Bedingter Zugriff

So funktioniert es

Eine Regel liest sich wie ein Satz: Wenn dieser Nutzer auf diesem Gerät aus diesem Land diese Anwendung anfragt, dann erlaube, sperre oder erlaube mit zusätzlichem Nachweis. Die Signale kommen aus mehreren Quellen. Die Identität liefert das Konto und seine Gruppen, meist aus Microsoft Entra ID. Das Gerät liefert seinen Compliance-Zustand, gemeldet vom MDM: Verschlüsselung aktiv, System aktuell, kein Jailbreak, Sperrcode gesetzt. Das Netz liefert IP-Adresse und Land.

Das Urteil ist selten ein schlichtes Nein. Die meisten Regeln verlangen eher einen Zuschlag: Mehrfaktor-Authentifizierung, einen verwalteten Browser, eine schneller ablaufende Sitzung. Microsoft führte den bedingten Zugriff mit Azure AD Premium ein und baut ihn weiter aus. Seit 2024 verlangt der Hersteller für Administratoranmeldungen an eigenen Portalen schrittweise Mehrfaktor, was zeigt, wohin sich die Voreinstellungen bewegen.

Warum es für eine Flotte wichtig ist

Früher genügte ein gestohlenes Passwort, um ein Postfach von einem Notebook am anderen Ende der Welt zu lesen. Bedingter Zugriff zerlegt dieses Szenario, denn die Anfrage muss zusätzlich von einem Gerät kommen, das das Unternehmen kennt. Das ist der am häufigsten unterschätzte Ertrag einer MDM-Einführung.

Die Einführung verlangt Umsicht. Regeln, die auf Papier vernünftig klingen, sperren den Finanzchef am Flughafen aus, und eine schlecht abgegrenzte Richtlinie kann genau die Administratoren aussperren, die sie korrigieren sollen. Halten Sie immer ein Notfallkonto außerhalb der Regeln, betreiben Sie neue Richtlinien zuerst im Berichtsmodus, und schreiben Sie den Zweck jeder Regel auf. Nach sechs Monaten erinnert sich niemand mehr.

Eine ehrliche Grenze: Gerätekonformität ist nur so gut wie die Aktualität ihrer Daten. Ein Gerät, dessen letzter Kontakt vier Tage zurückliegt, gilt als konform, ist in Wahrheit aber unbekannt. Nehmen Sie das Alter des letzten Kontakts deshalb als eigene Bedingung auf.

So handhabt es Appaloosa

Appaloosa prüft die Compliance fortlaufend auf registrierten Geräten mit iOS, Android und Windows: Systemversion, Sperrcode, BitLocker-Verschlüsselung auf PCs, Pflicht-Apps, letzter Kontakt. Fällt ein Gerät aus dem Rahmen, erhält der Nutzer eine Benachrichtigung, verliert den Zugriff auf verwaltete Apps oder es werden die Arbeitsdaten gelöscht. Der vom MDM gemeldete Compliance-Zustand kann zudem in die Zugriffsentscheidungen Ihres Identitätsanbieters einfließen, der daraus sein Gerätesignal zieht. Die Windows-Richtlinien nennt die Windows-MDM-Seite.