# Conditional Access Conditional Access

Bedingter Zugriff als Zero-Trust-Policy-Engine mit Signalen, Entscheidungen und Durchsetzung. Conditional Access as the Zero Trust policy engine built around signals, decisions, and enforcement.

Lizenz Licensing

Grundsätzlich Microsoft Entra ID P1; Risikobedingungen und Identity Protection-Integration benötigen P2. Generally requires Microsoft Entra ID P1; risk conditions and Identity Protection integration need P2.

Ziel Goal

Zugriff kontextabhängig absichern, ohne jede Anmeldung pauschal zu blockieren. Secure access based on context without blindly blocking every sign-in.

Kernidee Core idea

Wenn eine Zuweisung zutrifft, werden Grant- oder Session-Controls erzwungen. If an assignment matches, grant or session controls are enforced.

## Überblick Overview

Conditional Access (CA) ist die Richtlinien-Engine von Microsoft Entra ID. Sie wertet Identitäts-, Geräte-, Netzwerk-, Risiko- und Anwendungssignale aus und entscheidet dann, ob Zugriff erlaubt, eingeschränkt oder blockiert wird. Conditional Access (CA) is the policy engine of Microsoft Entra ID. It evaluates identity, device, network, risk, and application signals and then decides whether access is allowed, restricted, or blocked.

CA arbeitet nach dem Muster `Wenn Zuweisung zutrifft → wende Kontrollen an`. Die eigentliche Authentifizierung findet zuerst statt; Conditional Access greift danach in den Token- und Sitzungsfluss ein. CA follows the pattern `If assignment matches → apply controls`. Initial authentication happens first; Conditional Access then influences token and session behavior.

### Signal → Entscheidung → Durchsetzung Signal → Decision → Enforcement

- Signal: Benutzer, Gruppe, Rolle, App, Gerät, Plattform, Standort, Clienttyp, Benutzer- oder Anmelderisiko.Signal: user, group, role, app, device, platform, location, client type, user risk, or sign-in risk.
- Entscheidung: Richtlinie trifft zu oder nicht. Mehrere Richtlinien werden kumulativ ausgewertet.Decision: policy applies or does not apply. Multiple policies are evaluated cumulatively.
- Durchsetzung: Blockieren, MFA, compliant device, Hybrid Join, App-Schutz, Authentication Strength oder Session Control.Enforcement: block, MFA, compliant device, hybrid join, app protection, authentication strength, or session control.

ℹ️ Lizenzhinweis ℹ️ Licensing note

Conditional Access selbst benötigt in produktiven Szenarien Microsoft Entra ID P1. Bedingungen auf Basis von Benutzer- oder Anmelderisiko benötigen zusätzlich P2, weil sie aus Identity Protection stammen. Conditional Access itself requires Microsoft Entra ID P1 for production use. Conditions based on user risk or sign-in risk also require P2 because they come from Identity Protection.

Wenn Ihr Tenant nur grundlegende Schutzmechanismen braucht und keine P1/P2-Lizenzen vorhanden sind, sind Security Defaults der Einstieg. Security Defaults und Conditional Access sollten nicht parallel eingesetzt werden. If your tenant only needs basic protection and no P1/P2 licenses are available, Security Defaults are the starting point. Security Defaults and Conditional Access should not be used in parallel.

## Komponenten Components

Jede CA-Richtlinie besteht aus zwei großen Bausteinen: Assignments definieren, wann die Richtlinie gilt; Controls definieren, was dann passiert. Every CA policy has two major building blocks: assignments define when the policy applies; controls define what happens next.

Baustein Component | Beschreibung Description | Typische Fragen Typical questions
--- | --- | ---
Assignments Assignments | Wer? Was? Unter welchen Bedingungen?Who? What? Under which conditions? | Welche Benutzer, welche Apps, welche Plattform, welches Risiko?Which users, which apps, which platform, what risk?
Grant Controls Grant controls | Zugriff blockieren oder nur unter Auflagen gewähren.Block access or grant access with requirements. | MFA, compliant device, Hybrid Join, App Protection, Authentication Strength?MFA, compliant device, hybrid join, app protection, authentication strength?
Session Controls Session controls | Sitzung nach erfolgreichem Zugriff weiter steuern.Further shape the session after access succeeds. | Sign-in frequency, persistent browser, CASB, app enforced restrictions?Sign-in frequency, persistent browser, CASB, app enforced restrictions?

### Bewährtes Denkmuster Recommended thinking pattern

- Mit einer klaren Benutzerpopulation beginnen und Break-Glass-Konten konsequent ausschließen.Start with a clear user population and explicitly exclude break-glass accounts.
- Immer zuerst bestimmen, welches Geschäftsrisiko die Richtlinie abdeckt.Always define which business risk the policy addresses first.
- Policies möglichst konsolidieren, damit Auswertung und Betrieb verständlich bleiben.Consolidate policies where possible so evaluation and operations stay understandable.
- Neue Richtlinien zuerst im Modus Report-only testen.Test new policies in report-only mode first.

## Zuweisungen Assignments

Assignments entscheiden, ob eine Richtlinie überhaupt evaluiert wird. Dazu gehören Benutzer und Gruppen, Cloud Apps oder Aktionen sowie optionale Bedingungen wie Standort, Gerät oder Risiko. Assignments determine whether a policy is evaluated at all. They include users and groups, cloud apps or actions, and optional conditions such as location, device, or risk.

### Benutzer und Gruppen Users and groups

Option Option | Einsatz Use | Hinweis Note
--- | --- | ---
All users All users | Standard für Baseline-Policies.Standard choice for baseline policies. | Immer Break-Glass- und Notfallkonten ausschließen.Always exclude break-glass and emergency accounts.
All guest and external users All guest and external users | Für B2B/B2B Direct Connect separat absichern.Secure B2B and B2B Direct Connect separately. | Oft mit stärkeren Controls als für interne Benutzer.Often uses stronger controls than for internal users.
Directory roles Directory roles | Admins zielgenau adressieren.Target admins precisely. | Ideal für Administrator-Policies wie phishing-resistant MFA.Ideal for administrator policies like phishing-resistant MFA.
Specific users/groups Specific users/groups | Pilotgruppen, Hochrisikobereiche, VIPs.Pilot groups, high-risk departments, VIPs. | Gruppen statt Einzelnutzer bevorzugen.Prefer groups over individual users.
Exclusions Exclusions | Ausnahmen technisch sauber definieren.Define technical exceptions cleanly. | Exclusions gewinnen nicht automatisch gegen andere Policies.Exclusions do not automatically win against other policies.

Ein häufiger Fehler ist, nur eine Allow-Policy für eine Teilmenge zu definieren. Benutzer außerhalb dieser Teilmenge erhalten dann eventuell trotzdem Tokens, wenn keine blockierende Gegenrichtlinie existiert. A common mistake is defining only an allow policy for a subset. Users outside that subset may still get tokens if no blocking counterpart policy exists.

### Cloud Apps und Ressourcen Cloud apps and resources

Ressource Resource | App-ID / Alias App ID / Alias | Kommentar Comment
--- | --- | ---
Office 365 | Office365 | Sammlung häufiger Microsoft 365-Dienste.Collection of common Microsoft 365 services.
Exchange Online | 00000002-0000-0ff1-ce00-000000000000 | Gezielt für E-Mail und Outlook-Zugriffe.Target specifically for email and Outlook access.
SharePoint Online | 00000003-0000-0ff1-ce00-000000000000 | Deckt auch OneDrive-Szenarien mit ab.Also covers OneDrive-related scenarios.
Microsoft Teams | cc15fd57-2c6c-4117-a88c-83b1d56b4bbe | Sinnvoll für Teams-spezifische Session- oder App-Policies.Useful for Teams-specific session or app policies.
Azure Management | 797f4846-ba00-4fd7-ba43-dac1f8f63013 | Verwaltungsoberflächen und Adminzugriffe.Management plane and administrative access.
Microsoft Graph | 00000003-0000-0000-c000-000000000000 | Relevant für Automatisierung und API-basierte Workloads.Relevant for automation and API-based workloads.

### Bedingungen Conditions

Bedingung Condition | Werte Values | Typischer Nutzen Typical use
--- | --- | ---
Sign-in risk Sign-in risk | Low, Medium, High Low, Medium, High | MFA oder Block bei verdächtigen Anmeldungen.MFA or block for suspicious sign-ins.
User risk User risk | Low, Medium, High Low, Medium, High | Passwortänderung oder Block bei kompromittierten Konten.Password change or block for compromised accounts.
Device platforms Device platforms | Windows, macOS, iOS, Android, Linux Windows, macOS, iOS, Android, Linux | Mobile- und Desktop-Szenarien trennen.Separate mobile and desktop scenarios.
Locations / Network Locations / Network | Any, trusted, selected named locations Any, trusted, selected named locations | Off-network MFA, Länderblocklisten, Trusted HQ.Off-network MFA, country blocking, trusted HQ.
Client apps Client apps | Browser, mobile/desktop, legacy auth, EAS, other Browser, mobile/desktop, legacy auth, EAS, other | Legacy-Protokolle blockieren oder moderne Clients erzwingen.Block legacy protocols or enforce modern clients.
Filter for devices Filter for devices | deviceId, displayName, trustType, extensionAttributes deviceId, displayName, trustType, extensionAttributes | Spezifische Geräteklassen ein- oder ausschließen.Include or exclude specific device classes.

