Entra ID
Identity Hardening
Das Fundament gegen Ransomware und kompromittierte Konten. Wir setzen das Microsoft-Tiering-Modell um, blockieren veraltete Protokolle und rollen Conditional-Access-Richtlinien als Infrastructure as Code aus.
Scope & Pakete
Drei Pakete nach Tenant-Grösse und Komplexität. Sie erhalten eine verbindliche Festofferte für Ihren Scope.
- Grundschutz gegen Ransomware & Phishing
- MFA-Pflicht für alle Mitarbeitenden (Cyber-Versicherungs-Standard)
- Sperrung unsicherer Logins (Legacy Auth & Ausland)
- Einrichtung sicherer Notfall-Zugänge (Break-Glass)
- Alle Essentials-Leistungen
- 15+ Enterprise Conditional Access Policies (via IaC)
- Getrennte Admin-Konten mit minimalen Rollen (Least Privilege)
- 7-Tage-Telemetrie-Monitoring & begleitete Scharfschaltung
- Alle Corporate-Leistungen
- Multi-Domain & komplexe Entra-Connect-Topologien
- Risk-Based Access (automatische Reaktion auf riskante Anmeldungen)
- Privileged Identity Management (PIM) mit Approval-Workflows
Technische Details
Fachliche Details für die technische Validierung.
Policies (Enterprise Conditional Access)
Durchgängige Architektur nach Best Practices, ohne die typischen Bypass-Lücken. Wir rollen ein fertiges Set aus 15+ Policies aus, basierend auf dem Block-First Approach, Device Compliance Zwang und netzwerkbasierten Regeln.
- Production CA Policy Set (via IaC deployt)
- Phishing-resistant MFA für Admin-Konten
- Device-Bound Access Controls
Admin (Admin Tiering & PIM)
Notfall- und Admin-Konzepte nach Enterprise-Standards. Permanente «Standing Privileges» werden eliminiert und mit Entra ID P2 durch Just-in-Time (JIT) Zugriffe für die Administration ersetzt.
- Privileged Identity Management (PIM) Setup (Entra ID P2)
- JIT Admin Access Workflows
- Isolierte Break-Glass Emergency Accounts
Hardening (Entra ID Hardening)
Absicherung gegen moderne Angriffsvektoren und Identitätsdiebstahl. Systematische Vorbereitung zur Deaktivierung veralteter Authentifizierungsmethoden und automatisiertes Routing bei kompromittierten Konten.
- Legacy Authentication Hard-Block Preparation
- Sign-in Risk & User Risk Policies
- Password-Spray & Brute-Force Protection
Enforcement (Log-Analyse & Scharfschaltung)
Keine unfertigen Baustellen. Wir rollen die Policies zuerst im Report-Only-Modus aus, überwachen die Telemetrie 7 Tage auf Auffälligkeiten und übernehmen anschliessend in Absprache mit Ihnen die finale Scharfschaltung (Enforcement).
- 7-Tage Report-Only Telemetrie-Monitoring
- Identifikation von Block-Risiken (Legacy Apps)
- Finale Scharfschaltung durch Flowbotics (End-to-End)
Nutzen für Ihr Unternehmen
Der ROI für die Geschäftsführung.
Häufige Fragen
Welche Voraussetzungen müssen für den Sprint-Start erfüllt sein?
Für Conditional Access braucht es Microsoft Entra ID P1, zum Beispiel über Microsoft 365 Business Premium; für PIM und risikobasierte Richtlinien Entra ID P2. Sobald die Lizenzen und ein befristetes Admin-Konto bereitstehen, legen wir los.
Sperren wir uns mit strengen CA-Policies nicht selbst aus?
Nein. Wir sichern die Implementierung durch What-If-Analysen und definierte Rollback-Szenarien ab. Das Herzstück der Architektur sind zudem die isolierten Break-Glass-Accounts, die von allen Sperr-Policies konsequent ausgenommen sind.
Wie arbeiten unsere IT-Admins nach dem Sprint?
Sicher und auditiert. Permanente «Global Admins» werden bis auf die Notfallkonten abgeschafft (Least Privilege). Ihre Admins arbeiten mit getrennten Admin-Konten und nur den Rollen, die sie brauchen. Mit Entra ID P2 schalten sie diese Rechte über PIM bei Bedarf (Just-in-Time) frei.
Führt die Härtung zu einem sofortigen Stillstand von Legacy-Anwendungen?
Nein. Jede Policy wird via Infrastructure as Code (IaC) zuerst im Report-Only-Modus ausgerollt. So identifizieren wir Applikationen, die blockiert würden, bevor der Block-Modus in Absprache mit Ihnen scharfgeschaltet wird.
Gehört auch die Absicherung der Geräte dazu?
Die Geräte sichern wir im Sprint Intune & Autopilot ab. Bis dahin bleiben Richtlinien, die ein konformes Gerät verlangen, im Report-Only-Modus. Ältere Geräte wie Scanner, die sich nicht modern anmelden können, finden wir beim Testen und zeigen Ihnen eine passende Lösung.
Wie viel Aufwand haben wir intern?
Rechnen Sie mit 4–6 Stunden Ihrer IT: Liste der Admin-Konten und bekannten Ausnahmen (z. B. Scanner, Dienstkonten), Tests mit einigen Pilotbenutzern und die Freigabe vor der Scharfschaltung.
Wer betreut die Lösung nach dem Sprint?
Ihre IT oder Ihr IT-Partner, mit unserer Dokumentation. Auf Wunsch übernehmen wir die Betreuung monatlich: Überwachung der Conditional-Access-Logs, Anpassungen und ein monatlicher Sicherheitsbericht.
Mehr dazu im Wissensartikel: Conditional Access für KMU: Die Basis-Richtlinien