Darum geht es
Viele wichtige Schutzfunktionen von Microsoft 365, etwa Regeln für den bedingten Zugriff (Conditional Access), gibt es erst ab der Lizenz Microsoft Entra ID P1. Ohne sie lassen sich MFA-Pflicht, Gerätebedingungen oder das Sperren veralteter Anmeldungen nur grob oder gar nicht steuern.
Was passieren kann
Ohne Entra ID P1 fehlen zentrale Werkzeuge gegen Kontoübernahmen. Mehrere andere Empfehlungen in diesem Bericht lassen sich dann nicht umsetzen.
Schritt für Schritt
Öffnen Sie im Microsoft 365 Admin Center Abrechnung > Ihre Produkte und prüfen Sie, welche Abonnements vorhanden sind.
Prüfen Sie, ob eines davon Entra ID P1 enthält: Microsoft 365 Business Premium, Microsoft 365 E3/E5, EMS E3/E5 oder Microsoft Entra ID P1 als Einzellizenz.
Falls nicht: Klären Sie mit Ihrem Dienstleister, ob ein Wechsel auf Business Premium (bis 300 Benutzer) oder eine Entra-ID-P1-Zusatzlizenz wirtschaftlicher ist.
Weisen Sie die Lizenz allen Benutzern zu, die durch Conditional Access geschützt werden sollen. Entra ID P1 wird pro Benutzer lizenziert.
Richten Sie danach Conditional-Access-Richtlinien ein (MFA für alle, Sperre veralteter Authentifizierung) und testen Sie sie zunächst im Modus „Nur Bericht“.
Hier finden Sie die Einstellung
- Microsoft 365 Admin Center (admin.microsoft.com)
- Abrechnung
- Ihre Produkte
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Der Tenant ist für Microsoft Entra ID P1 (inkl. MFA Premium) lizenziert
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: Get-MgSubscribedSku | ? { $_.ServicePlans.ServicePlanName -contains 'MFA_PREMIUM' } | select SkuPartNumber,ConsumedUnits zeigt die Abonnements mit Entra ID P1.Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A17: Geeignete Auswahl von Identitäts- und Berechtigungsmanagement-Systemen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.