UNIVERSITY.IDENTITY & ENTRA
Entra ID und Conditional Access in der Praxis
Conditional Access, Passkeys, PIM, Token-Schutz und Gastzugriff für die Microsoft 365-Administration in KMU und Gemeinden, Stand November 2026
Das lernen Sie
- Identitäten, Geräteidentitäten und Token so einordnen, dass sich jede Entscheidung von Conditional Access erklären lässt
- Jede eingesetzte Funktion der tragenden Lizenz zuordnen und die Folgen auslaufender Lizenzen einschätzen
- Einen Notfallzugang mit Passkeys, Ausnahmegruppe, Alarm und regelmäßigem Test aufbauen und dokumentieren
- Die Methodenrichtlinie migrieren, den Registrierungsstand messen und Passkeys mit Passkey-Profilen einführen
- Onboarding und Wiederherstellung mit dem befristeten Zugriffspass sicher gestalten
- Richtlinien auf ein Persona-Modell mit gesteuerten Ausnahmen und einem tragfähigen Namensschema aufbauen
- Änderungen mit Nur Bericht, Auswirkung der Richtlinie, What If und einem Testkatalog absichern
- Gerätekonformität, Sitzungssteuerung, fortlaufende Zugriffsevaluierung und Token-Schutz gezielt einsetzen
- Microsoft-verwaltete Richtlinien bewerten und PIM mit Authentifizierungskontext ohne Aussperrrisiko betreiben
- Rollen mit geschützten Aktionen und Verwaltungseinheiten mit eingeschränkter Verwaltung begrenzen
- Gastzugriff und Partnerorganisationen mit mandantenübergreifenden Zugriffseinstellungen und Lebenszyklus steuern
- Anmeldeprotokolle auswerten, ein Überwachungspaket aufbauen und Störungen mit festem Ablauf lösen
Beschreibung
Conditional Access ist schnell eingeschaltet. Ob die Richtlinien nach zwei Jahren noch stimmen, ob ein Notfallkonto im Ernstfall funktioniert und ob der Servicedesk eine Sperre in fünf Minuten statt in zwei Stunden löst, entscheidet sich im Betrieb. Dieser Kurs vertieft den Grundaufbau aus TOM-M365-01 und führt Sie vom Einrichten zum souveränen Betreiben, auf dem Stand von November 2026.
Identitätsmodell und Lizenzen: welche Identitäten, Geräte und Token Conditional Access auswertet, welche Funktion welche Lizenz braucht und was beim Auslaufen einer Lizenz passiert.
Notfallzugang: zwei Konten mit Passkey, Ausnahmegruppe, Alarm in Azure Monitor, Schutz über Verwaltungseinheiten mit eingeschränkter Verwaltung und ein Testverfahren alle 90 Tage.
Methoden und Passkeys: Migrationsstatus der Methodenrichtlinie, Messung des Registrierungsstands, Passkey-Profile mit Nachweis und Schlüsselbeschränkungen, befristeter Zugriffspass und ein sicherer Wiederherstellungsprozess.
Conditional Access im Betrieb: Auswertungslogik, Zielressourcen und die seit Juni 2026 geänderte Durchsetzung bei Ausnahmen, Persona-Modell, Ausnahmen mit Besitzer und Ablaufdatum, Namensschema, Nur Bericht, Auswirkung der Richtlinie und What If mit Testkatalog.
Geräte, Sitzungen und Token: Intune-Konformität, Gerätefilter, das Ende der genehmigten Client-App, Anmeldehäufigkeit, fortlaufende Zugriffsevaluierung, Token-Schutz und gesperrte Authentifizierungsflüsse.
Verwaltete Richtlinien und Rollen: Entscheidungen zu Microsoft-verwalteten Richtlinien, PIM mit Authentifizierungskontext und Genehmigung ohne Aussperrrisiko, geschützte Aktionen und Verwaltungseinheiten.
Gäste und Partner: Einstellungen für externe Zusammenarbeit, mandantenübergreifende Zugriffseinstellungen mit gezieltem Vertrauen, Tenant Restrictions v2 und der Lebenszyklus von Gastkonten.
