Deaktivieren Sie MFA für einen einzelnen Benutzer mithilfe der Richtlinie für bedingten Zugriff in Azure AD

Während sich die Cybersicherheitslandschaft weiterentwickelt, fungiert eine gut durchgeführte MFA-Bereitstellung als verstärkter Schutzschild, der M365 unermüdlich vor böswilligen Eindringlingen schützt. In manchen Fällen, beispielsweise bei der Anmeldung über ein Break-Glass-Konto oder bei der Ausführung unbeaufsichtigter Skripts, ist es jedoch erforderlich, den MFA-Schutz zu umgehen. Wie können Sie also bestimmte Konten von der MFA ausnehmen? Hier kommen die Richtlinien für bedingten Zugriff ins Spiel?!

Richtlinien für bedingten Zugriff können verwendet werden, um MFA für ein bestimmtes Benutzerkonto zu deaktivieren. Dieser Ansatz stellt sicher, dass Sie Ausnahmesituationen bewältigen können, ohne die allgemeine Sicherheitslage zu beeinträchtigen.

Lassen Sie uns also lernen, wie Sie MFA für einen einzelnen Benutzer mithilfe der Richtlinie für bedingten Zugriff deaktivieren.

Wählen Sie CA-Richtlinien, um MFA für einen einzelnen Benutzer zu überspringen

Während Sicherheitsstandards eine solide Grundlage für die allgemeine Sicherheit bieten, bieten sie möglicherweise nicht die nötige Granularität, um die MFA-Einstellungen für einzelne Konten anzupassen. Um diesem Bedarf gerecht zu werden, können Unternehmen CA-Richtlinien (Conditional Access) nutzen.

Übrigens ist der Besitz einer Azure AD P1- oder P2-Lizenz die einzige Voraussetzung für die Erstellung einer Richtlinie für bedingten Zugriff.

Wichtige Punkte:Stellen Sie sicher, dass Sie die Sicherheitsstandardeinstellungen deaktivieren, wenn Sie diese für Ihren Mandanten aktiviert haben. Weil Sie Sicherheitsstandards und Richtlinien für bedingten Zugriff nicht gleichzeitig verwenden können.

Deaktivieren Sie MFA für einen einzelnen Benutzer mithilfe von Richtlinien für bedingten Zugriff

Führen Sie die folgenden Schritte aus, um MFA für Ihre Organisation zu aktivieren und einen bestimmten Benutzer von MFA auszuschließen.

1. Melden Sie sich zunächst beim Microsoft Entra Admin Center an.
2. Navigieren Sie dann zum Dropdown-Feld „Schutz“ und wählen Sie die Option „Bedingter Zugriff“.
3. Klicken Sie auf „+ Neue Richtlinie erstellen“, um eine neue Richtlinie zu erstellen und geben Sie einen passenden Namen für Ihre Richtlinie ein.

4. Fügen Sie unter „Zuweisung“ „Alle Benutzer“ im Abschnitt Einschließen hinzu und wählen Sie das ausgenommene Konto im Abschnitt Ausschließen aus, der auf dem Blatt „Benutzer“ angezeigt wird.

   

5. Gewähren Sie im Abschnitt „Zugriffskontrollen“ den Zugriff, indem Sie auf dem Blatt „Gewähren“ die Option „Mehrfaktorauthentifizierung erforderlich“ auswählen und dann auf „Auswählen“ klicken, um Ihre Auswahl zu bestätigen.
6. Aktivieren Sie schließlich den Modus „Ein“ für die Richtlinie und klicken Sie auf „Erstellen“.

Daher wurde erfolgreich eine Richtlinie für bedingten Zugriff erstellt, die keine MFA für das angegebene Benutzerkonto erfordert. Der Benutzer wird also nicht zur Multifaktor-Authentifizierung aufgefordert.