Device Filters sind besonders nützlich, wenn nur bestimmte Geräteserien, Kiosk-Devices oder Testgeräte vom Standard abweichen sollen. Sie ersetzen aber keine saubere Gerätegruppen- oder Compliance-Strategie. Device filters are especially useful when only certain device series, kiosk devices, or test devices should deviate from the standard. They do not replace a proper device group or compliance strategy.

## Zugriffssteuerung Access controls

Grant Controls definieren, ob Zugriff blockiert oder unter einer oder mehreren Voraussetzungen gewährt wird. Wenn mehrere Policies gleichzeitig greifen, müssen alle resultierenden Anforderungen erfüllt sein. Grant controls define whether access is blocked or granted with one or more requirements. If multiple policies apply at the same time, all resulting requirements must be satisfied.

Control Control | Zweck Purpose | Praxisnotiz Operational note
--- | --- | ---
Block access Block access | Hard stop bei nicht akzeptablem Risiko.Hard stop for unacceptable risk. | Bevorzugt für Legacy Auth, verbotene Länder, High Risk.Common for legacy auth, forbidden countries, high risk.
Require MFA Require MFA | Zweiten Faktor erzwingen.Enforce a second factor. | Nicht mit Authentication Strength im selben Policy-Grant kombinieren.Do not combine with authentication strength in the same policy grant.
Require device to be marked as compliant Require device to be marked as compliant | Intune-/MDM-konforme Geräte verlangen.Require Intune/MDM compliant devices. | Stark für Browser und mobile/desktop Zugriff auf M365.Strong for browser and mobile/desktop access to M365.
Require Microsoft Entra hybrid joined device Require Microsoft Entra hybrid joined device | Nur verwaltete Hybrid-Geräte zulassen.Allow only managed hybrid joined devices. | Häufig für alte Intranet-/Admin-Szenarien.Often used for legacy intranet or admin scenarios.
Require approved client app Require approved client app | Nur definierte mobile Microsoft-Apps zulassen.Allow only approved Microsoft mobile apps. | Vor allem mit iOS/Android und App Protection relevant.Mostly relevant with iOS/Android and app protection.
Require app protection policy Require app protection policy | MAM-geschützte Nutzung erzwingen.Enforce MAM-protected usage. | Typisch für BYOD-Mobilszenarien.Typical for BYOD mobile scenarios.
Require authentication strength Require authentication strength | Genau definieren, welche Methoden erlaubt sind.Precisely define which methods are accepted. | Ideal für Adminzugriff oder besonders sensible Apps.Ideal for admin access or highly sensitive apps.
Require password change Require password change | Selbstbehebung bei Benutzer-Risiko.Self-remediation for user risk. | Benötigt User Risk als Bedingung und SSPR/PHS passend konfiguriert.Requires user risk as condition and SSPR/PHS properly configured.

### Require all vs. require one Require all vs. require one

- Require all selected controls: typischerweise für starke Admin-Policies, z. B. MFA und compliant device.Require all selected controls: typically for strong admin policies, for example MFA and compliant device.
- Require one of the selected controls: sinnvoll bei Übergangsszenarien, z. B. compliant device oder Hybrid Join.Require one of the selected controls: useful for transition scenarios, such as compliant device or hybrid join.
- Block Access hat immer Vorrang vor Grant-Optionen innerhalb derselben Richtlinie.Block access always takes precedence over grant options within the same policy.

## Session Controls Session controls

Session Controls verändern das Verhalten nach erfolgreichem Zugriff. Sie sind besonders wichtig, wenn Sie Zugriff nicht komplett blockieren, aber die Nutzbarkeit einschränken möchten. Session controls change behavior after access has succeeded. They are especially important when you do not want to block access entirely but still want to restrict usability.

Control Control | Wirkung Effect | Typisches Szenario Typical scenario
--- | --- | ---
Sign-in frequency Sign-in frequency | Erzwingt erneute Anmeldung bzw. Reauthentifizierung in definierten Intervallen.Forces fresh sign-in or reauthentication at defined intervals. | Administratoren häufiger bestätigen, geteilte Geräte begrenzen.Reconfirm admins more often, limit shared devices.
Persistent browser session Persistent browser session | Steuert, ob Browser-Sessions über Neustarts hinweg erhalten bleiben.Controls whether browser sessions survive restarts. | Kiosk-/Shared-PC-Szenarien.Kiosk or shared PC scenarios.
Use app enforced restrictions Use app enforced restrictions | Überträgt restriktiven Modus an SharePoint/Exchange.Hands a restricted mode to SharePoint or Exchange. | Webzugriff auf unmanaged devices nur lesen/herunterladen einschränken.Read-only or restricted download on unmanaged devices.
Use Conditional Access App Control Use Conditional Access App Control | CASB-gestützte Echtzeitüberwachung über Defender for Cloud Apps.CASB-backed real-time control via Defender for Cloud Apps. | Sitzungsüberwachung, Watermarking, Download block.Session monitoring, watermarking, download block.
Token lifetime Token lifetime | Historisch für Legacy-Sitzungssteuerung; heute weitgehend durch moderne Session-Optionen abgelöst.Historically used for legacy session control; now largely replaced by modern session options. | Nur für Altbestände prüfen, keine neue Standardstrategie.Review only for legacy estates; not a modern default strategy.

⚠️ Achtung bei Token Lifetime ⚠️ Token lifetime caution

Viele ältere Token-Lifetime-Szenarien werden heute nicht mehr als erste Wahl empfohlen. Bevorzugen Sie Sign-in Frequency, Continuous Access Evaluation und app-spezifische Session Controls. Many older token lifetime scenarios are no longer recommended as the first choice. Prefer sign-in frequency, Continuous Access Evaluation, and app-specific session controls.

## Named Locations Named locations

Named Locations sind wiederverwendbare Netzwerkdefinitionen. Sie können IP-basierte Standorte, Länder/Regionen oder GPS-basierte Länderprüfungen für den Authenticator enthalten. Named locations are reusable network definitions. They can represent IP-based locations, countries/regions, or GPS-based country checks through Authenticator.

Typ Type | Wichtige Eigenschaften Key properties | Grenzen Limits
--- | --- | ---
IP Named Location IP named location | IPv4/IPv6-CIDR, optional als trusted markiert.IPv4/IPv6 CIDR, optionally marked as trusted. | Bis zu 2000 Ranges pro Standort; Masken nur größer als /8.Up to 2000 ranges per location; masks must be greater than /8.
Country Named Location Country named location | ISO-Ländercodes, optional unknown countries, Lookup via IP oder GPS.ISO country codes, optional unknown countries, lookup via IP or GPS. | GPS sinnvoll nur für sehr sensible Apps, da Benutzer regelmäßig bestätigen müssen.GPS makes sense only for highly sensitive apps because users must approve regularly.

### PowerShell: IP-Standort erstellen PowerShell: create IP location

PowerShell

    Connect-MgGraph -Scopes "Policy.ReadWrite.ConditionalAccess","Policy.Read.All"

    $params = @{
        "@odata.type" = "#microsoft.graph.ipNamedLocation"
        displayName   = "HQ Berlin"
        isTrusted     = $true
        ipRanges      = @(
            @{
                "@odata.type" = "#microsoft.graph.iPv4CidrRange"
                cidrAddress   = "203.0.113.0/24"
            },
            @{
                "@odata.type" = "#microsoft.graph.iPv6CidrRange"
                cidrAddress   = "2001:db8:100::/48"
            }
        )
    }

    New-MgIdentityConditionalAccessNamedLocation -BodyParameter $params
    Get-MgIdentityConditionalAccessNamedLocation

### Graph: Country-Standort erstellen Graph: create country location

JSON

    POST https://graph.microsoft.com/v1.0/identity/conditionalAccess/namedLocations
    Content-Type: application/json

    {
      "@odata.type": "#microsoft.graph.countryNamedLocation",
      "displayName": "Blocked Countries",
      "countriesAndRegions": [
        "RU",
        "BY",
        "KP"
      ],
      "countryLookupMethod": "clientIpAddress",
      "includeUnknownCountriesAndRegions": false
    }

Trusted Named Locations verbessern zusätzlich die Genauigkeit von Identity Protection. Sie sollten aber nur echte, kontrollierte Unternehmensnetze markieren und keine beliebigen ISP- oder VPN-Bereiche. Trusted named locations also improve Identity Protection accuracy. Only mark real, controlled corporate networks as trusted—never arbitrary ISP or VPN ranges.

## Authentication Strengths Authentication strengths

Authentication Strengths verfeinern die klassische MFA-Anforderung. Statt nur zu sagen MFA erforderlich, legen Sie fest, welche Methoden oder Methodenkombinationen akzeptiert werden. Authentication strengths refine the classic MFA requirement. Instead of merely saying MFA required, you specify which methods or method combinations are acceptable.

