Access Packages in Microsoft Entra ID: Berechtigungen beantragen, befristen und rezertifizieren

In fast jedem Tenant gibt es Benutzer mit Rechten, die niemand mehr erklären kann. Sie stammen aus einem früheren Projekt, aus einer Vertretung oder aus der Zeit vor dem Abteilungswechsel. Solange alles läuft, fällt das nicht auf. Im Audit oder nach einem kompromittierten Konto wird es zur Frage an die Geschäftsführung: Wer hat diese Rechte vergeben, und warum hat sie niemand entzogen?

Dieser Beitrag erklärt, wie Access Packages in Microsoft Entra ID diese Frage beantworten, wie sie mit den übrigen Governance-Funktionen zusammenspielen und welche Lizenz Sie wofür brauchen. Er richtet sich an Unternehmen ab 50 Mitarbeitenden. Alle Angaben geben den Stand Oktober 2026 wieder.

Warum wachsen Berechtigungen, und warum fragen Prüfer danach?

Berechtigungen werden vergeben, wenn jemand sie braucht, und selten entzogen, wenn er sie nicht mehr braucht. Wer die Abteilung wechselt, behält meist die alten Gruppen und erhält neue dazu. Gäste aus Partnerfirmen bleiben im Verzeichnis, lange nachdem das Projekt beendet ist. Jedes dieser Konten ist für einen Angreifer ein möglicher Weg zu Daten, die er sonst nicht erreichen würde.

Prüfer setzen genau hier an. ISO/IEC 27001:2022 verlangt in Control A.5.18, dass Zugangsrechte nach einem festgelegten Verfahren vergeben, regelmäßig überprüft, angepasst und entzogen werden. Für privilegierte Rechte kommt Control A.8.2 hinzu. Die NIS2-Richtlinie zählt Konzepte für die Zugriffskontrolle in Artikel 21 ausdrücklich zu den Risikomanagementmaßnahmen. Ein Prüfer will deshalb nicht nur wissen, wer heute welche Rechte hat. Er will sehen, wer sie genehmigt hat, wann sie zuletzt bestätigt wurden und was beim Austritt passiert. Eine Excel-Liste, die einmal im Jahr verschickt wird, beantwortet das selten belastbar.

Was ist ein Access Package?

Ein Access Package (Zugriffspaket) ist ein Bündel von Berechtigungen, das eine Person für eine Aufgabe oder ein Projekt braucht. Es ist Teil von Entitlement Management, der Berechtigungsverwaltung in Microsoft Entra ID Governance. Access Packages liegen in Katalogen, die Sie nach Abteilungen oder Themen schneiden und an fachlich Verantwortliche delegieren können, etwa als Katalogbesitzer oder Access-Package-Manager.

In ein Access Package können Sie aufnehmen:

• Mitgliedschaften in Gruppen und Teams,
• Rollen in Anwendungen, die in Entra ID angebunden sind,
• Rollen auf SharePoint-Websites,
• mit Entra ID Governance zusätzlich Azure-RBAC-Rollen und Microsoft-Entra-Rollen; Letztere sind als Vorschau gekennzeichnet.

Wer ein Access Package erhält, bekommt alle enthaltenen Rechte auf einmal. Endet die Zuweisung, werden sie wieder entzogen. Mitarbeitende beantragen Pakete selbst im Portal „My Access“, statt ein Ticket mit einer Liste von Gruppen zu schreiben.

Wie regeln Richtlinien Antrag, Genehmigung und Ablauf?

Jedes Access Package hat mindestens eine Richtlinie (Assignment Policy). Sie beantwortet vier Fragen:

• Wer darf beantragen? Bestimmte Benutzer und Gruppen im eigenen Verzeichnis oder Benutzer aus verbundenen Organisationen.
• Wer genehmigt? Die Genehmigung kann ein- bis dreistufig sein, zum Beispiel erst die Führungskraft, dann der Besitzer der Ressource, dann die IT-Sicherheit. Für jede Stufe lassen sich Ersatzgenehmiger und Fristen festlegen. Niemand kann den eigenen Antrag genehmigen.
• Wann endet der Zugriff? An einem festen Datum, nach einer Anzahl von Tagen oder Stunden oder nie.
• Darf verlängert werden? Wenn ja, erhält der Benutzer vor Ablauf eine Erinnerung und kann die Verlängerung beantragen, auf Wunsch wieder mit Genehmigung.

