Microsoft Entra im Oktober 2026: Neue Sicherheits- und Zugriffsfeatures für IT-Admins

Microsoft baut Entra weiter aus. In den vergangenen Wochen sind erneut mehrere Funktionen hinzugekommen, die vor allem für Administratoren in größeren Microsoft-Umgebungen interessant sind.

Der Schwerpunkt liegt diesmal klar auf Conditional Access, Global Secure Access, Workload Identities und einer einfacheren Benutzer- und Berechtigungsverwaltung. Gleichzeitig bereitet Microsoft Entra immer stärker auf eine Welt vor, in der nicht mehr nur Menschen, sondern auch autonome KI-Agenten auf Unternehmensressourcen zugreifen.

Für mich ist genau das der spannendste Punkt: Identitätsmanagement wird gerade deutlich komplexer. Früher ging es hauptsächlich darum, welcher Benutzer auf welche Ressource zugreifen darf. Inzwischen muss man zusätzlich Geräte, Dienste, Workloads und künftig immer häufiger KI-Agenten berücksichtigen.

Microsoft Entra wird bei der Zugriffskontrolle dynamischer

Ein Schwerpunkt der aktuellen Neuerungen liegt auf Universal Continuous Access Evaluation, kurz CAE, innerhalb von Global Secure Access.

Microsoft erweitert hier die verfügbaren Gerätesignale.

Neu beziehungsweise in der öffentlichen Vorschau sind unter anderem:

• User-Risk-Signale
• Device-Revocation-Signale

Damit kann eine bestehende Sitzung schneller auf veränderte Risiken reagieren.

Das ist ein wichtiger Unterschied zu klassischen Zugriffsmodellen. Ein Benutzer wird nicht nur einmal beim Login geprüft und darf anschließend stundenlang weitermachen. Ändert sich der Sicherheitsstatus während einer Sitzung, kann Entra darauf reagieren.

Genau diese Richtung halte ich für sinnvoll.

Ein Gerät oder Benutzer kann beim Login unauffällig sein und zehn Minuten später ganz anders bewertet werden.

Stärkere Absicherung von Workload Identities

Auch bei Workload Identities legt Microsoft nach.

Service-to-Service Token Binding für Entra-Tokens ist inzwischen allgemein verfügbar, wenn Identitäts-Workloads auf:

• Trusted Launch VMs
• Confidential VMs
• VM Scale Sets

laufen.

Dabei kommt mutual TLS Proof of Possession, kurz mTLS PoP, zum Einsatz.

Das soll sicherstellen, dass ein Token stärker an den vorgesehenen Workload gebunden ist.

Gerade bei automatisierten Diensten und Maschinenidentitäten wird das immer wichtiger. Ein gestohlenes Token sollte schließlich möglichst wenig wert sein, wenn es außerhalb der vorgesehenen Umgebung verwendet wird.

Windows-Geräteregistrierung soll einfacher werden

Microsoft vereinfacht außerdem die Windows-Geräteregistrierung beim Zugriff auf Ressourcen, die durch Microsoft Entra Conditional Access geschützt sind.

Das klingt zunächst nach einer kleinen Änderung, dürfte im Alltag aber durchaus angenehm sein.

Gerade bei Conditional Access ist die Technik oft gar nicht das größte Problem.

Die Herausforderung beginnt häufig dort, wo Benutzer plötzlich zusätzliche Registrierungs- oder Anmeldevorgänge verstehen müssen.

Wenn Microsoft hier Reibung aus dem Prozess nimmt, profitieren am Ende sowohl Nutzer als auch Helpdesk.

ServiceNow-Workflows werden vereinfacht

Auch die Zusammenarbeit mit ServiceNow wird verbessert.

Microsoft hat die Workflows für Zugriffsanforderungen vereinfacht.

Gerade in Unternehmen, in denen Berechtigungen nicht einfach per Zuruf verteilt werden, sondern über definierte Genehmigungsprozesse laufen, ist das sinnvoll.

Je weniger Umwege Administratoren und Anwender bei solchen Access Requests haben, desto geringer ist auch die Versuchung, außerhalb der vorgesehenen Prozesse irgendwelche Sonderlösungen zu bauen.

B2B-Gastzugriff über Global Secure Access

Eine weitere Neuerung betrifft B2B-Gäste.

Microsoft ermöglicht B2B-Gastzugriff zusammen mit Global Secure Access.

Die Funktion befindet sich aktuell allerdings noch in der Public Preview.

Das dürfte vor allem für Unternehmen interessant sein, die regelmäßig mit externen Partnern, Dienstleistern oder Kunden zusammenarbeiten und diesen kontrollierten Zugriff auf interne Ressourcen ermöglichen müssen.

Gastzugriffe gehören ohnehin zu den Bereichen, bei denen man sehr genau hinschauen sollte.

Ein externer Benutzer ist schließlich nicht automatisch weniger kritisch als ein interner.

Entra Connect Sync zu Cloud Sync einfacher migrieren

Allgemein verfügbar ist inzwischen eine Funktion, die die Migration von:

Microsoft Entra Connect Sync zu Microsoft Entra Cloud Sync

vereinfachen soll.