Strength Strength | Erlaubte Methoden Allowed methods | Empfohlener Einsatz Recommended use
--- | --- | ---
Multifactor authentication Multifactor authentication | Alle standardmäßigen MFA-Kombinationen inklusive TAP, Push, SMS, Voice, OATH.All standard MFA combinations including TAP, push, SMS, voice, and OATH. | Breite Benutzerbasis und Migrationsphasen.Broad user populations and migration phases.
Passwordless MFA Passwordless MFA | FIDO2, Windows Hello for Business, certificate-based auth, Authenticator phone sign-in.FIDO2, Windows Hello for Business, certificate-based auth, Authenticator phone sign-in. | Sensible Apps mit modernem Benutzererlebnis.Sensitive apps with a modern user experience.
Phishing-resistant MFA Phishing-resistant MFA | FIDO2, WHfB/platform credential, certificate-based auth (MFA).FIDO2, WHfB/platform credential, certificate-based auth (MFA). | Admins, Azure Management, Tier-0, kritische Geschäftsanwendungen.Admins, Azure Management, Tier-0, critical business apps.
Custom strengths Custom strengths | Bis zu organisationsspezifischen Kombinationen für Sonderfälle.Organization-specific combinations for special cases. | Gezielte Übergänge, z. B. nur FIDO2 + WHfB für bestimmte Rollen.Targeted transitions, for example only FIDO2 + WHfB for selected roles.

- Custom Strengths sind ideal, wenn SMS/Voice ausdrücklich ausgeschlossen werden sollen, obwohl allgemeine MFA weiterhin erlaubt ist.Custom strengths are ideal when SMS and voice should be explicitly excluded while general MFA remains allowed elsewhere.
- Für sehr privilegierte Konten sollten Sie built-in oder custom phishing-resistant Varianten einsetzen.For highly privileged accounts you should use built-in or custom phishing-resistant variants.
- Die zugrunde liegenden Methoden müssen zuvor in der Authentication Methods Policy aktiviert und den Zielgruppen zugewiesen sein.The underlying methods must first be enabled and targeted in the authentication methods policy.

## Report-only Report-only

Mit Report-only simulieren Sie eine Richtlinie produktionsnah, ohne Benutzer aktiv zu blockieren oder herauszufordern. Das ist die wichtigste Betriebsfunktion für sichere Einführungen. With report-only you simulate a policy in a production-like manner without actively blocking or challenging users. It is the most important operational feature for safe introductions.

- Neue Policies zunächst Report-only und nur mit Pilotgruppen testen.Roll out new policies in report-only first and test only with pilot groups.
- Im Sign-in Log die Policy-Auswertung auf Report-only und Would have succeeded/failed prüfen.In the sign-in log inspect the policy evaluation for report-only and would have succeeded/failed.
- Bei Konflikten zuerst Zuweisungen und Exclusions bereinigen, nicht sofort zusätzliche Gegenrichtlinien bauen.If conflicts appear, clean up assignments and exclusions first instead of immediately building counter-policies.

✅ Empfehlung ✅ Recommendation

Dokumentieren Sie für jede neue Policy eine Pilotgruppe, ein klares Erfolgskriterium und einen Fallback. Report-only ist kein Ersatz für abgestimmtes Change Management, sondern dessen technisches Werkzeug. Document a pilot group, a clear success criterion, and a fallback for every new policy. Report-only is not a replacement for change management; it is its technical instrument.

## What-If What-If

Das What-If-Tool zeigt, welche Richtlinien für einen bestimmten Benutzer, eine App, einen Standort oder ein Gerät voraussichtlich greifen würden. Es ist das schnellste Portalwerkzeug für Hypothesen-Tests. The What-If tool shows which policies would likely apply to a specific user, app, location, or device. It is the fastest portal tool for testing hypotheses.

Eingabe Input | Warum wichtig Why it matters
--- | ---
User User | Policies können über Gruppe, Rolle, Gaststatus oder direkte Zuweisung greifen.Policies can apply through group, role, guest status, or direct assignment.
Cloud app Cloud app | Alias Office 365 kann andere Resultate liefern als einzelne Dienst-IDs.The Office 365 alias can behave differently from individual service IDs.
Device platform / client Device platform / client | Browser vs. mobile/desktop vs. legacy auth verändert die Trefferlage.Browser vs. mobile/desktop vs. legacy auth changes policy hits.
Location Location | Named Locations und trusted networks sind häufige Ursachen für Unterschiede.Named locations and trusted networks are frequent reasons for differences.
Risk Risk | Nur verfügbar, wenn Identity Protection-Signale im Spiel sind.Available only when Identity Protection signals are involved.

Das Tool ist stark für Design und Fehlersuche, ersetzt aber keine echten Sign-in Logs. Einige dynamische Faktoren, abhängige Apps oder Zwischenschritte einer Authentifizierung werden im realen Sign-In vollständiger sichtbar. The tool is excellent for design and troubleshooting, but it does not replace real sign-in logs. Some dynamic factors, dependent apps, or intermediate authentication steps become more visible in a real sign-in.

## Empfohlene Richtlinien Recommended baseline

Die folgenden sechs Richtlinien decken einen praxistauglichen Microsoft-Baseline-Ansatz ab. Reihenfolge und Ausnahmen müssen an Ihren Tenant angepasst werden, aber die Grundidee ist in vielen Umgebungen tragfähig. The following six policies provide a practical Microsoft-style baseline. Sequence and exceptions must be adapted to your tenant, but the overall design is workable in many environments.

### 1. Legacy Authentication blockieren 1. Block legacy authentication

Element Element | Konfiguration Configuration
--- | ---
Zielgruppe Target | Alle Benutzer; Notfallkonten ausgeschlossen.All users; emergency accounts excluded.
Apps Apps | All resources.All resources.
Bedingungen Conditions | Client apps = Legacy authentication clients.Client apps = legacy authentication clients.
Grant Grant | Block access.Block access.
Bemerkung Comment | Eine der wirkungsvollsten CA-Policies überhaupt.One of the most effective CA policies overall.

### 2. Phishing-resistant MFA für Administratoren 2. Phishing-resistant MFA for administrators

Element Element | Konfiguration Configuration
--- | ---
Zielgruppe Target | Directory roles mit privilegierten Adminrollen.Directory roles containing privileged admin roles.
Apps Apps | Azure Management, Microsoft Graph, Admin-Portale, All resources für Tier-0.Azure Management, Microsoft Graph, admin portals, all resources for Tier-0.
Bedingungen Conditions | Optional: Any location, alle Plattformen.Optional: any location, all platforms.
Grant Grant | Require authentication strength = Phishing-resistant MFA.Require authentication strength = phishing-resistant MFA.
Bemerkung Comment | Break-Glass-Konten technisch und organisatorisch getrennt halten.Keep break-glass accounts technically and operationally separate.

### 3. MFA für alle Benutzer bei allen Cloud Apps 3. MFA for all users on all cloud apps

Element Element | Konfiguration Configuration
--- | ---
Zielgruppe Target | All users; Service- und Break-Glass-Konten ausgeschlossen.All users; service and break-glass accounts excluded.
Apps Apps | All resources.All resources.
Bedingungen Conditions | Keine oder gezielt nur externe Netzwerke.None, or only external networks if required.
Grant Grant | Require MFA oder custom strength ohne SMS/Voice.Require MFA or a custom strength without SMS or voice.
Bemerkung Comment | Wenn Security Defaults abgelöst werden sollen, ist dies die Baseline-Policy.This is the baseline policy when replacing Security Defaults.

### 4. Compliant Device für Admin-Zugriff 4. Compliant device for admin access

Element Element | Konfiguration Configuration
--- | ---
Zielgruppe Target | Administratoren oder Admin-Workstations.Administrators or admin workstations.
Apps Apps | Azure Management und weitere Verwaltungsapps.Azure Management and additional administrative apps.
Bedingungen Conditions | Windows/macOS einschließen, mobile Plattformen separat behandeln.Include Windows/macOS and handle mobile platforms separately.
Grant Grant | Require device to be marked as compliant; optional zusätzlich MFA.Require device to be marked as compliant; optionally add MFA.
Bemerkung Comment | Reduziert Adminzugriffe von privaten oder ungemanagten Geräten.Reduces admin access from personal or unmanaged devices.

### 5. Hohes Anmelderisiko blockieren 5. Block high sign-in risk

Element Element | Konfiguration Configuration
--- | ---
Zielgruppe Target | Alle Benutzer mit P2-Lizenz.All users with P2 licensing.
Apps Apps | All resources oder besonders kritische Apps.All resources or especially critical apps.
Bedingungen Conditions | Sign-in risk = High.Sign-in risk = High.
Grant Grant | Block access.Block access.
Bemerkung Comment | Hohe Risiken sind selten und sollten konsequent unterbunden werden.High-risk events are uncommon and should be blocked consistently.

### 6. Mobile BYOD nur mit App Protection 6. Mobile BYOD with app protection only

Element Element | Konfiguration Configuration
--- | ---
Zielgruppe Target | Alle Benutzer oder BYOD-Populationen.All users or BYOD populations.
Apps Apps | Exchange Online, SharePoint Online, Teams.Exchange Online, SharePoint Online, Teams.
Bedingungen Conditions | Device platforms = iOS und Android; Client apps = mobile apps and desktop clients.Device platforms = iOS and Android; client apps = mobile apps and desktop clients.
Grant Grant | Require approved client app und require app protection policy.Require approved client app and require app protection policy.
Bemerkung Comment | Sehr gut für Unternehmensdaten auf privaten Mobilgeräten.Excellent for corporate data on personal mobile devices.