Hinweis: Wenn Ihre Organisation bereits über CA-Richtlinien verfügt, wird empfohlen, eine neue Richtlinie zu erstellen, anstatt eine der vorhandenen zu ändern . Beachten Sie außerdem: Wenn derselbe Benutzer in zwei verschiedenen Richtlinien mit widersprüchlichen Einstellungen bezüglich der Multi-Faktor-Authentifizierung (MFA) erwähnt wird, hat die Richtlinie mit den restriktivsten Einstellungen Vorrang.

Betrachten wir im Klartext die beiden Richtlinien:

• Richtlinie A: Diese Richtlinie schließt einen Benutzer von der MFA-Anforderung aus.
• Richtlinie B: Diese Richtlinie schließt denselben Benutzer in die MFA-Anforderung ein.

Da in diesem Szenario Richtlinie B diejenige ist, die MFA für den Benutzer erzwingt, hat sie Vorrang vor Richtlinie A. Der Benutzer unterliegt der MFA gemäß den in Richtlinie B festgelegten Anforderungen, der in Richtlinie A genannte Ausschluss jedoch nicht anwenden.

Wir haben im Folgenden einige weitere Fälle behandelt, die die Bedeutung von Conditional Access-Richtlinien zum Überspringen von MFA für bestimmte Organisationsanforderungen verdeutlichen.

1. Schließen Sie MFA für Benutzer und Gruppen unter bestimmten Bedingungen aus
2. Deaktivieren Sie MFA für Benutzer mit Azure AD-Rollen mithilfe von CA-Richtlinien

MFA für Benutzer und Gruppen unter bestimmten Bedingungen ausschließen

Fall 1: Benutzer/Gruppen melden sich über ein vertrauenswürdiges Netzwerk bei Ressourcen an

Abgesehen vom oben genannten Fall können Sie unter bestimmten Bedingungen die MFA für Benutzer oder Gruppen überspringen. Beispielsweise können Sie MFA für einen Benutzer oder eine Gruppe von Mitgliedern überspringen, wenn diese mithilfe einer CA-Richtlinie über ein vertrauenswürdiges Büronetzwerk auf wichtige Ressourcen zugreifen.

Um dies zu erreichen, müssen Sie einen benannten Standort mithilfe eines vertrauenswürdigen IP-Bereichs erstellen. Fügen Sie anschließend den benannten Standort im Blatt „Bedingungen“ der Richtlinie hinzu und zielen Sie entsprechend Ihren Anforderungen auf die ausgewählten Benutzer oder Gruppen ab.

Die konfigurierte Richtlinie macht MFA für Benutzer/Gruppen ausgenommen, wenn sie über das vertrauenswürdige Büronetzwerk auf kritische Ressourcen zugreifen. Wenn diese Benutzer jedoch versuchen, von außerhalb des Büronetzwerks auf dieselben Ressourcen zuzugreifen, müssen sie dennoch den MFA-Prozess abschließen.

Fall 2: Benutzer/Gruppen melden sich über kompatible Geräte bei Microsoft 365-Ressourcen an

Die Anforderung der Multi-Faktor-Authentifizierung (MFA) kann für Benutzer und Gruppen übersprungen werden, die über Geräte auf Ressourcen zugreifen, die den Sicherheitsstandards und -richtlinien der Organisation entsprechen. Vereinfacht ausgedrückt können Sie die Notwendigkeit von MFA für Benutzer und Gruppen reduzieren, die sich über kompatible Geräte anmelden. Um dies zu erreichen, erstellen Sie eine Gerätebedingung wie im Bild unten gezeigt.

Schließen Sie dann entsprechend Ihren Anforderungen bestimmte Benutzer/Gruppen ein und gewähren Sie Zugriff, indem Sie eine Multifaktor-Authentifizierung verlangen.

Diese Richtlinie erfordert MFA für Benutzer, die über nicht konforme Geräte angemeldet sind, während Benutzer von konformen Geräten ohne MFA Zugriff haben.

Deaktivieren Sie MFA für Azure AD-Rollen mithilfe von CA-Richtlinien

Als zusätzlichen Vorteil können Sie MFA für Benutzer mit einer bestimmten Azure AD-Rolle überspringen. Um dies zu erreichen, können Sie das gleiche Verfahren wie zuvor beschrieben anwenden. Dieses Mal jedoch, anstatt bestimmte Benutzer auszuschließen, fügen Sie die festgelegte Verzeichnisrolle zum Abschnitt „Ausschließen“ der Richtlinie hinzu.

