In vielen Tenants, die ich mir ansehe, ist noch immer unklar, was Continuous Access Evaluation (CAE) in Microsoft Entra ID tatsächlich leistet und wo die Fallstricke liegen. Microsoft verspricht, dass Sitzungen in Exchange Online, SharePoint Online, Teams und CAE-fähigen Microsoft-Graph-Anwendungen nicht mehr unkontrolliert weiterlaufen. Bei sicherheitsrelevanten Ereignissen sollen sie fast in Echtzeit beendet werden. Weil der Missbrauch gestohlener Zugriffstokens derzeit immer wieder Schlagzeilen macht, etwa durch AiTM-Phishing (siehe meinen Beitrag zu AiTM-Phishing und Token-Diebstahl), ist das ein großer Fortschritt. Bis CAE im eigenen Tenant wirklich wirkt, ist der Weg allerdings oft steiniger als erwartet.

CAE entwertet Tokens bei kritischen Änderungen fast sofort

Mit Continuous Access Evaluation setzen CAE-fähige Apps bestimmte sicherheitsrelevante Änderungen beinahe ohne Verzögerung durch. Dazu zählen unter anderem ein deaktivierter Benutzer, ein zurückgesetztes Passwort, ein plötzlich geänderter Standort (z. B. durch einen IP-Wechsel), Signale für ein hohes Benutzerrisiko und Sitzungen, die ein Administrator im Portal widerruft. Früher blieb ein Zugriffstoken bis zu einer Stunde gültig. In solchen Fällen verliert es jetzt praktisch sofort seine Gültigkeit. Dahinter steckt das Zusammenspiel von Entra ID mit den CAE-Partnerdiensten wie Exchange Online und SharePoint Online.
Welche Szenarien unterstützt werden und wie das technisch funktioniert, beschreibt Microsoft ausführlich in der Dokumentation.

Am meisten überzeugt mich an CAE, dass bei kritischen Änderungen niemand mehr auf die nächste Token-Aktualisierung warten muss. Bei sensiblen Daten, wechselnden Standorten oder kompromittierten Konten bringt das spürbar mehr Sicherheit, allerdings nur, wenn die Anwendung CAE unterstützt. Das tun leider längst nicht alle Drittanbieter-Apps, und ältere Protokolle wie IMAP oder SMTP bleiben ebenfalls außen vor. Diese Zugriffe sind weitgehend ungeschützt.

Conditional Access setzt erlaubte Standorte auf Wunsch strikt durch

Das sogenannte „Strict Location Enforcement“, also die strikte Durchsetzung erlaubter IP-Standorte, nutzen meiner Erfahrung nach viel zu wenige. Viele Unternehmen prüfen den Zugriff weiterhin nur bei der Anmeldung. Dabei kann CAE deutlich mehr und sperrt Tokens sofort, sobald sie von einer nicht erlaubten IP-Adresse aus verwendet werden. Bei gestohlenen Tokens oder umgangenen VPNs ist das ein erheblicher Gewinn an Schutz. Aktiviert wird die Funktion in Conditional Access als Sitzungssteuerung. Details und Voraussetzungen finden sich bei Microsoft unter Strict enforcement.

Damit das zuverlässig funktioniert, müssen sämtliche ausgehenden IP-Adressen bekannt und gepflegt sein, IPv4 ebenso wie IPv6 und für jeden Zugriffspfad. Häufige Fehlerquellen sind VPNs mit Split-Tunneling, undokumentierte Cloud-Proxys oder Clients, die unerwartet über andere Egress-IPs ins Netz gehen.

Praxistipp: Wer Microsoft Global Secure Access (Preview) als ZTNA-Lösung einsetzt, sollte unbedingt die Funktion „Source IP Restoration“ einschalten. Sonst erreichen alle Zugriffe Microsoft mit derselben zentralen IP-Adresse, und CAE kann die Standorte einzelner Nutzer nicht mehr unterscheiden.