## PowerShell & Graph PowerShell & Graph

Für Automation sollten Sie Richtlinien definitionsbasiert verwalten. Speichern Sie JSON-Vorlagen im Repository und behandeln Sie CA-Änderungen wie Code mit Review, Test und Rollback. For automation you should manage policies based on definitions. Store JSON templates in the repository and treat CA changes like code with review, testing, and rollback.

### PowerShell CRUD PowerShell CRUD

PowerShell

    Connect-MgGraph -Scopes "Policy.Read.All","Policy.ReadWrite.ConditionalAccess","Directory.Read.All"

    # CREATE
    $newPolicy = @{
        displayName = "CA - Require MFA for All Users"
        state       = "enabledForReportingButNotEnforced"
        conditions  = @{
            users = @{
                includeUsers = @("All")
                excludeUsers = @("breakglass@contoso.com")
            }
            applications = @{
                includeApplications = @("All")
            }
            clientAppTypes = @("all")
        }
        grantControls = @{
            operator        = "OR"
            builtInControls = @("mfa")
        }
    }

    $policy = New-MgIdentityConditionalAccessPolicy -BodyParameter $newPolicy

    # READ
    Get-MgIdentityConditionalAccessPolicy
    Get-MgIdentityConditionalAccessPolicy -ConditionalAccessPolicyId $policy.Id

    # UPDATE
    $update = @{
        state = "enabled"
    }
    Update-MgIdentityConditionalAccessPolicy -ConditionalAccessPolicyId $policy.Id -BodyParameter $update

    # DELETE
    Remove-MgIdentityConditionalAccessPolicy -ConditionalAccessPolicyId $policy.Id

### Vollständiges Graph-JSON Full Graph JSON

JSON

    POST https://graph.microsoft.com/v1.0/identity/conditionalAccess/policies
    Content-Type: application/json

    {
      "displayName": "CA - Block legacy auth",
      "state": "enabled",
      "conditions": {
        "users": {
          "includeUsers": [
            "All"
          ],
          "excludeUsers": [
            "11111111-1111-1111-1111-111111111111"
          ]
        },
        "applications": {
          "includeApplications": [
            "All"
          ]
        },
        "clientAppTypes": [
          "exchangeActiveSync",
          "other"
        ]
      },
      "grantControls": {
        "operator": "OR",
        "builtInControls": [
          "block"
        ]
      }
    }

### Graph per REST aktualisieren Update by Graph REST

HTTP

    PATCH https://graph.microsoft.com/v1.0/identity/conditionalAccess/policies/{policy-id}
    Content-Type: application/json

    {
      "state": "enabledForReportingButNotEnforced"
    }

    DELETE https://graph.microsoft.com/v1.0/identity/conditionalAccess/policies/{policy-id}

    GET https://graph.microsoft.com/v1.0/identity/conditionalAccess/policies
    GET https://graph.microsoft.com/v1.0/identity/conditionalAccess/namedLocations

## Troubleshooting Troubleshooting

Fast jede CA-Fehlersuche beginnt im Sign-in Log. Prüfen Sie dort den Reiter Conditional Access, die Device Details, die verwendete App-ID, den Clienttyp und den angewendeten Netzwerkstandort. Almost every CA troubleshooting exercise starts in sign-in logs. Check the Conditional Access tab, device details, the app ID in use, the client type, and the evaluated network location.

Symptom Symptom | Häufige Ursache Common cause | Prüfung / Lösung Check / fix
--- | --- | ---
Policy greift nicht Policy does not apply | Falsche Zuweisung, falsche App, Ausschluss greift.Wrong assignment, wrong app, or an exclusion is active. | What-If plus Sign-in Log vergleichen; App-ID verifizieren.Compare What-If with the sign-in log and verify the app ID.
Unerwartete MFA Unexpected MFA | Mehrere Policies kumulieren.Multiple policies accumulate. | Alle Policies des Sign-ins prüfen, nicht nur die zuletzt geänderte.Review all policies from the sign-in, not only the last changed one.
Compliant device wird nicht erkannt Compliant device not detected | Intune-Compliance oder PRT/Join-Status fehlt.Intune compliance or PRT/join status is missing. | Device Details, dsregcmd, Intune-Compliance und Plattform prüfen.Inspect device details, dsregcmd, Intune compliance, and platform.
Standort falsch erkannt Location evaluated incorrectly | Proxy, VPN, Cloud SWG oder fehlende Named Location.Proxy, VPN, cloud SWG, or missing named location. | Öffentliche Quell-IP prüfen; Source IP Restoration/Global Secure Access erwägen.Inspect the public source IP; consider source IP restoration or Global Secure Access.
Legacy Auth weiterhin möglich Legacy auth still works | Nicht alle Clienttypen oder Protokolle erfasst.Not all client types or protocols are captured. | Separate Block-Policy auf Client Apps = legacy authentication clients verwenden.Use a separate block policy with client apps = legacy authentication clients.
Service-Konto gesperrt Service account blocked | Interaktives Konto fälschlich unter All users erfasst.A noninteractive account was accidentally included under All users. | Nicht-interaktive Workloads auf Managed Identities oder Workload CA umstellen.Move noninteractive workloads to managed identities or workload CA.

## Limits Limits

Für das Richtliniendesign sollte ein konservativer Betriebsgrenzwert von 195 Conditional-Access-Policies eingeplant werden. Unabhängig von serviceinternen Änderungen ist diese Grenze ein guter Governance-Wert, weil Richtlinien sonst schnell unübersichtlich und fehleranfällig werden. For policy design, use a conservative operational ceiling of 195 Conditional Access policies. Regardless of backend service changes, this is a good governance limit because policies otherwise become difficult to understand and error-prone.

- Policies nach Szenario statt nach Einzelfall strukturieren.Organize policies by scenario instead of by one-off exception.
- Filter for applications und Gruppenlogik nutzen, um Anzahl zu reduzieren.Use application filters and group logic to reduce the count.
- Doppelte Ausnahmen beseitigen und Alt-Policies regelmäßig archivieren.Remove duplicated exceptions and archive old policies regularly.
- Named Locations, Authentication Strengths und Intune-Compliance wiederverwenden, statt immer neue Policies zu erzeugen.Reuse named locations, authentication strengths, and Intune compliance instead of creating new policies all the time.

⚠️ Governance vor Wachstum ⚠️ Governance before growth

Wenn Ihr Tenant die Größenordnung von 150+ Policies erreicht, sollten Sie konsolidieren, Benennungsstandards definieren und jede Policy einem klaren Owner zuweisen. If your tenant reaches the 150+ policy range, consolidate, define naming standards, and assign every policy to a clear owner.

## Komplette Cloud-App-IDs und Aliases Complete cloud app IDs and aliases

Die folgende Referenz kombiniert harte App-IDs, eingebaute Conditional-Access-Aliases und typische App-Familien. Für produktive Policies gilt: Was immer möglich ist, zuerst im Sign-in Log oder an der Enterprise App des eigenen Tenants validieren – insbesondere bei Adminportalen, Power Platform, Viva und anderen First-Party-Portalen.The following reference combines hard app IDs, built-in Conditional Access aliases, and common app families. For production policies, validate the target in sign-in logs or the tenant's Enterprise App whenever possible—especially for admin portals, Power Platform, Viva, and other first-party portals.

