Mit Microsoft Entra ID, früher Azure Active Directory, melden sich Mitarbeitende mit ihrem Microsoft-365-Konto auch bei anderen Programmen an: beim CRM, bei der Zeiterfassung, beim VPN. Das heißt Single Sign-on, kurz SSO. Ein Konto, ein Passwort, ein zweiter Faktor, und beim Austritt ist der Zugang mit einem Klick gesperrt.
Was bedeutet Single Sign-on?
Statt für jedes Programm ein eigenes Konto zu führen, fragt das Programm bei Entra ID nach: Ist diese Person angemeldet und darf sie rein? Entra ID prüft Passwort und zweiten Faktor und gibt die Antwort zurück. Das Programm selbst sieht Ihr Passwort nie.
- Weniger Passwörter: Mitarbeitende merken sich eins statt zwanzig.
- Ein zweiter Faktor für alles: Die Zwei-Faktor-Anmeldung gilt automatisch für alle angebundenen Programme.
- Sauberer Austritt: Konto sperren, und neue Anmeldungen sind überall gesperrt. Kein vergessener Zugang zur Buchhaltungssoftware mehr.
- Überblick: Die IT sieht, wer welches Programm nutzt.
OAuth, OpenID Connect, SAML: was ist was?
Hinter „Mit Microsoft anmelden“ stecken Standards, über die Programm und Entra ID miteinander sprechen. Die Begriffe tauchen in jeder Anleitung auf:
- SAML: der ältere Standard, verbreitet bei Business-Software und VPNs.
- OpenID Connect: der moderne Standard für die Anmeldung, aufgebaut auf OAuth 2.0. Typisch für Web- und Handy-Apps.
- OAuth 2.0: eigentlich ein Standard für Berechtigungen. Ein Programm darf in Ihrem Namen etwas tun, etwa den Kalender lesen oder Mails über Microsoft 365 verschicken, ohne Ihr Passwort zu kennen.
Für Sie zählt: Unterstützt eine Software SAML oder OpenID Connect, lässt sie sich an Entra ID anbinden.
Vorsicht bei App-Berechtigungen
OAuth hat eine Schattenseite. Fragt eine App nach Zugriff auf Ihr Postfach oder Ihre Dateien und Sie klicken auf Akzeptieren, hat sie diesen Zugriff, ganz ohne Passwort. Angreifer nutzen das mit gefälschten Apps. Deshalb sollte in Entra ID eingestellt sein, dass Mitarbeitende neuen Apps keinen Zugriff auf Firmendaten geben können, ohne dass ein Admin zustimmt.
Bedingter Zugriff: Regeln für die Anmeldung
Mit bedingtem Zugriff, englisch Conditional Access, legen Sie fest, unter welchen Bedingungen sich jemand anmelden darf. Typische Regeln:
- Zwei-Faktor-Anmeldung für alle, ohne Ausnahme.
- Sensible Programme nur von firmeneigenen, verwalteten Geräten.
- Keine Anmeldungen aus Ländern, in denen niemand arbeitet.
- Alte Anmeldeverfahren ohne zweiten Faktor blockieren.
- Admins nur mit besonders starken Verfahren wie Passkeys oder Sicherheitsschlüsseln.
Bedingter Zugriff braucht eine Lizenz mit Entra ID P1, die in Microsoft 365 Business Premium enthalten ist. Wer kleinere Pläne wie Business Standard nutzt, hat die kostenlosen Sicherheitsstandards von Microsoft. Sie schalten die Zwei-Faktor-Anmeldung für alle ein und blockieren alte Anmeldeverfahren, lassen sich aber nicht anpassen.
So starten Sie
- Alle Programme auflisten, für die Mitarbeitende ein eigenes Konto haben.
- Bei jedem prüfen, ob es SAML oder OpenID Connect kann. In Preislisten heißt das meist SSO, manchmal nur im teureren Tarif.
- Mit dem wichtigsten Programm anfangen, etwa CRM oder Zeiterfassung.
- Zwei-Faktor-Anmeldung und bedingten Zugriff vorher sauber einrichten. Sonst übertragen Sie Lücken auf alle Programme.
Kurz gesagt
Mit Entra ID melden sich alle mit einem Firmenkonto bei allen Programmen an, abgesichert durch einen zweiten Faktor. Bedingter Zugriff regelt, wer sich wann und von wo anmelden darf, dafür braucht es Business Premium oder Entra ID P1. Apps bekommen Zugriff auf Firmendaten nur nach Freigabe. Wir binden Ihre Programme an und richten die Regeln so ein, dass sie schützen, ohne zu nerven.