Überwachung und Fehlersuche: Anmeldeprotokolle, Weiterleitung nach Log Analytics, KQL-Abfragen, Arbeitsmappen, Integritätsüberwachung, Warnungsregeln und ein fester Ablauf mit den wichtigsten Fehlercodes.
Jedes Modul endet mit einer Übung im Testtenant mit klar beschriebenem Ergebnis. Am Ende stehen eine dokumentierte Richtlinienmatrix, ein getesteter Notfallzugang, ein Überwachungspaket und ein Betriebshandbuch, die Sie als Vorlage für eigene oder betreute Tenants verwenden.
Aufbau
Identitätsmodell, Lizenzen und NotfallzugangGratis
Jede Entscheidung von Conditional Access über Identität, Client und Ressource erklären, jede Funktion der tragenden Lizenz zuordnen und Lizenzfallen vermeiden sowie den Notfallzugang mit Passkeys, Alarm, Anleitung und Testprotokoll als überwachten Prozess aufbauen.
- Identitäten, Geräte und Token: das Modell hinter jeder Richtlinie (25 Min.)
- Lizenzen Stand November 2026: Free, P1, P2, Governance und Suite (20 Min.)
- Notfallzugang als Architektur: Konten, Schlüssel, Alarm und Test (20 Min.)
- Übung: Lizenzinventur und Notfallzugang mit Alarm (60 Min.)
Authentifizierungsmethoden und PasskeysPremium
Die Methodenrichtlinie sauber migrieren und messen, Passkeys mit Profilen, Nachweis und Schlüsselbeschränkungen planen sowie Onboarding und Wiederherstellung mit dem befristeten Zugriffspass absichern.
- Die Methodenrichtlinie beherrschen und den Registrierungsstand messen (20 Min.)
- Passkeys mit Passkey-Profilen planen (20 Min.)
- Befristeter Zugriffspass, Wiederherstellung und Authentifizierungsstärken (25 Min.)
- Übung: Passkey-Profile, Zugriffspass und phishingresistente Anmeldung (45 Min.)
Conditional Access: Persona-Modell, Ausschlüsse und sicheres EinführenPremium
Die Auswertungslogik von Conditional Access im Detail verstehen, Richtlinien auf Personas mit gesteuerten Ausnahmen und einem tragfähigen Namensschema aufbauen, eine vollständige Richtlinienmatrix für KMU und Gemeinden planen und Änderungen mit Nur Bericht, Auswirkung der Richtlinie und What If absichern.
- Wie Conditional Access entscheidet (20 Min.)
- Das Persona-Modell im Betrieb: Gruppen, Ausnahmen und Namensschema (20 Min.)
- Nur Bericht, Auswirkung der Richtlinie und What If gezielt einsetzen (25 Min.)
- Die Richtlinienmatrix: ein vollständiger Satz für KMU und Gemeinden (25 Min.)
- Übung: Persona-Gerüst, drei Richtlinien und ein Testkatalog (50 Min.)
Geräte, Sitzungen und Token-SchutzPremium
Gerätevertrauen über Intune-Konformität und Gerätefilter herstellen, Sitzungen mit Anmeldehäufigkeit, beständiger Browsersitzung und fortlaufender Zugriffsevaluierung steuern und Tokendiebstahl mit Token-Schutz und gesperrten Authentifizierungsflüssen eindämmen.
- Gerätevertrauen: Konformität, Gewährungssteuerungen und Gerätefilter (20 Min.)
- Sitzungen steuern: Anmeldehäufigkeit, Browsersitzung und CAE (20 Min.)
- Tokendiebstahl eindämmen: Token-Schutz und Authentifizierungsflüsse (20 Min.)
- Übung: Konformität, Admin-Sitzung, Token-Schutz und Gerätecode (50 Min.)
Microsoft-verwaltete Richtlinien, PIM und RollenmodellPremium
Microsoft-verwaltete Richtlinien bewusst behalten, duplizieren oder abschalten, PIM mit Authentifizierungskontext und Genehmigung ohne Aussperrrisiko betreiben und das Rollenmodell mit geschützten Aktionen und Verwaltungseinheiten verfeinern.
