Microsoft Entra CAE für Anwendungsidentitäten: zuerst prüfen

Eine Geschäftsanwendung greift häufig auf Daten zu, ohne sich als Mensch anzumelden. Sie verwendet eine eigene Anwendungsidentität, in Microsoft Entra als Service Principal bezeichnet, und erhält ein Zugriffstoken. Nach der Erkennung einer Kompromittierung entsteht ein bekanntes Problem: Ein Administrator deaktiviert die Identität, doch ein bereits ausgestelltes Bearer-Token kann bis zu seinem Ablauf nutzbar bleiben.

Am 25. August 2026 hob Microsoft die Unterstützung für die sofortige Bewertung des Token-Widerrufs bei Service Principals durch Continuous Access Evaluation, kurz CAE, hervor. Das ist kein universeller Schalter für jede Integration. Die aktuelle Dokumentation begrenzt die Funktion auf Single-Tenant-Service-Principals eigener Line-of-Business-Anwendungen, die auf Microsoft Graph zugreifen und in der Token-Anfrage die Fähigkeit zur Verarbeitung einer Claims Challenge angeben.

Was sich geändert hat und warum es wichtig ist

Ohne CAE verwendet ein Client ein Token typischerweise bis zum Ablauf. Mit CAE kann ein unterstützter Resource Provider ein Widerrufsereignis schon vorher auswerten. Microsoft nennt drei unterstützte Ereignisse für Workload-Identitäten: Deaktivierung und Löschung eines Service Principals sowie die Erkennung eines hohen Risikos für diesen Service Principal. Microsoft Graph lehnt das Token dann mit einer 401-Antwort und Claims Challenge ab; der Client muss Microsoft Entra um eine neue Bewertung bitten.

Der Nutzen ist konkret: Wenn ein Incident-Team eine Anwendungsidentität deaktiviert, muss der unterstützte Zugriff auf Microsoft Graph nicht bis zum natürlichen Ablauf eines ausgestellten Tokens warten. CAE-fähige Tokens für Workload-Identitäten können laut Dokumentation bis zu 24 Stunden gültig sein. Die laufende Bewertung ist deshalb Teil des Sicherheitsmodells und kein optionaler Zusatz zu einer langen Gültigkeit.

Das ersetzt weder ein Anwendungsinventar noch Least Privilege oder den Schutz von Zugangsdaten. CAE deckt einen Teil der Reaktion nach einem Ereignis ab. Beim Aufbau der Cybersicherheit für Unternehmensidentitäten muss weiterhin bekannt sein, welche Anwendung welche Graph-Berechtigungen besitzt, wo Geheimnisse oder Zertifikate liegen und wer einen Service Principal deaktivieren darf.

So funktioniert CAE für Workload-Identitäten

1. Die Anwendung fordert ein Token bei Microsoft Entra ID an und deklariert im Claims-Parameter die Client-Fähigkeit cp1.
2. Microsoft Entra bewertet die geltenden Conditional-Access-Richtlinien und stellt ein CAE-fähiges Token für Microsoft Graph aus.
3. Die Anwendung legt das Token Microsoft Graph vor. Graph bewertet es laufend gegen unterstützte Widerrufsereignisse und Richtlinienänderungen.
4. Bei einem unterstützten Ereignis liefert Graph eine 401-Antwort mit Claims Challenge.
5. Der Client muss die Challenge verarbeiten, seinen Token-Cache umgehen und ein neues Token anfordern. Microsoft Entra bewertet die Bedingungen erneut.

Das bloße Hinzufügen von cp1 genügt daher nicht. Die Anwendung muss die 401-Antwort und die Claims Challenge korrekt behandeln; sonst fällt die Integration nach der Token-Ablehnung lediglich aus. Für eine eigene Anwendung ist dies eine Entwicklungs- und Testaufgabe innerhalb der Betreuung und Weiterentwicklung von Geschäftsintegrationen.

Der unterstützte Umfang ist noch eng

• Resource Provider: derzeit ausschließlich Microsoft Graph.
• Identität: ein im eigenen Tenant registrierter Single-Tenant-Service-Principal.
• Nicht unterstützt: Managed Identities, Multitenant-Anwendungen und Drittanbieter-SaaS.
• Richtlinien: CAE bewertet unterstützte Standort- und Risikorichtlinien für Workload-Identitäten in Echtzeit.
• Richtlinienzuweisung: Eine Richtlinie für eine Gruppe mit Service Principal wird nicht erzwungen; sie muss direkt auf die Workload-Identität zielen.

Microsoft verlangt Workload Identities Premium-Lizenzen und mindestens die Rolle Conditional Access Administrator, um Conditional-Access-Richtlinien für Service Principals zu erstellen oder zu ändern. Vor dem Rollout sollten die aktuellen Bedingungen des konkreten Tenants und Lizenzprogramms geprüft werden.

CAE bringt nur in einer unterstützten Kette Nutzen: richtiger Service Principal, Microsoft Graph, Client mit cp1, Verarbeitung der Claims Challenge und direkt zugewiesene Richtlinien.

Praktischer Test vor dem Produktionseinsatz

1. Eine Single-Tenant-Testanwendung mit minimalen Graph-Berechtigungen auswählen und ihren Service Principal dokumentieren.
2. Prüfen, ob die Authentifizierungsbibliothek cp1 deklarieren und Claims Challenges gemäß Microsoft-Dokumentation verarbeiten kann.
3. Eine Test-Conditional-Access-Richtlinie zunächst so einrichten, dass Produktionsidentitäten nicht betroffen sind; Lizenzierung und direkte Zielgruppe prüfen.
4. Den Service Principal kontrolliert deaktivieren. Die Anwendung soll eine 401-Challenge erhalten und darf das alte Token nicht weiterverwenden.
5. Im Entra Admin Center unter Service principal sign-ins das Feld Continuous access evaluation, das Ergebnis und die angewendete Richtlinie prüfen.
6. Die Wiederherstellung testen: Identität nur nach dem freigegebenen Incident-Verfahren erneut aktivieren und bestätigen, dass die Anwendung ein neues Token anfordert.

Der Test darf nicht ohne Rückkehrplan an einer kritischen Integration erfolgen. Das Deaktivieren oder Löschen eines Service Principals kann Automatisierung, Synchronisierung oder Reporting unterbrechen. Bei unklarer Zuständigkeit sind zuerst die Abhängigkeiten zu erfassen.

Was Unternehmen jetzt prüfen sollten

• Inventar von Anwendungen und Service Principals mit Verantwortlichen, Zweck und letzter Aktivität;
• Graph-Anwendungsberechtigungen und Admin-Zustimmungen nach Least Privilege;
• Gültigkeit von Zertifikaten, Ablage von Geheimnissen und Rotationsplan;
• Unterstützung für cp1, Claims Challenges und sichere Wiederholungslogik im Client;
• direkte Zuweisung der Conditional-Access-Richtlinien und Lizenzvoraussetzungen;
• Service-Principal-Anmeldeprotokolle, Warnungen und autorisiertes Verfahren zur Deaktivierung.

Der angemessene erste Schritt ist nicht, CAE überall zu aktivieren. Er besteht aus einem Inventar der Workload-Identitäten und einem kontrollierten Pilotprojekt. Yenwa kann bei einer autorisierten Prüfung Code der Integration, Graph-Berechtigungen, Conditional Access, Protokollierung und Incident-Verfahren zu einem testbaren Plan verbinden, ohne ungeplante Auswirkungen auf die Produktion.