Microsoft Entra ID (ehemals Azure Active Directory) ist das zentrale Authentifizierungs- und Autorisierungssystem für Microsoft Cloud-Dienste und wird von Tausenden von Unternehmen für Identity-Management verwendet. Es verwaltet, wer auf welche Ressourcen zugreifen darf. Ein grosses Problem besteht jedoch darin, dass sich in Entra ID über Zeit versteckte oder überflüssige Berechtigungen ansammeln können, die niemand mehr bewusst überwacht.
Diese "versteckten Berechtigungen" entstehen typischerweise, wenn Mitarbeiter die Position wechseln, externe Partner gehen oder Systeme migriert werden. Die entsprechenden Zugriffsrechte werden nicht konsequent entfernt, sondern bleiben "schläfernd" im System. Dies kann zu Sicherheitslücken führen, wenn ehemalige Mitarbeiter oder kompromittierte Accounts auf Ressourcen zugreifen können, zu denen sie eigentlich keinen Zugang mehr haben sollten.
Sicherheitsexperte Lukas Petzi empfielt, dass Organisationen regelmässige Selbstaudits durchführen sollten. Das bedeutet, die Zugriffsvergabe in Entra ID zu überprüfen, unnötige Berechtigungen zu identifizieren und zu entfernen. Dies ist nicht nur eine Best Practice, sondern auch eine Compliance-Anforderung für viele regulierte Branchen. Ein ordentlich verwalteter Entra-ID-Zustand ist ein wesentlicher Bestandteil einer umfassenden Cyber-Security-Strategie.
Für KMU ist dies besonders wichtig, da kleinere Teams oft zu wenig Zeit haben, sich um solche administrativen Aufgaben zu kümmern. Dennoch sollte mindestens vierteljährlich eine Überprüfung stattfinden. Viele Berechtigungen haben einen geschäftlichen Grund, der nicht mehr aktuell ist. Ein Audit offenbart zudem, welche kritischen Berechtigungen vorhanden sind und ob eine zusätzliche Sicherheitsebene (wie Mehrstufige Authentifizierung) nötig ist.