Welche Software hilft beim Berechtigungsmanagement – und was muss sie für Entra ID können?
Inhaltsverzeichnis
Veröffentlicht: 08. November 2026 · Lesezeit: ca. 8 Minuten
„Wir haben das immer so gemacht – und es hat noch nie jemand etwas Falsches gesehen.“ Diesen Satz hören wir in Beratungsgesprächen oft. Gemeint ist meist: Der Chef hat überall Zugriff, die Bauleiter auch, und die Aushilfe vom letzten Sommer hat ihren Account eigentlich noch gar nicht abgegeben.
Die ehrliche Einordnung: Nicht kontrollierte Zugriffsrechte sind kein theoretisches Problem. Sie sind der häufigste Grund, warum kompromittierte Konten in Unternehmen wochenlang unentdeckt bleiben. Wer wann auf welche Daten zugreifen kann, lässt sich ohne passende Werkzeuge schlicht nicht zuverlässig überblicken – schon gar nicht, wenn Monteure mit eigenen Geräten auf der Baustelle auf Aufmaß-Apps oder digitale Bautagebücher zugreifen.
Die Frage nach der richtigen Berechtigungsmanagement Software Entra stellt sich für viele Handwerksbetriebe spätestens dann, wenn Microsoft 365 im Einsatz ist und die ersten Fragen kommen: Wer darf was – und lässt sich das überhaupt nachvollziehen? Microsoft Entra ID (früher Azure Active Directory) ist dabei der zentrale Baustein, der Zugriffsrechte verwaltet. Aber Entra allein ist kein Selbstläufer: Es braucht die richtigen Werkzeuge und klare Prozesse, damit Berechtigungen nicht im Laufe der Zeit unkontrolliert wachsen.
Für Handwerksbetriebe kommt ein besonderer Druck hinzu: Mitarbeiter wechseln häufiger, Aushilfen kommen saisonal, Monteure arbeiten mobil mit wechselnden Geräten. Handwerkersoftware wie pds oder Label, mobile Zeiterfassung und Aufmaß-Apps erfordern differenzierte Zugriffsprofile – und die müssen zentral steuerbar sein, damit weder Datenschutz noch GoBD-konforme Belegablage zur Baustelle werden.
Dieser Artikel gibt Ihnen einen klaren Überblick: Was muss eine Berechtigungsmanagement-Lösung für Entra ID leisten, welche Optionen gibt es – kostenlos und kostenpflichtig –, was sollten Sie jetzt konkret entscheiden, und wo fangen Sie an, wenn die Zeit knapp ist?
| Kennzahl | Wert | Quelle |
|---|---|---|
| Cyberscäden in Deutschland (Jahresschaden) | 178,6 Mrd. Euro – Höchststand | Bitkom, 2024 |
| Anteil KMU bei angezeigten Ransomware-Fällen | über 80 % der betroffenen Organisationen | Bundeslagebild Cybercrime, 2024 |
| Unternehmen ohne Notfallmanagement | 39 % | Bitkom / BSI-Lagebericht, 2025 |
| Unternehmen mit IT-Sicherheitsschulungen für alle Beschäftigten | nur 24 % | Bitkom / BSI-Lagebericht, 2025 |
Was sich beim Zugriffs- und Identitätsmanagement gerade grundlegend ändert
Microsoft hat das Thema Zugriffssteuerung in den vergangenen Monaten deutlich verschärft. Seit Oktober 2024 ist die Mehrfaktor-Authentifizierung (MFA – eine zweite Bestätigung beim Login, z. B. per App) verpflichtend für alle Anmeldungen am Azure-Portal und dem Entra Admin Center. Seit Oktober 2025 gilt diese Pflicht auch für Automatisierungen und Schnittstellen, die viele Betriebe im Hintergrund nutzen, ohne es zu wissen. Wer hier nichts angepasst hat, verstößt aktiv gegen Microsoft-Richtlinien – und riskiert, dass Skripte oder Integrationen ohne Vorwarnung blockiert werden.
