Microsoft Entra ID einfach erklärt
Postfach, gemeinsame Ablage und Online-Besprechungen haben eines gemeinsam: Bevor sie sich öffnen, fragt die Anwendung bei Microsoft Entra ID nach. Der Dienst prüft, ob Benutzername und Kennwort stimmen, ob ein zweiter Faktor verlangt wird und auf welche Inhalte das Konto zugreifen darf.
Unternehmen mit Microsoft 365 nutzen Entra ID bereits: Mit dem Mandanten, also dem abgegrenzten Firmenbereich bei Microsoft, legt Microsoft automatisch auch das zugehörige Verzeichnis an. Die Grundfunktionen sind in den Microsoft-365-Lizenzen enthalten. Erweiterte Funktionen wie Regeln für den bedingten Zugriff setzen eine höhere Lizenzstufe voraus, die manche Microsoft-365-Pläne mitbringen (Stand: Oktober 2026).
Den Namen hat Microsoft 2023 geändert, auch um den Cloud-Dienst klarer vom klassischen Verzeichnis auf Windows-Servern abzugrenzen. Funktionen, Lizenzen und Anmeldeadressen blieben dabei unverändert.
Was Entra ID im Alltag regelt
- Konten und Gruppen: Mitarbeitende, gemeinsam genutzte Konten und Gäste aus anderen Organisationen. Gruppen bündeln Rechte, etwa für eine Abteilung oder ein Projekt.
- Einmalige Anmeldung: Ein Konto öffnet neben Microsoft 365 auch angebundene Online-Dienste, sofern diese die Anmeldung über Entra ID unterstützen. Das Prinzip heißt Single Sign-on.
- Zweiter Faktor: Mit Multi-Faktor-Authentifizierung reicht das Kennwort allein nicht mehr; hinzu kommt etwa eine Bestätigung auf dem Diensthandy oder ein Hardware-Schlüssel.
- Bedingter Zugriff: Regeln entscheiden je nach Lage, ob eine Anmeldung durchgeht. Beispiele sind Firmendaten nur auf verwalteten Geräten oder eine zusätzliche Bestätigung bei ungewohnten Anmeldungen. Ob ein Gerät die Vorgaben erfüllt, meldet etwa Microsoft Intune.
- Rollen: Verwaltungsaufgaben lassen sich aufteilen. Die Assistenz der Geschäftsführung pflegt etwa nur Konten und Kennwörter, ohne Zugriff auf die Sicherheitseinstellungen zu bekommen.
Hinter dem bedingten Zugriff steht der Gedanke von Zero Trust: Es zählt nicht, ob sich jemand im Firmennetz befindet, sondern wer sich mit welchem Gerät unter welchen Umständen anmeldet.
Für kleine Organisationen ohne höhere Lizenzstufe gibt es voreingestellte Sicherheitsstandards. Sie verlangen unter anderem, dass für jedes Konto ein zweiter Faktor eingerichtet wird, und blockieren veraltete Anmeldeverfahren, die keinen zweiten Faktor kennen. In neuen Mandanten schaltet Microsoft sie in der Regel automatisch ein (Stand: Oktober 2026).
Cloud-Verzeichnis und eigener Server im Verbund
Viele Betriebe mit eigenem Server pflegen ihre Konten seit Jahren im Active Directory. Dieses lokale Verzeichnis steuert die Anmeldung an PCs im Firmennetz, Freigaben und Gruppenrichtlinien. Entra ID ist dagegen für Cloud-Dienste und Anmeldungen über das Internet gebaut. Das eine ersetzt das andere deshalb nicht von selbst.
Beide lassen sich verbinden. Ein Synchronisationsdienst überträgt Benutzer und Gruppen aus dem lokalen Verzeichnis nach Entra ID. Mitarbeitende melden sich dann im Büro und in Microsoft 365 mit demselben Konto an, angelegt und gesperrt wird es weiter auf dem Server. Microsoft spricht von hybrider Identität.
Ob sich dieser Verbund lohnt oder die Konten ganz in die Cloud wechseln, hängt davon ab, welche Anwendungen den lokalen Server noch brauchen, etwa eine Fachanwendung mit Anmeldung im Firmennetz. Was zur Pflege des Servers selbst gehört, beschreiben wir unter Windows Server Betreuung.
Ein Austritt, viele Zugänge
Angenommen, ein Dentallabor mit zwanzig Mitarbeitenden arbeitet mit Microsoft 365 für Postfächer und Ablage und zusätzlich mit einem Online-Dienst, über den Aufträge mit Zahnarztpraxen abgestimmt werden. Für diesen Dienst haben die Mitarbeitenden eigene Zugangsdaten, einige davon hängen auf Zetteln am Bildschirm. Als eine Zahntechnikerin das Labor verlässt, sperrt die Geschäftsführung ihr Postfach. Ihr Zugang zur Auftragsabstimmung bleibt dagegen wochenlang aktiv, weil niemand daran denkt.
Danach stellt das Labor um: Der Auftragsdienst unterstützt die Anmeldung über Entra ID und wird an die Firmenkonten gekoppelt. Alle Mitarbeitenden richten einen zweiten Faktor auf dem Diensthandy ein. Per bedingtem Zugriff lassen sich die Auftragsdaten nur noch auf Geräten des Labors öffnen. Beim nächsten Austritt genügt es, ein einziges Konto zu deaktivieren, und die angebundenen Zugänge enden mit ihm.
Worauf Sie im eigenen Mandanten achten sollten
Microsoft betreibt den Dienst, die Einstellungen im Mandanten liegen aber bei Ihnen. Drei Punkte verdienen besondere Aufmerksamkeit:
- Administratorkonten: Verwaltungsrechte gehören auf eigene Konten, die nur für diese Aufgabe genutzt werden, und in die Hände eines kleinen Personenkreises. Für den Fall, dass niemand mehr hineinkommt, rät Microsoft zu zwei Notfallkonten ohne Personenbezug.
- Gäste: Externe Zugänge regelmäßig prüfen und nach Projektende entfernen.
- Ein- und Austritte: als fester Ablauf, damit Konten, Gruppen und Lizenzen zeitnah angepasst werden.
Welche Vorarbeiten ein Wechsel erfordert, fasst unser Ratgeber Microsoft-365-Umstellung: Checkliste zusammen.
Wie ProNet unterstützt
Wir richten Entra ID als Teil Ihres Microsoft-365-Mandanten ein: Konten und Gruppen, Anmeldung mit zweitem Faktor und Rollen für Administratoren. Soweit Ihre Lizenzen es vorsehen, kommen Regeln für den bedingten Zugriff hinzu. Im laufenden Betrieb legen wir neue Mitarbeitende an, passen Rechte an und deaktivieren Konten beim Austritt. Was dazu gehört, lesen Sie auf der Seite Microsoft-365-Verwaltung. Betreiben Sie zusätzlich einen eigenen Server, verbinden wir dessen Verzeichnis auf Wunsch mit Entra ID.