Werben im Podcast: IT as a Pro

Kein Backup, kein Mitleid? Microsoft Entra Backup and Recovery sichert Anwenderkonten, Gruppen, Apps und Conditional-Access-Richtlinien einmal täglich und hält die Backups sieben Tage vor. In dieser Folge geht es darum, was sicher wiederherstellen lässt und was nicht. Die Themen– Tägliche, unveränderbare Backups ab Entra ID P1– Wiederherstellung von Authentifizierungsmethoden, ohne Passwort und Temporary Access Pass– Differenzbericht und Wiederherstellung komplett, nach Objekttyp oder nach Objekt-ID– Warum neue Objekte bei der Wiederherstellung im Papierkorb landen– Die Grenzen: keine Inhalte, sieben Tage, Dauer, Hard Delete, synchronisierte Objekte, fehlende Eigenschaften– Abgrenzung zu Microsoft 365 Backup Microsoft LearnMicrosoft Entra Backup and Recovery – ÜberblickUnterstützte Objekte und wiederherstellbare EigenschaftenBackup, Differenzbericht und WiederherstellungsmodellAuthentifizierungsmethoden wiederherstellenMicrosoft 365 Backup – Backup and recovery APIs in Microsoft Graph Passende FolgenFolge 48 | Besitzerlose Gruppen in M365 – wer kümmert sich?Folge 55 | Protected Actions – Extraschutz für kritische Admin-AktionenFolge 59 | Temporary Access Pass – acht Zeichen statt Passwort und MFA 📝 BlogViele weitere Artikel von mir findest Du auf dem WindowsPro Blog https://www.windowspro.de/benjamin-burk 🔗 LinkedInAuf LinkedIn hast Du die Möglichkeit, mehr von mir zu erfahren. https://www.linkedin.com/in/benjaminbuerk/ 📫 Anregungen, Fragen, Kritik, WünscheWillst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon lange beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an [email protected] ⭐️ Sterne-BewertungWenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten. Vielen Dank, dass Du den Podcast hörst!

Ein Server mit Entra Connect, das Active Directory als führendes System und ein Exchange Server, der nur für die Verwaltung stehen bleibt: So sah das Standardkonzept für hybride Umgebungen über Jahre aus. Drei Änderungen verschieben dieses Bild. Die drei Änderungen1. Cloud Sync statt Connect Sync: Microsoft hat den Übergang angekündigt und informiert Kunden phasenweise über ihr Umstellungsfenster.2. Source of Authority: Gruppen und Benutzerkonten lassen sich in der Cloud verwalten, Cloud Sync schreibt die Änderungen ins AD zurück.3. Exchange-Attribute in der Cloud: Mit IsExchangeCloudManaged pflegst Du die Exchange-Attribute synchronisierter Konten direkt in Exchange Online. Wichtiger TerminBis zum 7. April 2027 muss Connect Sync auf Version 2.6.84.0 oder neuer laufen und auf die anwendungsbasierte Authentifizierung umgestellt sein, sonst stoppt die Synchronisation.Microsoft Entra Connect: Version release history Cloud Sync und Connect SyncAnkündigung der Umstellung (Entra-Neuerungen, April 2026)Decision Guide mit FunktionsvergleichFAQ zur Migration: Umstellungsfenster, Ausnahmen, Parallelbetrieb Source of Authority und Provisionierung ins ADGroup Source of AuthorityUser Source of AuthorityProvisionierung von Entra ID ins Active Directory (Preview) Exchange-Attribute in der Cloud verwaltenCloud-based management of Exchange attributes BlogViele weitere Artikel von mir findest Du auf dem WindowsPro Bloghttps://www.windowspro.de/benjamin-burk LinkedInAuf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.https://www.linkedin.com/in/benjaminbuerk/ Anregungen, Fragen, Kritik, WünscheWillst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon seit langer Zeit beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an [email protected] Sterne-BewertungWenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten.Vielen Dank, dass Du den Podcast hörst! Grafik und DesignHerzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de