- Microsoft-verwaltete Richtlinien souverän betreiben (20 Min.)
- PIM in der Tiefe: Rolleneinstellungen, Authentifizierungskontext, Genehmigung (20 Min.)
- Rollenmodell härten: geschützte Aktionen und Verwaltungseinheiten (20 Min.)
- Übung: Entscheidungstabelle, PIM mit Kontext und geschützte Aktion (50 Min.)
Gastzugriff und mandantenübergreifende ZusammenarbeitPremium
Externe Zusammenarbeit mit klaren Einladungs- und Sichtbarkeitsregeln gestalten, Partner über mandantenübergreifende Zugriffseinstellungen mit gezieltem Vertrauen anbinden, Tenant Restrictions v2 einordnen und Gäste mit Conditional Access und Lebenszyklus absichern.
- Externe Identitäten und die Einstellungen für externe Zusammenarbeit (20 Min.)
- Mandantenübergreifende Zugriffseinstellungen, Vertrauen und Tenant Restrictions (20 Min.)
- Gäste mit Conditional Access und Lebenszyklus absichern (20 Min.)
- Übung: Partnerorganisation mit MFA-Vertrauen und Gastinventur (45 Min.)
Überwachung und FehlersuchePremium
Anmelde- und Überwachungsprotokolle lesen, weiterleiten und datenschutzkonform abfragen, mit Arbeitsmappen, Integritätsüberwachung und Warnungsregeln ein Lagebild aufbauen, Störungen mit einem festen Ablauf und den wichtigsten Fehlercodes schnell lösen und alle Prüfaufgaben in einem Betriebskalender verankern.
- Anmeldeprotokolle lesen, weiterleiten und abfragen (20 Min.)
- Arbeitsmappen, Integritätsüberwachung und Warnungsregeln (20 Min.)
- Fehlersuche mit System: Ablauf, Fehlercodes und Muster (20 Min.)
- Der Betriebskalender: wöchentlich, monatlich, vierteljährlich, jährlich (15 Min.)
- Übung: Fehlerbilder lösen und ein Überwachungspaket bauen (50 Min.)
Voraussetzungen
Sicherer Umgang mit dem Microsoft Entra Admin Center und dem Microsoft 365 Admin Center sowie Grundkenntnisse in Conditional Access, etwa aus dem Kurs TOM-M365-01. Erste Erfahrung mit Microsoft Graph PowerShell ist hilfreich.
Für die Übungen brauchen Sie einen eigenen Testtenant mit Microsoft 365 Business Premium und einer Testlizenz für Entra ID P2, ein Azure-Abonnement für einen Log Analytics-Arbeitsbereich mit geringen Kosten, ein in Entra ID eingebundenes Windows-11-Testgerät, ein nicht verwaltetes Zweitgerät, mindestens einen Sicherheitsschlüssel oder ein Smartphone mit Microsoft Authenticator sowie für Modul 6 einen zweiten Testtenant als Partnerorganisation. Führen Sie die Übungen nie in einem produktiven Tenant durch.
Teilnahmebestätigung
Nach einem Live-, Vor-Ort- oder Inhouse-Training erhalten Sie eine Teilnahmebestätigung der TOMORIS UNIVERSITY als PDF per E-Mail. Sie nennt Kurstitel, Datum, Dauer und Inhalte.
Im E-Learning erstellen Sie Ihren Teilnahmenachweis selbst: Nach bestandenem Abschlussquiz steht er in Ihrem Lernkonto bereit, zum Speichern als PDF oder zum Drucken, mit Ergebnis, Datum, Umfang und Inhalten des Kurses.
Die Bestätigung belegt Ihre Teilnahme. Sie ist kein staatlich anerkannter Abschluss und keine Zertifizierung eines Herstellers wie Microsoft oder Fortinet. Prüfungen für Herstellerzertifikate legen Sie direkt beim Hersteller ab.
Offene Termine
Derzeit ist kein offener Termin geplant. Fragen Sie uns, auch als Inhouse-Training für Ihr Team