Cloud App / Workload Cloud app / workload | App-ID / Alias App ID / alias | Typischer Einsatz Typical use | Hinweis Note
--- | --- | --- | ---
Office 365 | Office365 | Baseline-MFA für die komplette Microsoft-365-Suite.Baseline MFA for the full Microsoft 365 suite. | Alias statt einzelner Service-IDs; ideal für breite Policies.Alias instead of single service IDs; ideal for broad policies.
Exchange Online | 00000002-0000-0ff1-ce00-000000000000 | Outlook, OWA, ActiveSync und EWS gezielt absichern.Secure Outlook, OWA, ActiveSync, and EWS precisely. | Wichtig für Legacy-Block, Postfachzugriff und Adminpfade.Important for legacy blocks, mailbox access, and admin paths.
SharePoint Online | 00000003-0000-0ff1-ce00-000000000000 | SharePoint, OneDrive und Office-Dateizugriff steuern.Control SharePoint, OneDrive, and Office file access. | Viele Download- und Session-Control-Szenarien zielen hierauf.Many download and session-control scenarios target this app.
OneDrive for Business | 00000003-0000-0ff1-ce00-000000000000 | OneDrive-Downloads und Browserzugriff einschränken.Restrict OneDrive downloads and browser access. | Technisch dieselbe Ressource wie SharePoint Online.Technically the same resource as SharePoint Online.
Microsoft Teams | cc15fd57-2c6c-4117-a88c-83b1d56b4bbe | Teams-Client, Meetings und Collaboration absichern.Secure Teams client, meetings, and collaboration. | Zusammen mit SharePoint/Exchange betrachten, weil Teams davon abhängt.Review together with SharePoint and Exchange because Teams depends on them.
Microsoft Teams Rooms | Teams service principal (verify) | Geteilte Besprechungsraumgeräte gesondert behandeln.Treat shared meeting-room devices separately. | App-ID in Sign-in Logs oder Enterprise Apps verifizieren.Verify the app ID in sign-in logs or Enterprise Apps.
Teams admin center | Microsoft_Admin_Portals | Administrative Teams-Aufgaben härten.Harden administrative Teams tasks. | Meist über den Alias der Adminportale einfacher zu pflegen.Usually easier to govern through the admin-portals alias.
Azure Management | 797f4846-ba00-4fd7-ba43-dac1f8f63013 | ARM, Azure CLI, PowerShell und Portal-Backends schützen.Protect ARM, Azure CLI, PowerShell, and portal back ends. | Der wichtigste CA-Target für Azure-Administration.The most important CA target for Azure administration.
Azure Portal | c44b4083-3bb0-49c1-b47d-974e53cbdf3c | Interaktive Portalzugriffe gesondert absichern.Protect interactive portal access separately. | Nicht identisch mit Azure Management; häufig gemeinsam nutzen.Not identical to Azure Management; commonly used together.
Microsoft Admin Portals | Microsoft_Admin_Portals | Admin Center tenantweit mit stärkerer MFA absichern.Protect admin centers tenant-wide with stronger MFA. | Deckt Entra, M365, Exchange, Teams, SharePoint und weitere Portale ab.Covers Entra, M365, Exchange, Teams, SharePoint, and more portals.
Windows Azure Service Management API | 00000012-0000-0000-c000-000000000000 | Klassische Azure-Managementpfade blockieren oder überwachen.Block or monitor classic Azure management paths. | Vor allem für Altlasten relevant.Mostly relevant for legacy estates.
Microsoft Graph | 00000003-0000-0000-c000-000000000000 | Graph-basierte Automatisierung und Adminskripte absichern.Secure Graph-based automation and admin scripts. | Wichtig für Runbooks, PowerShell und SaaS-Integrationen.Important for runbooks, PowerShell, and SaaS integrations.
Azure AD Graph (legacy) | 00000002-0000-0000-c000-000000000000 | Veraltete Verzeichnis-APIs erkennen und abbauen.Identify and retire legacy directory APIs. | Neue Designs sollten Microsoft Graph bevorzugen.New designs should prefer Microsoft Graph.
Windows Sign In | Windows Sign In | Windows- und PRT-nahe Sign-ins auswerten.Evaluate Windows and PRT-related sign-ins. | Sorgfältig testen, um Geräte-Lockouts zu vermeiden.Test carefully to avoid device lockouts.
Microsoft Intune | 0000000a-0000-0000-c000-000000000000 | Geräteverwaltung und Intune-Administrationszugriff schützen.Protect device management and Intune admin access. | Besonders relevant für Compliance- und Enrollment-Operatoren.Especially relevant for compliance and enrollment operators.
Intune Enrollment | Enrollment service (verify) | Registrierung und Enrollment-Flows aus Pilotgruppen steuern.Control registration and enrollment flows for pilot groups. | Vor Produktivaktivierung End-to-End testen.Test end to end before production enablement.
Endpoint Manager admin center | Microsoft_Admin_Portals | MEM/Intune-Portal mit Admin-Policy versehen.Apply an admin policy to the MEM/Intune portal. | Verwendet praktisch denselben Adminportal-Schutzpfad.Practically uses the same admin-portal protection path.
Azure Key Vault | cfa8b339-82a2-471a-a3c9-0fc0be7a4093 | Secret-, Key- und Certificate-Zugriff absichern.Secure secret, key, and certificate access. | Sehr guter Kandidat für phishing-resistant MFA.An excellent candidate for phishing-resistant MFA.
Azure SQL Database | 022907d3-0f1b-48f7-badc-1ba6abab6d66 | Interaktive Datenbankanmeldung und Tools härten.Harden interactive database sign-in and tools. | Service Principal- und App-Szenarien getrennt bewerten.Assess service principal and app scenarios separately.
Azure Storage | e406a681-f3d4-42a8-90b6-c2b029497af1 | Blob-, Queue- und Table-Zugriffe mit Entra schützen.Protect blob, queue, and table access with Entra. | Vor allem für Skripte und Datentransfers relevant.Especially relevant for scripts and data transfers.
Azure Virtual Desktop | AzureVirtualDesktop / verify | Remote-Zugriff und virtuelle Sitzungen absichern.Secure remote access and virtual sessions. | Konkrete First-Party-App im eigenen Tenant prüfen.Verify the exact first-party app in your own tenant.
Windows 365 | Windows365 / verify | Cloud-PC-Zugriff mit Risiko- und Gerätesignalen koppeln.Tie Cloud PC access to risk and device signals. | Oft zusammen mit Browser-/Client-Policies relevant.Often relevant together with browser and client policies.
Microsoft Defender for Cloud | Azure Management | CSPM/CWP-Verwaltung über ARM absichern.Protect CSPM/CWP management through ARM. | Die meisten Verwaltungsaktionen laufen über Azure Management.Most management actions run through Azure Management.
Microsoft Sentinel | Azure Management | SOC-Administration und Playbooks schützen.Protect SOC administration and playbooks. | Sentinel wird meist über ARM- und Portalpfade angesprochen.Sentinel is commonly accessed through ARM and portal paths.
Power BI | 00000009-0000-0000-c000-000000000000 | BI-Portale, Reports und Datenexporte absichern.Secure BI portals, reports, and data exports. | Mit Sensitivity Labels und Downloadrestriktionen kombinieren.Combine with sensitivity labels and download restrictions.
Power Apps | PowerApps / verify | Maker- und Low-Code-Workloads gezielt steuern.Control maker and low-code workloads intentionally. | Oft in Power Platform-Admin-Szenarien mit separaten Policies.Often used with separate policies in Power Platform admin scenarios.
Power Automate | PowerAutomate / verify | Flow-Entwicklung und Orchestrierung absichern.Secure flow development and orchestration. | Service-Konten und Connectoren zusätzlich prüfen.Also review service accounts and connectors.
Dataverse | Dataverse / verify | Model-driven Apps und Backend-Zugriffe absichern.Secure model-driven apps and backend access. | Häufig zusammen mit Dynamics- oder Power-Platform-Policies.Often paired with Dynamics or Power Platform policies.
Power Pages | PowerPages / verify | Externe Sites und Maker-Portale trennen.Separate external sites and maker portals. | Public-facing Szenarien besonders sorgfältig testen.Test public-facing scenarios especially carefully.
Microsoft Forms | c9a559d2-7aab-4f13-a6ed-e7e9c52aec87 | Formulare, Quizzes und Datenerfassung absichern.Secure forms, quizzes, and data collection. | Sinnvoll für externe Antworten und BYOD-Szenarien.Useful for external response and BYOD scenarios.
Microsoft Planner | 09abbdfd-ed23-44ee-a2d9-a627aa1c90f3 | Planungs- und Taskdaten absichern.Secure planning and task data. | Meist mit Teams- und Gruppenworkloads gekoppelt.Usually coupled with Teams and group workloads.
Project for the web | Office365 / verify | Projektplanung unter M365-Baseline fassen.Cover project planning under the M365 baseline. | Tenant-spezifische Service Principals ggf. separat prüfen.Verify tenant-specific service principals if separate targeting is needed.
Yammer / Viva Engage | 00000005-0000-0ff1-ce00-000000000000 | Enterprise Social und Community-Funktionen schützen.Protect enterprise social and community features. | Heute typischerweise als Viva Engage bekannt.Today typically branded as Viva Engage.
Microsoft Stream | cf53fce8-def6-4aeb-8d30-b158e7b1cf83 | Videozugriff und internes Streaming absichern.Secure video access and internal streaming. | Mit SharePoint/OneDrive-Datenpfaden abgleichen.Align with SharePoint and OneDrive data paths.
Viva Learning | VivaLearning / verify | Lerninhalte und Teams-integrierte Zugriffe schützen.Protect learning content and Teams-integrated access. | Prüfen, ob der Tenant eine eigene Enterprise-App dafür zeigt.Check whether the tenant exposes a dedicated enterprise app.
Viva Connections | VivaConnections / verify | Dashboard- und Intranet-Zugriffe absichern.Secure dashboard and intranet access. | Oft indirekt über Teams und SharePoint relevant.Often relevant indirectly through Teams and SharePoint.
Dynamics 365 | Dynamics365 / verify | CRM- und ERP-Zugriff mit starken Kontrollen versehen.Apply strong controls to CRM and ERP access. | Je nach Workload einzelne Apps oder App-Familie nutzen.Use individual apps or an app family depending on workload.
Business Central | BusinessCentral / verify | ERP-Zugriff auf Finance- und Ops-Daten absichern.Secure ERP access to finance and operations data. | Genauen Enterprise-App-Eintrag im Tenant validieren.Validate the exact Enterprise App entry in the tenant.
Exchange admin center | Microsoft_Admin_Portals | Exchange-Administration mit Admin-Policy schützen.Protect Exchange administration with an admin policy. | Alias reicht meist aus; einzelne EAC-IDs selten nötig.The alias is usually enough; individual EAC IDs are rarely necessary.
SharePoint admin center | Microsoft_Admin_Portals | SharePoint/OneDrive-Administration getrennt absichern.Secure SharePoint/OneDrive administration separately. | Häufig mit restriktiverer Policy als Benutzerzugriff.Commonly protected by stricter policies than user access.
Microsoft 365 admin center | Microsoft_Admin_Portals | Tenant-weite M365-Administration schützen.Protect tenant-wide M365 administration. | Typischer Kandidat für phishing-resistant MFA.Typical candidate for phishing-resistant MFA.
Purview portal | Microsoft_Admin_Portals | Compliance- und DLP-Verwaltung härten.Harden compliance and DLP administration. | Kombinieren mit PIM und separaten Adminkonten.Combine with PIM and separate admin accounts.
Entra admin center | Microsoft_Admin_Portals | Identitätsadministration besonders streng schützen.Protect identity administration especially strictly. | Oft Teil der Tier-0- oder Tier-1-Adminrichtlinien.Often part of Tier-0 or Tier-1 admin policies.
Teams admin center | Microsoft_Admin_Portals | Teams-Richtlinien und Voice-Settings absichern.Secure Teams policies and voice settings. | Meist über denselben Adminportals-Alias abgedeckt.Usually covered by the same admin-portals alias.
Power Platform admin center | Microsoft_Admin_Portals | DLP, Environment und Connector-Admin steuern.Control DLP, environments, and connector admin. | Makers und Admins nach Risiko getrennt behandeln.Treat makers and admins separately based on risk.
Azure DevOps | 499b84ac-1321-427f-aa17-267ca6975798 | Repos, Pipelines und Boards schützen.Protect repos, pipelines, and boards. | Wichtig für PAT-, Browser- und CLI-Zugriffe.Important for PAT, browser, and CLI-based access.
Visual Studio | 872cd9fa-d31f-45e0-9eab-6e460a02d1f1 | Entwickler- und IDE-nahe Sign-ins absichern.Secure developer and IDE-adjacent sign-ins. | Häufig gemeinsam mit Azure DevOps betrachtet.Often reviewed together with Azure DevOps.
GitHub Enterprise Cloud (via Entra app) | Tenant-specific enterprise app | SAML/SCIM-gebundene GitHub-Zugriffe schützen.Protect GitHub access federated through Entra. | Bei Drittanbieter-SaaS immer die lokale Enterprise-App targeten.Always target the local Enterprise App for third-party SaaS.
Universal Print | UniversalPrint / verify | Druckdienst auf gemeinsam genutzten Geräten steuern.Control the print service on shared devices. | Hilfreich für Kiosk- und Branchenszenarien.Helpful for kiosk and frontline scenarios.
Microsoft Whiteboard | 57336123-6e14-4acc-8dcf-287b6088aa28 | Whiteboard-Zugriffe aus Meetings absichern.Secure Whiteboard access in meetings. | Oft indirekt über Teams relevant, aber separat prüfbar.Often indirectly relevant through Teams, but can be targeted separately.
Microsoft To Do | ToDo / verify | Persönliche Aufgabenlisten und mobile Nutzung steuern.Control personal task lists and mobile use. | App-ID bei Bedarf im eigenen Tenant verifizieren.Verify the app ID in your own tenant when needed.
Microsoft Bookings | Bookings / verify | Terminplanung und externe Buchungen schützen.Protect scheduling and external bookings. | Oft Teil der M365-Suite, aber für Spezialfälle separat targeten.Often part of the M365 suite, but target separately for special cases.
Microsoft Fabric | Power BI family | Fabric-Arbeitsbereiche und Datenpfade absichern.Secure Fabric workspaces and data paths. | Häufig unter der Power-BI-App-Familie zusammengefasst.Frequently grouped under the Power BI app family.
Microsoft Loop | Loop / verify | Moderne Collaboration-Workloads mit Baseline schützen.Protect modern collaboration workloads with the baseline. | Tenant-spezifische Verifikation in Sign-in Logs empfohlen.Tenant-specific verification in sign-in logs is recommended.
OneNote | Office365 | Notizen und M365-Dateiinhalte abdecken.Cover notes and M365 file content. | Meist kein eigener CA-Target nötig, aber hilfreich für Mapping.Usually not a standalone CA target, but useful for mapping.
Outlook on the web | 00000002-0000-0ff1-ce00-000000000000 | Browser-Mailzugriff separat betrachten.Review browser-based mail access separately. | Technisch Exchange Online, betrieblich oft eigenständiges Szenario.Technically Exchange Online, operationally often a distinct scenario.
Exchange Web Services | 00000002-0000-0ff1-ce00-000000000000 | EWS-basierte Integrationen und Legacy-Clients identifizieren.Identify EWS-based integrations and legacy clients. | Besonders wichtig bei Legacy-Auth-Abschaltung.Especially important during legacy auth retirement.
SharePoint Embedded | 00000003-0000-0ff1-ce00-000000000000 | Datei- und Content-Apps mit SPO-Schutz vereinheitlichen.Align file and content apps with SPO protection. | Greift typischerweise unter dieselbe Resource wie SharePoint.Typically falls under the same resource as SharePoint.
Microsoft Search | Office365 | Tenantweite Suche und Inhalte unter Baseline fassen.Bring tenant-wide search and content under the baseline. | Hilfreich für Dokumentationszwecke, oft kein separater Target nötig.Useful for documentation, often not a separate target.
Copilot for Microsoft 365 | Office365 + Microsoft Graph | Copilot-gestützte Datenzugriffe mit denselben Kontrollen schützen.Protect Copilot-backed data access with the same controls. | Für reale Designs immer M365- und Graph-Abhängigkeiten gemeinsam prüfen.For real designs, always evaluate M365 and Graph dependencies together.

