Identity Governance und Härtung nach BSI für eine Landespolizeibehörde mit 40.000 Benutzern

Ausgangslage

Eine Landespolizeibehörde verwaltet rund 40.000 Benutzer in Active Directory und Entra ID. Clients und Server werden weiterhin on-premises verwaltet, 1.500 Endgeräte bereits über Intune. Die Behörde brauchte ein Cloud Security Operating Model: verbindliche Regeln dafür, wer welche Rechte erhält, wie Systeme gehärtet und wie Angriffe erkannt werden. WCS verantwortet dafür seit Juni 2025 die Security- und Cloud-Architektur.

Vorgehen

Grundlage der Härtung war eine Prüfung von Active Directory und Entra ID aus Angreifersicht. Daraus entstanden fünf Arbeitsfelder:

• Identity & Access Governance in Entra ID: Zugriffe über Access Packages, Access Reviews zur Rezertifizierung von Gruppen, Rollen und Access Packages, Eintritt, Wechsel und Austritt über Lifecycle Workflows.
• Privilegierter Zugriff: ein PIM-Rollenmodell für Entra-Rollen und Gruppen mit Just-in-Time-Aktivierung und Genehmigung, Tiering und Privileged Access Workstations. Die Anmeldung erfolgt passwortlos und phishingresistent mit Windows Hello for Business und FIDO2.
• On-premises-Härtung nach Microsoft Security Baselines, CIS Benchmarks und BSI SiSyPHuS, unter anderem mit Windows LAPS, Protected Users, Einschränkung von NTLM, SMBv1 und unsigniertem LDAP, Advanced Audit Policy und Defender for Identity.
• Intune-Baselines nach BSI IT-Grundschutz für Windows 10/11 und Ubuntu, ein WDAC-Pilot und ein standardisierter Paketierungs- und Update-Prozess mit QA-Gate. Defender for Endpoint schützt die 1.500 Intune-Geräte, Defender for Servers die Server.
• Erkennung: Microsoft Sentinel als SIEM mit Datenquellenkonzept, KQL-Use-Cases und MITRE-ATT&CK-Mapping, dazu ein Container-Security-Modell für ACR und AKS mit Image Scanning und Policies über Defender for Cloud.

Ergebnis

Berechtigungen werden beantragt, genehmigt, befristet und regelmäßig rezertifiziert. Privilegierte Rollen sind nur auf Zeit und nach Freigabe aktiv. Die Härtungsstandards sind als Betriebsvorgaben dokumentiert, sodass der Betrieb sie selbst anwendet und fortschreibt. Das Mandat läuft und ist bis Ende 2026 beauftragt.

Wie Access Packages, Access Reviews und PIM zusammenspielen, beschreibt der Beitrag Access Packages in Microsoft Entra ID.