Ein Kollege wird freigestellt, das Konto ist deaktiviert und eine halbe Stunde später schreibt er noch Mails in Outlook ?!?Kein Bug, sondern by Design. Ein Access Token gilt bis zu seinem Ablauf. Continuous Access Evaluation (CAE) dreht das um. Exchange Online, SharePoint Online, Teams und Graph lehnen einen Token ab, sobald Entra ID ein kritisches Ereignis meldet. Der Nebeneffekt: Access Tokens leben bis zu 28 Stunden, weil der Widerruf über Ereignisse läuft statt über die Lifetime. 🔑 Die wichtigsten Punkte Access Token und Refresh Token: zwei Tokens, zwei AufgabenKritische Ereignisse laufen in jedem Tenant, ohne Richtlinie und ohne LizenzStandortprüfung nur mit Conditional Access und IP-basierten Named LocationsAbgedeckt sind nur Microsofts Core-Services – Office Web Apps, Gastkonten und Drittanbieter-Apps nichtCAE muss nicht in Conditional Access eingeschalten werdenRevoke Session reicht für das OffboardingPrüfen im Sign-in Log mit dem Filter "Is CAE Token"🔗 Links zur Folge Continuous access evaluation: Microsoft LearnCAE überwachen und Fehler suchen: Microsoft LearnStandortbedingung in Conditional Access: Microsoft LearnStrict Location Enforcement (Preview): Microsoft Learn▶️ PowerShell Commands Revoke-MgUserSignInSession -UserId [Alle Refresh Tokens eines Anwenders widerrufen]🎧 Passende Folgen Folge 50 | Token Protection – wenn MFA nicht mehr reichtFolge 54 | Conditional Access Templates - die Microsoft-Baseline aus dem Baukasten📝 Bloghttps://www.windowspro.de/benjamin-burk 🔗 LinkedInhttps://www.linkedin.com/in/benjaminbuerk/ 📫 Anregungen, Fragen, Kritik, WünscheSchreib mir an [email protected] ⭐️ Sterne-BewertungWenn Dich die Folge weitergebracht hat, bewerte den Podcast gerne mit 5 Sternen. Vielen Dank, dass Du zuhörst! 🎨 Grafik und DesignMartin Knupfer https://www.martinknupfer.de

Beim passwortlosen Onboarding gibt es kein Initialpasswort und ohne ersten Faktor kommt der Anwender gar nicht erst zur Registrierung einer Methode. Dasselbe gilt, wenn eine Methode nicht mehr nutzbar ist. Der Temporary Access Pass ist die Brücke: eine vollständige Anmeldung, die MFA erfüllt, ganz ohne Passwort. Wir schauen uns an, was der TAP genau ist, wie Du ihn konfigurierst, welche Rollen ihn ausstellen dürfen und welche Stolperfallen in der Praxis Zeit kosten. ▶️ Die wichtigsten Punkte - Der TAP ist keine zweite Stufe nach dem Passwort – er ist vollständige Anmeldung und erfüllt MFA- Zwei Szenarien: Onboarding ohne Initialpasswort und Zugang, wenn keine Methode mehr nutzbar ist- Erstellen und Anmelden sind zwei Dinge: Ausstellen kannst Du für jeden, anmelden nur wer in der Richtlinie steht- Stolperfallen: Zehn-Minuten-Regel beim Einmal-TAP, Conditional Access bei der Registrierung, Interrupt-Modus der kombinierten Registrierung ▶️ PowerShell - New-MgUserAuthenticationTemporaryAccessPassMethod [TAP erstellen]- Get-MgUserAuthenticationTemporaryAccessPassMethod [TAP abfragen]- Remove-MgUserAuthenticationTemporaryAccessPassMethod [TAP löschen] ▶️ Links zur Folge Temporary Access Pass konfigurierenhttps://learn.microsoft.com/entra/identity/authentication/howto-authentication-temporary-access-passRollenvergleich Authentifizierunghttps://learn.microsoft.com/entra/identity/role-based-access-control/privileged-roles-permissionsKombinierte Registrierung für MFA und SSPRhttps://learn.microsoft.com/entra/identity/authentication/concept-registration-mfa-sspr-combinedRegistrierung von Sicherheitsinformationen mit Conditional Access schützenhttps://learn.microsoft.com/entra/identity/conditional-access/policy-all-users-security-info-registrationKontowiederherstellung in Entra IDhttps://learn.microsoft.com/entra/identity/authentication/how-to-account-recovery-for-usersNIST Special Publication 800-63Ahttps://pages.nist.gov/800-63-3/sp800-63a.html 📝 BlogViele weitere Artikel von mir findest Du auf dem WindowsPro Bloghttps://www.windowspro.de/benjamin-burk 🔗 LinkedInAuf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.https://www.linkedin.com/in/benjaminbuerk/ 📫 Anregungen, Fragen, Kritik, WünscheWillst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon länger beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an [email protected] ⭐️ Sterne-BewertungWenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten. Vielen Dank, dass Du den Podcast hörst! 🎨 Grafik und DesignHerzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de