Ein Paket kann mehrere Richtlinien haben, etwa eine für Mitarbeitende mit einstufiger und eine für externe Partner mit zweistufiger Genehmigung. Pakete, die sich gegenseitig ausschließen, lassen sich als inkompatibel markieren. So setzen Sie Funktionstrennung technisch durch: Wer Zahlungen anlegt, kann das Paket für deren Freigabe gar nicht erst beantragen.

Wie greifen Access Reviews, Lifecycle Workflows und PIM ineinander?

Access Packages regeln die Vergabe. Für einen vollständigen Nachweis kommen drei weitere Funktionen dazu.

Access Reviews sind regelmäßige Rezertifizierungen. In der Richtlinie eines Access Package legen Sie fest, ob und wie oft die Zuweisungen überprüft werden, monatlich bis jährlich, und wer entscheidet: der Benutzer selbst, die Führungskraft oder benannte Prüfer. Was nicht bestätigt wird, kann automatisch entzogen werden. Access Reviews lassen sich auch auf Gruppen, Anwendungen und Rollen anwenden, die nicht über Access Packages vergeben sind.

Lifecycle Workflows automatisieren Eintritt, Wechsel und Austritt (Joiner, Mover, Leaver). Auslöser sind Attribute wie das Eintritts- oder Austrittsdatum oder die Änderung der Abteilung. Ein Eintritts-Workflow kann das Basispaket einer Abteilung automatisch beantragen. Ein Wechsel-Workflow entzieht die bisherigen Pakete nach einer Übergangsfrist, ein Austritts-Workflow entzieht alle Pakete und bricht offene Anträge ab. In hybriden Umgebungen müssen die Datumswerte dafür aus Active Directory nach Entra ID synchronisiert werden.

Privileged Identity Management (PIM) ist für administrative Rechte zuständig. Statt dauerhaft zugewiesen zu sein, werden Rollen nur bei Bedarf und auf Zeit aktiviert, auf Wunsch mit Genehmigung. Mit Entra ID Governance können Access Packages auch berechtigte Mitgliedschaften in PIM-gesteuerten Gruppen vergeben. Für hochprivilegierte Entra-Rollen bleibt PIM der richtige Weg: Entitlement Management lässt künftig nur noch Entra-Rollen ohne privilegierte Berechtigungen in Access Packages zu.

Wie binden Sie Gäste und externe Partner ein?

Für Partnerfirmen legen Sie verbundene Organisationen (Connected Organizations) an, also externe Entra-Tenants oder Domänen, mit denen Sie zusammenarbeiten. Benutzer dieser Organisationen können dann ein Access Package beantragen, ohne vorher eingeladen zu werden. Nach der Genehmigung legt Entra ID automatisch ein Gastkonto an.

Der wichtigste Vorteil liegt am Ende der Zusammenarbeit. Verliert ein Gast, der über ein Access Package gekommen ist, seine letzte Zuweisung, wird er standardmäßig für die Anmeldung gesperrt und nach 30 Tagen aus dem Verzeichnis entfernt. Gastkonten, die niemand mehr braucht, verschwinden damit von selbst.

Welche Lizenz brauchen Sie?

Hier lohnt ein genauer Blick, denn die Grenze zwischen den Lizenzen verläuft mitten durch die Funktionen. Maßgeblich ist die Lizenzübersicht für Microsoft Entra ID Governance (Stand Oktober 2026).

Microsoft Entra ID P2, einzeln oder in Microsoft 365 E5 enthalten, deckt die Grundfunktionen ab: Access Packages mit Gruppen, Teams, Anwendungen und SharePoint-Websites, Selbstbeantragung, ein- bis mehrstufige Genehmigung, Ablaufdaten, inkompatible Pakete, den Lebenszyklus externer Benutzer und PIM einschließlich PIM für Gruppen.

