Microsoft MD-102: Identität, Zugriff und bedingter Zugriff — Lernleitfaden

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Teil des Microsoft Endpoint Administrator Associate MD-102 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Identität, Zugriff und bedingter Zugriff in Microsoft 365 legen fest, wie Benutzer, Geräte und Apps für den Zugriff auf Unternehmensressourcen authentifiziert und autorisiert werden. Azure AD Conditional Access (CA) wertet Signale wie Benutzer- und Gerätestatus, Standort und Risiko aus, um Kontrollen wie MFA, konforme Geräte, App-Schutz und Sitzungseinschränkungen durchzusetzen. Risikobasierte Richtlinien von Azure AD Identity Protection automatisieren die Behebung von Problemen bei kompromittierten Benutzern und riskanten Anmeldungen. Primary Refresh Tokens (PRTs) ermöglichen nahtloses Single Sign-On auf in Azure AD eingebundenen Geräten, während Enterprise State Roaming für eine produktive Benutzererfahrung über verschiedene Geräte hinweg sorgt. Privileged Identity Management erzwingt die Just-in-Time-Rechteerweiterung für Administratoren. Schließlich ist eine gut strukturierte Azure AD-Gruppenstrategie fundamental für eine präzise Zielgruppenadressierung sowohl in Intune als auch im bedingten Zugriff.

Bedingter Zugriff: Bedingungen, Gewährungssteuerungen, benannte Standorte und MFA-Strategie

Bedingter Zugriff wertet Bedingungen aus und wendet Gewährungs-/Sitzungssteuerungen an, um bei der Token-Ausstellung eine Ja/Nein-Entscheidung zu treffen. CA-Richtlinien werden nach der primären Authentifizierung und vor der Ausstellung eines Zugriffstokens ausgewertet.

Wichtige Bedingungen, die Sie beherrschen müssen:

Benutzer und Gruppen: Legen Sie den Geltungsbereich fest, auf den die Richtlinie abzielt. Verwenden Sie Einschluss-/Ausschlusslogik für Pilotprojekte und um Notfallzugriffskonten (Break-Glass-Konten) auszunehmen.
Cloud-Apps oder -Aktionen: Wählen Sie bestimmte Apps (z. B. Exchange Online, SharePoint Online, benutzerdefinierte Unternehmens-Apps) oder Benutzeraktionen (Sicherheitsinformationen registrieren) aus.
Geräteplattform und Gerätestatus: Filtern Sie nach Betriebssystem und fordern Sie Gerätekonformität oder eine hybride Azure AD-Einbindung, um die Zero-Trust-Anforderungen an Geräte zu erfüllen. Die Gerätekonformität wird von Intune signalisiert und erfordert, dass das Gerät bewertet und als konform markiert wird.
Standorte: Verwenden Sie benannte Standorte, um nach Land/Region oder IP-Bereichen ein- oder auszuschließen. Markieren Sie vertrauenswürdige Netzwerk-Egress-Punkte als „vertrauenswürdig“, um Kontrollen gegebenenfalls zu lockern.
Client-Apps: Unterscheiden Sie zwischen modernen Authentifizierungsclients (Browser, moderne Office-Clients) und Legacy-Protokollen (IMAP/POP/SMTP/ActiveSync Basic). Um nur die Legacy-Authentifizierung zu blockieren und gleichzeitig die moderne Authentifizierung zuzulassen, verwenden Sie die Bedingung „Client-Apps“ zusammen mit einer „Blockieren“-Gewährungssteuerung für Legacy-Clients.
Anmelderisiko und Benutzerrisiko: Nehmen Sie Risikosignale von Identity Protection auf, um Step-up- oder Blockierungsentscheidungen zum Zeitpunkt der Anmeldung oder basierend auf einer Kontokompromittierung auszulösen.

Gewährungssteuerungen definieren, was für den Zugriff erfüllt sein muss:

Multi-Faktor-Authentifizierung anfordern
Gerät muss als konform markiert sein
Hybrid in Azure AD eingebundenes Gerät anfordern
Kennwortänderung anfordern (Risikobehebung)
Nutzungsbedingungen anfordern
Genehmigte Client-App und/oder App-Schutzrichtlinie anfordern (für MAM ohne Registrierung)

Sitzungssteuerungen gestalten das Verhalten nach der Authentifizierung:

Anmeldehäufigkeit und persistente Browsersitzung
Conditional Access App Control (über Microsoft Defender for Cloud Apps) zur Echtzeit-Sitzungsüberprüfung
Resilienzstandards deaktivieren, wo hohe Sicherheit erforderlich ist

Best Practices für den Richtlinienlebenszyklus:

Beginnen Sie im reinen Berichtsmodus (Report-Only), um die Auswirkungen zu validieren.
Verwenden Sie Richtlinienvorlagen für gängige Szenarien (z. B. Blockieren der Legacy-Authentifizierung, Schutz von Administratorrollen).
Schließen Sie immer Notfallzugriffskonten ein, die den bedingten Zugriff umgehen.
Kombinieren Sie „Gerätekonformität anfordern“ mit Intune-Konformitätsrichtlinien, um Betriebssystem-, Verschlüsselungs-, AV- und Jailbreak-/Root-Prüfungen zu erzwingen.

