Warum Global Administrator die falsche Standardrolle ist

Global Administrator darf alles: Rollen vergeben, Richtlinien ändern, Mandanteneinstellungen setzen, Daten in allen Microsoft-365-Diensten lesen. In vielen Tenants ist die Rolle trotzdem die Standardantwort auf jede Anfrage nach Adminrechten, weil sie garantiert funktioniert. Microsoft selbst empfiehlt, die Zahl der Global Admins unter fünf zu halten. In der Praxis sehen wir regelmäßig das Doppelte, oft mehr, und darunter Konten von Dienstleistern, ehemaligen Projekten und Testinstallationen.

Für fast jede Aufgabe gibt es eine engere Rolle: Benutzeradministrator für Konten und Gruppen, Exchange-Administrator für Postfächer, Authentifizierungsadministrator für MFA-Rücksetzungen, Sicherheitsleser und Globaler Leser für alle, die nur schauen müssen. Wer diese Rollen nutzt, verkleinert die Angriffsfläche, ohne jemandem die Arbeit zu erschweren.

Dauerhaft oder befristet: der Unterschied, den der Prüfer sieht

Mit Privileged Identity Management, kurz PIM, wird eine Rolle nicht mehr dauerhaft zugewiesen, sondern als berechtigt. Der Admin aktiviert sie bei Bedarf, mit Begründung, MFA und auf Wunsch mit Freigabe durch eine zweite Person, für eine begrenzte Zeit. Danach ist sie wieder weg. PIM setzt eine Entra-ID-P2-Lizenz oder Entra ID Governance voraus, aber nur für die Personen, die die Funktion nutzen.

Der Unterschied ist nicht nur technisch. Eine dauerhafte Zuweisung sagt dem Prüfer: dieses Konto ist rund um die Uhr Global Admin, auch nachts, auch im Urlaub, auch wenn das Passwort gestern in einem Phishing-Formular gelandet ist. Eine berechtigte Zuweisung sagt: es gibt einen Prozess, und jede Aktivierung hat einen Zeitstempel und einen Grund. Genau das ist der Nachweis, den NIS2 und ISO 27001 unter Zugriffskontrolle und privilegierten Zugriffsrechten meinen.

Break-Glass: zwei Konten, die absichtlich anders sind

Notfallkonten sind die Ausnahme von der Regel, und sie müssen es sein. Wenn Conditional Access falsch konfiguriert ist oder der Identitätsanbieter für MFA ausfällt, braucht jemand einen Weg in den Tenant. Bewährt haben sich zwei Konten, die nur in der Cloud existieren, von allen Conditional-Access-Richtlinien ausgenommen sind, ein sehr langes Passwort oder einen FIDO2-Schlüssel nutzen, offline verwahrt werden und deren Anmeldung einen Alarm auslöst. Sie sind dauerhaft Global Admin, und das ist in Ordnung, solange sie dokumentiert sind und niemand sie im Alltag benutzt.

Ein Prüfer, der zwei Break-Glass-Konten mit Dokumentation sieht, ist zufrieden. Einer, der zwölf dauerhafte Global Admins sieht, von denen drei "für den Notfall" sind, nicht.

So prüfen Sie das mit Bordmitteln

  • Rollenmitglieder anzeigen: Im Entra Admin Center unter Identität, Rollen und Administratoren, Global Administrator. Dort sehen Sie jede Zuweisung und ob sie dauerhaft oder berechtigt ist.
  • PIM-Übersicht: Unter Identity Governance, Privileged Identity Management, Entra-ID-Rollen, Zuweisungen. Die Reiter Berechtigt und Aktiv zeigen den Unterschied auf einen Blick.
  • Per Graph API: Der Endpunkt /roleManagement/directory/roleAssignments liefert alle Zuweisungen; gefiltert auf die Rollenvorlage 62e90394-69f5-4237-9190-012177145e10 bekommen Sie nur die Global Admins. Für berechtigte Zuweisungen gibt es /roleManagement/directory/roleEligibilitySchedules.
  • MFA der Admins: Im Bericht Authentifizierungsmethoden prüfen, ob jedes privilegierte Konto eine phishingresistente Methode registriert hat. Ein Admin mit SMS-Code ist ein Finding, kein Detail.
  • Dienstleisterkonten: Alles, was nach einer Firma statt einer Person klingt, gehört auf eine eigene Liste mit Vertrag und Ansprechpartner.
Praxis-Tipp: Exportieren Sie die Liste vor jeder Änderung mit Datum. Dann können Sie dem Prüfer nicht nur den heutigen Stand zeigen, sondern auch, dass er sich verbessert hat.

Der Prozess, der die Zahl klein hält

  1. Für jede Rolle gibt es einen Verantwortlichen, der neue Zuweisungen freigibt. Ohne Ticket keine Rolle.
  2. Global Administrator wird nur berechtigt vergeben, nie dauerhaft. Ausnahme: die zwei Notfallkonten.
  3. Aktivierungen sind auf wenige Stunden begrenzt und erfordern eine Begründung.
  4. Einmal im Quartal werden alle privilegierten Zuweisungen überprüft, entweder per Zugriffsüberprüfung in Entra oder mit einer exportierten Liste und einer Unterschrift.
  5. Beim Austritt oder Rollenwechsel wird die Zuweisung am selben Tag entfernt. Das Offboarding-Ticket enthält den Punkt ausdrücklich.

Wo Bordmittel an ihre Grenzen stoßen

Das Admin Center zeigt den Zustand von heute. Die Audit-Protokolle des Tenants reichen je nach Lizenz nur sieben oder dreißig Tage zurück. Wer belegen muss, wie viele Global Admins es vor einem halben Jahr gab, braucht eigene Exporte mit Datum. Dazu kommt, dass privilegierte Rechte selten nur in Entra liegen: Domänen-Admins im lokalen Active Directory, Superadmins in Okta, Realm-Admins in Keycloak. Jede dieser Listen wird woanders gepflegt, und keine kennt die andere. Der Prüfer fragt trotzdem nach einem Bild.

Wie sieht es in Ihrem Tenant aus?

Der kostenlose Quick Check prüft Ihr Entra ID direkt im Browser, nur lesend, ohne dass Daten an uns gehen.

Quick Check starten →

Dieser Beitrag ist derzeit nur auf Deutsch verfügbar. This article is currently available in German only.