Teams Rooms lassen sich mit Conditional Access und Intune sauber absichern

In vielen Tenants, die ich betreue, sind Meetingraumgeräte beim Thema Identitätssicherheit ein erstaunlich großer blinder Fleck. Die klassischen Ressourcenkonten für Teams Rooms haben meist Passwörter, die seit Jahren niemand geändert hat, sind von MFA ausgenommen und tauchen in Conditional Access als „Sonderfall“ auf. Ausgerechnet dort, wo man für Benutzer sonst hohe Standards durchsetzt, wird bei Raumkonten gern improvisiert. Wird eines dieser Konten kompromittiert, kann das böse enden. Mit den heutigen Möglichkeiten in Microsoft 365 und Azure, vor allem eigenen Conditional-Access-Richtlinien und der Intune-Integration, bringt man Teams Rooms inzwischen aber auf ein vergleichbares Sicherheitsniveau.

Raumkonten sind Benutzerkonten und werden trotzdem selten so geschützt

Bei Teams Rooms fängt Sicherheit mit der Identität an. Technisch sind Raumkonten gewöhnliche Benutzerkonten, mit denen sich das Gerät anmeldet und über die Teams läuft. Bei klassischen Maßnahmen zur Identitätssicherheit denkt aber kaum jemand an sie. In der Praxis heißt das häufig: ein Konto pro Raum, ein Passwort, das nie erneuert wird, und keine MFA, weil man fürchtet, dass ein Update oder Neustart das Gerät aussperrt. Solche Konten laufen unter dem Radar, obwohl sie durch Remotezugriff, Kalenderintegration und E-Mail-Zugang ein lohnendes Ziel abgeben. Richtig brisant wird es, wenn sie zusätzlich globale Exchange-Berechtigungen haben oder als privilegierte Ressourcen weit mehr Rechte bekommen, als sie brauchen.

Raumkonten brauchen eigene Conditional-Access-Richtlinien

Auf das Vertrauen in Netzwerk oder Standort allein sollte man die Sicherheit von Teams Rooms nicht stützen. In meinen Projekten lege ich deshalb grundsätzlich eigene Conditional-Access-Richtlinien für Raumkonten an, getrennt von denen für Benutzer. Anmelden sollen sich die Konten nur von bekannten Teams-Rooms-Geräten, von vertrauenswürdigen Standorten wie dem Büro oder mit konformem Gerätestatus. Am einfachsten gelingt das über eine Gruppe, in der alle Raumkonten Mitglied sind. Die Richtlinie gewährt den Zugriff nur, wenn das Gerät über Intune als konform gilt oder eine bestimmte Netzwerkposition erkannt wird. MFA bleibt dabei bewusst außen vor, risikobasierte Sperren und die Anmeldeüberwachung greifen aber trotzdem. Einen möglichen Ablauf zeigt das folgende Diagramm:

flowchart TD
  Anmeldung["Anmeldung Raumkonto"] --> CA["Conditional Access Richtlinie (Raumkonten)"]
  CA -->|"Compliantes Gerät oder vertrauenswürdiger Standort?"| Zugriff["Zugriff erlaubt"]
  CA -->|"Nicht compliant / falscher Standort"| Block["Zugriff blockiert"]

Abbildung: Bei Raumkonten prüft Conditional Access, ob das Gerät konform ist oder der Standort passt.

Welche Richtlinien unterstützt werden, steht in der Teams-Rooms-Dokumentation zur Sicherheit und in der Übersicht der unterstützten CA- und Compliance-Richtlinien. Meiner Erfahrung nach reicht der Schutz über Netzwerkstandorte allein oft nicht aus. Besser fährt man, wenn man grundsätzlich auf Geräte-Compliance mit Intune setzt.

Teams Rooms unter Windows lassen sich wie normale Clients mit Intune verwalten

Vielen ist gar nicht bewusst, dass sich moderne Teams Rooms unter Windows längst wie jedes andere Windows-Gerät mit Intune verwalten lassen. Dafür braucht es einen Entra ID Join (früher Azure AD Join) und die passende Lizenz, also Teams Rooms Pro. Die Registrierung erfolgt meist automatisch, sobald das Gerät zum ersten Mal eingerichtet wird. Anschließend legt man in Intune Compliance-Richtlinien fest, etwa zu BitLocker, sicheren Boot-Optionen und dem Update-Status. Geräteinventar und Health Monitoring werden dadurch ebenfalls deutlich einfacher. Ist Intune erst einmal aktiv, klappt die Anbindung an Conditional Access in der Praxis zuverlässig, und die Richtlinien werden korrekt ausgewertet.