Gleichzeitig wurde Azure Active Directory vollständig in Microsoft Entra ID umbenannt. Für bestehende Microsoft-365-Nutzer ist die Basisfunktion (Entra ID Free) bereits aktiv – ohne Zusatzkosten. Das bedeutet: Die Grundlage für ein strukturiertes Berechtigungsmanagement Software Entra ist in Ihrem Betrieb wahrscheinlich schon vorhanden. Sie muss nur genutzt werden.
Für Handwerksbetriebe, die Handwerkersoftware wie Streit oder pds über Schnittstellen an Microsoft 365 anbinden, gilt besondere Aufmerksamkeit: Microsoft ändert API-Berechtigungsnamen ohne lange Vorlaufzeit. Wer solche Verbindungen nicht regelmäßig prüft, bemerkt Probleme erst, wenn ein Montagmorgen mit einem Verbindungsfehler beginnt.
- Prüfen Sie, ob MFA für alle Benutzer in Ihrem Entra-Tenant aktiv erzwungen wird – nicht nur für Administratoren.
- Klären Sie, ob Automatisierungen (z. B. Schnittstellen zur Handwerkersoftware) noch funktionieren und MFA-konform sind.
- Lassen Sie bestehende API-Verbindungen gegen aktuelle Microsoft-Vorgaben abgleichen.
Unterstützung beim strukturierten Einstieg bietet die Microsoft 365 Einführung & Betreuung – TTG GmbH.
Was unkontrollierte Zugriffsrechte Ihren Betrieb wirklich kosten
Zugriffsrechte, die einmal vergeben und nie wieder überprüft werden, sind eines der häufigsten Einfallstore für Angreifer – das bestätigt der BSI-Lagebericht als zentrale Schwachstelle in kleineren Unternehmen. Der Schaden beginnt dabei selten spektakulär: Ein ehemaliger Mitarbeiter greift noch Monate später auf Angebotsdaten zu, eine Aushilfe sieht Lohnunterlagen, die sie nichts angehen, oder ein kompromittiertes Konto bleibt unentdeckt, weil niemand die Anmeldeprotokolle prüft.
Für Handwerksbetriebe kommen spezifische Risiken hinzu. Monteure nutzen häufig private Smartphones für mobile Zeiterfassung oder digitale Bautagebücher – Geräte, die nicht im Unternehmensverzeichnis erfasst sind. Scheidet ein Mitarbeiter aus, bleibt der Zugang zur Aufmaß-App oder zur Projektverwaltung oft bestehen. Das ist kein IT-Problem: Es ist ein Haftungsthema, denn die DSGVO macht den Betrieb für unberechtigte Zugriffe auf personenbezogene Daten verantwortlich.
Hinzu kommt der finanzielle Druck: Der durch Cyberangriffe verursachte Gesamtschaden in Deutschland erreichte zuletzt einen Höchststand von 178,6 Milliarden Euro (Bitkom, 2024). Kompromittierte Konten und überprivilegierte Accounts gelten dabei als führende Angriffsvektoren.
- Erstellen Sie eine Liste aller aktiven Benutzerkonten – einschließlich ehemaliger Mitarbeiter und Aushilfen.
- Prüfen Sie, welche Konten Zugriff auf Handwerkersoftware, Lohnunterlagen oder Projektdaten haben.
- Deaktivieren Sie Konten ausgeschiedener Mitarbeiter unmittelbar nach dem letzten Arbeitstag.
- Klären Sie, welche Privatgeräte aktuell auf Unternehmensdaten zugreifen – und ob das geregelt ist.
Wie Sie dabei systematisch vorgehen, zeigt die IT-Sicherheit für Microsoft 365 – TTG GmbH.
Welche Berechtigungsmanagement Software Entra ID bietet – und was die Alternativen kosten
Beim Thema Berechtigungsmanagement Software Entra stehen Betriebe vor einer konkreten Entscheidung: Was leistet der kostenlose Entra-ID-Free-Tarif, wo beginnt der kostenpflichtige Bereich – und welche Drittanbieter-Tools sind sinnvoll?