PowerShell

    Connect-MgGraph -Scopes "Application.Read.All"

    Get-MgServicePrincipal -Filter "appId eq 'cc15fd57-2c6c-4117-a88c-83b1d56b4bbe'"
    Get-MgServicePrincipal -Search ""displayName:Microsoft Teams"" -ConsistencyLevel eventual
    Get-MgAuditLogSignIn -Top 5 | Select-Object AppDisplayName, ResourceDisplayName, AppId

## Vollständige CA-Policy-JSON-Referenz Complete CA policy JSON reference

Graph-Requests für Conditional Access bestehen im Kern aus Top-Level-Metadaten, Conditions, Grant Controls und Session Controls. Die Felder unterscheiden sich je nach API-Version leicht; die folgende Vorlage deckt die v1.0-relevanten Kernfelder inklusive deviceFilter, Authentication Strengths, App-Filter und Session Controls ab.Graph requests for Conditional Access primarily consist of top-level metadata, conditions, grant controls, and session controls. Field names vary slightly by API version; the following template covers the core v1.0-relevant fields including deviceFilter, authentication strengths, application filters, and session controls.

Pfad Path | Bedeutung Meaning | Praxis Operational note
--- | --- | ---
displayName | Anzeigename der Richtlinie.Display name of the policy. | Eindeutige Namenskonvention mit Scope, App und Control verwenden.Use a unique naming convention with scope, app, and control.
state | disabled, enabled oder enabledForReportingButNotEnforced.disabled, enabled, or enabledForReportingButNotEnforced. | Neue Policies zuerst in Report-only starten.Start new policies in report-only first.
conditions.users | Zielgruppen nach Benutzer, Gruppe, Rolle oder Gaststatus.Targets by user, group, role, or guest status. | Break-Glass immer ausschließen.Always exclude break-glass accounts.
conditions.applications | Cloud Apps, User Actions, Auth Context oder App-Filter.Cloud apps, user actions, auth context, or application filters. | All applications sparsam und bewusst einsetzen.Use all applications sparingly and intentionally.
conditions.clientAppTypes | browser, mobileAppsAndDesktopClients, exchangeActiveSync, other.browser, mobileAppsAndDesktopClients, exchangeActiveSync, other. | Legacy-Protokolle separat blockieren.Block legacy protocols separately.
conditions.locations | Named Locations einschließen oder ausschließen.Include or exclude named locations. | Trusted Networks sauber pflegen.Maintain trusted networks carefully.
conditions.platforms | Windows, macOS, iOS, Android, Linux oder all.Windows, macOS, iOS, Android, Linux, or all. | Für Admins häufig alle Plattformen.For admins, often all platforms.
conditions.signInRiskLevels | low, medium, high oder hidden / none je nach API-Stand.low, medium, high, or hidden / none depending on API version. | Benötigt Identity Protection P2.Requires Identity Protection P2.
conditions.userRiskLevels | Benutzerrisiko als Trigger für Passwortänderung oder Block.User risk as a trigger for password change or block. | Nur mit SSPR/Writeback sinnvoll automatisieren.Automate only when SSPR/writeback is ready.
conditions.servicePrincipalRiskLevels | Workload-Identity-Risiko für Service Principals.Workload identity risk for service principals. | Für App-only-Workloads eigene Policies aufbauen.Build separate policies for app-only workloads.
conditions.devices.deviceFilter | Filter-Ausdrücke auf Geräteeigenschaften.Filter expressions on device properties. | Nur ergänzend zu Compliance und Join-Status nutzen.Use only as a complement to compliance and join status.
grantControls | Block oder erlauben mit Auflagen.Block or grant with requirements. | Mehrere Policies kumulieren.Multiple policies are cumulative.
sessionControls | Sitzung nach erfolgreicher Anmeldung weiter einschränken.Further restrict the session after sign-in succeeds. | Sign-in Frequency und CAE bevorzugen.Prefer sign-in frequency and CAE.