Benannte Standorte und vertrauenswürdige IP-Bereiche:

Benannte Standorte können Länder/Regionen (basierend auf IP-zu-Geo-Daten) oder spezifische IPv4/IPv6-CIDR-Bereiche sein. Das Markieren eines benannten Standorts als vertrauenswürdig ermöglicht dessen Verwendung als Ausschluss oder zur Lockerung von Kontrollen (z. B. Umgehung von MFA in vertrauenswürdigen Büros). Nur öffentliche Egress-IPs sind wirksam; private IPs hinter NAT sind extern nicht sichtbar.
Identity Protection kann vertrauenswürdige benannte Standorte bei der Erkennung von ungewöhnlichen Anmeldungen als risikoärmer einstufen. Führen Sie eine verbindliche Liste der Egress-IPs des Unternehmens und halten Sie diese aktuell, um falsch-positive Ergebnisse zu vermeiden.

MFA-Strategie – benutzerbasierte MFA vs. bedingter Zugriff mit MFA:

Benutzerbasierte MFA (Legacy) erzwingt MFA statisch auf dem Benutzerobjekt und unterstützt „MFA für vertrauenswürdige IPs überspringen“ nur über die klassischen Einstellungen. Es fehlt an kontextbezogener Auswertung und granularer Zielgruppenadressierung, und es kollidiert mit den Aufforderungen des bedingten Zugriffs.
Bedingter Zugriff mit MFA ist der empfohlene Ansatz. Er wendet MFA basierend auf Bedingungen wie App-Sensitivität, Gerätestatus und Risiko an. Er lässt sich in Identity Protection für risikobasierte Aufforderungen integrieren und unterstützt moderne Authentifizierungsclients.
Migrationsleitfaden: Deaktivieren Sie die benutzerbasierte MFA bzw. setzen Sie sie auf „Deaktiviert“, implementieren Sie CA-basierte MFA-Richtlinien und verlassen Sie sich auf die zentrale Richtlinie für Authentifizierungsmethoden für die Registrierung und Durchsetzung von Methoden (z. B. Authenticator, FIDO2, SMS). Verwenden Sie die vom System bevorzugte MFA und den Nummern-Abgleich (Number Matching), um Push-Genehmigungen abzusichern.

Identity Protection, Benutzer- und Anmelderisiko und die Rolle des PRT beim nahtlosen SSO

Azure AD Identity Protection (AIP) berechnet probabilistische Risiken mithilfe von maschinellem Lernen und Microsoft Threat Intelligence:

Anmelderisiko bewertet jede Authentifizierung in Echtzeit (z. B. unbekannte Anmeldeeigenschaften, atypische Reisen, mit Malware verbundene IP, anonyme IP).
Benutzerrisiko spiegelt die Wahrscheinlichkeit wider, dass eine Identität kompromittiert ist (z. B. geleakte Anmeldeinformationen, wiederholte anomale Anmeldungen).

Richtlinien:

Richtlinie für Anmelderisiko: Erzwingen Sie bei mittlerem/hohem Anmelderisiko „MFA anfordern“ oder „Zugriff blockieren“. Dies ist ideal für einen Step-up im Moment riskanter Authentifizierungen.
Richtlinie für Benutzerrisiko: Erzwingen Sie bei mittlerem/hohem Benutzerrisiko „Kennwortänderung anfordern“ oder „Zugriff blockieren“. Dies bereinigt kompromittierte Identitäten, indem eine sichere Kennwortzurücksetzung über SSPR/MFA erzwungen wird.
Integrationen: Konfigurieren Sie CA-Richtlinien mit den Bedingungen „Anmelderisiko“ oder „Benutzerrisiko“ für eine präzise Steuerung pro App. Schließen Sie Notfallkonten aus. Verwenden Sie benannte vertrauenswürdige Standorte, um False Positives zu reduzieren.
Lizenzierung und Überwachung: Identity Protection erfordert Azure AD Premium P2. Nutzen Sie den Workflow zur Risikoerkennung und -untersuchung, um Risiken zu bestätigen, zu verwerfen oder zu beheben, und exportieren Sie Protokolle in ein SIEM.