Die folgende Tabelle gibt einen Überblick:
| Situation | Empfehlung | Warum |
|---|---|---|
| Kleine Teams, wenig Fluktuation | Entra ID Free + Conditional Access (in Microsoft 365 Business Premium enthalten) | MFA erzwingen, Legacy-Protokolle blockieren – ohne Zusatzkosten |
| Häufiger Mitarbeiterwechsel, Aushilfen, Saisonkräfte | Entra ID P1 (ca. 6 €/Monat/Nutzer) | Automatisierte Access Reviews, dynamische Gruppen, Self-Service-Passwort-Reset |
| Admin-Konten mit erhöhten Rechten | Entra ID P2 (ca. 8,70 €/Monat/Admin-Konto) + PIM | Admin-Rechte nur zeitlich begrenzt aktivieren – deutlich reduziertes Angriffsrisiko |
| Drittanbieter-Software (z. B. SolarWinds, Usercube, Netwrix) | Nur bei komplexen Multi-System-Umgebungen prüfen | Für die meisten Handwerksbetriebe ist natives Entra ausreichend – externe Tools erhöhen Komplexität und Kosten |
Unserer Erfahrung nach reichen für die meisten Betriebe dieser Größe native Entra-Bordmittel vollständig aus – vorausgesetzt, sie werden konsequent konfiguriert. Wichtig ist dabei das Least-Privilege-Prinzip: Berechtigungen immer Gruppen zuweisen, nicht einzelnen Personen. So bleibt das System bei Personalwechseln wartbar.
Die BSI-Empfehlungen zu sicherem Cloud Computing geben dazu einen guten Orientierungsrahmen – kostenlos und ohne IT-Jargon.
- Klären Sie, welche Microsoft-365-Lizenz in Ihrem Betrieb aktiv ist – Business Basic, Standard oder Premium.
- Prüfen Sie, ob Conditional-Access-Richtlinien (Zugangsbedingungen) bereits aktiv sind oder nur die schwächeren Security Defaults laufen.
- Entscheiden Sie, ob PIM (zeitlich begrenzte Admin-Rechte) für Ihren Betrieb sinnvoll ist – das lohnt sich ab ca. zwei bis drei Admin-Konten.
Als nach ISO/IEC 27001 zertifizierter Dienstleister begleitet die ISO/IEC 27001 zertifiziert – TTG GmbH genau diese Entscheidungen strukturiert und nachvollziehbar.
Ihr nächster Schritt – auch wenn Sie nur 30 Minuten Zeit haben
Vollständige Berechtigungskonzepte entstehen nicht in einem Nachmittag. Aber der erste Schritt ist kleiner, als die meisten erwarten – und er lässt sich heute angehen.
Starten Sie mit einer Bestandsaufnahme: Öffnen Sie das Microsoft Entra Admin Center und sehen Sie sich an, welche Benutzer dort gelistet sind. Vergleichen Sie diese Liste mit Ihrer aktuellen Mitarbeiterliste. Bereits dieser Abgleich deckt in vielen Betrieben überraschend viele veraltete Konten auf – von ehemaligen Aushilfen bis zu Testaccounts aus der Einführungszeit der Handwerkersoftware.
Aktuelle Vorfälle zeigen, wie schnell ungesicherte Zugänge zum Problem werden: Im November 2025 mussten Nutzer des Passwort-Managers mSecure nach einem IT-Vorfall alle gespeicherten Zugangsdaten neu absichern – ein konkreter Hinweis darauf, dass Zugangsdaten-Hygiene kein einmaliges Projekt ist, sondern regelmäßige Aufmerksamkeit braucht (heise Security: Passwort-Manager mSecure – Zugangsdaten nach IT-Vorfall sichern).
Für Handwerksbetriebe in Duderstadt und der Region empfiehlt sich außerdem ein Blick in die Orientierungshilfen des Mittelstand-Digital-Netzwerks, das praxisnahe Leitfäden für Zugriffsmanagement und Datensicherheit bereitstellt – kostenlos und speziell auf kleinere Betriebe zugeschnitten.
- Rufen Sie das Entra Admin Center auf und exportieren Sie die Benutzerliste (ca. 10 Minuten).
- Gleichen Sie die Liste mit Ihrer HR-Liste ab und markieren Sie veraltete Konten zur Deaktivierung.
