Microsoft Entra

Microsoft Entra ist eine Sammlung von Diensten, die eine einzige Frage beantwortet: Wer darf hier rein? Wenn ein Mitarbeiter morgens seinen Firmen-Laptop einschaltet und sein Passwort eingibt, prüft im Hintergrund ein solcher Dienst, ob die Person wirklich zur Firma gehört. Danach entscheidet derselbe Dienst, welche Programme und Dateien diese Person öffnen darf. Der Chef der Buchhaltung kommt an Gehaltslisten, ein Praktikant nicht. Man kann sich Entra als digitale Pförtnerloge eines großen Bürogebäudes vorstellen. Sie kennt alle Ausweise, kontrolliert sie am Eingang und weiß genau, welche Türen jeder Ausweis öffnet.

Der Ausweis für die halbe Bürowelt

Microsoft schätzt, dass mehrere hundert Millionen Menschen sich täglich über Entra anmelden. Nahezu jede Firma, die Microsoft 365 nutzt, also Word, Excel, Outlook und Teams als Onlinedienst, hängt automatisch an Entra. Das macht den Dienst zu einer der wichtigsten Kontrollstellen im Arbeitsalltag vieler Unternehmen und Behörden.

Diese zentrale Rolle ist praktisch und riskant zugleich. Praktisch, weil sich ein Mitarbeiter nur einmal anmelden muss und danach alle Programme benutzen kann. Riskant, weil ein Angreifer mit einem gestohlenen Zugang nicht nur ein Programm erreicht, sondern gleich alle. Genau deshalb greifen Kriminelle bevorzugt Anmeldedienste an und nicht einzelne Anwendungen.

Für Anleger und Beobachter der Tech-Branche ist Entra außerdem ein Geschäftsmodell. Die besseren Sicherheitsfunktionen stecken in teureren Abo-Stufen. Sicherheit ist für Microsoft also ein Umsatzbringer, kein reines Pflichtprogramm. Kritiker halten es für problematisch, dass grundlegende Schutzfunktionen Geld kosten.

Vom Passwort zur Zugriffsentscheidung

Im Zentrum steht ein Verzeichnis, also eine große Liste aller Nutzerkonten, Gruppen und Geräte einer Organisation. Dieses Verzeichnis heißt Entra ID und trug bis 2023 den Namen Azure Active Directory. In alten Anleitungen und News liest man deshalb oft noch Azure AD, gemeint ist dasselbe Produkt.

Meldet sich jemand an, prüft Entra ID die Angaben und stellt danach ein digitales Ticket aus, im Fachjargon ein Token. Dieses Ticket schickt das Programm bei jeder Anfrage mit, ähnlich wie ein Bändchen auf einem Festival. Der einzelne Dienst muss das Passwort dann nie selbst sehen. Er prüft nur, ob das Ticket echt und noch gültig ist.

Damit ein gestohlenes Passwort allein nicht genügt, verlangt Entra meist einen zweiten Nachweis. Das ist oft eine Bestätigung in einer Handy-App. Zusätzlich gibt es Regeln, die die Umstände der Anmeldung bewerten: bekanntes Firmengerät und übliches Land bedeuten wenig Nachfragen, ein fremder Rechner aus dem Ausland dagegen zusätzliche Hürden oder eine Blockade. Diese Regeln nennt Microsoft bedingten Zugriff.

Entra in Schule, Job und Schlagzeilen

Viele Schulen und Universitäten nutzen Microsoft 365. Wer sich dort mit einer Schul-Adresse bei Teams oder OneDrive anmeldet, benutzt Entra, ohne den Namen zu kennen. Auch der Login-Knopf Mit Microsoft anmelden auf fremden Webseiten führt zu diesem Dienst.

In den Nachrichten taucht Entra vor allem bei Sicherheitsvorfällen auf. 2023 verschafften sich Angreifer über einen gestohlenen Signaturschlüssel Zugang zu E-Mail-Konten von US-Behörden. Solche Fälle zeigen, wie viel von einem einzigen Anmeldedienst abhängt. Sie sind auch der Grund, warum Aufsichtsbehörden Microsofts Sicherheitspraxis genauer prüfen.

Ein häufiger Irrtum ist, Entra sei ein Virenschutz. Das ist es nicht. Entra kümmert sich um Identitäten und Berechtigungen, also um die Frage, wer etwas darf. Schadprogramme auf einem Rechner bekämpfen andere Produkte, bei Microsoft etwa Defender. Der direkte Konkurrent von Entra heißt Okta und macht im Kern dasselbe, nur ohne eigenes Office-Paket im Hintergrund.