In der Theorie ist alles schön: Profile stehen, Attestation greift, die Belegschaft ist umgestellt. Dann klingelt das Telefon. "Ich hab mein Handy verloren." – "Bei uns teilen sich zwölf Leute einen Rechner." – "Warum geht mein Passkey am Windows-Anmeldebildschirm nicht?" Diese Folge behandelt vier Szenarien aus dem Passkey-Alltag: 1. Das Gerät ist weg – Warum zwei Methoden auf zwei verschiedenen Geräten liegen müssen, und warum die Vorsorge wichtiger ist als jede Wiederherstellung.2. Der verwaiste Passkey – Der Schlüssel liegt lokal, ist in Entra ID aber nicht mehr registriert. Entsteht oft durch eine Richtlinienänderung. Der Helpdesk sucht sonst lange.3. Passkeys am Windows-Gerät – Die Anmeldung ist ein eigenes Setting, der auf bestehenden Geräten nicht greift. Was gar nicht funktioniert. Und wie sich Windows Hello for Business, FIDO2-Stick und Entra-Passkey die Arbeit teilen – inklusive geteilter Arbeitsplätze in Produktion und Schichtbetrieb.4. Vier Sonderfälle – Gäste, UPN-Änderungen, die Bluetooth-Abhängigkeit beim geräteübergreifenden Anmelden – und warum sich mit einem Passkey kein Passwort zurücksetzen lässt. 🧭 Welche Methode wofür am Windows-Gerät Windows Hello for Business – verwaltete, Entra-joined oder registrierte Firmengeräte. Meldet am Gerät an und liefert Single Sign-on gleich mit. Bleibt dort die Empfehlung.FIDO2-Sicherheitsschlüssel – wechselnde und geteilte Arbeitsplätze. Der Schlüssel steckt im Stick und wandert mit der Person mit, statt an einem Gerät zu hängen. Unterstützt die Windows-Anmeldung.Microsoft Entra passkey on Windows (Vorschau) – unverwaltete, private oder geteilte Rechner. Mehrere Konten pro PC möglich. Unterstützt aber keine Geräteanmeldung – nur den Zugriff auf Entra-geschützte Ressourcen. 🔗 Links zur Folge Übersicht der Authentifizierungsmethoden – welche Methode für Anmeldung, MFA und SSPR taugthttps://learn.microsoft.com/entra/identity/authentication/overview-authentication So funktioniert Self-Service Password Reset – inklusive der verfügbaren Methodenhttps://learn.microsoft.com/entra/identity/authentication/concept-sspr-howitworks Passwortnutzung aus Entra ID entfernen – Verwürfeln per Skript, SSPR abschaltenhttps://learn.microsoft.com/entra/identity/authentication/how-to-plan-password-scramble-phishing-resistant-passwordless-authentication Microsoft Entra passkey on Windows (Vorschau) – inklusive AAGUID-Tabellehttps://learn.microsoft.com/entra/identity/authentication/how-to-authentication-entra-passkeys-on-windows Anmeldung mit synchronisiertem Passkey – inklusive verwaister Passkeys und Bluetoothhttps://learn.microsoft.com/entra/identity/authentication/how-to-sign-in-passkey Anmeldung mit FIDO2-Sicherheitsschlüsselhttps://learn.microsoft.com/entra/identity/authentication/how-to-security-key-sign-in FIDO2-Anmeldung an Windows 10 und 11 aktivierenhttps://learn.microsoft.com/entra/identity/authentication/howto-authentication-passwordless-security-key-windows Windows Passwordless Experiencehttps://learn.microsoft.com/windows/security/identity-protection/passwordless-experience/ Gerätemanagement für Frontline-Mitarbeitende – Übersicht der Methoden und ihrer Voraussetzungenhttps://learn.microsoft.com/microsoft-365/frontline/flw-devices Passwortlose Authentifizierung mit Microsoft Intune – inklusive Entra passkey on Windowshttps://learn.microsoft.com/intune/solutions/passwordless 🔗 LinkedIn Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.https://www.linkedin.com/in/benjaminbuerk/ 📫 Anregungen, Fragen, Kritik, Wünsche Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon lange beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an [email protected] ⭐️ Sterne-Bewertung Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Vielen Dank, dass Du den Podcast hörst!

