenbesitzer.
Für Überprüfungen, die nur Gäste umfassen, gibt es eine eigene Folge für abgelehnte Gäste: nur aus der Gruppe entfernen oder die Anmeldung 30 Tage blockieren und den Gast danach aus dem Tenant löschen. Die zweite Option räumt das Verzeichnis tatsächlich auf.
Aus meinen Checks: Gastkonten sammeln sich über Jahre an. Viele haben sich lange nicht mehr angemeldet und stehen trotzdem noch in Teams mit internen Dokumenten.
Prüferblick: Externe Zugriffe sind die erste Stichprobe. Ein Gast eines Dienstleisters, dessen Vertrag ausgelaufen ist, aber dessen Konto noch Zugriff hat, steht als Befund im Bericht.
Baustein 3
Zur Auswahl stehen Gruppenbesitzer, ausgewählte Benutzer oder Gruppen, Vorgesetzte der Benutzer und die Selbstüberprüfung. Bei Besitzern und Vorgesetzten legen Sie einen Fallbackprüfer fest, der einspringt, wenn kein Vorgesetzter gepflegt ist oder die Gruppe keinen Besitzer hat. Mehrstufige Überprüfungen mit bis zu drei Stufen sind möglich.
Meine Faustregel für die Auswahl: Gruppen und Teams prüft der Besitzer, Anwendungen prüft der Vorgesetzte oder der fachlich Verantwortliche, die Selbstüberprüfung nur für unkritische Zugriffe. Wer sich selbst bestätigt, bestätigt fast immer.
Aus meinen Checks: Das Feld Vorgesetzter ist in Entra ID häufig lückenhaft gepflegt. Ohne Fallbackprüfer landen solche Fälle bei niemandem.
Prüferblick: Der Prüfer achtet auf Funktionstrennung. Eine Selbstüberprüfung für Zugriffe auf Finanz- oder Personaldaten erfüllt das Vier-Augen-Prinzip nicht.
Baustein 4
Unter Wiederholung legen Sie Dauer, Startdatum und Häufigkeit fest, von wöchentlich bis jährlich. Unter den Einstellungen nach Abschluss entscheidet "Ergebnisse automatisch auf Ressource anwenden", ob abgelehnte Zugriffe ohne Zutun entfernt werden. "Wenn Prüfer nicht reagieren" bietet Keine Änderung, Zugriff entfernen, Zugriff genehmigen und Empfehlungen annehmen.
Achtung: Microsoft warnt, dass "Zugriff entfernen" zusammen mit der automatischen Anwendung den gesamten Zugriff auf eine Ressource widerrufen kann, wenn die Prüfer nicht antworten. Für den Start ist "Empfehlungen annehmen" mit der Entscheidungshilfe "Keine Anmeldung innerhalb von 30 Tagen" der bessere Weg. Aktivieren Sie außerdem "Begründung erforderlich" und die Erinnerungen, die zur Hälfte der Laufzeit verschickt werden.
Aus meinen Checks: Wo es überhaupt Rezertifizierungen gibt, endet die Kette oft beim Ergebnis. Die Umsetzung der Ablehnungen bleibt liegen.
Prüferblick: Eine Überprüfung, deren Ablehnungen nicht umgesetzt wurden, ist schlimmer als keine. Sie belegt, dass ein unberechtigter Zugriff bekannt war.
Baustein 5
Überprüfungen für Entra-Rollen wie Globaler Administrator und für Azure-Ressourcenrollen legen Sie nicht unter Zugriffsüberprüfungen an, sondern in Privileged Identity Management. Wer PIM bereits nach einem Tier-Modell aufgebaut hat, prüft vierteljährlich die Berechtigungen für Tier 0 und halbjährlich den Rest. Wie das Modell aussieht, steht in PIM einführen mit dem Enterprise Access Model.
Dienstkonten fallen bei Überprüfungen leicht durch, weil sie keinen Vorgesetzten haben. Sie brauchen einen benannten Verantwortlichen als Prüfer. Mehr dazu in Service Accounts in Microsoft 365 absichern.
Aus meinen Checks: Adminrollen, die für ein Projekt vergeben wurden, bleiben nach Projektende häufig bestehen, weil niemand sie gezielt nachprüft.
Prüferblick: Privilegierte Zugriffe prüft der Auditor immer. Die Frage lautet: Wann wurde jede dieser Rollenzuweisungen zuletzt bestätigt, und von wem?
Baustein 6
Bei Überprüfungen der Gruppenmitgliedschaft können Sie den Bereich auf "Inaktive Benutzer (auf Mandantenebene)" beschränken und die Zahl der inaktiven Tage festlegen, bis zu 730. Neu angelegte Benutzer fallen nicht darunter, solange sie noch nicht so lange existieren. So prüfen die Besitzer nur die Fälle, bei denen ein Zugriff wahrscheinlich überflüssig ist.
Zwei technische Details gehören in die Dokumentation: Eine Überprüfung arbeitet mit einer Momentaufnahme vom Beginn der Runde, Änderungen während der Laufzeit greifen erst in der nächsten. Und verschachtelte Gruppen werden abgeflacht, entfernt wird ein Benutzer aber nur aus der direkten Mitgliedschaft.
Aus meinen Checks: Konten ausgeschiedener Mitarbeiter sind meist deaktiviert, stehen aber noch in Gruppen. Bei einer Reaktivierung wären alle alten Zugriffe sofort wieder da.
Prüferblick: Der Prüfer gleicht die Austritte des letzten Jahres mit den Gruppenmitgliedschaften ab. Jeder Treffer ist eine Frage an den Prozess.
Zugriffsüberprüfungen in Entra ID scheitern selten an der Technik, sondern am Start mit zu großem Umfang. Beginnen Sie mit den Gästen in Microsoft 365-Gruppen und mit den privilegierten Rollen in PIM. Lassen Sie die ersten Runden ohne automatische Entfernung laufen, prüfen Sie die Ergebnisse, und schalten Sie die automatische Anwendung erst danach ein.
Halten Sie die Ergebnisse jeder Runde fest: wer geprüft hat, mit welcher Begründung und welche Zugriffe entfernt wurden. Damit beantwortet der Tenant die Rezertifizierungsfrage selbst. Wie Gruppen von Anfang an sauber entstehen, steht in Microsoft 365 Gruppen Governance.
Microsoft nennt Microsoft Entra ID Governance oder die Microsoft Entra Suite. Einige Funktionen sind mit Entra ID P2 nutzbar. Für Überprüfungen inaktiver Benutzer mit Zugehörigkeitsempfehlung und für Überprüfungen mehrerer Ressourcen ist ID Governance nötig.
Die Normen geben kein festes Intervall vor. Bewährt haben sich vierteljährliche Überprüfungen für privilegierte Rollen und Gäste und halb- bis ganzjährliche für normale Gruppen und Anwendungen. Wichtig ist, dass das Intervall festgelegt und eingehalten wird.
Das legen Sie fest: keine Änderung, Zugriff entfernen, Zugriff genehmigen oder Empfehlungen annehmen. Zusammen mit der automatischen Anwendung kann "Zugriff entfernen" alle Zugriffe auf eine Ressource widerrufen, deshalb ist für den Start "Empfehlungen annehmen" sicherer.
Ja. Bei einer Überprüfung nur für Gäste können abgelehnte Gäste 30 Tage gesperrt und danach aus dem Tenant gelöscht werden. Innerhalb der 30 Tage lässt sich die Sperre rückgängig machen.