Praxistipp: Teams Rooms in eine eigene Intune-Gerätegruppe aufnehmen und Compliance-Regeln definieren, die nur für Meetingraumgeräte gelten. So kommen sie den normalen Arbeitsplatzrichtlinien nicht in die Quere.

Einen Fehler sehe ich immer wieder. Die Raumgeräte sind zwar sauber in Entra ID eingebunden, Intune fehlt aber oder ist falsch konfiguriert, sodass keine Compliance-Signale ankommen. Im Endpoint Manager sollte man deshalb immer nachsehen, ob der Compliance-Status tatsächlich auf „erfüllt“ steht.

Das Teams Admin Center und das Pro Portal halten die Geräte aktuell

Zur Sicherheit von Teams Rooms gehört auch eine gewissenhafte Softwarepflege. Updates verwaltet man am besten im Teams Admin Center unter „Teams-Geräte“. Dort erkennt man auf einen Blick, welche Geräte veraltet sind, stößt Updates an und prüft den Gerätestatus. Noch komfortabler ist das Teams Rooms Pro Management Portal, das mit der Teams-Rooms-Pro-Lizenz zur Verfügung steht und speziell auf Monitoring, Wartung und Auswertung von Meetingraumgeräten zugeschnitten ist. Das lohnt sich vor allem für größere Organisationen, die mehrere Standorte, viele Räume und unterschiedliche Hardwaregenerationen betreiben.

Regelmäßig vergessen Admins, Firmware und Treiber der Hardware zu aktualisieren. Vor allem bei Kameras, Hubs oder Touchdisplays entstehen so schnell Sicherheitslücken. Das Pro Portal hilft hier, weil es gezielt auf ausstehende Updates und Kompatibilitätsprobleme hinweist.

Auch Passwörter und Lizenzen brauchen klare Regeln

Passwörter für Raumkonten stehen heute oft nicht mehr im Mittelpunkt, dauerhaft ignorieren sollte man sie trotzdem nicht. Ich setze auf komplexe, dokumentierte Passwörter, die mindestens einmal im Jahr erneuert werden, nach Möglichkeit automatisiert. Gibt das Szenario es her, sind Service Principals oder Managed Identities die bessere Wahl. Außerdem dürfen Raumkonten nie privilegierte Berechtigungen bekommen, die über ihre eigentliche Aufgabe hinausgehen.

Die passende Lizenz ist derzeit Teams Rooms Pro. Man braucht sie für den Betrieb, für die Verwaltung im Pro Portal und für die Compliance-Integration. Ohne sie fehlen Funktionen, und gerade bei Conditional Access und Intune drohen zusätzlich Schwierigkeiten im Support. Zugewiesen werden muss die Lizenz übrigens dem Raumkonto, nicht etwa dem Admin.

# Microsoft Graph PowerShell: Raumkonten in eine Gruppe aufnehmen
# Voraussetzung: PowerShell 7, Microsoft Graph Module, Gruppenobjekt vorhanden
Add-MgGroupMember -GroupId <GruppenId> -DirectoryObjectId <Raumkonto-ObjektId>

Meetingraumkonten sind längst keine Nebensache mehr

Wer die Sicherheit von Teams Rooms ernst nimmt, sollte Meetingraum-Identitäten wie echte Benutzer behandeln, also mit Conditional Access, Compliance-Prüfungen und einer regelmäßigen Überprüfung der Berechtigungen. Die Ausrede, Raumgeräte seien Sonderfälle, zieht schon lange nicht mehr. In immer mehr Projekten erlebe ich, dass bereits eine einfache Richtlinie für Raumkonten kompromittierte Geräte verhindert, und der Aufwand dafür war noch nie so gering wie heute. Wer Raumkonten weiterhin ausnimmt, riskiert, dass der nächste Angriff aus dem eigenen Konferenzraum kommt. Das wäre dann wirklich peinlich.