MICROSOFT 365 · EVERGREEN
Ein Angreifer mit gestohlenen Zugangsdaten meldet sich mit korrektem
Passwort an – wie soll ein System erkennen, dass das nicht der echte
Nutzer ist? Genau diese Frage beantwortet Entra ID Protection: Es
bewertet jede Anmeldung auf Risikosignale und schlägt Alarm oder greift
ein, wenn etwas nicht stimmt. Automatische Erkennung riskanter
Anmeldungen, bevor Schaden entsteht.
Kurzantwort
Entra ID Protection (Identity Protection) ist eine
Sicherheitsfunktion in Entra ID, die Anmeldungen und Benutzerkonten
kontinuierlich auf Risikosignale prüft und bei erkanntem Risiko
automatisch reagiert. Es erkennt verdächtige Muster – etwa Anmeldungen
von ungewöhnlichen Orten, unmögliche Ortswechsel (in kurzer Zeit von
Deutschland und dann von einem anderen Kontinent), Anmeldungen über
anonymisierende Dienste, oder Zugangsdaten, die in bekannten Datenlecks
aufgetaucht sind – und stuft daraus Anmelde- und Benutzerrisiken ein.
Auf Basis dieser Bewertung kann es automatisch handeln: zusätzliche
Bestätigung (MFA) verlangen, ein Passwort-Reset erzwingen oder den
Zugriff blockieren. In Kombination mit Conditional Access wird daraus
ein selbsttätiger Schutz, der riskante Anmeldungen abfängt, ohne dass
ein Mensch in Echtzeit zuschauen muss.
Welche Risiken erkannt
werden
Entra ID Protection wertet eine Vielzahl von Signalen aus, um
verdächtige Aktivitäten zu erkennen. Typische Beispiele:
- Ungewöhnlicher Standort: Anmeldung aus einem Land
oder von einem Ort, der für diesen Nutzer untypisch ist. - Unmöglicher Ortswechsel: zwei Anmeldungen in so
kurzem Abstand von so weit entfernten Orten, dass die Reise dazwischen
physisch unmöglich wäre – ein starkes Indiz für kompromittierte
Zugangsdaten. - Anonymisierte Zugriffe: Anmeldungen über
Anonymisierungsdienste, die die Herkunft verschleiern – oft ein
Angreifer-Merkmal. - Geleakte Zugangsdaten: wenn die Zugangsdaten eines
Kontos in bekannten Datenlecks auftauchen, ist das Konto besonders
gefährdet. - Verdächtige Anmeldemuster: ungewöhnliches
Verhalten, das auf einen automatisierten Angriff oder eine Übernahme
hindeutet.
Aus diesen Signalen bildet das System eine Risikobewertung – wie
wahrscheinlich ist es, dass diese Anmeldung oder dieses Konto
kompromittiert ist?
Von der Erkennung
zur automatischen Reaktion
Der eigentliche Wert liegt in der automatischen Reaktion – denn
Erkennung allein nützt wenig, wenn niemand rund um die Uhr zuschaut.
Entra ID Protection kann auf Basis des Risikos selbsttätig handeln,
meist über Richtlinien in Verbindung mit Conditional
Access: Bei mittlerem Risiko etwa zusätzliche MFA-Bestätigung
verlangen (ist es der echte Nutzer, bestätigt er problemlos; ist es ein
Angreifer ohne zweiten Faktor, scheitert er), bei erkannt
kompromittierten Zugangsdaten einen erzwungenen Passwort-Reset auslösen,
bei hohem Risiko den Zugriff ganz blockieren. So entsteht ein Schutz,
der in Echtzeit reagiert – der Angreifer mit gestohlenem Passwort läuft
gegen eine automatische Hürde, statt ungehindert hineinzukommen. Das
entlastet zugleich die IT: Nicht jeder verdächtige Login muss manuell
geprüft werden, das System filtert und reagiert selbst, und meldet die
relevanten Fälle zur Nachverfolgung.
Einordnung: ein
Baustein im Identitätsschutz
Entra ID Protection ist kein Einzelkämpfer, sondern Teil eines
Zusammenspiels: Es liefert die Risikobewertung, Conditional
Access setzt die Konsequenzen um, MFA ist der zweite
Faktor, den es bei Risiko verlangt, und PIM
schützt zusätzlich die privilegierten Konten. Gemeinsam bilden sie die
identitätszentrierte Verteidigung, die in der Cloud-Welt (siehe Entra ID) den alten
Netzwerk-Perimeter ersetzt. Wichtig zu wissen: Die fortgeschrittenen
Funktionen von Entra ID Protection sind an höhere Lizenzstufen gebunden
– ein Grund, warum die Lizenzwahl über das erreichbare Sicherheitsniveau
mitentscheidet.
Häufige Fragen (FAQ)
Brauchen wir dafür eine bestimmte Lizenz? Ja – die
vollen, automatisierten Funktionen von Entra ID Protection setzen höhere
Lizenzstufen voraus. Grundlegende Schutzmechanismen sind breiter
verfügbar; die risikobasierte Automatik gehört zu den
Premium-Funktionen. Die Lizenzberatung klärt, was in Ihrer Umgebung
möglich ist.
Erzeugt das nicht viele Fehlalarme, die Nutzer
nerven? Die Reaktion ist abgestuft: Bei moderatem Risiko genügt
oft eine MFA-Bestätigung, die der echte Nutzer in Sekunden erledigt. Nur
bei hohem Risiko wird härter eingegriffen. Richtig konfiguriert
überwiegt der Schutz die seltene Reibung deutlich.
Ersetzt das ein SOC/MDR? Nein – es ergänzt es: Entra
ID Protection automatisiert die Reaktion auf identitätsbezogene Risiken
in Microsoft 365, ein SOC/MDR bietet
umfassende, menschlich bewertete Erkennung und Reaktion über die gesamte
Umgebung. Beide zusammen sind stärker als jedes allein.
Fazit
Entra ID Protection beantwortet die Kernfrage der modernen
Sicherheit: Wie erkennt man den Angreifer, der das richtige Passwort
hat? Durch kontinuierliche Bewertung von Risikosignalen – ungewöhnliche
Orte, unmögliche Reisen, geleakte Zugangsdaten – und automatische
Reaktion in Echtzeit, von zusätzlicher Bestätigung bis zur Blockade. Als
Teil des Zusammenspiels mit Conditional Access, MFA und PIM bildet es
die selbsttätige Verteidigung der Identität, die in der Cloud-Welt
entscheidend ist. Bei der Einrichtung risikobasierter Schutzrichtlinien
und der Auswahl der passenden Lizenzstufe unterstützen wir als Teil
unserer Microsoft-365-Absicherung.
Würden Sie einen Login mit gestohlenem Passwort bemerken? Kostenloses Erstgespräch –
wir richten die automatische Erkennung riskanter Anmeldungen
ein.