Primary Refresh Token (PRT) und nahtloses SSO auf in Azure AD eingebundenen Geräten:

Das PRT ist ein gerätegebundenes, benutzerbezogenes Aktualisierungstoken (Refresh Token), das während der Geräteanmeldung (Azure AD joined oder hybrid Azure AD joined) ausgestellt wird. Es befindet sich im Anmeldeinformationsstapel des Betriebssystems und wird, falls verfügbar, durch TPM geschützt.
Das PRT ermöglicht SSO für in Azure AD integrierte Apps über den Web Account Manager (WAM) und MSAL, wodurch wiederholte Anmeldeaufforderungen entfallen. Wenn die ursprüngliche Anmeldung die MFA-Anforderungen erfüllte, trägt das PRT einen MFA-Claim, der die CA-Anforderung „MFA anfordern“ ohne eine neue Aufforderung erfüllen kann, bis die Anmeldehäufigkeit abläuft oder sich die Richtlinie ändert.
Erneuerung und Sicherheit: Das PRT wird regelmäßig erneuert und kann mittels einer Nonce herausgefordert werden, um die Gerätepräsenz zu bestätigen. Der Widerruf der Geräteregistrierung oder die Deaktivierung des Benutzers macht die nachfolgende Token-Ausstellung ungültig.
Beziehung zu Seamless SSO: Azure AD Seamless SSO (Kerberos-basiert über Azure AD Connect) kommt hauptsächlich Domänen-gebundenen Geräten im Unternehmensnetzwerk zugute, die PHS/PTA verwenden. In Azure AD eingebundene Geräte (Azure AD joined) verlassen sich für SSO auf das PRT; Sie benötigen kein Seamless SSO für AADJ-Geräte, um SSO für Cloud-Ressourcen zu erreichen.

Enterprise State Roaming, PIM und Gruppenstrategie für präzises Targeting

Enterprise State Roaming (ESR):

ESR synchronisiert unterstützte Windows-Einstellungen und bestimmte App-Einstellungen für Azure AD-Benutzer über in Azure AD eingebundene und hybrid in Azure AD eingebundene Geräte hinweg. Beispiele hierfür sind Personalisierung, Sprache und einige Windows-App-Einstellungen; nicht jedoch Dokumente oder beliebige Dateien.
Aktivieren Sie ESR in den Azure AD-Mandanteneinstellungen und legen Sie den Geltungsbereich auf alle oder ausgewählte Benutzer fest. Die Daten werden bei der Übertragung und im Ruhezustand (at rest) in Azure verschlüsselt; die Schlüssel sind mandantenbezogen. ESR reduziert die Zeit für die Neukonfiguration beim Austausch von Geräten oder bei der Autopilot-Bereitstellung und ergänzt, ersetzt aber nicht, Profilverwaltungslösungen.

Privileged Identity Management (PIM) für Just-in-Time-Administratorzugriff:

PIM (Azure AD P2) macht Benutzer berechtigt (eligible) anstatt sie dauerhaft privilegierten Rollen (z. B. Global Administrator, Intune Administrator, Security Administrator) oder privilegierten Zugriffsgruppen (PAGs) zuzuweisen.
Die Aktivierung kann MFA, eine Begründung, Ticketnummern und eine Genehmigung erfordern und mit einem erzwungenen Start-/Enddatum zeitlich begrenzt sein. Es erzeugt unveränderliche Audit-Einträge und Warnungen bei übermäßiger Aktivierung.
Verwenden Sie PIM, um dauerhafte Berechtigungen zu reduzieren, den Explosionsradius zu begrenzen und Compliance-Anforderungen zu erfüllen. Machen Sie für Intune Administratoren für die Rolle „Intune Administrator“ oder eine PAG, der eine bereichsbezogene Intune RBAC gewährt wird, berechtigt. Fordern Sie für Rollen mit weitreichenden Auswirkungen eine Genehmigung an und beschränken Sie die Aktivierung auf die Arbeitszeiten.