Unterfeld Nested field | Beschreibung Description
--- | ---
conditions.users.includeUsers / excludeUsers | Konkrete Benutzerobjekte oder Spezialwerte wie All, None, GuestsOrExternalUsers.Concrete user objects or special values such as All, None, or GuestsOrExternalUsers.
conditions.users.includeGroups / excludeGroups | Gruppenbasierte Zuweisung für sauberes Lifecycle-Management.Group-based targeting for clean lifecycle management.
conditions.users.includeRoles / excludeRoles | Directory Roles direkt targeten, z. B. Global Administrator.Target directory roles directly, for example Global Administrator.
conditions.users.includeGuestsOrExternalUsers | guestOrExternalUserTypes, externalTenants.members / guests / otherExternalUsers.guestOrExternalUserTypes, externalTenants.members / guests / otherExternalUsers.
conditions.applications.includeApplications / excludeApplications | App-IDs, All, Office365 oder Microsoft_Admin_Portals.App IDs, All, Office365, or Microsoft_Admin_Portals.
conditions.applications.includeUserActions | registerSecurityInformation, registerOrJoinDevices, unknownFutureValue.registerSecurityInformation, registerOrJoinDevices, unknownFutureValue.
conditions.applications.includeAuthenticationContextClassReferences | Authentication Context IDs für app-seitige Sensitivitätslogik.Authentication Context IDs for app-side sensitivity logic.
conditions.applications.applicationFilter | mode + rule zum Ein-/Ausschließen anhand von Service-Principal-Attributen.mode + rule to include or exclude by service principal attributes.
grantControls.operator | AND oder OR für mehrere Grant-Bedingungen.AND or OR across multiple grant requirements.
grantControls.builtInControls | block, mfa, compliantDevice, domainJoinedDevice, approvedApplication, compliantApplication, passwordChange.block, mfa, compliantDevice, domainJoinedDevice, approvedApplication, compliantApplication, passwordChange.
grantControls.customAuthenticationFactors | Preview-/Alt-Mechanismus für benutzerdefinierte Faktoren.Preview or legacy mechanism for custom authentication factors.
grantControls.termsOfUse | Terms-of-Use-Objekt-IDs, meist für Gäste.Terms-of-use object IDs, often for guests.
grantControls.authenticationStrength | Built-in oder custom Authentication Strength.Built-in or custom authentication strength.
sessionControls.applicationEnforcedRestrictions | useEnforcedRestrictions = true für SharePoint/Exchange-Restriktionsmodus.useEnforcedRestrictions = true for SharePoint/Exchange restricted mode.
sessionControls.cloudAppSecurity | isEnabled, cloudAppSecurityType = monitorOnly / blockDownloads / useSessionPolicy.isEnabled, cloudAppSecurityType = monitorOnly / blockDownloads / useSessionPolicy.
sessionControls.persistentBrowser | mode = always / never.mode = always / never.
sessionControls.signInFrequency | value + type = hours / days; authenticationType = primaryAndSecondaryAuthentication / secondaryAuthentication.value + type = hours / days; authenticationType = primaryAndSecondaryAuthentication / secondaryAuthentication.
sessionControls.continuousAccessEvaluation | mode = strictLocation / disabled je nach API-Stand.mode = strictLocation / disabled depending on API version.
sessionControls.disableResilienceDefaults | Deaktiviert resiliente Standardtokenverhalten nur für eng definierte Sonderfälle.Disables resilient default token behavior only for tightly scoped exceptions.
sessionControls.secureSignInSession | Steuert geschützte Browser-Sitzungen für administrative Szenarien.Controls protected browser sessions for administrative scenarios.

JSON

    {
      "displayName": "CA - Admins - Phishing resistant MFA",
      "state": "enabledForReportingButNotEnforced",
      "conditions": {
        "users": {
          "includeUsers": [],
          "excludeUsers": ["11111111-1111-1111-1111-111111111111"],
          "includeGroups": [],
          "excludeGroups": [],
          "includeRoles": ["62e90394-69f5-4237-9190-012177145e10"],
          "excludeRoles": [],
          "includeGuestsOrExternalUsers": {
            "guestOrExternalUserTypes": "none",
            "externalTenants": { "membershipKind": "all" }
          }
        },
        "applications": {
          "includeApplications": ["797f4846-ba00-4fd7-ba43-dac1f8f63013", "00000003-0000-0000-c000-000000000000", "Microsoft_Admin_Portals"],
          "excludeApplications": [],
          "includeUserActions": [],
          "includeAuthenticationContextClassReferences": [],
          "applicationFilter": {
            "mode": "include",
            "rule": "servicePrincipal.displayName -startsWith "Microsoft""
          }
        },
        "clientAppTypes": ["browser", "mobileAppsAndDesktopClients"],
        "locations": { "includeLocations": ["All"], "excludeLocations": ["trusted-named-location-id"] },
        "platforms": { "includePlatforms": ["all"], "excludePlatforms": [] },
        "signInRiskLevels": ["low", "medium", "high"],
        "userRiskLevels": ["high"],
        "servicePrincipalRiskLevels": ["high"],
        "devices": {
          "deviceFilter": {
            "mode": "exclude",
            "rule": "device.extensionAttribute1 -eq "BreakGlassDevice""
          }
        }
      },
      "grantControls": {
        "operator": "AND",
        "builtInControls": ["mfa", "compliantDevice"],
        "customAuthenticationFactors": [],
        "termsOfUse": [],
        "authenticationStrength": {
          "id": "00000000-0000-0000-0000-000000000004",
          "displayName": "Phishing-resistant MFA"
        }
      },
      "sessionControls": {
        "applicationEnforcedRestrictions": { "isEnabled": false },
        "cloudAppSecurity": { "isEnabled": false, "cloudAppSecurityType": "monitorOnly" },
        "persistentBrowser": { "isEnabled": true, "mode": "never" },
        "signInFrequency": {
          "isEnabled": true,
          "type": "hours",
          "value": 4,
          "authenticationType": "primaryAndSecondaryAuthentication",
          "frequencyInterval": "timeBased"
        },
        "continuousAccessEvaluation": { "mode": "strictLocation" },
        "secureSignInSession": { "isEnabled": true, "mode": "compliantDevice" },
        "disableResilienceDefaults": false
      }
    }

ℹ️ Praxisregel ℹ️ Operational rule

Definieren Sie niemals gleichzeitig ein generisches Require MFA und zusätzlich eine Authentication Strength in derselben Grant-Control-Liste. Verwenden Sie stattdessen direkt die passende Strength oder trennen Sie die Szenarien in zwei Policies.Never define a generic require MFA and an authentication strength in the same grant-control list. Use the appropriate strength directly instead, or split the scenarios into two policies.

## Device-Filter-Syntax vollständig Complete device-filter syntax reference

Device Filters verwenden eine PowerShell-ähnliche Ausdruckssprache und werden immer gegen Geräteeigenschaften ausgewertet, die dem Sign-in zur Verfügung stehen. Sie sind stark für Kiosk-, Pilot-, Branch- oder Ausnahmeszenarien – aber sie sind kein Ersatz für Compliance Policies, Join-Modelle oder gute Gerätegruppen.Device filters use a PowerShell-like expression language and are evaluated against device properties available to the sign-in. They are powerful for kiosk, pilot, branch, or exception scenarios—but they are not a replacement for compliance policies, join models, or sound device grouping.

Property Property | Typ Type | Beispiel Example | Hinweis Note
--- | --- | --- | ---
device.displayName | String | device.displayName -startsWith "KIOSK-"device.displayName -startsWith "KIOSK-" | Gut für Kiosk-, Demo- und Sondergeräte.Good for kiosk, demo, and special-purpose devices.
device.deviceId | GUID | device.deviceId -eq "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee"device.deviceId -eq "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee" | Für einzelne Ausnahmegeräte geeignet.Useful for single exception devices.
device.isCompliant | Boolean | device.isCompliant -eq True device.isCompliant -eq True | Nicht als Ersatz für den eigentlichen Grant-Control verwenden.Do not use as a replacement for the actual grant control.
device.manufacturer | String | device.manufacturer -in ["Microsoft Corporation","Dell Inc."]device.manufacturer -in ["Microsoft Corporation","Dell Inc."] | Hilfreich für OEM- oder Rugged-Device-Szenarien.Helpful for OEM or rugged-device scenarios.
device.mdmAppId | GUID | device.mdmAppId -eq "0000000a-0000-0000-c000-000000000000"device.mdmAppId -eq "0000000a-0000-0000-c000-000000000000" | Zeigt typischerweise auf den MDM-Anbieter.Usually points to the MDM provider.
device.model | String | device.model -contains "Surface"device.model -contains "Surface" | Nützlich bei Geräteserien mit Sonderregeln.Useful for device-series exceptions.
device.operatingSystem | String | device.operatingSystem -in ["Windows","iOS","Android"]device.operatingSystem -in ["Windows","iOS","Android"] | Mit Plattformbedingung abstimmen, nicht widersprüchlich konfigurieren.Align with platform conditions and avoid contradictions.
device.operatingSystemVersion | String | device.operatingSystemVersion -startsWith "10.0.226"device.operatingSystemVersion -startsWith "10.0.226" | Hilfreich für Ring- oder Hotfix-Ausnahmen.Helpful for ring or hotfix exceptions.
device.physicalIds | String array | device.physicalIds -any (_ -contains "[OrderID]:Kiosk")device.physicalIds -any (_ -contains "[OrderID]:Kiosk") | Wichtig für Autopilot-Gruppentags.Important for Autopilot group tags.
device.profileType | String | device.profileType -eq "RegisteredDevice"device.profileType -eq "RegisteredDevice" | Gut zur Unterscheidung von Registered vs. Joined.Good for distinguishing registered vs. joined.
device.systemLabels | String array | device.systemLabels -contains "M365Managed"device.systemLabels -contains "M365Managed" | Systemlabels kommen aus Microsoft-Verwaltungssignalen.System labels come from Microsoft management signals.
device.trustType | String | device.trustType -in ["AzureAD","ServerAD"]device.trustType -in ["AzureAD","ServerAD"] | AzureAD = joined, ServerAD = hybrid joined, Workplace = registered.AzureAD = joined, ServerAD = hybrid joined, Workplace = registered.