Die meisten Probleme entstehen bei unvollständig gepflegten IP-Bereichen

In Projekten sehe ich oft, dass man sich auf die Standardkonfiguration verlässt und die eigenen IP-Bereiche nie kontrolliert. Ebenso häufig bleibt die strikte Standortkontrolle in Conditional Access schlicht ausgeschaltet. Damit CAE seine Wirkung entfaltet, sollten diese Punkte erfüllt sein:

  • Alle genutzten Egress-IP-Adressen (auch IPv6!) sind dokumentiert und in Conditional Access eingetragen
  • Split-Tunneling im VPN ist berücksichtigt
  • Proxys oder Cloud Access Broker verfälschen die Quell-IP nicht (Source IP Restoration beachten)
  • Im Alltag werden tatsächlich CAE-fähige Apps genutzt; Altanwendungen profitieren nicht davon

Wer diese Vorarbeit erledigt hat, holt aus CAE das Maximum heraus. Ob eine Sitzung klassisch oder mit CAE läuft, lässt sich übrigens in den Anmeldeprotokollen ablesen. Dazu gleich mehr.

Anmeldeprotokolle und Workbook zeigen zuverlässig, ob CAE greift

Am einfachsten prüft man die Wirkung von CAE über die Anmeldeprotokolle in Entra ID. Unter Azure-Portal → Microsoft Entra ID → Anmeldungen steht bei jeder Sitzung unter „Token details“, ob ein CAE-Token im Spiel ist und ob Ereignisse wie ein Standortwechsel oder eine Sitzungssperre ausgelöst wurden. Über die CAE-spezifischen Felder im Protokoll finden sich Probleme bei der Standorterkennung oder ausbleibende CAE-Ereignisse schnell. Sehr nützlich ist für mich außerdem das CAE-Workbook, das Microsoft als Vorlage im Azure-Portal anbietet. Damit behält man offene Tokens, die dazugehörigen Ereignisse und deren Status systematisch im Blick.

Um gezielt zu testen, ob ein Token bei einem Standortwechsel oder einer Benutzerdeaktivierung tatsächlich gesperrt wird, geht man folgendermaßen vor:

  1. Eine Sitzung mit einer CAE-fähigen App wie Exchange Online öffnen
  2. In Conditional Access eine Standortregel mit „Strikte Durchsetzung“ aktivieren
  3. Die IP-Adresse des Clients ändern (z. B. durch einen Wechsel des WLANs oder VPNs)
  4. Im Anmeldeprotokoll nachsehen, ob das Token als ungültig markiert wurde

Im CAE-Workbook lässt sich zudem der zeitliche Ablauf gut verfolgen. Das folgende Mermaid-Diagramm zeigt am Beispiel eines Standortwechsels, wie ein Token widerrufen wird:

sequenceDiagram
    TeilnehmerA ["User-Client"] ->> TeilnehmerB ["Entra ID"]: ["Token-Anfrage"]
    TeilnehmerB ->> TeilnehmerA: ["CAE-Token"]
    TeilnehmerA ->> TeilnehmerC ["Exchange Online"]: ["Zugriff mit Token"]
    TeilnehmerC ->> TeilnehmerB: ["Token prüfen"]
    TeilnehmerB -->> TeilnehmerC: ["Token gültig"]
    TeilnehmerA ->> TeilnehmerC: ["Zugriff von neuer IP"]
    TeilnehmerC ->> TeilnehmerB: ["Token erneut prüfen"]
    TeilnehmerB -->> TeilnehmerC: ["Token ungültig"]
    TeilnehmerC -->> TeilnehmerA: ["Zugriff verweigert"]

Abbildung: So erkennt CAE einen Standortwechsel und sperrt das Token.

Nach zwei Jahren Praxis gehört CAE für mich zum Pflichtprogramm

In jedem Microsoft-365-Tenant mit sensiblen Daten ist Continuous Access Evaluation für mich inzwischen Standard, sofern die Rahmenbedingungen passen. Oft wird allerdings unterschätzt, dass CAE ohne sorgfältig gepflegte Egress-IP-Listen und eine korrekte Netzwerkkonfiguration ins Leere läuft. Das gilt besonders für die strikte Standortkontrolle. Vielen ist außerdem nicht bewusst, dass zahlreiche Altanwendungen und Protokolle weiterhin ohne CAE arbeiten. Wer sich dagegen auf CAE-fähige Dienste wie Exchange, SharePoint und Teams konzentriert und Conditional Access sauber einrichtet, hat die Sitzungen im Tenant deutlich besser im Griff und sieht genauer, was dort passiert. Die regelmäßige Auswertung der Anmeldeprotokolle und des CAE-Workbooks möchte ich dabei nicht mehr missen. Wer tiefer einsteigen will, wie sich Tokens und Sitzungen absichern lassen, findet weitere Hinweise in meinem Beitrag zu AiTM-Phishing und Token-Diebstahl.