Azure AD-Gruppen für das Targeting in Intune und CA:

Zugewiesene Gruppen: Statische Mitgliedschaft, ideal für Pilotprojekte und wenn Attribute nicht ausreichen. Administrativ einfach und deterministisch.
Dynamische Benutzergruppen: Die Mitgliedschaft wird aus Benutzerattributen (z. B. department, usageLocation, jobTitle) berechnet. Am besten für benutzerbezogene Richtlinien, App-Zuweisungen und die Lizenzverwaltung geeignet. Erfordert Azure AD Premium P1.
Dynamische Gerätegruppen: Die Mitgliedschaft basiert auf Geräteattributen (z. B. deviceOSType, deviceOwnership, enrollmentProfileName, deviceCategory). Am besten für gerätebezogene Richtlinien und App-Bereitstellungen geeignet.
Anleitung für das Targeting in Intune:
- Verwenden Sie Benutzergruppen für benutzerbasierte Richtlinien (z. B. App-Schutzrichtlinien, Zuweisungen von Office-Apps) und Gerätegruppen für gerätebasierte Profile (z. B. Konfiguration, Compliance).
- Bevorzugen Sie Intune-Gerätefilter für eine hochpräzise Bereichsdefinition bei Zuweisungen an „Alle Geräte“, um Gruppenwildwuchs und Auswertungsverzögerungen zu reduzieren.
- Legen Sie für Conditional Access den Geltungsbereich von Richtlinien auf Benutzer und Workload-Identitäten fest; verwenden Sie Gerätefilter innerhalb von CA, wenn Sie die Durchsetzung nach Geräteeigenschaften eingrenzen müssen, und fordern Sie „Gerät ist konform“ oder „Hybrid eingebunden“ an, um den Gerätestatus zu erzwingen.
Hygiene: Vermeiden Sie die Verwendung von verschachtelten Gruppen, die unvorhersehbare Verzögerungen bei der dynamischen Auswertung verursachen. Überwachen Sie die Verarbeitung der Mitgliedschaften und entwerfen Sie Fallback-Ausschlüsse für Notfall- oder Dienstkonten.

Zusammenfassung: Sichere moderne Zugriffsmuster

Ein robustes Muster für Cloud-First-Endpunkte:

Blockieren Sie die Legacy-Authentifizierung mithilfe einer CA-Richtlinie mit der Bedingung „Client-Apps“, die auf Legacy-Protokolle beschränkt ist, und einer „Blockieren“-Zugriffssteuerung.
Erzwingen Sie CA-basierte MFA mit Richtlinien, die sich nach der Sensibilität richten (z. B. MFA für Exchange/SharePoint und alle Admin-Portale vorschreiben). Eliminieren Sie die benutzerspezifische MFA, um Konflikte zu vermeiden.
Fordern Sie Gerätekonformität für Desktop-Plattformen mit Sitzungssteuerungen für die Anmeldehäufigkeit. Für mobiles BYOD sind genehmigte Client-Apps und App-Schutzrichtlinien ohne Geräteregistrierung erforderlich.
Nutzen Sie Identity Protection: Fordern Sie MFA bei mittlerem Anmelderisiko, blockieren Sie den Zugriff bei hohem Anmelderisiko und fordern Sie eine Passwortänderung bei mittlerem/hohem Benutzerrisiko.
Verwenden Sie benannte Standorte, um die Reibung in vertrauenswürdigen Unternehmensnetzwerken zu reduzieren, während Sie bei Bedarf weiterhin die Gerätekonformität und Sitzungssteuerungen durchsetzen.
Stellen Sie sicher, dass in Azure AD eingebundene Geräte ein PRT für nahtloses SSO erhalten, unterstützt durch Intune-Konformität und Signale von Defender for Endpoint, falls zutreffend.
Steuern Sie den Administratorzugriff mit PIM und führen Sie regelmäßige Zugriffsüberprüfungen durch.

Praktisches Problemszenario

Fabrikam, Inc. führt für seine weltweite Belegschaft in Azure AD eingebundene Windows 11-Laptops mit Intune-Verwaltung ein. Die Sicherheitsanforderungen umfassen das Blockieren der Legacy-Authentifizierung, das Erzwingen von MFA basierend auf dem Risiko, die Vorschrift konformer Geräte für den Zugriff auf Microsoft 365, die Aktivierung von SSO und die Minimierung von Reibungsverlusten für Benutzer durch häufige Abfragen. Administratoren dürfen ihre Berechtigungen nur bei Bedarf erweitern. Benutzer sollen ihre Desktop-Personalisierung auch auf neuen Geräten beibehalten.

Baseline für den bedingten Zugriff implementieren

Erstellen Sie eine CA-Richtlinie „Legacy-Authentifizierung blockieren“: Ziel sind alle Benutzer, zwei Notfallkonten werden ausgeschlossen, Ziel sind alle Cloud-Apps, die Client-Apps werden auf Legacy-Protokolle gesetzt und der Zugriff wird blockiert (Grant: Block). Warum: Dies blockiert gezielt nur Legacy-Protokolle, während der Zugriff über moderne Authentifizierung erhalten bleibt.