- Prüfen Sie, ob MFA für alle Konten aktiv ist – nicht nur für Admins.
- Legen Sie einen Termin für ein Access Review in drei Monaten fest.
Die TTG GmbH begleitet Handwerksbetriebe beim strukturierten Aufbau eines Berechtigungskonzepts – von der ersten Bestandsaufnahme bis zur laufenden Kontrolle. Nehmen Sie direkt Kontakt auf: IT-Infrastruktur & Cloud-Migration – TTG GmbH.
Ihre Checkliste: So starten Sie jetzt
- Exportieren Sie die Benutzerliste aus dem Microsoft Entra Admin Center und gleichen Sie sie mit Ihrer aktuellen Mitarbeiterliste ab.
- Deaktivieren Sie alle Konten ausgeschiedener Mitarbeiter und Aushilfen – prüfen Sie dabei auch Zugänge zu Handwerkersoftware und Aufmaß-Apps.
- Stellen Sie sicher, dass MFA für alle Benutzerkonten aktiv erzwungen wird – nicht nur für Administratoren.
- Prüfen Sie, welche Lizenz in Ihrem Microsoft-365-Vertrag aktiv ist, und klären Sie, ob Conditional-Access-Richtlinien bereits konfiguriert sind.
- Sprechen Sie mit Ihrem IT-Dienstleister über einen Termin für ein erstes Access Review – und planen Sie dieses alle drei bis sechs Monate ein.
Häufig gestellte Fragen
Brauche ich für ein funktionierendes Berechtigungsmanagement mit Entra ID eine Zusatzlizenz?
Nicht unbedingt. Die Basisfunktionen von Microsoft Entra ID – darunter Benutzerverwaltung, Gruppen und einfache Zugriffsrichtlinien – sind für Microsoft-365-Nutzer bereits im enthaltenen Entra-ID-Free-Tarif verfügbar. Für automatisierte Access Reviews, dynamische Gruppen oder zeitlich begrenzte Admin-Rechte (PIM) benötigen Sie Entra ID P1 oder P2. Die Mehrkosten liegen bei rund 6 bis 8,70 Euro pro Konto und Monat – für die meisten Betriebe ein überschaubarer Betrag im Verhältnis zum Risiko.
Unsere Monteure nutzen private Smartphones für die Zeiterfassung auf der Baustelle – ist das ein Problem für das Berechtigungsmanagement?
Ja, das ist ein konkretes Risiko. Private Geräte sind nicht im Unternehmensverzeichnis erfasst und unterliegen keiner zentralen Verwaltung. Scheidet ein Mitarbeiter aus, bleibt der Zugang zur mobilen Zeiterfassung oder zu digitalen Bautagebüchern auf dem Privatgerät oft bestehen. Mit Entra-Conditional-Access-Richtlinien können Sie festlegen, dass nur registrierte oder verwaltete Geräte auf Unternehmensdaten zugreifen dürfen – das löst das Problem strukturell und ist kein unverhältnismäßiger Aufwand.
Wie lange dauert es, ein Berechtigungskonzept für einen Handwerksbetrieb aufzubauen?
Ein erster belastbarer Stand ist in der Praxis oft innerhalb von ein bis zwei Tagen erreichbar – vorausgesetzt, es gibt eine aktuelle Mitarbeiterliste und einen IT-Dienstleister, der die Entra-Einstellungen kennt. Die Bestandsaufnahme und Deaktivierung veralteter Konten geht schnell; die Feinabstimmung von Zugriffsgruppen für Handwerkersoftware wie pds oder Streit erfordert etwas mehr Zeit. Wichtiger als Perfektion am ersten Tag ist ein regelmäßiger Review-Zyklus danach.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie gerade, wer in Ihrem Betrieb noch auf Angebote, Lohnunterlagen oder digitale Bautagebücher zugreifen kann – und ob diese Zugänge wirklich alle noch berechtigt sind?
Microsoft 365 für Ihr Unternehmen einrichten
Von der Einführung bis zur laufenden Betreuung: Die TTG GmbH begleitet Sie als zertifizierter Microsoft-Partner in Nordthüringen und Eichsfeld.