Passkeys werden zum Standard. Nutzt dann einfach jeder, was er will - der eine seinen Hardware-Stick, der nächste die iCloud Keychain, der dritte einen Passwortmanager, von dem Du noch nie gehört hast? Klingt nach Wildwuchs. Muss es aber nicht sein. In dieser Folge geht es um Passkey-Profile in Microsoft Entra ID: die drei Einstellungsmöglichkeiten, was Attestation kryptografisch wirklich nachweist, warum sich Attestation und synchronisierte Passkeys gegenseitig ausschliessen und warum eine einzige Einstellung darüber entscheidet, ob Du wirklich definierst oder nur empfiehlst. ▶️ Die drei Einstellungsmöglichkeiten im Passkey-Profil Passkey-Typ – gerätegebunden, synchronisiert oder beidesAttestation – erzwungen oder nichtKey Restrictions – einzelne Authenticator-Modelle über die AAGUID erlauben oder blockieren Zu finden im Entra Admin Center unter Authentifizierungsmethoden, Richtlinien und bei Passkey (FIDO2) → Konfigurieren. ⚠️ Änderungen wirken rückwirkend – ausser bei der Attestation Passkey-Typ und Key Restrictions gelten für Registrierung und Anmeldung. Entziehst Du nachträglich einen Typ oder eine AAGUID, kommen bereits registrierte Anwender nicht mehr rein. Die Attestation greift dagegen nur bei der Registrierung. Wer ohne Attestation registriert hat, kann sich weiterhin anmelden. Attestation nachträglich einzuschalten räumt also nicht auf – das musst Du beim jeweiligen Benutzer einzeln erledigen. 📋 Microsofts Beispieltabelle – der Direkteinstieg Wenn Du nur einen Link aus dieser Folge mitnimmst, dann diesen. Microsoft zeigt dort zwei fertige Profilkonfigurationen: gerätegebunden mit erzwungener Attestation für IT-Admins, Geschäftsleitung und Engineering – beide Typen ohne Attestation für HR und Vertrieb. Direkt darunter steht ausserdem ein zweites Beispiel für den pilotierten Rollout von Passkeys im Microsoft Authenticator über AAGUIDs. https://learn.microsoft.com/entra/identity/authentication/how-to-authentication-passkeys-fido2#special-consideration-for-high-privileged-accounts 🔗 Links aus der Folge Passkeys (FIDO2) in Microsoft Entra ID aktivieren – inklusive Passkey-Profilehttps://learn.microsoft.com/entra/identity/authentication/how-to-authentication-passkeys-fido2 Synchronisierte Passkeys aktivierenhttps://learn.microsoft.com/entra/identity/authentication/how-to-synced-passkeys Passkeys im Microsoft Authenticator aktivieren – inklusive der beiden AAGUIDshttps://learn.microsoft.com/entra/identity/authentication/how-to-enable-authenticator-passkey Attestation in Entra ID – Anforderungen und Liste der berechtigten FIDO2-Schlüsselhttps://learn.microsoft.com/entra/identity/authentication/concept-fido2-hardware-vendor Passkeys als Standard und Rückzug von SMS und Voice – die Termine im Überblickhttps://learn.microsoft.com/entra/identity/authentication/concept-sms-voice-retirement FIDO Alliance Metadata Servicehttps://fidoalliance.org/metadata/ 🎧 Dazu passende Folgen Folge 56 | Was sind Passkeys – und warum sind sie mehr als nur ein zweiter Faktor? 🎤 Homepage Den Podcast findest Du unter https://itasapro.podigee.io 📝 Blog Viele, weitere Artikel von mir findest Du auf dem WindowsPro Bloghttps://www.windowspro.de/benjamin-burk 🔗 LinkedIn Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.https://www.linkedin.com/in/benjaminbuerk/ 📫 Anregungen, Fragen, Kritik, Wünsche Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon lange beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an [email protected] ⭐️ Sterne-Bewertung Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten. Vielen Dank, dass Du den Podcast hörst! 🎨 Grafik und Design Herzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de

👉 Shownotes Warum sind Passkeys plötzlich überall? Warum sollen sie sicherer sein als alles, was wir bisher hatten? In dieser Folge nehme ich mir die Zeit für die lange Antwort: Was ein Passkey technisch ist, welche vier Vorteile er gegenüber dem Passwort hat und was der Unterschied zwischen synchronisierten und gerätegebundenen Passkeys wirklich bedeutet. Ausserdem: Microsoft macht Passkeys zur Standard-Anmeldung in Entra ID und zieht SMS und Telefonanruf zurück. Was das für Deinen Tenant heisst und warum Du das nicht verschlafen solltest. 📅 Zwei Termine, die Du kennen solltest 1. September 2026 – Benutzer, die noch für SMS oder Anruf aktiviert sind, werden automatisch für Passkeys freigeschaltet und beim nächsten MFA-Login zur Registrierung aufgefordert.1. Februar 2027 – Microsoft stellt die eigene SMS- und Anruf-Zustellung ein. Wer dann nur noch SMS oder Anruf hat, bekommt einen blockierenden Registrierungs-Prompt. Kein Opt-out, gilt für alle Tenants. ▶️ Das solltest Du diese Woche tun Prüfe, wie viele Benutzer in Deinem Tenant noch für SMS oder Anruf aktiviert sind. Microsoft stellt dafür ein PowerShell-Skript bereit. Jedes Ergebnis über null heisst: Der 1. September betrifft Dich. 🔗 Links zur Folge Passkeys als Standard und Rückzug von SMS und Voice in Entra IDhttps://learn.microsoft.com/entra/identity/authentication/concept-sms-voice-retirement PowerShell-Skript: SMS- und Voice-Benutzer im Tenant findenhttps://github.com/microsoft/entra-sms-voice-usage-analyzer Passkeys (FIDO2) als Authentifizierungsmethode in Microsoft Entra IDhttps://learn.microsoft.com/entra/identity/authentication/concept-authentication-passkeys-fido2 Häufige Fragen zu Passkeys – auch zur Sichtbarkeit synchronisierter Passkeyshttps://learn.microsoft.com/entra/identity/authentication/passkey-faq Passkey-Deployment planenhttps://learn.microsoft.com/entra/identity/authentication/how-to-deploy-phishing-resistant-passwordless-authentication 🎧 Dazu passende Folgen Folge 50 | Token Protection – wenn MFA nicht mehr reicht Folge 53 | Ein Schlüssel für alles? Das Drei-Konten-Modell für Admins 📝 Blog Viele, weitere Artikel von mir findest Du auf dem WindowsPro Bloghttps://www.windowspro.de/benjamin-burk 🔗 LinkedIn Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.https://www.linkedin.com/in/benjaminbuerk/ 📫 Anregungen, Fragen, Kritik, Wünsche Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon lange beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an [email protected] ⭐️ Sterne-Bewertung Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten. Vielen Dank, dass Du den Podcast hörst! 🎨 Grafik und Design Herzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de

Adminrollen und PIM schützen den Zugang zur Rolle – aber nicht die einzelne Aktion. Wer die Rolle hat, kann CA-Policies löschen, Cross-Tenant-Zugriffe öffnen oder Objekte endgültig aus dem Papierkorb entfernen – alles nur einen Klick entfernt. In dieser Folge schauen wir uns an, welche Aktionen sich schützen lassen, wie Du das einrichtest und warum das gerade für Tenants ohne P2-Lizenz spannend ist. Themen dieser Folge: • Warum Rollen und PIM die einzelne Aktion nicht schützen• Was Protected Actions sind und wie sie über den Authentication Context funktionieren• Die schützbaren Aktionen: CA-Policies, Cross-Tenant-Access, Named Locations, Hard Delete und die Protected Actions selbst• Einrichtung in vier Schritten – und warum die Reihenfolge entscheidend ist• Achtung: Die Policy muss auf On stehen, Report-Only funktioniert hier nicht• Stolperfallen: Break-Glass-Konten ausnehmen, Automatisierung und PowerShell• Lizenz-Hinweis: Warum Entra ID P1 reicht – und Protected Actions gerade ohne PIM wertvoll sind Links zur Folge: • Was sind Protected Actions? (Microsoft Learn)• Protected Actions hinzufügen, testen oder entfernen (Microsoft Learn)• Rettungsanker bei Reauthentifizierungs-Schleife (aka.ms/MSALProtectedActions) 📝 BlogViele weitere Artikel von mir findest Du auf dem WindowsPro Blog: https://www.windowspro.de/benjamin-burk 🔗 LinkedInAuf LinkedIn hast Du die Möglichkeit, mehr von mir zu erfahren und Dich zu vernetzen: https://www.linkedin.com/in/benjaminbuerk/ 📫 Anregungen, Fragen, Kritik, WünscheWillst Du ein Thema gerne genauer besprochen haben? Hast Du einen Interviewgast oder selbst ein spannendes Thema? Schreib mir an [email protected] ⭐️ Sterne-BewertungWenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten. Vielen Dank, dass Du den Podcast hörst! 🎨 Grafik und DesignHerzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de

Conditional Access ist für viele Admins wie eine leere Seite – Du weisst, dass Du etwas absichern willst, aber wo anfangen? Microsoft liefert direkt im Entra Admin Center vorkonfigurierte Templates: über 40 Best-Practice-Policies, organisiert in sechs Kategorien. In dieser Folge schauen wir uns an, wo Du sie findest, wie sie organisiert sind und worauf Du achten musst, bevor Du die erste scharf schaltest. Themen dieser Folge: • Wo Du die Templates im Entra Admin Center findest• Warum Templates immer im Report-Only-Modus starten• Achtung Scope: Nur der erstellende Admin wird ausgeschlossen• Die sechs Kategorien: Secure Foundation, Zero Trust, Remote Work, Protect Administrator, Emerging Threats und AI Agents• Warum viele Policies in mehreren Kategorien auftauchen• Lizenz-Hinweise: Wann reicht P1, wann brauchst Du P2 oder Purview? Links zur Folge: • Übersicht Conditional Access Templates (Microsoft Learn)• Conditional Access Überblick• Microsoft Entra ID Protection (für P2-Templates) 🎤 HomepageDen Podcast findest Du unter https://itasapro.podigee.io 📝 BlogViele weitere Artikel von mir findest Du auf dem WindowsPro Blog: https://www.windowspro.de/benjamin-burk 🔗 LinkedInAuf LinkedIn hast Du die Möglichkeit, mehr von mir zu erfahren und Dich zu vernetzen: https://www.linkedin.com/in/benjaminbuerk/ 📫 Anregungen, Fragen, Kritik, WünscheWillst Du ein Thema gerne genauer besprochen haben? Hast Du einen Interviewgast oder selbst ein spannendes Thema? Schreib mir an [email protected] ⭐️ Sterne-BewertungWenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten. Vielen Dank, dass Du den Podcast hörst! 🎨 Grafik und DesignHerzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de

🔑 Ein Konto für alles? Keine gute Idee.Wer mit einem einzigen Konto Mails liest, surft und administriert, trägt den Generalschlüssel den ganzen Tag lose in der Hosentasche. In dieser Folge geht es darum, warum ein sauberes Adminkonzept aus drei Konten besteht – Alltag, Admin und Notfall. 📌 Die drei Schlüssel im Überblick1. Alltagskonto – lizenziert, mit Postfach, aber bewusst ohne Adminrollen. Hier passieren die meisten Angriffe – und genau hier sollen sie folgenlos bleiben.2. Adminkonto – dediziert, cloud-only, kein Surfen, kein Mailen. Gehärtet mit eigenen Conditional-Access-Policies und über PIM nur bei Bedarf aktiv.3. Break-Glass-Konto – zwei Notfallkonten für den ganzen Tenant, von den Policies ausgenommen, mit getrennt verwahrtem Passwort – und lückenlos überwacht. Wird die Scheibe eingeschlagen, geht der Feueralarm an. 🔗 Weiterführende Microsoft-LinksNotfallzugriffskonten (Break Glass): Manage emergency access accountsPrivileged Identity Management (PIM): What is PIM?Conditional Access: Conditional Access OverviewRestricted Management Administrative Units: Restricted Management AUs 🎤 HomepageDen Podcast findest Du unter itasapro.podigee.io 📝 BlogViele weitere Artikel von mir auf dem WindowsPro Blog: windowspro.de/benjamin-burk 🔗 LinkedInVernetze Dich gern mit mir: linkedin.com/in/benjaminbuerk 📫 Anregungen, Fragen, Kritik, WünscheSchreib mir an [email protected]&#101 ⭐️ Sterne-BewertungWenn Dich die Folge weitergebracht hat, freue ich mich über fünf Sterne. Deine Bewertung hilft, den Podcast sichtbar und am Laufen zu halten. 🎨 Grafik und DesignHerzlichen Dank an Brand Designer Martin Knupfer martinknupfer.de

In dieser Folge geht es um die Microsoft-365-Preis- und Paketänderungen ab dem 1. Juli 2026: Was teurer wird, welche Pläne stabil bleiben, welche Funktionen neu in die Suiten wandern – und warum sich die Lizenz-Entscheidungen Business Premium vs. E3 und E3 vs. E5 dadurch neu sortieren. Kernpunkte: - Preisänderung gilt ab 1. Juli 2026; Bestandskunden zahlen den neuen Preis erst zur nächsten Verlängerung- Business Premium ($22) und Office 365 E1 ($10) bleiben preisstabil- Defender for Office 365 P1 wandert neu in Office 365 E3, Microsoft 365 E3 und Business Standard- Postfachspeicher steigt bei den Business-Plänen von 50 auf 100 GB- Standalone-SKUs für Teams und Copilot sind nicht betroffen 🔗 Quellen (Microsoft): Offizielle Preis- & Packaging-Übersicht: microsoft.com/licensing/newsFAQ zu Preisen & Packaging: microsoft.com/licensing/news (FAQ)Microsoft 365 Blog (Ankündigung 04.12.2025): microsoft.com/microsoft-365/blog 📝 Blog: Weitere Artikel auf dem WindowsPro Blog – windowspro.de/benjamin-burk 🔗 LinkedIn: linkedin.com/in/benjaminbuerk 📫 Anregungen, Fragen, Kritik: [email protected] ⭐️ Bewertung: Wenn Dich die Folge weitergebracht hat, freue ich mich über eine 5-Sterne-Bewertung in Deiner Podcast-App.

🎯 Drei Anwendungsfälle für PIM für Gruppen Sensible M365-Gruppen (Geschäftsleitung, HR, Finanzen) mit Ownership-SchutzBündelung mehrerer Entra-Rollen für ein Admin-TeamTemporärer Zugriff für externe Berater mit Ablaufdatum🚫 Wann PIM für Gruppen NICHT die richtige Wahl ist Einzelne Admin-User mit nur einer Rolle → PIM für Rollen direkt verwendenSharePoint-, Exchange- oder Purview-Rollen → Microsoft empfiehlt PIM für Rollen statt PIM für Gruppen⚠️ Stolperfallen aus der Praxis Der letzte aktive Owner darf nie weg – sonst kann PIM eligible Ownership nach Ablauf bis zu 30 Tagen nicht deaktivierenBei externen Apps mit SCIM-Provisioning kann es bei vielen gleichzeitigen Aktivierungen Verzögerungen gebenDynamische Gruppen und aus On-Prem synchronisierte Gruppen können nicht in PIM verwaltet werden🔗 Microsoft-Learn-Dokumentation Übersicht PIM für Gruppenhttps://learn.microsoft.com/de-de/entra/id-governance/privileged-identity-management/concept-pim-for-groupsGruppen in PIM aufnehmenhttps://learn.microsoft.com/de-de/entra/id-governance/privileged-identity-management/groups-discover-groupsEligibility für eine Gruppe zuweisenhttps://learn.microsoft.com/de-de/entra/id-governance/privileged-identity-management/groups-assign-member-ownerPIM-Einstellungen für Gruppen konfigurierenhttps://learn.microsoft.com/de-de/entra/id-governance/privileged-identity-management/groups-role-settingsMitgliedschaft oder Besitz aktivierenhttps://learn.microsoft.com/de-de/entra/id-governance/privileged-identity-management/groups-activate-rolesAktivierungsanforderungen genehmigenhttps://learn.microsoft.com/de-de/entra/id-governance/privileged-identity-management/groups-approval-workflowLizenzgrundlagen Entra ID Governancehttps://learn.microsoft.com/de-de/entra/id-governance/licensing-fundamentals🔁 Verwandte Folgen Folge 46 | Administrative Units – Delegierte Administration im Entra IDFolge 48 | Besitzerlose Gruppen in M365 – wer kümmert sich?🎤 Homepage Den Podcast findest Du unter https://itasapro.podigee.io 📝 Blog Viele, weitere Artikel von mir findest Du auf dem WindowsPro Bloghttps://www.windowspro.de/benjamin-burk 🔗 LinkedIn Auf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.https://www.linkedin.com/in/benjaminbuerk/ 📫 Anregungen, Fragen, Kritik, Wünsche Willst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem, das Dich schon längere Zeit beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreib mir Deine Gedanken an [email protected] ⭐️ Sterne-Bewertung Wenn Dich die Folge weitergebracht hat, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir, den Podcast weiter zu verbessern und ihn am Laufen zu halten. Vielen Dank, dass Du den Podcast hörst! 🎨 Grafik und Design Herzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de

MFA reicht nicht mehr. Wer einmal einen gültigen Token in der Hand hat, ist drin – ohne Passwort und ohne MFA-Code. Genau hier setzt Token Theft an, und genau hier hilft Token Protection in Conditional Access. In dieser Folge schauen wir uns an, wie Token Theft funktioniert, was Token Protection technisch macht, wo die Grenzen liegen. 📢 Folgeninhalt: Was ein Token ist und warum er für Angreifer attraktiv istWie Adversary-in-the-Middle Phishing und Infostealer Tokens abgreifenWas Token Protection in Conditional Access technisch machtVoraussetzungen, Lizenzanforderungen und Grenzen (insbesondere Browser)Schritt-für-Schritt-Einrichtung der Conditional-Access-PolicyWelche Stolperfallen Du ausschließen oder filtern solltestDrei sinnvolle Begleitmaßnahmen: phishing-resistente MFA, Continuous Access Evaluation und Sign-in Frequency🙋 Jetzt mitmachen: Nimm an der kurzen Umfrage zur Folge teil – direkt auf Spotify oder LinkedIn.Ich freue mich auf deine Einschätzung! 📝 Weiterführende Informationen Token Protection in Microsoft Entra Conditional Access (Übersicht)Deployment Guide für WindowsDeployment Guide für macOS, iOS und iPadOSProtecting Tokens in Microsoft Entra IDConditional Access Deployment PlanPhishing-resistente MFA / Authentication StrengthsContinuous Access Evaluation (CAE)📝 Blog Weitere Artikel und technische Deep-Dives findest du auf meinem WindowsPro.de Blog. 🎓 Videokurse Vertiefendes Wissen findest du in meinen Kursen bei der Heise Academy: Exchange Online für AdministratorenMicrosoft Edge für Administratoren🔗 Vernetzen Mehr über mich und meine Arbeit erfährst du auf LinkedIn. 📫 Feedback & Themenvorschläge Du hast Fragen, Anregungen oder ein Thema, das dich schon lange beschäftigt?Dann schreib mir gerne an [email protected]. ⭐️ Podcast unterstützen Wenn dir die Folge gefallen hat, freue ich mich über eine 5-Sterne-Bewertung in deiner Podcast-App – und wenn du den Podcast weiterempfiehlst. 🎨 Grafik und Design Danke an Martin Knupfer für das Podcast-Design!