Microsoft Entra ID Governance ist ein Zusatzprodukt, das Entra ID P1 oder P2 im Tenant voraussetzt; für Tenants mit P2 gibt es eine eigene Step-up-Variante. Erst damit erhalten Sie unter anderem Lifecycle Workflows, Entra-Rollen und Azure-RBAC-Rollen in Access Packages, automatische Zuweisungsrichtlinien auf Basis von Attributen, Anträge von Führungskräften für ihre Mitarbeitenden und Erweiterungen über Logic Apps. Für Entitlement Management und Access Reviews sieht die Lizenzierung grundsätzlich Entra ID Governance für alle betroffenen Mitarbeitenden vor; ein Teil der Funktionen läuft auch mit P2. Neue Governance-Funktionen kommen nur noch in Entra ID Governance hinzu, P2 behält seinen bisherigen Umfang. Microsoft Entra Suite und Microsoft 365 E7 enthalten Entra ID Governance.

Zwei Punkte werden oft übersehen. Lizenzen müssen nicht einzelnen Benutzern zugewiesen werden, es müssen aber so viele vorhanden sein, wie Mitarbeitende von den Funktionen erfasst sind. Und Gäste werden nach monatlich aktiven Benutzern abgerechnet, wofür eine Azure-Subscription mit dem Tenant verknüpft sein muss.

Wie führen Sie Access Packages in fünf Schritten ein?

1. Bereich wählen. Beginnen Sie mit einem abgegrenzten Bereich, in dem Rechte häufig wechseln oder Prüfer ohnehin nachfragen, etwa ein Projektraum mit externen Partnern oder eine Fachanwendung mit sensiblen Daten.
2. Rollen fachlich schneiden. Legen Sie mit den Fachbereichen fest, welche Rechte eine Aufgabe tatsächlich braucht. Ein Paket entspricht einer Aufgabe, nicht einer Person.
3. Verantwortliche benennen. Jeder Katalog erhält einen fachlichen Besitzer, jedes Paket Genehmigende und Ersatzgenehmigende. Ohne diese Zuordnung bleiben Anträge liegen.
4. Ablauf und Rezertifizierung festlegen. Jedes Paket erhält ein Ablaufdatum oder eine regelmäßige Überprüfung, besser beides. Unbefristete Zuweisungen sind die Ausnahme und werden begründet.
5. Bestand überführen und automatisieren. Ersetzen Sie direkte Gruppenmitgliedschaften schrittweise durch Paketzuweisungen und binden Sie danach Eintritt, Wechsel und Austritt über Lifecycle Workflows an.

Welche Fehler sollten Sie vermeiden?

• Zu große Pakete: Ein Paket „Vertrieb komplett“ gibt jedem alles und verschiebt das Problem nur.
• Unbefristete Zuweisungen ohne Rezertifizierung: Dann vergeben Access Packages Rechte genauso dauerhaft wie zuvor die manuelle Gruppenpflege, nur bequemer.
• Parallelvergabe: Bleiben neben dem Paket direkte Gruppenmitgliedschaften bestehen, entzieht der Ablauf des Pakets die Rechte nicht. Eine Ressource sollte möglichst nur über Access Packages vergeben werden.
• Administrative Rollen in Access Packages: Hochprivilegierte Rollen gehören in PIM mit zeitlich begrenzter Aktivierung.
• Fehlende Attribute: Lifecycle Workflows funktionieren nur, wenn Eintritts- und Austrittsdatum zuverlässig gepflegt und synchronisiert sind. Das ist meist eine Aufgabe für Personalabteilung und IT gemeinsam.

Wie sieht das in der Praxis aus?

In einer Landespolizeibehörde mit 40.000 Benutzern haben wir die Vergabe von Zugriffen in Entra ID auf Access Packages umgestellt. Access Reviews rezertifizieren Gruppen, Rollen und Access Packages, Lifecycle Workflows bilden Eintritt, Wechsel und Austritt ab, und ein PIM-Rollenmodell vergibt Entra-Rollen und Gruppen nur just in time und mit Genehmigung. Wie das in das gesamte Sicherheitsmodell der Behörde eingebettet ist, beschreibt die Referenz zur Landespolizeibehörde.

Der nächste Schritt

Access Packages sind schnell angelegt. Die eigentliche Arbeit liegt im Rollenschnitt, in den Zuständigkeiten und in der Frage, welche Lizenz Sie für welche Funktion wirklich brauchen. Wie wir Identity Governance in eine Sicherheitsarchitektur einbetten, die Prüfungen standhält, beschreiben wir auf der Seite Security-Architektur.

Erstgespräch vereinbaren