MFA und Gerätekonformität für Microsoft 365 erfordern

Erstellen Sie die CA-Richtlinie „M365-Zugriff erfordert konformes Gerät oder MAM“: Ziel sind alle Benutzer, einschließlich Exchange Online und SharePoint Online. Für Windows/macOS muss das Gerät als konform markiert sein; für iOS/Android sind eine genehmigte Client-App und eine App-Schutzrichtlinie erforderlich. Legen Sie die Anmeldehäufigkeit der Sitzungssteuerung auf 14 Tage fest. Warum: Schafft eine Balance zwischen Sicherheit und Benutzerfreundlichkeit, indem Zero Trust auf verwalteten Endpunkten und MAM für BYOD ohne Geräteregistrierung durchgesetzt wird.

Risikobasierten Schutz mit Identity Protection aktivieren

Konfigurieren Sie die Richtlinie für das Anmelderisiko: Bei mittlerem und höherem Risiko MFA erfordern; bei hohem Risiko den Zugriff blockieren.
Konfigurieren Sie die Richtlinie für das Benutzerrisiko: Bei mittlerem und höherem Risiko eine Passwortänderung mittels SSPR+MFA erfordern. Warum: Automatisiert die Behebung von Echtzeit-Risiken und Kontokompromittierungen, um die Reaktionszeit auf Vorfälle zu reduzieren.

Benannte Standorte einrichten

Definieren Sie benannte IP-Bereiche für das Rechenzentrum und die regionalen Niederlassungen von Fabrikam und markieren Sie diese als vertrauenswürdig. Warum: Verringert unnötige MFA-Abfragen von bekannten Egress-Punkten und verbessert die Genauigkeit der Risikosignale.

Nahtloses SSO über PRT auf in Azure AD eingebundenen Geräten sicherstellen

Registrieren Sie Geräte mit Windows Autopilot (Azure AD Join) und Intune. Überprüfen Sie die Ausstellung von PRTs mit

undefined

und stellen Sie sicher, dass die Zeitsynchronisierung und das TPM fehlerfrei sind. Warum: Das PRT bietet gerätegebundenes SSO, erfüllt gegebenenfalls die MFA-Anforderungen von CA und eliminiert wiederholte Abfragen.

Intune-Konformität und Zielgruppenadressierung mit Azure AD-Gruppen konfigurieren

Erstellen Sie dynamische Gerätegruppen nach Plattform und Besitz und wenden Sie Konformitätsrichtlinien an (Verschlüsselung, Mindestbetriebssystem, Defender-Status). Verwenden Sie Intune-Gerätefilter, um Zuweisungen an „Alle Geräte“ für Konfigurationsprofile und Win32-Apps zu verfeinern. Warum: Stellt sicher, dass nur konforme Geräte Zugriff erhalten, während die unkontrollierte Vermehrung von Gruppen und Auswertungsverzögerungen minimiert wird.

Privilegierten Zugriff mit PIM steuern

Machen Sie den Helpdesk für die Rollen „Intune Help Desk Operator“ und „Endpoint Security Manager“ berechtigt; machen Sie Cloud Ops für „Intune Administrator“ berechtigt. Fordern Sie MFA, eine Begründung und 4-stündige Aktivierungsfenster mit Genehmigung für höhere Rollen. Warum: Reduziert dauerhaft zugewiesene Berechtigungen, setzt das Prinzip der geringsten Rechte (Least Privilege) durch und sorgt für überprüfbare Aktivierungen.

Enterprise State Roaming aktivieren

Schalten Sie ESR für alle Azure AD-Benutzer ein. Kommunizieren Sie, welche Einstellungen synchronisiert (roamen) werden, und validieren Sie die Synchronisierung auf Pilotgeräten. Warum: Erhält die Personalisierung der Benutzer bei einem Gerätewechsel und verbessert so die Produktivität bei Lifecycle-Ereignissen.

Dieses Design nutzt Conditional Access für die kontextbezogene Durchsetzung, Identity Protection für die automatisierte Risikobehebung, PRT für reibungsloses SSO auf in Azure AD eingebundenen Geräten, Intune und dynamische Gruppen für eine präzise Richtlinienzuweisung, PIM für die Just-in-Time-Administration und ESR für eine konsistente Benutzererfahrung – alles im Einklang mit Zero Trust und betrieblicher Effizienz.

← Endpunktsicherheit und Microsoft Defender · Alle Domänen · Co-Management und hybride Umgebungen →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →