Mobile-Menu

Definition Conditional Acces Was ist die Conditional Access?

Von Dipl.-Ing. (FH) Stefan Luber 4 min Lesedauer

Conditional Access ist eine Methode zur Kontrolle der Zugriffe von Usern auf Anwendungen und Daten. Die Zugriffsberechtigungen lassen sich über zuvor definierte Bedingungen feingranular steuern und sind abhängig von verschiedenen Kontextsignalen wie Standort, IP-Adresse, Endgerät, Betriebssystem oder Uhrzeit.

Conditional Access ist eine Methode zur Zugriffskontrolle mit bedingtem Zugriff der User auf Anwendungen und Daten.(Bild: gemeinfrei / Pixabay)
Conditional Access ist eine Methode zur Zugriffskontrolle mit bedingtem Zugriff der User auf Anwendungen und Daten.
(Bild: gemeinfrei / Pixabay)

Ins Deutsche übersetzt bedeutet Conditional Access bedingter Zugriff. Bei Conditional Access, abgekürzt CA, handelt es sich um eine Zugriffskontrollmethode. Manchmal wird alternativ auch der Begriff Contextual Access (kontextueller Zugriff) verwendet. Conditional Access ermöglicht die Kontrolle und Steuerung des Zugriffs von Usern oder Clients auf Anwendungen, Services oder Daten abhängig von verschiedenen Kontextsignalen und zuvor definierten Bedingungen. Nur wenn die Signale bestimmte Bedingungen erfüllen, wird der Zugriff auf die angefragten Ressourcen gewährt. Dadurch sind die Zugriffsberechtigungen der User oder Clients nicht nur von einer erfolgreichen Anmeldung und Authentifizierung, sondern auch von anderen Kriterien wie der Gruppenzugehörigkeit des Users, dem Standort, der IP-Adresse, dem verwendeten Endgerät, dem Betriebssystem oder der Uhrzeit und bestimmten Kombinationen dieser Kriterien abhängig. Beispielsweise lassen sich die Bedingungen so einstellen, dass ein Anwender nur Zugriff auf bestimmte Daten erhält, wenn er sich per Multi-Faktor-Authentifizierung authentifiziert hat, eine IP-Adresse aus dem internen Netz nutzt und ein bestimmtes Endgerät mit einem bestimmten Betriebssystem und Webbrowser verwendet. Sind diese Bedingungen nicht erfüllt, verweigert das Conditional-Access-System den Zugriff auf die Daten.

Ein Conditional-Access-System gestattet eine feingranulare Vergabe und Kontrolle von Zugriffsberechtigungen unter Berücksichtigung des Kontexts, in dem der Zugriff auf Unternehmensressourcen angefordert wird, ohne die Benutzerfreundlichkeit zu beeinträchtigen. Unternehmen erhalten eine bessere Kontrolle darüber, wer Zugriff auf welche Daten, Anwendungen oder Services bekommt. Das sorgt für ein grundsätzlich höheres Sicherheitsniveau.

Conditional Access - ein Baustein zur Umsetzung des Zero-Trust-Konzepts und des Least-Privilege-Prinzips

Conditional Access lässt sich als ein Baustein zur Umsetzung des Zero-Trust-Konzepts und zur Durchsetzung des Least-Privilege-Prinzips nutzen. Das Zero-Trust-Konzept basiert auf dem Grundsatz, zunächst jedem zu misstrauen und ihn als potenziellen Angreifer zu betrachten. Zugriffe werden nicht pauschal auf Netzwerkebene, sondern spezifisch auf User-, Geräte- und Anwendungsebene gemäß den zuvor definierten Richtlinien freigeschaltet. Das Prinzip der geringsten Rechte besagt, dass User oder Clients nur genau die Zugriffsrechte auf Ressourcen erhalten, die sie für die Erledigung ihrer Aufgaben unbedingt benötigen. Per Conditional Access lässt sich festlegen und steuern, unter welchen Bedingungen und unter Einbeziehung welcher Kriterien einem User oder Client vertraut werden kann. Der bedingte Zugriff vereinfacht zudem die Einschränkung des Zugriffs auf Daten oder Anwendungen gemäß dem Prinzip der geringsten Rechte. Zunächst haben User oder Clients minimale Berechtigungen. Erst durch die Prüfung weiterer Kriterien und Bedingungen werden zusätzliche Zugriffsrechte erteilt.