Extension Attribute Extension attribute | Zweck Purpose | Beispielwerte Sample values
--- | --- | ---
device.extensionAttribute1 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute2 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute3 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute4 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute5 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute6 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute7 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute8 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute9 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute10 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute11 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute12 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute13 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute14 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".
device.extensionAttribute15 | Freies Kennzeichen für Lifecycle, Standort oder Owner.Free marker for lifecycle, location, or owner. | Beispiel: "Tier0", "VIP", "BranchOffice".Example: "Tier0", "VIP", "BranchOffice".

Operator Operator | Verwendung Usage | Beispiel Example
--- | --- | ---
-eq / Equals | Exakte Übereinstimmung.Exact match. | device.trustType -eq "AzureAD"device.trustType -eq "AzureAD"
-ne / NotEquals | Expliziter Ausschluss eines Werts.Explicit exclusion of one value. | device.manufacturer -ne "Unknown"device.manufacturer -ne "Unknown"
-startsWith | Präfixabgleich für Namen oder Versionen.Prefix match for names or versions. | device.displayName -startsWith "ADM-"device.displayName -startsWith "ADM-"
-notStartsWith | Negierter Präfixabgleich.Negated prefix match. | device.displayName -notStartsWith "LAB-"device.displayName -notStartsWith "LAB-"
-contains | Teilstring oder Array-Treffer.Substring or array match. | device.model -contains "Surface"device.model -contains "Surface"
-notContains | Negierte Teilmengenprüfung.Negated contains check. | device.physicalIds -notContains "[OrderID]:Shared"device.physicalIds -notContains "[OrderID]:Shared"
-in | Wert ist Teil einer Liste.Value is part of a list. | device.operatingSystem -in ["Windows","macOS"]device.operatingSystem -in ["Windows","macOS"]
-notIn | Wert ist nicht Teil einer Liste.Value is not part of a list. | device.trustType -notIn ["ServerAD","AzureAD"]device.trustType -notIn ["ServerAD","AzureAD"]
-match | Regex-Musterabgleich.Regex pattern match. | device.operatingSystemVersion -match "^10\.0\.226"device.operatingSystemVersion -match "^10\.0\.226"
-notMatch | Negierter Regex-Abgleich.Negated regex match. | device.displayName -notMatch "^TEST-"device.displayName -notMatch "^TEST-"
-any / -all | Arraylogik auf physicalIds oder systemLabels.Array logic on physicalIds or systemLabels. | device.physicalIds -any (_ -contains "[OrderID]:Kiosk")device.physicalIds -any (_ -contains "[OrderID]:Kiosk")

PowerShell

    device.trustType -in ["AzureAD","ServerAD"] and
    (device.physicalIds -any (_ -contains "[OrderID]:Kiosk")) and
    (device.extensionAttribute1 -ne "ExcludeFromCA")

## Token Protection (Preview)Token protection (preview)

Token Protection bindet ausgegebene Tokens enger an das Gerät, auf dem die primäre Authentifizierung stattgefunden hat. Ziel ist es, gestohlene oder von einem Adversary-in-the-Middle-Proxy abgefangene Tokens auf einem fremden Gerät unbrauchbar zu machen oder ihre Wiederverwendbarkeit stark einzuschränken.Token protection binds issued tokens more tightly to the device where primary authentication occurred. The goal is to make stolen or adversary-in-the-middle-captured tokens unusable—or far less reusable—on a different device.

Aspekt Aspect | Details Details
--- | ---
Schutzziel Protection goal | Token Replay, Session Hijack und AitM-Folgen reduzieren.Reduce token replay, session hijack, and AiTM impact.
Voraussetzungen Prerequisites | Moderne Clients, unterstützte Workloads, aktueller Entra- und Geräte-Stack.Modern clients, supported workloads, and a current Entra and device stack.
Typische Szenarien Typical scenarios | Admins, Hochwert-Apps, Entra- und Azure-Portale, besonders auf verwalteten Geräten.Admins, high-value apps, Entra and Azure portals, especially on managed devices.
Grenzen Limitations | Preview, nicht in jedem Client oder jeder App vollständig verfügbar.Preview, not fully available in every client or app.

- Mit verwalteten Windows-Geräten und privilegierten Benutzergruppen pilotieren.Pilot with managed Windows devices and privileged user groups.
- Immer parallel Sign-in Logs, Device Claims und Helpdesk-Signale beobachten.Always watch sign-in logs, device claims, and helpdesk signals in parallel.
- Token Protection mit phishing-resistant MFA und PIM kombinieren, nicht isoliert betrachten.Combine token protection with phishing-resistant MFA and PIM instead of viewing it in isolation.

## Continuous Access Evaluation Continuous Access Evaluation

Continuous Access Evaluation (CAE) verkürzt die Zeit zwischen einem sicherheitsrelevanten Ereignis und der tatsächlichen Durchsetzung. Statt auf klassische Tokenablaufzeiten zu warten, können unterstützte Clients und Dienste auf kritische Änderungen nahezu in Echtzeit reagieren.Continuous Access Evaluation (CAE) shortens the time between a security-relevant event and actual enforcement. Instead of waiting for classic token expirations, supported clients and services can react to critical changes almost in real time.

Kritisches Ereignis Critical event | Wirkung Effect
--- | ---
Benutzer deaktiviert / user disabled | Token wird invalidiert und nächste Anfrage scheitert oder erzwingt Reauth.Token gets invalidated and the next request fails or forces reauthentication.
Passwort geändert oder zurückgesetzt / password changed or reset | Refresh Tokens verlieren ihre Gültigkeit schneller als bei klassischen Token-Lifetimes.Refresh tokens lose validity faster than with classic token lifetimes.
MFA-Methoden oder Strength-Anforderung geändert / MFA methods or strength changed | Neue Auth-Anforderung kann nahezu sofort greifen.New auth requirements can take effect almost immediately.
Admin widerruft Sessions / admin revokes sessions | Sign-out all sessions wirkt deutlich schneller.Sign out all sessions is enforced much faster.
High user risk erkannt / high user risk detected | Risikobasierte Policies lassen sich zeitnäher durchsetzen.Risk-based policies can be enforced with lower latency.
Named Location oder Network Context ändert sich / network context changes | Strict location enforcement kann Reauth bei Netzwechsel auslösen.Strict location enforcement can trigger reauth after a network change.
Token widerrufen durch Entra / token revoked by Entra | Apps müssen neue Tokens anfordern und erhalten neue CA-Entscheidungen.Apps must request new tokens and get fresh CA decisions.
Gerätezustand wechselt / device state changes | Je nach App und Claim-Aktualisierung wird Zugriff neu bewertet.Depending on app and claim refresh, access is reevaluated.

Unterstützung Support | Bewertung Assessment
--- | ---
Exchange Online, SharePoint Online, Teams, Microsoft Graph | CAE-fähige Kernworkloads mit modernem Auth-Stack.CAE-capable core workloads with a modern auth stack.
Outlook, Office, Teams, Browser mit modernem Entra-Login | Moderne Clients profitieren am stärksten von CAE.Modern clients benefit most from CAE.
Legacy Auth, ältere Office-Builds, Basic/Auth-Proxy-Ketten | Unterstützen CAE typischerweise nicht oder nur unvollständig.Typically do not support CAE or support it only partially.

- CAE ist kein Ersatz für Conditional Access, sondern beschleunigt dessen Durchsetzung.CAE is not a replacement for Conditional Access; it accelerates enforcement.
- Strict Location Enforcement ist besonders relevant, wenn Netzwechsel oder Global Secure Access im Spiel sind.Strict location enforcement is especially relevant when network changes or Global Secure Access are involved.
- Legacy Auth und ältere Clients profitieren typischerweise nicht von CAE – genau dort bleiben klassische Block-Policies wichtig.Legacy auth and older clients typically do not benefit from CAE—this is exactly where classic block policies remain important.