Durch diese Änderung wird sichergestellt, dass Benutzer mit der angegebenen Rolle nahtlos auf M365 zugreifen können, was ihre Effizienz in kritischen Situationen steigert.

Hinweis:Fehlkonfigurationen in Richtlinien für bedingten Zugriff können die Sicherheit und Funktionalität Ihrer Microsoft 365-Umgebung erheblich beeinträchtigen. Überwachen Sie daher Richtlinien für bedingten Zugriff effektiv.

Überwachen Sie Richtlinien für bedingten Zugriff effektiv mit AdminDroid

Nach dem Einrichten der Richtlinien müssen Sie überwachen, ob sich die angegebenen Personen erfolgreich angemeldet haben und ob andere die MFA-Authentifizierung durchlaufen haben. Native Berichtsmethoden bieten zwar einige Einblicke in Benutzeranmeldungen, es mangelt ihnen jedoch häufig an detaillierten Details wie der genauen Anzahl erfolgreicher Anmeldungen für jeden Benutzer, der Anzahl fehlgeschlagener Anmeldungen und anderen kritischen Kennzahlen. AdminDroid bietet Ihnen detaillierte Einblicke in die Richtlinien für den bedingten Zugriff!

Der AdminDroid Azure AD-Reporter bietet Ihnen umfassende Einblicke in Richtlinienkonfigurationen für bedingten Zugriff, Bewertungen der Richtlinienwirksamkeit, Benutzerverhaltensanalysen und andere wertvolle Informationen. Mithilfe dieser Erkenntnisse haben Sie einen genauen Überblick über die konfigurierten Richtlinien für bedingten Zugriff in Azure AD.

Nachfolgend finden Sie einige der mit AdminDroid verfügbaren Berichte, die eine effiziente Verwaltung von Richtlinien für bedingten Zugriff ermöglichen.

Anmelde-Audit-Berichte

• Anmeldungen werden durch die CA-Richtlinie blockiert
• Anmeldungen haben die Richtlinie erfolgreich bestanden
• Bei der Anmeldung konnte die CA-Richtlinie nicht umgangen werden

In CA-Richtlinien konfigurierte Bedingungen

• Rollenbasierte CA-Richtlinien
• Plattform-/standortspezifische Richtlinien
• Standort-/gerätebasierte Richtlinien

CA-Richtlinien mit MFA-Anforderung

• MFA hat CA-Richtlinien konfiguriert
• Zuweisungsbedingungen von MFA-fähigen Richtlinien

Erhalten Sie mit AdminDroid die vollständige Kontrolle über Azure Active Directory-Verwaltung!

Wichtig ist, dass Sie mit AdminDroid auf über 1800 Berichte zugreifen können, die Einblicke in die Nutzung, Sicherheit und Compliance von Microsoft 365-Ressourcen wie Exchange Online, OneDrive und SharePoint bieten Online, Yammer und mehr.

Entdecken Sie das volle Potenzial von AdminDroid mit einer 15-tägigen kostenlosen Testversion. Sobald Sie seine Fähigkeiten kennengelernt haben, sind wir sicher, dass Sie begeistert sein werden und nicht mehr zurückblicken wollen.

Daher bieten Richtlinien für bedingten Zugriff die effektivste und flexibelste Lösung für die Bereitstellung granularer MFA. Durch die Nutzung von Richtlinien für bedingten Zugriff können Sie MFA-Einstellungen an Ihre spezifischen Anforderungen anpassen, ohne die Sicherheit Ihrer Microsoft 365-Umgebung zu beeinträchtigen.

Ich hoffe, Sie haben genügend Informationen darüber erhalten, wie Sie MFA für einen einzelnen Benutzer mithilfe der CA-Richtlinie deaktivieren können. Darüber hinaus können Sie uns jederzeit im Kommentarbereich erreichen, wenn Sie Hilfe benötigen.