Der IdP fällt aus: Notfallzugang ohne zirkuläre Abhängigkeiten
Die föderierte Anmeldung funktioniert nicht; das Runbook und der Passworttresor verlangen normalerweise dasselbe SSO.
Der Prüfauftrag
Für einen eigenen Entra-Tenant mit föderierter Anmeldung und abhängigen Verwaltungsdiensten. Richtwert: 90 Minuten für einen vorbereiteten Zugangspfad; Neubau, Beschaffung und Behebung zusätzlich. Prioritäten gelten für dieses Ausfallszenario, nicht als allgemeine Compliance-Vorgabe.
Am Ende hast du:Ein tatsächlich erprobter Verwaltungsweg mit offen ausgewiesenen verbleibenden Ausfallabhängigkeiten.
Beweisen statt vermuten.
In einer freigegebenen Übung den regulären IdP-Zugang im Ablauf als nicht verfügbar behandeln. Über die vorbereitete sichere Station mit einem Notfallkonto anmelden, eine vorher benannte leere Testgruppe umbenennen und zurückbenennen. Bestehen: kein reguläres SSO, keine PIM-Freigabe und kein gesperrter Tresor erforderlich; beide Änderungen und der Nutzungsalarm sind nachweisbar.
Status, Prüfbereich und Notizen bleiben in diesem Browser. Keine Übertragung an MauriSec. Ohne Speicherung geht der Stand beim Verlassen verloren; gespeicherte Daten bleiben bis zu deiner Löschung. Keine Geheimnisse, Zugangsdaten oder fremden personenbezogenen Daten eintragen.
Ausfallvarianten getrennt modellieren: Föderation, MFA-Methode, PIM-Genehmigung, Verwaltungsgerät und Entra-Dienst selbst.
So belegst du es: Abhängigkeitsmatrix mit erreichbaren Ressourcen und verbleibendem Zugangsweg je Variante.
Nachweis und nächsten Schritt notieren
Mindestens zwei cloudbasierte Notfallkonten auf der onmicrosoft.com-Domäne mit dauerhaft aktiver Global-Administrator-Rolle prüfen.
So belegst du es: Objekt- und Rollenexport; keine Synchronisierung, Föderation oder notwendige PIM-Aktivierung.
Nachweis und nächsten Schritt notieren
Unabhängige phishingresistente Anmeldemittel bereitstellen; Ablauf, Wiederbeschaffung und sichere getrennte Aufbewahrung prüfen.
So belegst du es: Methoden- und Verwahrnachweis ohne Geheimnisse; keine Abhängigkeit vom privaten Telefon eines einzelnen Administrators.
Nachweis und nächsten Schritt notieren
Sperrende Conditional-Access-Bedingungen für die Notfallkonten ausschließen und den tatsächlich verbleibenden MFA-Schutz prüfen.
So belegst du es: Richtlinienabgleich und erfolgreiche Anmeldedetails; eine CA-Ausnahme wird nicht als pauschale MFA-Befreiung behandelt.
Nachweis und nächsten Schritt notieren
Runbook, Freigabeverantwortliche, Schlüsselzugang und sichere Verwaltungsstation ohne Anmeldung am ausgefallenen IdP erreichbar halten.
So belegst du es: Abruf- und Zugangstest einschließlich Tresor, Kontaktliste und benötigter Netzwerkverbindung.
Nachweis und nächsten Schritt notieren
Für lokale Infrastruktur und kritische SaaS-Dienste herstellerseitig unterstützte Wiederherstellungswege gesondert festlegen.
So belegst du es: Dienstbezogene Ablaufpläne mit Befugnissen und Rücknahme; Cloud- und lokale Notfallzugänge hängen nicht gegenseitig voneinander ab.
Nachweis und nächsten Schritt notieren
Jede Notfallanmeldung und relevante Kontoänderung an einen im Ausfallszenario erreichbaren Reaktionsweg melden.
So belegst du es: Empfangener Testalarm mit Zeitstempel, Konto-ID, Vertretung und dokumentierter Reaktion.
Nachweis und nächsten Schritt notieren
Zugriff und notwendige Verwaltungsfunktion mindestens alle 90 Tage sowie nach relevanten Änderungen erproben; jede Nutzung nachbesprechen.
So belegst du es: Übungsprotokoll, offene Abhängigkeiten, Wiederherstellungszeit und kontrollierte Rücknahme der Übungsänderung.
