Entra Conditional Access: All resources ab März 2026

Einführung: warum das wichtig ist

Conditional Access (CA) ist ein zentrales Kontrollinstrument zur Durchsetzung von MFA, Device Compliance und Sitzungsbeschränkungen. Microsoft verschärft die CA-Durchsetzung im Rahmen der Secure Future Initiative, um Szenarien zu reduzieren, in denen Anmeldungen unbeabsichtigt der Richtlinienauswertung entgehen können – insbesondere bei Client-Apps, die nur einen begrenzten Satz an Scopes anfordern.

Was sich ändert

Heute kann eine Lücke entstehen, wenn eine CA-Richtlinie „All resources“ adressiert (All cloud apps), aber auch Ressourcenausschlüsse enthält. In bestimmten Fällen – wenn sich ein Benutzer über eine Client-Anwendung anmeldet, die nur OIDC-Scopes oder einen begrenzten Satz von directory scopes anfordert – weist Microsoft darauf hin, dass diese „All resources“-Richtlinien möglicherweise nicht durchgesetzt werden.

Mit diesem Update gilt:

• CA-Richtlinien, die „All resources“ adressieren, werden auch dann durchgesetzt, wenn Ressourcenausschlüsse vorhanden sind – für diese Anmeldungen.
• Ziel ist eine konsistente CA-Durchsetzung unabhängig vom von der Anwendung angeforderten Scope-Set.
• Benutzer können nun CA-Challenges (zum Beispiel: MFA, device compliance oder andere Zugriffskontrollen) in Anmeldeflows erhalten, die diese zuvor nicht ausgelöst haben.

Rollout-Zeitplan

• Durchsetzung beginnt: 27. März 2026
• Rollout-Modell: schrittweise über alle Clouds
• Abschlusszeitraum: über mehrere Wochen bis Juni 2026

Wer betroffen ist

Betroffen sind nur Tenants mit folgender Konfiguration:

• Mindestens eine Conditional Access Richtlinie, die All resources (All cloud apps) adressiert
• Dieselbe Richtlinie hat einen oder mehrere Ressourcenausschlüsse

Microsoft informiert betroffene Tenants über Beiträge im Microsoft 365 Message Center.

Auswirkungen für Admins und Endbenutzer

Auswirkungen für Admins

• Anmeldeergebnisse für bestimmte Client-Anwendungen können sich ändern, insbesondere dort, wo Apps darauf setzen, nur minimale Scopes anzufordern.
• Richtlinien, die außerdem explizit Azure AD Graph adressieren (sofern in Ihrer Umgebung/Ihrem Richtlinienverlauf relevant), können je nach konfigurierten Kontrollen an den daraus resultierenden Challenges beteiligt sein.

Auswirkungen für Endbenutzer

• Benutzer können bei der Authentifizierung mit betroffenen Anwendungen neue Aufforderungen (MFA, Anforderungen an ein compliant device usw.) sehen – wo der Zugriff zuvor möglicherweise ohne CA-Durchsetzung fortgesetzt wurde.

Empfohlene Maßnahmen / nächste Schritte

• Die meisten Organisationen: Keine Aktion erforderlich.
  • Die meisten Anwendungen fordern breitere Scopes an und unterliegen bereits der CA-Durchsetzung.
• Wenn Sie benutzerdefinierte Apps in Ihrem Tenant registriert haben, die bewusst nur die begrenzten Scopes anfordern: Prüfen und testen.
  • Validieren Sie, dass diese Anwendungen Conditional Access Challenges korrekt verarbeiten können.
  • Falls nicht, aktualisieren Sie die App mithilfe von Microsofts Conditional Access Developer Guidance, damit Authentifizierungsflüsse (interaktive Prompts, device signals usw.) korrekt gehandhabt werden.
• Betriebliche Vorbereitung:
  • Message Center-Benachrichtigungen beobachten.
  • Sign-in logs sowie Conditional Access troubleshooting/audience reporting nutzen, um zu identifizieren, welche Apps und Richtlinien während des Rollouts neue Challenges auslösen.

Diese Änderung soll eine Defense-in-Depth-Lücke schließen und dafür sorgen, dass „All resources“-Conditional Access-Richtlinien vorhersehbarer funktionieren – daher lohnt es sich, alle minimal-scope custom apps proaktiv zu validieren, bevor die Durchsetzung Ihren Tenant erreicht.