Geräteregistrierung in Microsoft Entra und Microsoft Intune absichern

Standardmässig können Benutzer in Microsoft Entra ID Geräte selbst registrieren. Jedes dieser Geräte wird als Objekt in Microsoft Entra ID geführt und steht für Authentifizierung und Zugriff zur Verfügung. Nach der Kompromittierung eines Benutzerkontos können Angreifer eigene Geräte registrieren und so dauerhaft Zugriff erhalten.

Geräteregistrierung ist damit ein sicherheitskritischer Vorgang und muss abgesichert sein. Es muss definiert werden, wer Geräte registrieren darf, unter welchen Bedingungen dies geschieht und welche Gerätetypen zugelassen sind. Microsoft Entra ID und Microsoft Intune stellen dafür mehrere Kontrollmechanismen bereit und ermöglichen deren kombinierte Nutzung. Erst wenn die Geräteregistrierung kontrolliert erfolgt, lassen sich Gerätekonformität und bedingter Zugriff sinnvoll umsetzen.

Der Beitrag zeigt, wie Microsoft Entra ID und Microsoft Intune die Geräteregistrierung absichert und eine kontrollierte Geräteaufnahme durchsetzt.

Absicherung der Geräteregistrierung in Microsoft Entra ID

Ohne entsprechende Konfiguration dürfen Benutzer Geräte selbst registrieren. Diese Einstellung sollte überprüft und eingeschränkt werden. Die Kontrolle beschränkt sich dabei auf den Benutzer, nicht auf das Gerät selbst.

Einschränkung der Benutzer für die Geräteregistrierung

Die Geräteeinstellungen in Microsoft Entra ID legen fest, wer Geräte registrieren darf.

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Geräte > Geräteeinstellungen aufrufen. Option Benutzer können Geräte mit Microsoft Entra verknüpfen auf Ausgewählt ändern und Benutzergruppe auswählen.

Multi-Faktor-Authentifizierung für Geräteregistration aktivieren

Bei der Geräteregistrierung soll ein Benutzer immer eine Multi-Faktor-Authentifizierungsabfrage durchführen. Hierzu gibt es folgende Möglichkeiten.

MFA in den Geräteeinstellungen (nicht empfohlen)

Option Multi-Faktor-Authentifizierung zum Registrieren oder Beitreten von Geräten bei Microsoft Entra erforderlich unter Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Geräte > Geräteeinstellungen aktivieren.

MFA über bedingten Zugriff (empfohlen)

Bei der Geräteregistrierung eine Multi-Faktor-Authentifizierung über den bedingten Zugriff in Microsoft Entra zu erzwingen, ist die empfohlene Variante. Dadurch lassen sich zusätzliche Bedingungen definieren, unter denen eine Geräteregistrierung erfolgen darf, beispielsweise bekannte Netzwerke, verwendete Authentifizierungsmethoden oder Benutzer- und Anmelderisiko.

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > bedingter Zugriff > neue Richtlinie aufrufen.

1. Name für den bedingten Microsoft Entra-Zugriff vergeben
2. Benutzer: alle Benutzer auswählen, Notfallzugriffskonten (Emergency Accounts) ausschliessen
3. Zielressourcen:
   Richtlinientyp: Benutzeraktionen auswählen und Option Geräte registrieren oder einbinden auswählen
4. Gewähren: Multi-Faktor-Authentifizierung erfordern auswählen
5. Richtlinie aktivieren: Ein aktivieren
6. Richtlinie mit Erstellen speichern und aktivieren

Zusätzliche Bedingungen lassen sich nach Bedarf integrieren.

Wichtig
Wird die Multi-Faktor-Authentifizierung über den bedingten Zugriff in Microsoft Entra erzwungen, sollte die Option Multi Faktor Authentifizierung zum Registrieren oder Beitreten von Geräten deaktiviert werden.

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Geräte > Geräteeinstellungen

Registrierungseinschränkungen in Microsoft Intune konfigurieren

Registrierungseinschränkungen für Geräteplattform

Die Registrierungstypen unterscheiden sich in Bezug auf Verwaltung, Steuerbarkeit und Integration in Sicherheitsmechanismen. Microsoft Entra unterscheidet zwischen:

• Microsoft Entra Joined
• Microsoft Entra Hybrid Joined
• Microsoft Entra Registered

Insbesondere Microsoft Entra Registered Geräte bieten nur eingeschränkte Kontrollmöglichkeiten und sollten nur bewusst zugelassen werden.

Welche Typen von Geräteanbindung und Plattformen zugelassen sind, lässt sich über Registrierungseinschränkungen in Microsoft Intune kontrollieren. Beispielsweise lassen sich private Geräte oder bestimmte Plattformen ausschliessen. Dadurch verhindert die Konfiguration die Aufnahme unerwünschter Plattformen oder Microsoft Entra Registered Geräte.

Microsoft Intune Admin Center (https://intune.microsoft.com) > Geräte > Registrierung > Geräteplattformeinschränkung

Im folgenden Beispiel wird die Aufnahme von privaten Windows Geräten (BYOD) in Microsoft Intune verhindert. Dazu wird eine neue Registrierungseinschränkung mit höherer Priorität erstellt. Die vorhandene Standardrichtlinie bleibt unverändert.

Windows Einstellungen > Einschränkung erstellen

Name für die Registrierungseinschränkung vergeben, z.B. Win-AllUsers-DenyPersonalDevices

In den Plattformeinstellungen die Option Geräte mit Privatbesitz auf Blockieren setzen

Bereichstags bei Bedarf konfigurieren

Unter Zuweisungen Benutzergruppen oder Alle Benutzer hinzufügen auswählen

Registrierungseinschränkung nochmals prüfen und mit Erstellen speichern

Die neu erstellte Registrierungseinschränkung ist jetzt mit höherer Priorität gegenüber der Standardrichtlinie erstellt und aktiviert.

