Break Glass Account einrichten: Notfallzugang in Microsoft Entra ID
Ein Break Glass Account ist ein dedizierter Notfallzugang für Microsoft Entra ID, der nur genutzt wird, wenn reguläre Admin-Accounts nicht mehr funktionieren. Der Nutzen ist schlicht: Du bekommst Kontrolle zurück, statt im Incident erst Rechte, MFA oder Policies „reparieren“ zu müssen.
- Redundanz: mindestens zwei getrennte Notfallkonten
- Gezielte Conditional-Access-Ausnahme plus starke Authentifizierung
- Überwachung, Logging, Alarmierung und regelmäßige Funktionschecks
Richtig umgesetzt kostet der Ansatz wenig Zeit, verhindert aber teure Ausfallzeiten und reduziert das Risiko von Fehlkonfigurationen mit Security-Folgen.
Du sorgst dafür, dass M365 läuft. Wir sorgen dafür, dass niemand unbemerkt eindringt, heimlich mitliest und Schaden anrichtet.
Definition
Ein Break Glass Account ist ein separater Notfallzugang mit hohen Administratorrechten in Microsoft Entra ID, der bei Aussperren oder Identitätsstörungen den Zugriff auf den Tenant wiederherstellt. Er ist kein Alltags-Admin-Konto und nicht für den normalen Betrieb oder Helpdesk gedacht.
Einleitung
„Break glass“ bedeutet: Nur nutzen, wenn es wirklich brennt. Genau das ist der Punkt, wenn du einen Break Glass Account einrichten willst: Er muss im Notfall funktionieren, darf aber im Alltag kein Einfallstor sein. Der praktische Mehrwert ist messbar: weniger Lockout-Risiko, schnellere Recovery bei Incidents und ein klarer Nachweis, dass Notfallzugriff geregelt ist.
Wann und warum Notfallzugänge erforderlich sind
Notfallzugänge werden relevant, sobald du Conditional Access, MFA und Rollen ernsthaft durchsetzt. Typische Auslöser sind falsch konfigurierte Conditional-Access-Policies, ein Ausfall des primären Authentifizierungswegs oder kompromittierte Admin-Accounts, die du sperren musst, ohne dich selbst handlungsunfähig zu machen.
Der Nutzen ist nicht „mehr Admin-Konten“, sondern eine definierte Recovery-Option: Du kannst Policies anpassen, Konten entsperren und Zugang wiederherstellen, ohne erst externe Eskalationen oder Workarounds zu benötigen.
Schritte: Break Glass Account einrichten (sicher)
1) Zwei dedizierte Konten anlegen
Lege mindestens zwei cloud-only Accounts an (z. B. im Tenant mit .onmicrosoft.com). Zwei Accounts sind Redundanz gegen Sperre, Verlust eines Authenticators oder eine einzelne Fehlkonfiguration. Die Konten sind „nie produktiv“: keine Mailbox, keine Teams-Nutzung, keine App-Integrationen.
2) Rollen und Berechtigungen korrekt zuweisen
Für den echten Notfall braucht es in der Regel den Global Administrator, weil du sonst kritische Tenant-Einstellungen möglicherweise nicht zurückdrehen kannst. Gleichzeitig gilt: nur diese Rolle, keine zusätzlichen privilegierten Rollen „auf Vorrat“. Separation of Duties löst man über Prozess (wer darf den Safe öffnen, wer darf nutzen), nicht über mehr Berechtigungen.
3) Conditional Access: gezielte Ausnahme, nicht „alles offen“
Break Glass Accounts müssen von blockierenden Conditional-Access-Policies ausgenommen werden, sonst sind sie im Lockout-Fall wertlos. Diese Ausnahme sollte so umgesetzt werden, dass sie nachvollziehbar ist (dokumentiert, begründet, regelmäßig geprüft) und nicht versehentlich in breite Allow-Regeln ausartet.
4) Starke Authentifizierung festlegen: MFA, Passkeys, FIDO2
Starke Authentifizierung ist Pflicht, gerade weil Conditional Access teilweise umgangen wird. Phishing-resistent ist der Standard: FIDO2 (Security Keys) oder Passkeys. Multi-Factor Authentication (MFA) ist als Baseline geeignet, aber für Notfallkonten sollte der Fokus auf phishingsicheren Methoden liegen. Temporary Access Pass (TAP) kann beim Setup helfen, sollte aber zeitlich eng begrenzt und nicht als Dauerlösung genutzt werden.
Zugriffskontrollen, sichere Ablage und Rotation
Ein Notfallkonto ist nur so gut wie sein Zugangsdaten-Management. Kernprinzip: wenige Menschen, klarer Prozess, jederzeit nachvollziehbar. Sichere Speicherung bedeutet: Zugangsdaten in einem dafür vorgesehenen, stark abgesicherten Passwort-Safe mit Zugriffskontrollen, nicht in Tickets, Dateien oder privaten Notizen.
- Lizenz- und Gerätebindung vermeiden: Notfallzugriff muss unabhängig funktionieren.
- Rotation definieren: Kennwort/Passkey-Registrierungen nach Nutzung und periodisch prüfen.