Das dürfte für einige Administratoren deutlich relevanter sein als manch spektakulärere Sicherheitsfunktion.

Migrationen dieser Art sind selten besonders spannend, können aber schnell unangenehm werden, wenn Identitäten, Attribute oder Synchronisierungsregeln nicht sauber übernommen werden.

Wenn Microsoft diesen Übergang vereinfacht, ist das daher durchaus eine wichtige Verbesserung.

Weitere neue Entra-Funktionen in der Public Preview

Neben den bereits genannten Änderungen hat Microsoft weitere Funktionen in die öffentliche Vorschau gebracht.

Dazu gehören:

• SAP SuccessFactors Provisioning mit Workload Identity-basierter Authentifizierung
• Löschen beziehungsweise Zurücksetzen von leeren oder null gesetzten Attributwerten im Entra Provisioning
• Erzeugung eindeutiger Aliase über Custom Call-outs
• Erkennen und Verwalten von Anwendungsgruppen und Mitgliedschaften
• Microsoft-verwaltete Zertifikate für die TLS-Inspection in Global Secure Access

Gerade beim Provisioning wirken manche dieser Funktionen auf den ersten Blick unspektakulär.

Wer allerdings schon einmal mit fehlerhaften Attributwerten, doppelten Aliasen oder komplizierten Benutzer-Provisioning-Prozessen gearbeitet hat, weiß, dass genau solche kleinen Verbesserungen im Alltag einiges an Zeit sparen können.

Microsoft denkt Entra immer stärker für die KI-Ära

Besonders interessant finde ich Microsofts Blick auf KI-Agenten.

Autonome Agenten können Aktionen im Namen eines Benutzers oder Unternehmens durchführen.

Damit werden sie praktisch selbst zu einer Art Identität.

Und genau daraus ergeben sich neue Fragen:

Wer hat den Agenten erstellt?

Mit welchen Berechtigungen arbeitet er?

Welche Aktionen hat er durchgeführt?

Auf welche Daten durfte er zugreifen?

Und was passiert, wenn sich das Risiko während seiner Laufzeit ändert?

Microsoft macht deutlich, dass zukünftige Sicherheit nicht mehr nur aus Identität und Passwort besteht.

Stattdessen müssen Signale aus mehreren Bereichen zusammengeführt werden:

Identität, Zugriff, Netzwerk, Endpunkt, Daten, Anwendungen und Laufzeit.

Für mich ist das wahrscheinlich die wichtigste Entwicklung rund um Entra.

Identität wird zum zentralen Sicherheitsfaktor

Früher stand häufig das Netzwerk im Mittelpunkt.

Intern war vertrauenswürdig.

Extern war gefährlich.

Dieses Modell funktioniert längst nicht mehr besonders gut.

Cloud-Dienste, Homeoffice, mobile Geräte, SaaS-Anwendungen und externe Partner haben die klare Grenze zwischen innen und außen praktisch aufgelöst.

Und jetzt kommen KI-Agenten dazu.

Deshalb wird die Frage:

„Wer oder was versucht gerade auf diese Ressource zuzugreifen?“

immer wichtiger.

Genau dort sitzt Microsoft Entra.

Mein Eindruck

Viele der aktuellen Neuerungen wirken einzeln betrachtet relativ klein.

Ein zusätzliches Risikosignal hier.

Ein neuer Provisioning-Mechanismus dort.

Ein vereinfachter Workflow an anderer Stelle.

Zusammen zeigen sie aber ziemlich deutlich, wohin Microsoft mit Entra möchte.

Zugriff soll nicht mehr nur anhand einer statischen Anmeldung entschieden werden.

Stattdessen wird er immer stärker kontinuierlich bewertet und an das aktuelle Risiko angepasst.

Das halte ich grundsätzlich für den richtigen Weg.

Denn moderne IT-Umgebungen sind inzwischen einfach zu dynamisch für ein Sicherheitsmodell nach dem Motto:

„Benutzer hat sich heute Morgen erfolgreich angemeldet, also wird schon alles passen.“

Fazit

Microsoft hat Entra im Oktober 2026 um mehrere neue Sicherheits- und Verwaltungsfunktionen erweitert.

Zu den wichtigsten Neuerungen gehören:

• zusätzliche Signale für Continuous Access Evaluation
• stärkeres Token Binding für Workload Identities
• vereinfachte Windows-Geräteregistrierung
• Verbesserungen bei ServiceNow Access Requests
• B2B-Gastzugriff mit Global Secure Access
• vereinfachte Migration von Entra Connect Sync zu Cloud Sync
• zusätzliche Provisioning- und Governance-Funktionen

Gleichzeitig wird deutlich, dass Microsoft Entra künftig auch eine zentrale Rolle bei der Absicherung von KI-Agenten und autonomen Workloads spielen soll.

Für Administratoren bedeutet das vermutlich vor allem eines:

Identity Management wird nicht einfacher – aber Entra bekommt zumindest mehr Werkzeuge, um mit dieser Komplexität umzugehen.