Die prinzipielle Funktionsweise der Zugriffskontrollmethode Conditional Access

Etwas vereinfacht dargestellt funktioniert die Zugriffskontrollmethode Conditional Access folgendermaßen: Möchte ein Client oder ein User auf eine Ressource zugreifen, wird diese Anforderung an das Conditional-Access-System weitergeleitet. Das CA-System erhält Informationen über das Benutzerkonto, das den Zugriff anfragt, und den Namen der aufgerufenen Ressource. Darüber hinaus werden Informationen über den weiteren Kontext der Anfrage mitgeteilt. Diese weiteren Informationen werden manchmal auch als Signale bezeichnet. Typische Signale sind zum Beispiel:

  • Authentifizierungsmethode des Users oder Clients
  • Gerätetyp
  • Betriebssystem
  • anfragende Anwendung, zum Beispiel ein Webbrowser
  • Softwarestand des Betriebssystems oder der Anwendung
  • aktueller Virenschutz
  • IP-Adresse
  • Lokation
  • Gruppenzugehörigkeit oder Rolle
  • Zeit und Datum

Anhand dieser Signale und zuvor aufgestellter Zugriffsrichtlinien (Policies) mit den entsprechenden Bedingungen prüft das CA-System, ob der Zugriff gestattet wird. Richtlinien können unter anderem aus einfachen Wenn-Dann-Anweisungen mit logischen Operatoren bestehen. Eine Anweisung könnte beispielsweise folgendermaßen aussehen:

Ist die Bedingung eins (Verwendung des Betriebssystems x) und die Bedingung zwei (Anfrage kommt von einer internen IP-Adresse) erfüllt, dann gestatte dem Anwender den Zugriff auf die Ressource y.

In den Richtlinien lassen sich beliebig viele Bedingungen mit logischen Operatoren wie UND, ODER und NICHT auf unterschiedliche Art und Weise miteinander verknüpfen. Mögliche Ergebnisse der Prüfung der Richtlinien können die Gewährung des Zugriffs, die Ablehnung des Zugriffs oder die Aufforderung zu weiteren Aktionen zur Erfüllung zusätzlicher Anforderungen, zum Beispiel die Durchführung einer Multi-Faktor-Authentifizierung mit einem weiteren Faktor, sein. Die Zugriffskontrolle erfolgt über das Conditional-Access-System und mithilfe der zuvor aufgestellten Zugriffsrichtlinien vollständig automatisiert.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Conditional Access in der Microsoft-Welt

Auch Microsoft kennt das Konzept des Conditional Access als Zugriffskontrollmethode und hat diese Methode in eigene Produkte integriert. So ist Conditional Access ein nativer Bestandteil von Microsoft Entra ID, dem cloudbasierten Identitäts- und Zugriffsverwaltungsdienst. Microsoft Entra ID wurde ursprünglich als Azure Active Directory bezeichnet. Entra ID fungiert als zentrale Authentifizierungs- und Zugriffsverwaltungslösung in Microsoft Azure und für unterschiedliche Cloud-Dienste wie Microsoft 365 oder Microsoft Dynamics 365. Als IDP (Identity Provider) interpretiert Entra ID bestimmte Signale, die während des Anmeldevorgangs übertragen werden. Neben den Standard-Microsoft-Applikationen lassen sich auch eigene Anwendungen integrieren.

Mit Entra ID kann der Zugriff auf die verschiedenen Ressourcen in Form von auf diversen Signalen basierenden Bedingungen kontrolliert und verwaltet werden. Conditional Access Policies legen fest, unter welchen Bedingungen und auf welche Weise Benutzer und Geräte auf die jeweiligen Ressourcen zugreifen dürfen. Das Microsoft-Conditional-Access-System wertet für den bedingten Zugriff Signale wie Zugehörigkeit zu Gruppen, Netzwerk (IP-Adressbereiche oder geografische Region), Anwendungen, Gerät, Gerätezustand oder Risiko aus. Anhand dieser Signale und der definierten Richtlinien wird entschieden, ob der Zugriff zugelassen oder blockiert wird, eine Multi-Faktor-Authentifizierung durchzuführen ist, eine Passwortänderung erzwungen wird oder vor dem Zugriff auf Cloud-Anwendungen zunächst eine Unternehmensrichtlinie zu den Nutzungsbedingungen akzeptiert werden muss.

Typische Vorteile durch die Implementierung der Zugriffskontrollmethode Conditional Access

Die Implementierung der Zugriffskontrollmethode Conditional Access bietet eine ganze Reihe von Vorteilen. Zu diesen Vorteilen zählen:

  • wirksamer Schutz von Anwendungen, Daten und Ressourcen vor unbefugten Zugriffen
  • feingranulare Vergabe, Steuerung, Kontrolle und Durchsetzung von Zugriffsberechtigungen
  • Berücksichtigung des Kontexts eines Zugriffs in Form von vielen verschiedenen Signalen beziehungsweise Kriterien
  • vielfältige Definitionsmöglichkeiten der Zugriffskontrollrichtlinien in Form von beliebig verknüpfbaren Bedingungen
  • wirksamer Baustein zur Durchsetzung des Zero-Trust-Konzepts und des Least-Privilege-Prinzips
  • effektive Absicherung risikoreicher Login- und Zugriffsversuche
  • Möglichkeit sicherer Zugriffe von Third-Party-Usern
  • Unterstützung bei der Einhaltung von Compliance-, Datenschutz- und Informationssicherheitsvorgaben
  • Automatisierung der Zugriffskontrolle
  • Verbesserung der Benutzererfahrung

(ID:50312914)

Weiterführende Inhalte