Für IT-Teams, die endlich Ordnung und Sicherheit in ihre Entra-Umgebung bringen wollen.
Einleitung
Viele Unternehmen starten mit Entra ID (ehemals Azure AD), ohne sich über langfristige Governance Gedanken zu machen. Am Anfang ist alles noch übersichtlich: ein paar Admins, ein paar Gruppen, fertig.
Aber dann? Ein neues Tool hier, ein neuer Kollege da, externe Partner, Projekte, Delegationen. Plötzlich weiß niemand mehr: Wer darf eigentlich was?
Zeit für klare Strukturen. Hier kommt rollenbasierte Governance ins Spiel. Keine Sorge, du brauchst dafür keinen Doktortitel. Nur diese 3 Schritte.
Schritt 1: Rollen systematisch analysieren & vereinfachen
Bevor du neue Rollen einführst, musst du den Ist-Zustand verstehen. Stell dir diese Fragen:
- Welche Rollen sind derzeit aktiv? → Nutze das Microsoft Entra Admin Center → "Rollen & Administratoren"
- Wer hat gerade welche Rolle, und warum? → Das Audit Log gibt hier Aufschluss
- Gibt es verwaiste Rollen oder zu breit vergebene Rechte? → Klassiker: „Globaler Admin, weil wir das mal schnell gebraucht haben"
Pro-Tipp: Erstelle eine Tabelle mit Benutzername, Rolle, Begründung, Abteilung und Zeitstempel. Diese Übersicht wird Gold wert sein.
Schritt 2: Least Privilege + Just-In-Time als Standard
Jetzt wird die neue Governance aufgesetzt, schlank, nachvollziehbar, sicher:
- Vermeide Global Admins auf Dauer → Nutze stattdessen Privileged Identity Management (PIM) mit zeitlich begrenzter Aktivierung
- Arbeite mit Rollen auf Zeit → Beispiel: „Exchange Admin" nur für 1 Stunde aktiv, mit Approval
- Verwende Custom Roles → Statt „Security Admin" direkt zu vergeben, erstelle eine Rolle mit nur den nötigen Rechten
- Dokumentiere alles → Confluence, Notion oder internes Wiki. Hauptsache, es ist nachvollziehbar
Schritt 3: Automatisieren und sichtbar machen
Gute Governance funktioniert nur, wenn sie automatisiert ist und sichtbar bleibt:
- Lifecycle Policies: Alte Benutzer/Rollen nach Projektende automatisch entfernen
- Access Reviews: Laufen regelmäßig und automatisiert über PIM
- Benachrichtigungen bei Admin-Zugriffen: Per Mail oder Teams-Webhook
- Dashboard oder Monthly Report an die IT-Leitung: „So viele Admin-Anhebungen, so viele Approvals, keine Policy-Verletzung"
Das zeigt nicht nur Sicherheit, das zeigt Reife.
Fazit
Rollenbasierte Governance ist kein Luxus, sie ist die Grundlage für sauberes Identitätsmanagement.
Mit Entra ID und PIM hast du alle Tools in der Hand. Du musst sie nur richtig einsetzen. Wer heute damit anfängt, spart sich in 6 Monaten jede Menge Ärger, Support-Tickets und unangenehme Audits.