- Wiederherstellungsdaten kontrollieren: keine privaten E-Mails/Telefonnummern, die den Prozess unterlaufen.
So sinkt das Risiko, dass der „Emergency Access“ selbst zum Angriffsvektor wird.
Überwachung, Logging und Alarmierung (damit jeder Zugriff auffällt)
Ein Login auf Break Glass Accounts ist immer ein Incident-Signal, auch wenn er legitim ist. Deshalb braucht es Audit/Logging/Protokollierung, Alarmierung und einen klaren Check: Wer hat wann warum zugegriffen, und was wurde geändert?
Wenn Microsoft Sentinel vorhanden ist, lässt sich das sauber operationalisieren: zentraler Überblick, schnelle Erkennung, automatisierte Benachrichtigung und niedrigere Betriebskosten, weil du nicht manuell Logs zusammensuchen musst. Ohne Sentinel gilt trotzdem: Entra ID Sign-in Logs und Audit Logs müssen ausgewertet werden, sonst bleibt der Notfallzugriff effektiv unkontrolliert.
Best Practices und häufige Fehlerquellen
Die meisten Probleme entstehen nicht beim Anlegen, sondern durch falsche Nutzung oder fehlende Tests. Best Practices sind simpel, aber konsequent:
- Regelmäßiger Funktionscheck: Anmeldung, Rollen, Ausnahme von Policies, Logging sichtbar.
- Klare Ownership: wer darf öffnen, wer darf nutzen, wer dokumentiert.
- Kein „Bequemlichkeits-Admin“: Break Glass niemals für Routineaufgaben.
Häufige Fehler sind: nur ein Konto, Ausnahmen in Conditional Access zu breit, schwache Authentifizierung (nur Passwort), keine Alarmierung, oder das Konto hängt am normalen Identity-Lifecycle (z. B. gekoppelt an Personalwechsel).
Kosten, Voraussetzungen und Zeitbedarf (realistisch)
Voraussetzung ist ein Microsoft Entra ID Tenant mit sauberem Rollenmodell und aktivierter Protokollierung. Der Zeitbedarf ist meist überschaubar: Konten anlegen, Rollen setzen, Conditional-Access-Ausnahmen sauber definieren, phishingsichere Anmeldung registrieren, Safe-Prozess dokumentieren, Alarmierung testen. Der ROI entsteht durch vermiedene Ausfallzeiten und durch schnelleres, kontrolliertes Zurückdrehen von Fehlkonfigurationen im Identity-Layer.
Wann externe Unterstützung sinnvoll wird
Externe Unterstützung lohnt sich, wenn Conditional Access, Rollen, Authentifizierung und Monitoring bereits komplex sind oder wenn du den Notfallzugang nicht nur „einrichten“, sondern dauerhaft prüfbar betreiben willst. Besonders kritisch wird es, wenn niemand im Team sicher beurteilen kann, welche Policies den Zugriff blockieren könnten und ob die Alarmierung im Ernstfall wirklich greift.
Wir übernehmen als Managed Microsoft 365 Security Provider den Betrieb dieser Identitätsschicht in Microsoft Entra ID: Konfiguration, Monitoring und nachvollziehbare Dokumentation, damit Notfallzugriff nicht nur existiert, sondern auch funktioniert.
Fazit
Ein Break Glass Account ist ein bewusst separater Notfallzugang in Microsoft Entra ID: selten genutzt, aber im Ernstfall entscheidend. Wenn du ihn sauber mit Redundanz, phishingsicherer Authentifizierung, klaren Conditional-Access-Ausnahmen, sicherer Ablage und Alarmierung aufsetzt, reduzierst du Lockout-Risiken und verkürzt Wiederherstellungszeiten deutlich.
Wenn du willst, prüfen wir gemeinsam, ob dein Notfallzugang heute wirklich „break glass“-tauglich ist und ob Monitoring und Dokumentation belastbar sind.
Häufige Fragen
Wie viele Break Glass Accounts sollte ein Tenant haben?
Mindestens zwei. So hast du Redundanz, falls ein Konto gesperrt wird, ein Security Key verloren geht oder eine einzelne Fehlkonfiguration zuschlägt.
Müssen Break Glass Accounts von Conditional Access ausgenommen werden?
Von blockierenden Conditional-Access-Policies ja, sonst funktioniert der Notfallzugriff im Lockout-Fall nicht. Die Ausnahme muss eng geführt, dokumentiert und durch starke Authentifizierung abgesichert sein.
Welche Authentifizierung ist für Notfallkonten sinnvoll?
Phishing-resistent ist der Zielzustand: FIDO2 (Security Keys) oder Passkeys. MFA ist eine Baseline, sollte aber bei Notfallkonten nicht die einzige Schutzmaßnahme sein.
Wie erkenne ich, ob jemand den Break Glass Account genutzt hat?
Über Entra ID Sign-in Logs und Audit Logs, idealerweise mit Alarmierung. Wenn Microsoft Sentinel genutzt wird, lässt sich das zentral auswerten und automatisiert melden.