Nachweis und nächsten Schritt notieren
Deine nächste Arbeit.
Beginne mit den vorrangigen Punkten. Markierte Lücken erscheinen hier mit deinen nächsten Schritten.
Grenzen und Primärquellen
Ein cloudbasiertes Entra-Notfallkonto hilft bei Ausfall eines vorgeschalteten IdP, nicht bei vollständiger Unerreichbarkeit von Entra. Zertifikatsauthentifizierung kann eigene PKI-Abhängigkeiten mitbringen. Keine produktive Föderation oder Schutzrichtlinie für eine Übung global abschalten. Auch Notfallgeräte und Anmeldemittel benötigen Pflege.
Microsoft Learn: Manage emergency access accounts ↗Microsoft Learn: Create a resilient access control management strategy ↗NIST SP 800-34 Rev. 1: Contingency Planning Guide ↗Prüfbericht / Selbsteinschätzung
Der IdP fällt aus: Notfallzugang ohne zirkuläre Abhängigkeiten · v2026.11 · 10.11.2026 ·
0/8 bearbeitet · 0 Lücken. Keine unabhängige Prüfung oder Zertifizierung.
1. Ausfallvarianten getrennt modellieren: Föderation, MFA-Methode, PIM-Genehmigung, Verwaltungsgerät und Entra-Dienst selbst.
Status: Offen
Erwarteter Nachweis: Abhängigkeitsmatrix mit erreichbaren Ressourcen und verbleibendem Zugangsweg je Variante.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
2. Mindestens zwei cloudbasierte Notfallkonten auf der onmicrosoft.com-Domäne mit dauerhaft aktiver Global-Administrator-Rolle prüfen.
Status: Offen
Erwarteter Nachweis: Objekt- und Rollenexport; keine Synchronisierung, Föderation oder notwendige PIM-Aktivierung.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
3. Unabhängige phishingresistente Anmeldemittel bereitstellen; Ablauf, Wiederbeschaffung und sichere getrennte Aufbewahrung prüfen.
Status: Offen
Erwarteter Nachweis: Methoden- und Verwahrnachweis ohne Geheimnisse; keine Abhängigkeit vom privaten Telefon eines einzelnen Administrators.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
4. Sperrende Conditional-Access-Bedingungen für die Notfallkonten ausschließen und den tatsächlich verbleibenden MFA-Schutz prüfen.
Status: Offen
Erwarteter Nachweis: Richtlinienabgleich und erfolgreiche Anmeldedetails; eine CA-Ausnahme wird nicht als pauschale MFA-Befreiung behandelt.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
5. Runbook, Freigabeverantwortliche, Schlüsselzugang und sichere Verwaltungsstation ohne Anmeldung am ausgefallenen IdP erreichbar halten.
Status: Offen
Erwarteter Nachweis: Abruf- und Zugangstest einschließlich Tresor, Kontaktliste und benötigter Netzwerkverbindung.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
6. Für lokale Infrastruktur und kritische SaaS-Dienste herstellerseitig unterstützte Wiederherstellungswege gesondert festlegen.
Status: Offen
Erwarteter Nachweis: Dienstbezogene Ablaufpläne mit Befugnissen und Rücknahme; Cloud- und lokale Notfallzugänge hängen nicht gegenseitig voneinander ab.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
7. Jede Notfallanmeldung und relevante Kontoänderung an einen im Ausfallszenario erreichbaren Reaktionsweg melden.
Status: Offen
Erwarteter Nachweis: Empfangener Testalarm mit Zeitstempel, Konto-ID, Vertretung und dokumentierter Reaktion.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
8. Zugriff und notwendige Verwaltungsfunktion mindestens alle 90 Tage sowie nach relevanten Änderungen erproben; jede Nutzung nachbesprechen.
Status: Offen
Erwarteter Nachweis: Übungsprotokoll, offene Abhängigkeiten, Wiederherstellungszeit und kontrollierte Rücknahme der Übungsänderung.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
Ein cloudbasiertes Entra-Notfallkonto hilft bei Ausfall eines vorgeschalteten IdP, nicht bei vollständiger Unerreichbarkeit von Entra. Zertifikatsauthentifizierung kann eigene PKI-Abhängigkeiten mitbringen. Keine produktive Föderation oder Schutzrichtlinie für eine Übung global abschalten. Auch Notfallgeräte und Anmeldemittel benötigen Pflege.