👉 Episodenlinks ▶️ Microsoft Message Center 📝 Microsoft Learn Übersicht über Updatekanäle für Microsoft 365 Apps [MS] Ändern des Updatekanals für Microsoft 365 Apps für Geräte in Ihrer Organisation [MS] Cloud Update für Microsoft 365 Apps [MS]🛠️ Kanal auf dem Client prüfen Registry-Pfad: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\Configuration Wert: UpdateChannel🎤 HomepageDen Podcast findest Du unter https://itasapro.podigee.io 📝 BlogViele, weitere Artikel von mir findest Du auf dem WindowsPro Bloghttps://www.windowspro.de/benjamin-burk 🔗 LinkedInAuf LinkedIn hast Du die Möglichkeit mehr von mir zu erfahren.https://www.linkedin.com/in/benjaminbuerk/ 📫 Anregungen, Fragen, Kritik, WünscheWillst Du ein Thema gerne genauer besprochen haben? Gibt es das eine Problem wo Dich schon langer Zeit beschäftigt? Hast Du einen Interviewgast oder selbst ein spannendes Thema zum Berichten? Schreibt mir Deine Gedanken an [email protected] ⭐️ Sterne-BewertungWenn Dich die Folge weiter gebracht, dann tue mir bitte den Gefallen und bewerte den Podcast mit 5 Sternen. Durch Deine Rezension hilfst Du mir den Podcast weiter zu verbessern und ihn am Laufen zu halten.Vielen Dank dass Du den Podcast hörst! 🎨 Grafik und DesignHerzlichen Dank an den Brand Designer Martin Knupfer https://www.martinknupfer.de

Besitzerlose Gruppen in Microsoft 365 sind ein stilles, aber wachsendes Governance-Problem. Mitarbeitende verlassen das Unternehmen, Projekte enden – und zurück bleiben Gruppen, für die niemand mehr verantwortlich ist. In dieser Folge sprechen wir darüber, wie besitzerlose Gruppen entstehen, welche Risiken sie mit sich bringen und wie Du mit der Richtlinie für besitzerlose Gruppen im Microsoft 365 Admin Center gezielt gegensteuern kannst. 📢 Folgeninhalt: Warum Microsoft-365-Gruppen die Basis für Teams, SharePoint und Planner sind Wie Gruppen besitzerlos werden – und warum das ein Problem ist Die Richtlinie für besitzerlose Gruppen: automatische Benachrichtigung der aktivsten Mitglieder Einrichten der Richtlinie im Microsoft 365 Admin Center Einschränkungen kennen: nur M365-Gruppen, Sonderfall Private und Shared Channels PIM für Gruppen als proaktive Alternative Besitzer manuell zuweisen – im Admin Center und per PowerShell🙋 Jetzt mitmachen bei der Umfrage: Habt ihr besitzerlose Gruppen bereits als Problem erkannt? Und wie geht ihr damit um? Schreib mir dein Feedback direkt auf LinkedIn oder als Kommentar in deiner Podcast-App. 📝 Weiterführende Informationen Verwalten besitzerloser Microsoft 365-Gruppen und -Teams – Microsoft Learn Neuen Besitzer einer verwaisten Gruppe zuweisen – Microsoft Support📝 Blog Weitere Artikel und technische Deep-Dives findest du auf meinem WindowsPro.de Blog. 🎓 Videokurse Vertiefendes Wissen findest du in meinen Kursen bei der Heise Academy: Exchange Online für Administratoren Microsoft Edge für Administratoren🔗 Vernetzen Mehr über mich und meine Arbeit erfährst du auf LinkedIn. 📫 Feedback & Themenvorschläge Du hast Fragen, Anregungen oder ein Thema, das dich schon lange beschäftigt? Dann schreib mir gerne an [email protected]. ⭐️ Podcast unterstützen Wenn dir die Folge gefallen hat, freue ich mich über eine 5-Sterne-Bewertung in deiner Podcast-App – und wenn du den Podcast weiterempfiehlst. 🎨 Grafik und Design Danke an Martin Knupfer für das Podcast-Design!