Für Android, macOS und iOS erfolgt die Konfiguration der Registrierungseinschränkungen auf die gleiche Weise.

Registrierungseinschränkungen für Gerätelimits

Die Anzahl Geräte, die ein Benutzer in Microsoft Intune aufnehmen darf, lässt sich über Registrierungseinschränkungen für Gerätelimits steuern. Damit wird verhindert, dass Benutzer eine grosse Anzahl Geräte in die Verwaltung aufnehmen. Der Standardwert liegt bei 5 Geräten pro Benutzer. In vielen Umgebungen ist es sinnvoll, diesen Wert zu reduzieren. Eine Begrenzung auf 3 Geräte pro Benutzer hat sich in der Praxis bewährt. Typische Szenarien mit Notebooks und Smartphones werden damit gut abgedeckt. Gleichzeitig wird verhindert, dass kompromittierte Konten oder Fehlkonfigurationen zu einer unkontrollierten Geräteaufnahme führen.

Microsoft Intune Admin Center (https://intune.microsoft.com) > Geräte > Registrierung > Gerätelimiteinschränkung

Im folgenden Beispiel wird die Standardrichtlinie für das Gerätelimit pro Benutzer auf 3 reduziert.

Standardrichtlinie All users and all devices auswählen

Eigenschaften > Bearbeiten auswählen

Gerätelimit auf 3 setzen

Speichern wählen

Die Standardrichtlinie lässt jetzt noch 3 Geräteregistrationen pro Benutzer zu.

Bonus Tipp

Geräteregistrierung mit befristetem Zugriffspass absichern

Die Geräteregistrierung erfolgt in vielen Umgebungen direkt durch den Benutzer. Der Einsatz eines befristeten Zugriffspasses ermöglicht es, diesen Prozess besser zu kontrollieren. Die Ausstellung eines befristeten Zugriffspasses erfolgt durch einen berechtigten Benutzer und kann zeitlich eingeschränkt werden. Dadurch wird die Geräteregistrierung an eine zusätzliche Freigabe gebunden.

Auf diese Weise lässt sich ein Vier-Augen-Prinzip umsetzen. Eine Geräteregistrierung ist nur möglich, wenn ein zweiter Benutzer den Prozess aktiv unterstützt, indem ein befristeter Zugriffspass ausgestellt wird. Gleichzeitig wird der Zeitraum der Geräteregistrierung auf die Gültigkeitsdauer des befristeten Zugriffspasses begrenzt. Dies reduziert das Risiko missbräuchlicher Registrierungen und schafft zusätzliche Kontrolle über die Geräteaufnahme.

Diese Umsetzung erfolgt über eine Kombination aus Authentifizierungsstärken und bedingtem Zugriff in Microsoft Entra.

Befristeten Zugriffspass als Authentifizierungsmethode aktivieren

Ist die Authentifizierungsmethode befristeter Zugriffspass in Microsoft Entra noch nicht aktiviert, wird das Vorgehen im folgenden Blogpost beschrieben: Befristeter Zugriffspass in Microsoft Entra: Konfiguration und Einsatz – cloudkaffee.ch

Authentifizierungsstärke konfigurieren

In den nächsten Schritten wird eine Authentifizierungsstärke konfiguriert, die ausschliesslich den befristeten Zugriffspass als Anmeldemethode zulässt.

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Authentifizierungsmethoden > Authentifizierungsstärken > Neue Authentifizierungsstärke auswählen

1. Name für die Authentifizierungsstärke vergeben, z.B. Device Registration
2. Filter auf befristeter Zugriffspass setzen
3. Befristeter Zugriffspass (einmalige Verwendung) aktivieren
4. Weiter anklicken

Eingaben Überprüfen und mit Erstellen speichern.

Die Authentifizierungsstärke ist erstellt und kann verwendet werden.

Bedingter Zugriff für Geräteregistrierung mit befristetem Zugriffspass erstellen

Die soeben erstellte Authentifizierungsstärke kann nun im bedingten Zugriff in Microsoft Entra als Anforderung für die Geräteregistrierung verwendet werden.

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > bedingter Zugriff > neue Richtlinie aufrufen.

1. Name für den bedingten Microsoft Entra-Zugriff vergeben
2. Benutzer: alle Benutzer auswählen, Notfallzugriffskonten (Emergency Accounts) ausschliessen
3. Zielressourcen:
   Richtlinientyp: Benutzeraktionen auswählen und Option Geräte registrieren oder einbinden auswählen
4. Gewähren: Authentifizierungsstärke anklicken und die soeben erstellte Authentifizierungsstärke Device Registration auswählen
5. Richtlinie aktivieren: Ein aktivieren
6. Richtlinie mit Erstellen speichern und aktivieren

Geräteregistrierungen sind ab diesem Zeitpunkt nur noch mit einem befristeten Zugriffspass möglich.

Fazit

Die Geräteregistrierung in Microsoft Entra ist ein sicherheitskritischer Prozess. Erst die Einschränkung auf definierte Benutzergruppen, die erzwungene Multi-Faktor-Authentifizierung über bedingten Zugriff und Registrierungseinschränkungen in Microsoft Intune ermöglichen eine kontrollierte und sichere Geräteaufnahme. Ergänzende Massnahmen wie Gerätelimits und befristete Zugriffspässe reduzieren das Risiko zusätzlich.